A propos de la suppression et de la purge des clés

Vous pouvez utiliser IBM® Key Protect for IBM Cloud® pour supprimer une clé de chiffrement et son matériel de clé si vous êtes un gestionnaire de votre instance Key Protect.

Avant de pouvoir supprimer une instance, vous devez supprimer toutes les clés de cette instance. Toutefois, si vous fermez votre compte, toutes les instances et clés existantes sont automatiquement supprimées définitivement. Consultez la rubrique Annulation de compte et suppression de données pour plus d'informations.

Dans le cas où une clé n'est plus nécessaire ou doit être supprimée, Key Protect vous permet de supprimer et finalement de purger les clés, une action qui détruit le matériel de la clé et rend les données chiffrées avec elle inaccessibles.

La suppression d'une clé la fait passer à l'état Détruit. C'est une suppression "provisoire" dans laquelle la clé peut encore être vue et restaurée pendant 30 jours. Au bout de 90 jours, la clé est automatiquement purgée, ou « supprimée définitivement », et les données associées sont définitivement détruites et supprimées du service Key Protect. S'il est souhaitable qu'une clé soit purgée avant le délai des 90 jours, il est également possible de supprimer une clé quatre heures après son passage à l'état Détruit.

Une fois qu'une clé a été supprimée, toutes les données chiffrées par la clé deviennent inaccessibles, bien que cela puisse être inversé si la clé est restaurée dans le délai de 30 jours. Après 30 jours, les métadonnées de clé, les enregistrements et les règles sont disponibles pendant 90 jours, après quoi la clé peut être purgée. Notez qu'une fois qu'une clé ne peut plus être restaurée et qu'elle a été purgée, ses données associées ne sont plus accessibles. Par conséquent, la destruction de ressources n'est pas recommandée pour les environnements de production, sauf si cela est absolument nécessaire.

Le tableau suivant répertorie les délais pendant lesquels vous pouvez afficher, restaurer et purger une clé après sa suppression.

Indique comment les utilisateurs peuvent interagir avec les clés pendant certains intervalles de temps après qu'une clé a été supprimée
Délai depuis la suppression de la clé	Etat de la clé	Affichage/accès aux données de la clé possible ?	Restauration possible ?	L'utilisateur peut-il lancer la purge ?
Une seconde - Quatre heures	Détruite	Oui	Oui	Non
4 heures à 30 jours	Détruite	Oui	Oui	Oui
30 à 90 jours	Détruite	Oui	Non	Oui
Après 90 jours	Purgé `*`	Non	Non	Oui

* Remarque : les clés purgées étant complètement inaccessibles et « détruites » selon l'usage courant du mot, il n'existe techniquement aucun état de clé « purgée ». Les clés purgées n'existent plus et n'ont donc pas « d'état », quel qu'il soit. Cependant, il peut être utile de considérer que « purgé » est un état, car la non-existence fait partie du cycle de vie d'une clé.

Lorsqu'une clé a été purgée, tous les appels d'API qui utilisent l'ID d'une clé purgée provoquent l'erreur 404 HTTP Not Found. Si vous devez conserver des données liées à une clé purgée (métadonnées de clé, enregistrements, règles, etc.) pendant une période prolongée, il est recommandé d'effectuer les appels d'API ou d'interface de ligne de commande nécessaires pour extraire et stocker ces données dans votre propre unité de stockage.

Considérations à prendre en compte avant la suppression et la purge d'une clé

Key Protect bloque la suppression de toute clé qui protège activement les ressources cloud enregistrées. Avant de supprimer une clé :

Examinez les ressources IBM Cloud enregistrées qui sont associées à la clé. Si nécessaire, vous pouvez forcer la suppression d'une clé qui protège une ressource cloud enregistrée. Toutefois, l'action n'aboutira pas si la ressource associée de la clé n'est pas effaçable en raison d'une règle de conservation WORM (règle d'écriture unique et de lecture multiple) définie sur la ressource cloud appropriée du client.
Vérifiez si une clé possède une règle de conservation en cochant la zone preventKeyDeletion des détails d'enregistrement de la clé. Ensuite, vous devez contacter le support IBM Cloud pour supprimer la politique de rétention sur chaque ressource associée à la clé avant de pouvoir supprimer la clé.
Vérifiez la règle d'autorisation de suppression de la clé. Par défaut, les clés dans Key Protect ne requièrent qu'une seule autorisation de suppression par un utilisateur ayant le rôle Gestionnaire. Toutefois, si une règle d'autorisation double a été définie, deux utilisateurs ayant le rôle Gestionnaire doivent approuver la suppression.

Key Protect restreint la possibilité de purger les clés après seulement quatre heures pour les utilisateurs ayant le rôle KeyPurge, qui doit être défini spécifiquement pour un utilisateur car il n'est pas activé par défaut, même pour le propriétaire de l'instance. Cette possibilité est limitée précisément parce que les clés purgées ne peuvent pas être restaurées. Si vous avez le moindre doute sur la nécessité de purger une clé quatre heures après sa suppression, ne la purgez pas.

Exemple d'API

Avant d'utiliser cet exemple, consultez les prérequis et les paramètres de configuration associés à la référence de l'API.

curl -X DELETE
    https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/purge
    -H 'accept: application/vnd.ibm.kms.key+json'
    -H 'authorization: Bearer <IAM_token>'
    -H 'bluemix-instance: <instance_ID>'

Remplacez les variables de l'exemple de demande conformément au tableau suivant :

Décrit les variables nécessaires pour purger une clé avec l'API Key Protect.
Variable	Description
région	Obligatoire. Abréviation de la région, telle que us-south ou eu-gb, qui représente la zone géographique où réside votre instance Key Protect. Pour plus d'informations, voir Points d'extrémité de service.
keyID_or_alias	Obligatoire. Identificateur unique ou alias de la clé que vous souhaitez purger.
IAM_token	Obligatoire. Votre jeton d'accès IBM Cloud. Incluez le contenu complet du jeton IAM, notamment la valeur Bearer, dans la requête curl. Pour plus d'informations, voir Extraction d'un jeton d'accès.
instance_ID	Obligatoire. Identificateur unique affecté à votre instance de service Key Protect. Pour plus d'informations, voir Extraction d'un ID d'instance.

Pour une description détaillée de la demande, voir la documentation de référence de l'API REST de Key Protect.

Etapes suivantes

Pour savoir comment supprimer et purger une clé à l'aide de l'interface utilisateur, consultez Suppression de clés à l'aide d'une autorisation unique. Pour plus d'informations sur cette utilisation à l'aide de l'API, cliquez sur l'onglet API au début de la rubrique.

Pour savoir comment supprimer et purger une clé qui contient une règle de suppression d'autorisation double à l'aide de l'interface utilisateur, consultez Suppression de clés à l'aide d'une double autorisation. Pour plus d'informations sur cette utilisation à l'aide de l'API, cliquez sur l'onglet API au début de la rubrique.