Geheime Schlüssel nach Namen identifizieren

Wenn Sie die Secrets Manager-Toolintegration konfigurieren, um geheime Schlüssel nach Namen zu identifizieren, kann Ihre Toolchain auf die folgenden Typen von geheimen Schlüsseln zugreifen:

• Geheime Schlüssel für IAM-Berechtigungsnachweise ( Identity and Access Management ).
• Beliebige geheime Schlüssel, die in Secrets Managergespeichert sind
• Geheime Schlüssel/Wert-Schlüssel

Verweise auf Geheimnisse nach Namen sind derzeit nicht in der Lage, ein Geheimnis aufzulösen, das das Zeichen "Punkt" im Namen des Geheimnisses enthält, da dieses Zeichen verwendet wird, um jeden Abschnitt des kanonischen Pfades abzugrenzen.

Weitere Informationen zu geheimen IAM-Berechtigungsnachweisen, beliebigen geheimen Schlüsseln und geheimen Schlüsselwerten in Secrets Managerfinden Sie unter Mit geheimen Schlüsseln unterschiedlichen Typs arbeiten.

Konfigurieren Sie Secrets Manager für die sichere Verwaltung der geheimen Schlüssel, die Teil Ihrer Toolchain sind:

1. Wenn Sie diese Toolintegration konfigurieren, während Sie die Toolchain erstellen, klicken Sie im Abschnitt mit den konfigurierbaren Integrationen auf Secrets Manager. Wenn Secrets Manager als optionale Toolintegration definiert ist, befindet diese sich unter Weitere Tools. Wählen Sie diese Instanz anhand des Serviceinstanznamens aus. Um eine Berechtigung zwischen der Toolchain und der Serviceinstanz von Secrets Manager zu erstellen, wählen Sie in der Dropdown-Liste Berechtigungstyp die Option Berechtigung für diese Toolchain erstellen aus. Dadurch erhält die Toolchain Zugriff auf das geheime Material, das in der Secrets Manager-Serviceinstanz gespeichert ist.

2. Wenn Sie über eine Toolchain verfügen und diese Tool-Integration hinzufügen möchten, klicken Sie in der IBM Cloud-Konsole auf das Menü-Symbol ( ) > Platform Automation > Toolchains. Klicken Sie auf der Seite 'Toolchains' auf die Toolchain, um die zugehörige Übersichtsseite zu öffnen. Alternativ dazu können Sie auf der Übersichtsseite Ihrer App auf der Continuous Delivery-Karte auf Toolchain anzeigen klicken. Klicken Sie anschließend auf Übersicht.

   a. Klicken Sie auf Tool hinzufügen.

   b. Klicken Sie im Abschnitt mit den Toolintegrationen auf Secrets Manager.

3. Geben Sie einen Namen für diese Instanz der Secrets Manager-Toolintegration an, der in der Toolchain verwendet werden soll. Der angegebene Name wird in den Benutzerschnittstellentools verwendet, die geheime Schlüssel von Secrets Manager auswählen. Darüber hinaus wird er als Teil der Referenz verwendet, mit der bei der Ausführung der Toolchain die Werte des geheimen Schlüssels aufgelöst werden. Dieser Instanzname wird auch auf der Kachel der Secrets Manager-Toolintegration im Toolchain-Arbeitsbereich angezeigt.

4. Wählen Sie diese Instanz anhand des Serviceinstanznamens aus.

5. Überprüfen Sie die Standardwerte für Region und Ressourcengruppe und aktualisieren Sie sie bei Bedarf.

6. Wählen Sie die Instanz des Secrets Manager-Service aus, die verwendet werden soll.

7. Um eine Berechtigung zwischen der Toolchain und der Serviceinstanz von Secrets Manager zu erstellen, klicken Sie auf die Schaltfläche Berechtigung erstellen. Dadurch erhält die Toolchain Zugriff auf das geheime Material, das in der Secrets Manager-Serviceinstanz gespeichert ist.

