鍵の削除およびパージについて

IBM® Key Protect for IBM Cloud® インスタンスの管理者であれば、Key Protect を使用して暗号鍵と鍵素材を削除できます。

インスタンスを削除する前に、そのインスタンス内のすべての鍵を削除する必要があります。ただし、アカウントを閉じると、既存のインスタンスと鍵は自動的にハード削除されます。詳しくは、アカウントのキャンセルとデータ削除を確認してください。

鍵が不要になった場合、または鍵を削除する必要がある場合、Key Protect では、鍵を削除して最終的にパージすることができます。パージとは、鍵素材を破棄して、鍵で暗号化されていたデータをアクセス不能にする操作です。

鍵を削除すると、その鍵は_破棄済み_状態に移行します。これは「ソフト」削除であり、鍵は 30 日間表示され、復元されます。 90 日を過ぎると、鍵は自動的にパージ (つまり「ハード削除」) され、関連データが完全に破棄されて Key Protect サービスから削除されます。 90 日より早く鍵をパージすることが望ましい場合は、_破棄済み_状態に移行してから 4 時間後に鍵を物理削除することもできます。

鍵を削除すると、その鍵で暗号化されていたデータはアクセス不能になりますが、30 日間の時間フレーム内に鍵を復元すれば、元に戻すことができます。 30 日を過ぎてから 90 日が経つまでは、鍵のメタデータ、登録、およびポリシーが存在します。90 日が経つと、鍵はパージ対象になります。鍵が復元不能になってパージされたら、その関連データにはもうアクセスできないことに注意してください。そのため、絶対に必要な場合を除き、実稼働環境でリソースの破棄を行うことはお勧めできません。

次の表に、鍵の削除後に鍵の表示、復元、パージを行える時間フレームを示します。

キーが削除された後、特定の時間間隔でユーザーがキーとどのようにやり取りできるかを一覧表示する。
キーを削除してからの時間	キー状態の名前	鍵のデータを表示/取得できるか。	リストア可能か。	ユーザーがパージ開始可能か。
1 秒から 4 時間	破棄済み	ある	ある	いいえ
4 時間から 30 日	破棄済み	ある	ある	ある
30 日から 90 日	破棄済み	ある	いいえ	ある
90 日以降	パージされる`*`	いいえ	いいえ	ある

*注: パージされた鍵は完全にアクセス不能であり、文字どおり「破棄」されています。厳密には「パージ」という鍵の状態はありません。パージされた鍵は完全に存在しなくなっているので、「状態」というものも存在しません。ただし、存在しないことも鍵のライフサイクルの一部であるため、「パージ」を状態の 1 つと考えると役に立つ場合があります。

鍵がパージされると、パージされた鍵の鍵 ID を使用する API 呼び出しは、404 Not Found の HTTP エラーを返すようになります。パージされた鍵に関連するデータ (鍵のメタデータ、登録、ポリシーなど) を長期間保持する必要がある場合は、必要な API 呼び出しまたは CLI 呼び出しを実行してそのデータを取得し、お客様自身のストレージ・デバイスに保管することをお勧めします。

鍵を削除およびパージする前の考慮事項

Key Protect では、登録されているクラウド・リソースを現在保護している鍵の削除はブロックされます。鍵を削除する前に、以下を行ってください。

そのキーに関連付けられている登録済みの IBM Cloud リソースを確認する。必要な場合、登録済みのクラウド・リソースを保護している鍵を強制的に削除できます。ただし、鍵に関連付けられているリソースが保存ポリシー (関連するお客様のクラウド・リソースに設定された Write Once Read Many (WORM) ポリシー) のために消去不能である場合、この操作は成功しません。
鍵のpreventKeyDeletion登録の詳細のフィールドを調べて、鍵に保存ポリシーがあるかどうかを確認してください。その後、 IBM Cloud サポートに連絡して、キーを削除する前に、キーに関連付けられている各リソースの保持ポリシーを削除する必要があります。
鍵の削除許可ポリシーを確認してください。デフォルトでは、Key Protect の鍵は、_マネージャー_役割を持つユーザーによる単一の削除許可のみを必要とします。ただし、二重許可ポリシーが設定されている場合は、_マネージャー_役割を持つ 2 人のユーザーが削除を承認する必要があります。

Key Protect は、4 時間後にのみキーをパージする機能を、KeyPurge 役割を持つユーザーに制限します。これは、インスタンス所有者に対しても、デフォルトでは有効になっていないため、ユーザーに対して具体的に設定する必要があります。パージされた鍵は復元できないので、この機能は厳密に制限されています。鍵を削除してから 4 時間後にパージすべきかどうかが定かでない場合は、パージしないでください。

API の例

この例を使用する前に、API リファレンスで、関連する前提条件と構成設定を確認してください。

curl -X DELETE
    https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/purge
    -H 'accept: application/vnd.ibm.kms.key+json'
    -H 'authorization: Bearer <IAM_token>'
    -H 'bluemix-instance: <instance_ID>'

次の表に従って、例の要求内の変数を置き換えてください。

Key Protect API で鍵をパージするために必要な変数について説明します。
変数	説明
リージョン	必須。 Key Protect インスタンスが存在している地理的領域を表す、地域の省略形 (例: us-south または eu-gb)。詳しくは、地域のサービス・エンドポイントを参照してください。
keyID_or_alias	必須。パージ対象の鍵の固有 ID または別名。
IAM_token	必須。 IBM Cloud アクセス・トークン。 Bearer 値を含む、IAM トークンの全コンテンツを curl 要求に組み込みます。詳細については、アクセス・トークンのリトリーブを参照してください。
instance_ID	必須。 Key Protect サービス・インスタンスに割り当てられた固有 ID。詳細については、インスタンス ID のリトリーブを参照してください。

リクエストの詳細については、 Key Protect REST API reference docを参照のこと。

次の作業

UI を使用して鍵を削除およびパージする方法については、単一の許可を使用した鍵の削除を参照してください。 API を使用してこれを行う方法については、トピックの先頭にある API タブをクリックしてください。

UI を使用して、二重許可削除ポリシーを保持する鍵を削除およびパージする方法については、二重許可を使用した鍵の削除を参照してください。 API を使用してこれを行う方法については、トピックの先頭にある API タブをクリックしてください。