Sobre como excluir e limpar chaves

É possível usar o IBM® Key Protect for IBM Cloud® para excluir uma chave de criptografia e seu material de chave se você for um gerenciador para a instância do Key Protect.

Antes de se excluir uma instância, você deve excluir toda chave nessa instância. No entanto, se você fechar sua conta, quaisquer instâncias e chaves existentes serão excluídas automaticamente. Confira o Cancelamento de conta e exclusão de dados para obter mais informações.

Caso uma chave não seja mais necessária ou deva ser removida, o Key Protect permitirá excluir e, por fim, limpar as chaves, uma ação que fragmenta o material de chave e torna todos os dados criptografados com ela inacessíveis.

Quando excluída, a chave passa para o estado Destroyed, em que a exclusão é "provisória", pois a chave ainda pode ser vista e restaurada durante 30 dias. Após 90 dias, a chave será limpa automaticamente, ou "excluída de forma permanente", e seus dados associados serão permanentemente fragmentados e removidos do serviço Key Protect. Se quiser que uma chave seja limpa antes de 90 dias, também é possível fazer a exclusão permanente da chave quatro horas após a mudança para o estado Destroyed.

Após a exclusão de uma chave, todos os dados criptografados por ela tornam-se inacessíveis, embora isso possa ser revertido se a chave for restaurada dentro do prazo de 30 dias. Depois de 30 dias, os metadados, registros e políticas da chave ficam disponíveis por até 90 dias, momento em que a chave torna-se elegível para ser limpa. Observe que depois que uma chave não é mais restaurável e foi limpa, seus dados associados não podem mais ser acessados. Como resultado, a destruição de recursos não é recomendada para ambientes de produção, a menos que seja absolutamente necessário.

A tabela a seguir lista os intervalos de tempo em que é possível visualizar, restaurar e limpar uma chave depois de ela ter sido excluída.

Lista como os usuários podem interagir com as chaves durante determinados intervalos de tempo após a exclusão de uma chave
Tempo a partir da exclusão da chave Nome do estado da chave É possível visualizar/acessar dados da chave? É possível restaurar? O usuário pode iniciar a limpeza?
Um segundo - quatro horas Destruído True True Não
De 4 horas a 30 dias Destruído True True True
30-90 dias Destruído True Não True
Após 90 dias Limpo* Não Não True

* Nota: como as chaves limpas estão completamente inacessíveis e "destruídas" no uso comum da palavra, tecnicamente, não há nenhum estado de chave "limpa". As chaves limpas não existem mais e, portanto, não têm um "estado" de uma forma ou de outra. No entanto, pode ser útil pensar em "limpo" como sendo um estado, já que a não existência faz parte do ciclo de vida de uma chave.

Após uma chave ter sido limpa, todas as chamadas da API que usam o ID da chave de uma chave limpa resultarão em um erro 404 HTTP Not Found. Se precisar manter quaisquer dados relacionados a uma chave limpa (metadados, registros, políticas da chave, etc) por um período maior, é recomendável executar as chamadas necessárias da API ou da CLI para recuperar e armazenar esses dados em seu próprio dispositivo de armazenamento.

Considerações antes de excluir e limpar uma chave

O Key Protect bloqueia a exclusão de qualquer chave que esteja protegendo ativamente quaisquer recursos em nuvem registrados. Antes de excluir uma chave:

  1. Analise os recursos registrados do IBM Cloud que estão associados à chave. Se necessário, é possível forçar exclusão de uma chave que está protegendo um recurso em nuvem registrado. No entanto, a ação não será bem-sucedida se o recurso associado da chave for não apagável devido a uma política de retenção, que é uma política Write Once Read Many (WORM) configurada no recurso em nuvem relevante do cliente.
  2. Verifique se uma chave tem uma política de retenção consultando o campo preventKeyDeletion dos detalhes do registro da chave. Em seguida, é necessário entrar em contato com o suporte do IBM Cloud para remover a política de retenção de cada recurso associado à chave antes de poder excluir a chave.
  3. Verifique a política de autorização de exclusão da chave. Por padrão, as chaves no Key Protect exigem apenas uma única autorização de exclusão, feita por um usuário que possui a função de Gerenciador. No entanto, caso uma política de autorização dupla tenha sido configurada, será necessário que dois usuários que possuem a função Gerenciador aprovem a exclusão.

No Key Protect, somente os usuários que possuem a função KeyPurge podem fazer a limpeza de chaves apenas quatro horas depois da mudança de estado; essa função deve ser especificamente configurada para o usuário e não é habilitada por padrão, nem mesmo para o proprietário da instância. Esta capacidade é restrita justamente porque as chaves limpas não podem ser restauradas. Se houver alguma dúvida se uma chave deve ser limpa quatro horas depois de ter sido excluída, não limpe-a.

Exemplo de API

Consulte os pré-requisitos e as definições de configuração associadas à referência da API antes de usar este exemplo.

curl -X DELETE
    https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/purge
    -H 'accept: application/vnd.ibm.kms.key+json'
    -H 'authorization: Bearer <IAM_token>'
    -H 'bluemix-instance: <instance_ID>'

Substitua as variáveis na solicitação de exemplo de acordo com a tabela a seguir.

Descreve as variáveis necessárias para limpar uma chave com a API Key Protect.
Variável Descrição
região Obrigatório. A abreviação de região, como us-south ou eu-gb, que representa a área geográfica onde a instância do Key Protect reside. Para obter mais informações, consulte Terminais regionais em serviço.
keyID_or_alias Obrigatório. O identificador ou alias exclusivo da chave a ser limpa.
IAM_token Obrigatório. Seu token de acesso do IBM Cloud. Inclua o conteúdo completo do token do IAM, incluindo o valor Bearer, na solicitação curl. Para obter mais informações, consulte Recuperando um token de acesso.
instance_ID Obrigatório. O identificador exclusivo que é designado para sua instância de serviço Key Protect. Para obter mais informações, consulte Recuperando um ID da instância.

Para obter uma descrição detalhada da solicitação, consulte o documento de referência da API REST do Key Protect.

O que vem a seguir

Para obter informações sobre como excluir e limpar uma chave por meio da IU, confira Excluindo chaves utilizando a autorização única. Para obter informações sobre como fazer isso utilizando a API, clique na guia API no início do tópico.

Para obter informações sobre como usar a IU para excluir e limpar uma chave que possui uma política de exclusão de autorização dupla, confira Excluindo chaves utilizando a autorização dupla. Para obter informações sobre como fazer isso utilizando a API, clique na guia API no início do tópico.