8. Klicken Sie auf Integration erstellen.

Geheime Schlüssel anwenden

Nach der Konfiguration der Secrets Manager-Toolintegration können Sie diese verwenden, um geheime Schlüssel überall dort anzuwenden, wo sie für die Toolchain erforderlich sind. Diese Toolintegration und das Dialogfenster 'Geheime Schlüssel' unterstützen sowohl den Typ 'Beliebige' als auch den Typ 'Geheime Schlüssel' für IAM-Berechtigungsnachweise.

Sie können beliebige geheime Schlüssel verwenden, um einen beliebigen vordefinierten Wert für geheime Schlüssel zu speichern oder um IBM Cloud-API-Schlüssel dynamisch zu speichern, indem Sie das Dialogfenster 'Geheime Schlüssel' verwenden. Sie müssen geheime Schlüssel für IAM-Berechtigungsnachweise direkt in Ihrer Secrets Manager-Serviceinstanz erstellen. Nachdem Sie diese geheimen Schlüssel erstellt haben, können Sie geheime IAM-Berechtigungsnachweise auswählen, um sie in Ihrer Toolchain zu verwenden, indem Sie das Dialogfeld 'Geheime Schlüssel' in einem beliebigen sicheren Feld verwenden. Im Dialogfenster 'Secrets' (Geheime Schlüssel) werden sowohl der Typ des geheimen Schlüssels als auch der Typ des geheimen Schlüssels für IAM-Berechtigungsnachweise angezeigt, wobei der Typ des geheimen Schlüssels an den Namen des geheimen Schlüssels in eckigen Klammern angehängt wird.

Beliebige geheime Schlüssel verwenden, die in Secrets Manager gespeichert sind

Geheime Schlüssel anderer Anbieter, z. B. ein Slack-Webhook oder ein Artifactory-API-Token, müssen in Secrets Manager gespeichert werden, bevor eine neue Toolchain erstellt wird. Sie können IBMverwaltete geheime Schlüssel, wie z. B. IBM Cloud API-Schlüssel, in Secrets Managerals beliebige geheime Schlüssel speichern, wenn Sie mit Ihrer Toolchain arbeiten, indem Sie den Dialog für geheime Schlüssel verwenden. Sie müssen jedoch geheime Schlüssel für IAM-Berechtigungsnachweise direkt in Secrets Manager hinzufügen, bevor Sie diese Typen von geheimen Schlüsseln in Ihrer Toolchain über das Dialogfeld 'Geheime Schlüssel' auswählen.

Im folgenden Beispiel wird ein beliebiger Typ geheimer Schlüssel, der in Secrets Manager gespeichert ist, auf einen IBM Cloud-API-Schlüssel angewendet, der für die Integration des Tools Delivery Pipeline erforderlich ist. Sie können dieselben Schritte ausführen, um geheime Schlüssel für beliebige Continuous Delivery-Toolintegrationen anzuwenden, für die Werte geheimer Schlüssel erforderlich sind.

1. Klicken Sie auf das Schlüsselsymbol, um geheime Schlüssel aus geschützten Speichern wie Secrets Manager für den IBM Cloud-API-Schlüssel abzurufen.

2. Geben Sie im Feld Provider den Provider und den Namen der Secrets Manager-Toolintegration für die Verwaltung der geheimen Schlüssel Ihrer Toolchain an. Wählen Sie beispielsweise zur Verwendung der Secrets Manager-Toolintegration Secrets Manager: ibm-secrets-manager-1 aus. Sie können andere Provider zur Verwaltung der geheimen Schlüssel Ihrer Toolchain verwenden, z. B. Hashicorp Vault und Key Protect.

3. Wählen Sie eine Gruppe geheimer Schlüssel und den Namen eines geheimen Schlüssels aus und klicken Sie auf OK, um den gespeicherten geheimen Schlüssel für das Feld anzuwenden, das diesem zugeordnet ist.

