Informazioni sull'eliminazione e l'eliminazione delle chiavi

È possibile utilizzare IBM® Key Protect for IBM Cloud® per eliminare una chiave di crittografia e il relativo materiale chiave se si è un gestore dell'istanza Key Protect.

Prima di poter eliminare un'istanza, devi eliminare ogni chiave in tale istanza. Tuttavia, se chiudi il tuo account, tutte le istanze e le chiavi esistenti vengono automaticamente eliminate in modo permanente. Per ulteriori informazioni, consulta Cancellazione account ed eliminazione dati.

Nel caso in cui una chiave non sia più necessaria o debba essere rimossa, Key Protect ti consente di eliminare e, infine, eliminare le chiavi, un'azione che elimina il materiale della chiave e rende inaccessibili tutti i dati codificati con esso.

L'eliminazione di una chiave la porta nello stato Destroyed , un'eliminazione "soft" in cui la chiave può essere ancora visualizzata e ripristinata per 30 giorni. Dopo 90 giorni, la chiave verrà automaticamente eliminata o "eliminata in modo permanente" e i suoi dati associati verranno definitivamente distrutti e rimossi dal servizio Key Protect. Se è auspicabile che una chiave venga eliminata prima di 90 giorni, è anche possibile eliminare una chiave quattro ore dopo che è stata spostata nello stato Destroyed .

Dopo che una chiave è stata eliminata, tutti i dati codificati dalla chiave diventano inaccessibili, anche se questo può essere invertito se la chiave viene ripristinata entro il periodo di tempo di 30 giorni. Dopo 30 giorni, i metadati, le registrazioni e le politiche chiave sono disponibili fino a 90 giorni, a quel punto la chiave diventa idonea per l'eliminazione. Tenere presente che una volta che una chiave non è più ripristinabile ed è stata eliminata, non è più possibile accedere ai dati associati. Di conseguenza, l'eliminazione delle risorse non è consigliata per gli ambienti di produzione a meno che non sia assolutamente necessario.

La seguente tabella elenca i periodi di tempo in cui è possibile visualizzare, ripristinare ed eliminare una chiave dopo che è stata eliminata.

Elenca il modo in cui gli utenti possono interagire con le chiavi durante determinati intervalli di tempo dopo l'eliminazione di una chiave
Tempo dall'eliminazione della chiave	Nome dello stato della chiave	Può visualizzare / accedere ai dati chiave?	È possibile ripristinare?	L'utente può avviare l'eliminazione?
Un secondo - Quattro ore	Distrutta	Sì	Sì	No
4 ore - 30 giorni	Distrutta	Sì	Sì	Sì
30-90 giorni	Distrutta	Sì	No	Sì
Dopo 90 giorni	Annullato `*`	No	No	Sì

* Nota: poiché le chiavi eliminate sono completamente inaccessibili e "distrutte" nell'uso comune della parola, tecnicamente non esiste uno stato chiave "eliminato". Le chiavi eliminate non esistono più e quindi non hanno uno "stato" in un modo o nell'altro. Tuttavia, può essere utile pensare che "purged" sia uno stato in quanto la non esistenza fa parte del ciclo di vita di una chiave.

Una volta che una chiave è stata eliminata, qualsiasi chiamata all'API che utilizzi l'ID chiave di una chiave eliminata risulterà in un errore 404 HTTP Not Found. Se ti viene richiesto di conservare i dati relativi a una chiave eliminata (metadati chiave, registrazioni, politiche, ecc.) per un periodo di tempo prolungato, si consiglia di eseguire le chiamate API o CLI necessarie per richiamare e memorizzare tali dati nel tuo dispositivo di archiviazione.

Considerazioni prima di cancellare ed eliminare una chiave

Key Protect blocca l'eliminazione di tutte le chiavi che proteggono attivamente le risorse cloud registrate. Prima di eliminare una chiave:

Esaminare le risorse registrate IBM Cloud che sono associate alla chiave. Se necessario, puoi forzare l'eliminazione su una chiave che protegge una risorsa cloud registrata. Tuttavia, l'azione non avrà esito positivo se la risorsa associata della chiave non è cancellabile a causa di una politica di conservazione, che è una politica WORM (Write Once Read Many) impostata sulla risorsa cloud pertinente del cliente.
Verifica se una chiave ha una politica di conservazione controllando il preventKeyDeletion campo dei dettagli di registrazione per la chiave. Quindi, è necessario contattare l 'assistenza IBM Cloud per rimuovere il criterio di conservazione su ogni risorsa associata alla chiave prima di poterla eliminare.
Verificare la politica di autorizzazione di eliminazione della chiave. Per impostazione predefinita, le chiavi in Key Protect richiedono solo una singola autorizzazione di eliminazione da parte di un utente con il ruolo Gestore . Tuttavia, se è stata impostata una politica di autorizzazione doppia, due utenti con il ruolo Gestore dovranno approvare l'eliminazione.

Key Protect limita la possibilità di eliminare le chiavi dopo solo quattro ore agli utenti con il ruolo KeyPurge, che deve essere impostato specificamente per un utente, poiché non è abilitato per impostazione predefinita, nemmeno per il proprietario dell'istanza. Questa possibilità è limitata proprio perché le chiavi eliminate non possono essere ripristinate. In caso di dubbi sul fatto che una chiave debba essere eliminata quattro ore dopo essere stata eliminata, non eliminarla.

Esempio API

Prima di utilizzare questo esempio, fare riferimento ai prerequisiti e alle impostazioni di configurazione associate al riferimento API.

curl -X DELETE
    https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/purge
    -H 'accept: application/vnd.ibm.kms.key+json'
    -H 'authorization: Bearer <IAM_token>'
    -H 'bluemix-instance: <instance_ID>'

Sostituisci le variabili nella richiesta di esempio in base alla seguente tabella.

Descrive le variabili necessarie per eliminare una chiave con l'API Key Protect API.
Variabile	Descrizione
regione	Richiesto. L'abbreviazione della regione, come us-south o eu-gb, che rappresenta l'area geografica in cui risiede l'istanza di Key Protect. Per ulteriori informazioni, vedere Endpoint del servizio regionale.
keyID_or_alias	Richiesto. L'identificatore unico o alias della chiave che si desidera eliminare.
Token IAM	Richiesto. Il tuo token di accesso IBM Cloud. Includere l'intero contenuto del token IAM, compreso il valore Bearer, nella richiesta curl. Per ulteriori informazioni, vedere Recupero di un token di accesso.
instance_id	Richiesto. L'identificativo univoco che viene assegnato alla tua istanza del servizio Key Protect. Per ulteriori informazioni, vedere Recupero dell'ID di un'istanza.

Per una descrizione dettagliata della richiesta, consultare il documento di riferimento dell'API REST di Key Protect.

Operazioni successive

Per informazioni su come eliminare ed eliminare una chiave utilizzando l'interfaccia utente, consulta Eliminazione di chiavi utilizzando una singola autorizzazione. Per informazioni su come eseguire questa operazione utilizzando l'API, fai clic sulla scheda API all'inizio dell'argomento.

Per informazioni su come eliminare ed eliminare una chiave che contiene una politica di eliminazione con doppia autorizzazione utilizzando l'interfaccia utente, consulta Eliminazione di chiavi utilizzando la doppia autorizzazione. Per informazioni su come eseguire questa operazione utilizzando l'API, fai clic sulla scheda API all'inizio dell'argomento.