關於刪除及清除金鑰
如果您是 Key Protect 範例的管理員，您可以使用 IBM® Key Protect for IBM Cloud® 刪除加密金鑰及其金鑰資料。
您必須先刪除實例中的每個金鑰，然後才能刪除該實例。 不過，如果您關閉帳戶，則會自動強迫刪除任何現有的實例及金鑰。 如需相關資訊，請參閱 帳戶取消和資料刪除。
如果不再需要或應該移除金鑰，則 Key Protect 可讓您刪除並最終清除金鑰，此動作會毀損金鑰資料，並使任何資料無法存取。
刪除金鑰會將它移至 已毀損 狀態，這是一項「軟」刪除，在此刪除中仍然可以看到並還原金鑰 30 天。 90 天之後，金鑰將自動清除或「強迫刪除」，且其相關聯資料將永久解構並從 Key Protect 服務中移除。 如果想要在 90 天之前清除金鑰，也可以在金鑰進入 已毀損 狀態 4 小時之後，強迫刪除金鑰。
在刪除金鑰之後，金鑰所加密的任何資料都會變成無法存取，但如果在 30 天時間範圍內還原金鑰，則可以反轉此情況。 在 30 天之後，金鑰 meta 資料、登錄及原則最多可使用 90 天，此時金鑰即符合清除資格。 請注意，一旦金鑰不再可還原且已清除，則無法再存取其相關聯的資料。 因此，除非絕對必要，否則不建議將 破壞資源 用於正式作業環境。
下表列出在刪除金鑰之後，您可以在其中檢視、還原及清除金鑰的時間範圍。
| 金鑰刪除的時間 | 金鑰狀態的名稱 | 可以檢視/存取金鑰資料嗎? | 可以還原嗎? | 使用者可以起始清除嗎? |
|---|---|---|---|---|
| 一秒-四小時 | 已破壞 | 是 | 是 | 否 |
| 4 小時-30 天 | 已破壞 | 是 | 是 | 是 |
| 30-90 天 | 已破壞 | 是 | 否 | 是 |
| 90 天之後 | 已清除 * |
否 | 否 | 是 |
* 附註: 因為清除的金鑰完全無法存取且在單字的一般用法中「已毀損」，所以技術上沒有「已清除」金鑰狀態。 已清除的金鑰不再存在，因此無法以某種方式「狀態」。 不過，將「已清除」視為不存在的狀態是金鑰生命週期的一部分，會很有用。
一旦鑰匙被清除，任何使用已清除鑰匙的鑰匙 ID 的 API 呼叫將導致 404 HTTP Not Found 錯誤。 如果您需要長時間保留與已清除金鑰 (金鑰 meta 資料、登錄、原則等) 相關的任何資料，建議您執行必要的 API 或 CLI 呼叫，以在您自己的儲存裝置中擷取並儲存該資料。
刪除及清除金鑰之前的考量
Key Protect 會封鎖刪除主動保護任何已登錄雲端資源的任何金鑰。 在刪除金鑰之前:
- 查看與此金鑰關聯的已註冊IBM Cloud資源。 必要的話，您可以 在金鑰上強制刪除，以保護已登錄的雲端資源。 不過，如果金鑰的關聯資源由於 保留原則 而不可刪除，則動作不會成功，該原則是在客戶相關雲端資源上設定的「寫入一次讀取多次 (WORM)」原則。
- 檢查金鑰的 登錄詳細資料
preventKeyDeletion欄位，以驗證金鑰是否具有保留原則。 然後，您必須聯絡 IBM Cloud支援人員 刪除與該金鑰關聯的每個資源的保留策略，然後才能刪除該金鑰。 - 請驗證金鑰的刪除授權原則。 依預設，Key Protect 中的金鑰只需要由具有 管理員 角色的使用者進行單一刪除授權。不過，如果已設定 雙重授權原則，兩個具有 管理員 角色的使用者必須核准刪除。
Key Protect 限制具有 KeyPurge 角色 的使用者僅能在四小時後清除金鑰，這必須特別為使用者設定，因為預設並未啟用，即使是實體擁有者也是如此。 此能力受到嚴格限制，因為無法還原已清除的金鑰。 如果有任何疑問，金鑰在刪除後四小時是否應該清除，請 不要清除。
API 範例
在使用此範例之前，請先參閱與 API 參考資料 相關聯的必要條件及配置設定。
curl -X DELETE
https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/purge
-H 'accept: application/vnd.ibm.kms.key+json'
-H 'authorization: Bearer <IAM_token>'
-H 'bluemix-instance: <instance_ID>'
根據下表取代範例要求中的變數。
| 變數 | 說明 |
|---|---|
| 區域 | 需要。 區域縮寫，例如 us-south 或 eu-gb，代表您的 Key Protect 實例所在的地理區域。 如需相關資訊，請參閱地區服務端點。 |
| keyID_or_alias | 需要。 您要清除的金鑰的唯一識別碼或別名。 |
| IAM_token | 需要。 您的 IBM Cloud 存取記號。 在 curl 請求中包含 IAM 令牌的完整內容，包括 Bearer 值。 如需詳細資訊，請參閱 擷取存取權標。 |
| instance_id | 需要。 指派給您 Key Protect 服務實例的唯一 ID。 如需詳細資訊，請參閱 擷取實體 ID。 |
有關請求的詳細說明，請參閱 Key Protect REST API 參考文件。
下一步
若要瞭解如何使用使用者介面來刪除及清除金鑰，請參閱 使用單一授權來刪除金鑰。 如需如何使用 API 來執行此動作的相關資訊，請按一下主題開頭的 API 標籤。
若要瞭解如何使用使用者介面來刪除及清除保留雙重授權刪除原則的金鑰，請參閱 使用雙重授權刪除金鑰。 如需如何使用 API 來執行此動作的相關資訊，請按一下主題開頭的 API 標籤。