   

   Der ausgewählte Name des geheimen Schlüssels wird im Kapselformat angezeigt. Sie können den Namen des geheimen Schlüssels nicht inline bearbeiten, aber Sie können auf das klicken, um den Namen zu löschen. Sie können auch den Namen des vorhandenen geheimen Schlüssels ersetzen, indem Sie ihn erneut auswählen. Wenn Sie den Namen eines geheimen Schlüssels manuell in das entsprechende Feld eingeben oder einfügen, wird er in einem anderen Format angezeigt:

   

   Das Format, in dem das Geheimnis angezeigt wird, gibt an, ob sich der Wert auf ein Geheimnis bezieht, das in einem Backend-Vault gespeichert ist, oder auf ein Geheimnis, das in Ihrer Toolchain gespeichert ist. Wenn Sie Referenzen auf geheime Schlüssel verwenden, die von Providern geheimer Schlüssel, wie z. B. Secrets Manager, verwaltet werden, werden die Werte für Ihre geheimen Schlüssel sicher an einer zentralen Stelle gespeichert. Mit dieser Methode wird die dezentrale Verteilung und Verbreitung von geheimen Schlüsseln vermieden und Sie können geheime Schlüssel aktualisieren, ohne dass die Toolchain aktualisiert werden muss. Wenn Sie Referenzen für geheime Schlüssel verwenden, wird der tatsächliche Wert des geheimen Schlüssels während der Ausführung der Toolchain aufgelöst, indem er dynamisch aus Secrets Manager abgerufen wird. Diese Methode ist nützlich, wenn eine regelmäßige Rotation der Werte für die geheimen Schlüssel Ihrer Toolchain erforderlich ist.

Geheime IAM-Berechtigungsnachweise verwenden

Der Typ des geheimen Schlüssels für IAM-Berechtigungsnachweise ist vollständig in IAM integriert. Secrets Manager verwaltet dynamische Service-IDs und API-Schlüssel, die einem geheimen Schlüssel für IAM-Berechtigungsnachweise zugeordnet sind, automatisch. Continuous Delivery-und Secrets Manager-Service-APIs lösen Referenzen auf geheime IAM-Berechtigungsnachweise in Continuous Delivery-Toolchains und Pipeline-Workloads auf.

Wenn Sie ein IAM-Anmeldedatengeheimnis in Secrets Manager erstellen, stellen Sie sicher, dass Sie das Kontrollkästchen IAM-Anmeldedaten wiederverwenden, bis der Vertrag abläuft aktivieren. Geben Sie außerdem eine Leasingdauer von mindestens 12 Stunden an, wenn Sie Ihre Pipeline mit öffentlichen Worker-Agenten ausführen. Wenn Sie private Bearbeiteragenten verwenden, stellen Sie sicher, dass Sie eine Mindestmietdauer für die erzwungene Abbruchdauer für eine Pipeline festlegen. Es wird empfohlen, diese Einstellungen mit Ihrem Kontoadministrator zu bestätigen. Durch Festlegen der Wiederverwendungsoption und einer angemessenen Zugangsberechtigungsdauer können Sie sicherstellen, dass der dynamisch verwaltete Service-ID-API-Schlüssel für IAM-Berechtigungsnachweise während Ihrer Pipelineausführung bestehen bleibt.

Durch Ausführen der Aktion 'Rotieren' für IAM-Berechtigungsnachweise über das Secrets Manager-Dashboard können Sie die Konformitätsanforderungen für API-Schlüsselrotationen verwalten, die von Ihren Continuous Delivery-Pipelines verwendet werden. Secrets Manager generiert mit IAM einen neuen API-Schlüssel für einen geheimen IAM-Berechtigungsnachweisschlüssel und verwaltet die Versionssteuerung des geheimen Schlüssels.

Der Typ des geheimen Schlüssels für IAM-Berechtigungsnachweise unterstützt auch die Kontinuität des Service während und nach der Rotation geheimer Schlüssel:

• Neue Continuous Delivery-Pipeline-Workloads verwenden den neu rotierten API-Schlüssel, bis seine Leasingdauer abläuft.
• Vorhandene Continuous Delivery-Pipeline-Workloads, die mit dem API-Schlüssel ausgeführt werden, der vor der Rotation ausgegeben wurde, können weiterhin mit der Vorgängerversion ausgeführt werden, bis die Zugangsberechtigungsdauer der Vorgängerversion abläuft.

