Acerca de la supresión y depuración de claves

Puede utilizar IBM® Key Protect for IBM Cloud® para suprimir una clave de cifrado y su material de clave, si es un gestor de la instancia de Key Protect.

Para poder suprimir una instancia, debe suprimir todas las claves de dicha instancia. Sin embargo, si cierra la cuenta, las instancias y claves existentes se suprimirán de forma automática. Consulte Cancelación de cuentas y supresión de datos para obtener más información.

En el caso de que una clave ya no sea necesaria o deba eliminarse, Key Protect le permite suprimir y, en última instancia, depurar las claves, una acción que destruye el material de la clave y hace que no se pueda acceder a ninguno de los datos cifrados con la clave.

Al suprimir una clave, esta pasa a estado Destruido, una supresión "suave" en la que la clave todavía se puede ver y restaurar durante 30 días. Después de 90 días, la clave se depurará automáticamente, o se "suprimirá de forma definitiva", y sus datos asociados se destruirán de forma permanente y se eliminarán del servicio Key Protect. Si se quiere que una clave se depure antes de 90 días, también es posible suprimir una clave cuatro horas después de que haya pasado al estado Destruido.

Después de que se haya suprimido una clave, cualquier dato cifrado mediante la clave se vuelve inaccesible, aunque esto se puede revertir si la clave se restaura dentro del marco de tiempo de 30 días. Después de 30 días, los metadatos de la clave, los registros y las políticas están disponibles durante un máximo de 90 días, momento en el que la clave pasa a ser elegible para ser depurada. Tenga en cuenta que una vez que una clave ya no se puede restaurar y se ha depurado, ya no se puede acceder a sus datos asociados. Como resultado, no se recomienda destruir recursos para entornos de producción, a menos que sea absolutamente necesario.

En la tabla siguiente se enumeran los periodos de tiempo durante los que puede ver, restaurar y depurar una clave, después de que se haya suprimido.

Enumera cómo pueden interactuar los usuarios con las llaves durante determinados intervalos de tiempo tras la eliminación de una llave
Tiempo de supresión de claves Nombre del estado de la clave ¿Puede ver o acceder a los datos de claves? ¿Se puede restaurar? ¿Puede el usuario iniciar la depuración?
Un segundo - Cuatro horas Destruido Sí Sí No
4 horas - 30 días Destruido Sí Sí Sí
30-90 días Destruido Sí No Sí
Después de 90 días Purgado * No No Sí

* Nota: debido a que las claves depuradas son completamente inaccesibles y y "destruyen" en el uso común de la palabra, técnicamente no hay un estado de clave "depurada". Las claves depuradas dejan de existir y, por lo tanto, no tienen un "estado", de una u otra forma. Sin embargo, puede ser útil pensar en "depurada" como en un estado ya que la no existencia forma parte del ciclo de vida de una clave.

Una vez que se ha depurado una clave, cualquier llamada de API que utilice el ID de clave de una clave depurada dará como resultado un error 404 HTTP No encontrado. Si necesita conservar algún dato relacionado con una clave depurada (metadatos de la clave, registros, políticas, etc.) durante un periodo de tiempo prolongado, se recomienda realizar las llamadas de API o CLI necesarias para recuperar y almacenar esos datos en su propio dispositivo de almacenamiento.

Consideraciones antes de suprimir y depurar una clave

Key Protect bloquea la supresión de cualquier clave que proteja activamente los recursos en la nube registrados. Antes de suprimir una clave:

  1. Revise los recursos registrados en IBM Cloud asociados a la clave. Si es necesario, puede forzar la supresión en una clave que protege un recurso en la nube registrado. Sin embargo, la acción no tendrá éxito si el recurso asociado de la clave es no borrable debido a una política de retención, que es un conjunto de políticas WORM (Write Once Read Many) en el recurso en la nube relevante del cliente.
  2. Verifique si una clave tiene una política de retención comprobando el campo preventKeyDeletion de los detalles de registro para la clave. A continuación, deberá ponerse en contacto con el servicio de asistencia de IBM Cloud para eliminar la política de retención de cada recurso asociado a la clave antes de poder eliminarla.
  3. Verifique la política de autorización de supresión de la clave. De forma predeterminada, las claves en Key Protect sólo requieren una autorización de supresión única por parte de un usuario con el rol Gestor Sin embargo, si se ha establecido la política de autorización dual, dos usuarios con el rol Gestor tendrán que aprobar la supresión.

Key Protect restringe la capacidad de depurar claves después de sólo cuatro horas a los usuarios con Rol KeyPurge, que debe establecerse específicamente para un usuario, ya que no está habilitado de forma predeterminada, incluso para el propietario de la instancia. Esta capacidad está restringida precisamente porque no se pueden restaurar las claves depuradas. Si hay alguna duda de si se debe depurar una clave cuatro horas después de que se haya suprimido, no la depure.

Ejemplo de API

Consulte los requisitos previos y los valores de configuración asociados con la referencia de API, antes de utilizar este ejemplo.

curl -X DELETE
    https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/purge
    -H 'accept: application/vnd.ibm.kms.key+json'
    -H 'authorization: Bearer <IAM_token>'
    -H 'bluemix-instance: <instance_ID>'

Sustituya las variables de la solicitud de ejemplo de acuerdo con la siguiente tabla.

Describe las variables necesarias para purgar una clave con la API Key Protect.
Variable Descripción
región Obligatorio. La abreviatura de la región, como us-south o eu-gb, que representa la zona geográfica donde reside la instancia de Key Protect. Para obtener más información, consulte Puntos finales de servicio regionales.
keyID_or_alias Obligatorio. El identificador o alias exclusivo de la clave que desea depurar.
IAM_token Obligatorio. Su señal de acceso de IBM Cloud. Incluya el contenido completo de la señal IAM, incluido el valor Bearer, en la solicitud curl. Para obtener más información, consulte Recuperación de una señal de acceso.
instance_ID Obligatorio. El único identificador que está asignado a su instancia de servicio de Key Protect. Para obtener más información, consulte Recuperación de un ID de instancia.

Para obtener una descripción detallada de la solicitud, consulte el documento de referencia de la API REST Key Protect.

Qué hacer a continuación

Para aprender a suprimir y depurar una clave utilizando la interfaz de usuario, consulte Supresión de claves utilizando una única autorización. Para obtener información sobre cómo hacerlo utilizando la API, pulse en la pestaña API al principio del tema.

Para aprender a suprimir y depurar una clave que contiene una política de supresión de autorización dual utilizando la interfaz de usuario, consulte Supresión de claves utilizando la autorización dual. Para obtener información sobre cómo hacerlo utilizando la API, pulse en la pestaña API al principio del tema.