키 삭제 및 제거에 대한 정보

IBM® Key Protect for IBM Cloud® 인스턴스의 관리자인 경우 Key Protect을(를) 사용하여 암호화 키와 키 자료를 삭제할 수 있습니다.

인스턴스를 삭제하기 전에 해당 인스턴스의 모든 키를 삭제해야 합니다. 그러나 계정을 닫으면 기존 인스턴스 및 키가 자동으로 하드 삭제됩니다. 자세한 정보는 계정 취소 및 데이터 삭제 를 참조하십시오.

키가 더 이상 필요하지 않거나 제거해야 하는 경우, Key Protect을(를) 사용하면 키를 삭제하고 궁극적으로 제거할 수 있습니다. 이 조치는 키 자료를 폐기하고 이 키로 암호화된 데이터에 액세스할 수 없게 만듭니다.

키를 삭제하면 키가 삭제됨 상태로 이동되며 키를 계속 표시하고 30일 동안 복원할 수 있는 "소프트" 삭제입니다. 90일 후에는 키가 자동으로 제거되거나 "완전 삭제"되며, 연관된 데이터가 영구적으로 폐기되고 Key Protect 서비스에서 제거됩니다. 키를 90일보다 빨리 제거하는 것이 바람직한 경우, 삭제됨 상태로 이동한 지 4시간 후에는 하드 삭제도 가능합니다.

키가 삭제된 후에는 키로 암호화된 모든 데이터에 액세스할 수 없게 되지만, 30일 기간 내에 키를 복원하면 되돌릴 수 있습니다. 30일 후에는 키 메타데이터, 등록 및 정책을 최대 90일까지 사용할 수 있으며, 이 시점에 키를 제거할 수 있습니다. 키를 더 이상 복원할 수 없고 제거하고 나면 연관된 데이터에 더 이상 액세스할 수 없습니다. 따라서 절대적으로 필요한 경우가 아니면 프로덕션 환경에서는 리소스를 삭제하지 않는 것이 좋습니다.

다음 표에는 키가 삭제된 후에 키를 보고 복원하고 제거할 수 있는 시간 프레임이 나열되어 있습니다.

키가 삭제된 후 특정 시간 간격 동안 사용자가 키와 상호 작용할 수 있는 방법을 나열합니다
키 삭제로부터의 시간 키 상태의 이름 키 데이터 보기/액세스 가능 여부 복원 가능 여부 사용자가 제거를 시작할 수 있습니까?
1초 - 4시간 삭제됨 예 예 아니오
4시간 - 30일 삭제됨 예 예 예
30-90일 삭제됨 예 아니오 예
90일 이후 제거됨* 아니오 아니오 예

* 참고: 제거된 키는 일반적으로 사용되는 단어에서 완전히 액세스할 수 없고 "삭제"되기 때문에 엄밀히 따지면 "제거된" 키 상태가 아닙니다. 제거된 키가 더 이상 없으므로 어떤 식으로든 "상태"가 없습니다. 그러나 부재는 키 수명주기의 일부이므로 "제거됨"을 상태로 생각하는 것이 유용할 수 있습니다.

키를 제거한 후 제거된 키의 키 ID를 사용하는 API를 호출하면 404 HTTP Not Found 오류가 발생합니다. 확장된 기간 동안 제거된 키(키 메타데이터, 등록, 정책 등)와 관련된 데이터를 보유해야 하는 경우 필요한 API 또는 CLI 호출을 수행하여 해당 데이터를 검색하여 고유 스토리지 디바이스에 저장하는 것이 좋습니다.

키 삭제 및 제거 전 고려사항

Key Protect은(는) 등록된 클라우드 리소스를 적극적으로 보호하는 모든 키의 삭제를 차단합니다. 키를 삭제하기 전에 다음을 수행하십시오.

  1. 키와 연결된 등록된 IBM Cloud 리소스를 검토합니다. 필요한 경우 등록된 클라우드 리소스를 보호하는 키를 강제로 삭제할 수 있습니다. 그러나 고객의 관련 클라우드 리소스에 대한 WORM(Write Once Read Many) 정책 세트인 보존 정책 때문에 키의 연관된 리소스가 삭제되지 않는 경우에는 조치에 성공하지 않습니다.
  2. 키에 대한 preventKeyDeletion등록 세부사항의 필드를 확인하여 키에 보존 정책이 있는지 확인하십시오. 그런 다음 IBM Cloud 지원팀에 문의하여 키와 연결된 각 리소스에 대한 보존 정책을 제거해야 키를 삭제할 수 있습니다.
  3. 키의 삭제 권한 정책을 확인하십시오. 기본적으로 Key Protect의 키에는 관리자 역할이 있는 사용자의 단일 삭제 권한만 필요합니다. 그러나 이중 권한 부여 정책이 설정된 경우 관리자 역할이 있는 두 명의 사용자가 삭제를 승인해야 합니다.

Key Protect는 키를 제거하는 기능을 4시간 후에 KeyPurge 역할이 있는 사용자로 제한합니다. 이는 인스턴스 소유자에 대해서도 기본적으로 사용으로 설정되어 있지 않기 때문에 사용자에 대해 특별히 설정되어야 합니다. 이 기능은 제거된 키를 복원할 수 없으므로 정확하게 제한됩니다. 키를 삭제한 지 4시간 후에 제거해야 하는지 여부가 의심되는 경우 제거하지 마십시오.

API 예제

이 예제를 사용하기 전에 API 참조와 연관된 전제조건 및 구성 설정을 참조하십시오.

curl -X DELETE
    https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/purge
    -H 'accept: application/vnd.ibm.kms.key+json'
    -H 'authorization: Bearer <IAM_token>'
    -H 'bluemix-instance: <instance_ID>'

다음 표에 따라 예제 요청의 변수를 대체하십시오.

Key Protect API로 키를 퍼지하는 데 필요한 변수에 대해 설명합니다.
가변 설명
지역 필수. Key Protect 인스턴스가 있는 지리적 영역을 나타내는 us-south 또는 eu-gb와 같은 지역 약어입니다. 자세한 정보는 지역 서비스 엔드포인트를 참조하십시오.
keyID_or_alias 필수. 제거하려는 키의 고유 ID 또는 별명입니다.
IAM_token 필수. 사용자의 IBM Cloud 액세스 토큰입니다. curl 요청에 Bearer 값을 포함하여 IAM 토큰의 전체 컨텐츠를 포함하십시오. 자세한 정보는 액세스 토큰 검색을 참조하십시오.
instance_ID 필수. Key Protect 서비스 인스턴스에 지정된 고유 ID입니다. 자세한 정보는 인스턴스 ID 검색을 참조하십시오.

요청에 대한 자세한 설명은 Key Protect REST API 참조 문서를 참조하세요.

다음에 수행할 작업

UI를 사용하여 키를 삭제하고 제거하는 방법을 학습하려면 단일 권한을 사용하여 키 삭제를 체크아웃하십시오. API를 사용하여 이를 수행하는 방법에 대한 정보는 해당 주제의 시작 부분에 있는 API 탭을 클릭하십시오.

UI를 사용하여 이중 권한 부여 삭제 정책을 보유하는 키를 삭제하고 제거하는 방법을 학습하려면 이중 권한을 사용하여 키 삭제를 체크아웃하십시오. API를 사용하여 이를 수행하는 방법에 대한 정보는 해당 주제의 시작 부분에 있는 API 탭을 클릭하십시오.