Weitere Informationen zum Typ des geheimen Schlüssels für IAM-Berechtigungsnachweise in Secrets Managerfinden Sie unter IAM-Berechtigungsnachweise erstellen.

Geheime Schlüssel/Wert-Schlüssel verwenden

Sie können die geheimen Schlüssel/Wert-Schlüssel für die Verwendung in Ihrer Toolchain auswählen, indem Sie im Dialog 'Geheime Schlüssel' einen einzelnen Schlüssel auswählen. Alternativ können Sie den geheimen Schlüssel vollständig auswählen.

1. Klicken Sie auf das Schlüsselsymbol, um geheime Schlüssel aus geschützten Speichern wie Secrets Manager für den IBM Cloud-API-Schlüssel abzurufen.

2. Geben Sie im Feld Provider den Provider und den Namen der Secrets Manager-Toolintegration für die Verwaltung der geheimen Schlüssel Ihrer Toolchain an. Wählen Sie beispielsweise zur Verwendung der Secrets Manager-Toolintegration Secrets Manager: ibm-secrets-manager-1 aus. Sie können andere Provider zur Verwaltung der geheimen Schlüssel Ihrer Toolchain verwenden, z. B. Hashicorp Vault und Key Protect.

3. Wählen Sie eine Geheimnisgruppe und einen Geheimnispfad aus, um das gespeicherte Geheimnis auf das damit verknüpfte Feld anzuwenden. Optional: Wählen Sie einen geheimen Schlüssel aus. Klicken Sie auf OK. Der ausgewählte Name des geheimen Schlüssels wird im Kapselformat angezeigt. Sie können den Namen des Geheimnisses nicht direkt bearbeiten, aber Sie können auf klicken, um den Namen zu löschen. Sie können auch den Namen des vorhandenen geheimen Schlüssels ersetzen, indem Sie ihn erneut auswählen. Wenn Sie einen Geheimniscode manuell in das Feld Secrets eingeben oder einfügen, wird er in einem anderen Format angezeigt.

  sm-compliance-secrets:
    service_id: secretsmanager
    parameters:
      name: sm-compliance-secrets
      instance-id-type: instance-name
      region: us-south
      resource-group: default
      instance-name: ffs-secrets
      setup-authorization-type: create

Geheime Schlüssel nach CRN ermitteln

Wenn Sie die Secrets Manager-Toolintegration konfigurieren, um geheime Schlüssel nach CRN zu identifizieren, kann Ihre Toolchain auf beliebige geheime Schlüssel/Wert-Schlüssel und geheime IAM-Berechtigungsnachweisschlüssel zugreifen, die in Secrets Managergespeichert sind. Weitere Informationen zu den verschiedenen Typen von geheimen Schlüsseln in Secrets Managerfinden Sie unter Mit geheimen Schlüsseln unterschiedlichen Typs arbeiten. Sie können nur vollständige geheime Schlüssel/Wert-Schlüssel für geheime CRN-Schlüssel verwenden, nicht einzelne Schlüssel.

Konfigurieren Sie Secrets Manager für die sichere Verwaltung der geheimen Schlüssel, die Teil Ihrer Toolchain sind:

1. Wenn Sie diese Toolintegration konfigurieren, während Sie die Toolchain erstellen, klicken Sie im Abschnitt mit den konfigurierbaren Integrationen auf Secrets Manager. Wenn Secrets Manager als optionale Toolintegration definiert ist, befindet diese sich unter Weitere Tools. Wählen Sie diese Instanz durch den CRN der Serviceinstanz aus. Um eine Berechtigung zwischen der Toolchain und der Serviceinstanz von Secrets Manager zu erstellen, wählen Sie in der Dropdown-Liste Berechtigungstyp die Option Berechtigung für diese Toolchain erstellen aus. Dadurch erhält die Toolchain Zugriff auf das geheime Material, das in der Secrets Manager-Serviceinstanz gespeichert ist.

2. Wenn Sie über eine Toolchain verfügen und diese Tool-Integration hinzufügen möchten, klicken Sie in der IBM Cloud-Konsole auf das Menü-Symbol ( ) > Platform Automation > Toolchains. Klicken Sie auf der Seite 'Toolchains' auf die Toolchain, um die zugehörige Übersichtsseite zu öffnen. Alternativ dazu können Sie auf der Übersichtsseite Ihrer App auf der Continuous Delivery-Karte auf Toolchain anzeigen klicken. Klicken Sie anschließend auf Übersicht.

   a. Klicken Sie auf Tool hinzufügen.

   b. Klicken Sie im Abschnitt mit den Toolintegrationen auf Secrets Manager.

3. Geben Sie einen Namen für diese Instanz der Secrets Manager-Toolintegration an, der in der Toolchain verwendet werden soll.

4. Wählen Sie diese Instanz durch den CRN der Serviceinstanz aus.

5. Geben Sie den CRN der Secrets Manager-Serviceinstanz an, in der Ihre geheimen Schlüssel gespeichert sind. Diese Serviceinstanz kann in einem anderen Konto vorhanden sein, wenn Ihre Toolchain für den Zugriff auf geheime Schlüssel in diesem Konto berechtigt ist.

6. Um eine Berechtigung zwischen der Toolchain und der Serviceinstanz von Secrets Manager zu erstellen, klicken Sie auf die Schaltfläche Berechtigung erstellen. Dadurch erhält die Toolchain Zugriff auf das geheime Material, das in der Secrets Manager-Serviceinstanz gespeichert ist.

7. Klicken Sie auf Integration erstellen.

Toolchain für den Zugriff auf geheime Schlüssel autorisieren

Referenzen für geheime Schlüssel, die in Secrets Manager gespeichert sind, werden bei der Ausführung der Toolchain dynamisch aufgelöst. Für den Zugriff auf die erforderlichen geheimen Schlüssel müssen Sie Ihre Toolchain autorisieren, auf die Secrets Manager-Instanz zuzugreifen. Wenn Sie eine Toolchain aus einer Vorlage erstellen, verwenden Sie die Dropdown-Liste Berechtigungstyp bei der Konfiguration der Secrets Manager-Integration. Wenn Sie eine Secrets Manager-Integration zu einer vorhandenen Toolchain hinzufügen, verwenden Sie die Schaltfläche Berechtigung erstellen.

Führen Sie die folgenden Schritte aus, um Ihre Autorisierungen in IBM Cloud anzuzeigen:

1. Klicken Sie in der IBM Cloud-Konsole auf Verwalten > Zugriff (IAM).

2. Klicken Sie auf Autorisierungen.

   Sie können Ihre Berechtigungen auch auf der Seite Berechtigungen verwalten einsehen.

   Sie können die Autorisierung manuell erstellen, falls erforderlich. Zur erfolgreichen Auflösung der Referenzen für geheime Schlüssel benötigt die Toolchain-Instanz sowohl die Zugriffsberechtigung eines Anzeigeberechtigten (Viewer) als auch die Zugriffsberechtigung eines Lesesberechtigten für geheime Schlüssel (SecretsReader) für die korrekte Secrets Manager-Serviceinstanz.

   Wenn Secrets Manager Tool-Integrationen, die Geheimnisse durch CRN identifizieren, für den Zugriff auf Geheimnisse in einem anderen Konto konfiguriert sind, müssen Sie die Berechtigung in dem Konto erstellen, in dem die Secrets Manager Service-Instanz existiert.

Secrets Manager über die API konfigurieren

Die Secrets Manager Werkzeugintegration unterstützt die folgenden Konfigurationsparameter, die Sie mit der Toolchain HTTP API und den SDKs verwenden können, wenn Sie Werkzeugintegrationen erstellen, lesen und aktualisieren.

Sie müssen die Eigenschaft tool_type_id im Anforderungshauptteil mit dem Wert secretsmanager angeben.

Weitere Informationen zu Secrets Manager

Weitere Informationen zu Secrets Managerfinden Sie unter Einführung in Secrets Manager.