Aplicando segredos

Depois que a sua integração de ferramentas do Key Protect estiver configurada, será possível usá-la para aplicar segredos em qualquer lugar que eles sejam requeridos pela cadeia de ferramentas. O exemplo a seguir aplica um segredo que é armazenado no Key Protect para uma chave de API daIBM Cloud que é requerida pela integração de ferramenta de pipeline. É possível seguir as mesmas etapas para aplicar segredos a qualquer uma das integrações de ferramenta do Continuous Delivery que requerem valores de segredo.

Deve-se salvar segredos de terceiros, como um webhook do Slack ou um token da API do Artifactory, no Key Protect antes de criar uma nova cadeia de ferramentas. É possível criar e armazenar somente segredos gerenciados pela IBM, como as chaves de API da IBM Cloud no Key Protect enquanto trabalha com a sua cadeia de ferramentas.

1. Clique no ícone de chave para recuperar segredos de armazenamentos seguros, tais como o Key Protect para a chave de API da IBM Cloud.

2. No campo Provedor, especifique o provedor e o nome da integração de ferramenta do Key Protect usado para gerenciar os seus segredos da cadeia de ferramentas. Por exemplo, para usar a integração da ferramenta do Key Protect, selecione Key Project: ibm-keyprotect-secrets-1. É possível usar outros provedores para gerenciar seus segredos da cadeia de ferramentas, tal como o Hashicorp Vault.

3. Selecione um nome do segredo e clique em OK para aplicar o segredo armazenado no campo que está associado a ele.

O nome do segredo selecionado aparece em forma de cápsula. Não é possível editar o nome do segredo de maneira sequencial, mas é possível clicar em para excluir o nome. Também é possível substituir o nome do segredo usando o controle Selecionador de segredos novamente. Se você digitar manualmente ou colar um nome do segredo no campo Segredos, ele será exibido em um formato diferente:

O formato em que o segredo é exibido indica se o valor referencia um segredo que é armazenado em uma área segura de back-end ou é um segredo que está armazenado em sua cadeia de ferramentas. Ao usar referências a segredos que são gerenciados por provedores de segredo como o Key Protect, seus valores de segredo são centralizados e armazenados de forma segura em um único local. Esta abordagem resolve a expansão e a proliferação de segredos e significa que é possível atualizar os segredos sem atualizar a sua cadeia de ferramentas. Quando você usa referências de segredo, o valor de segredo real é resolvido quando a cadeia de ferramentas é executada, recuperando-a dinamicamente do Key Protect. Esta abordagem é útil quando deve-se girar o valor de seus segredos da cadeia de ferramentas periodicamente.

Incluindo uma integração de ferramenta do Key Protect em seu modelo de cadeia de ferramentas

É possível incluir uma integração de ferramenta do Key Protect em seu modelo de cadeia de ferramentas incluindo uma definição de serviço no arquivo toolchain.yml em seu repositório de modelo. Este arquivo é o blueprint de design para a sua cadeia de ferramentas e inclui todas as integrações de ferramenta que estão disponíveis quando você cria uma instância da cadeia de ferramentas com base nesse modelo. Para customizar um modelo de cadeia de ferramentas existente para incluir uma integração de ferramenta do Key Protect, insira uma definição do YAML.

  kp-tool:
    service_id: keyprotect
    parameters:
      name: kp-compliance-secrets
      region: us-south
      resource-group: default
      instance-name: ffs-secrets
      setup-authorization-type: create

Em determinados cenários, é possível incluir uma integração de ferramenta do Key Protect dinamicamente enquanto cria uma cadeia de ferramentas. Por exemplo, se você clicar em Novo para criar uma nova chave de API, será possível selecionar a caixa de seleção Salvar esta chave em um armazenamento de segredos para reutilização para salvar a chave de API em uma instância do Key Protect para usá-la novamente mais tarde. Se você ainda não tiver uma instância do Key Protect, uma nova instância será criada.

Autorizando a sua cadeia de ferramentas a acessar segredos

As referências a segredos que estão armazenados no Key Protect são resolvidas dinamicamente quando a cadeia de ferramentas é executada. Para acessar os segredos necessários, deve-se autorizar a sua cadeia de ferramentas a acessar a instância do Key Protect. Se você estiver criando uma cadeia de ferramentas a partir de um modelo, use o menu suspenso Tipo de autorização ao configurar a integração do Key Protect Se você estiver incluindo uma integração do Key Protect em uma cadeia de ferramentas existente, use o botão Criar autorização

Para visualizar as suas autorizações na IBM Cloud, conclua as etapas a seguir:

1. No console do IBM Cloud, clique em Gerenciar > Acesso (IAM).
2. Clique em Autorizações.

Você também pode acessar suas autorizações na página “Gerenciar autorizações ”.

É possível criar a autorização manualmente, se necessário. Para resolver com êxito as referências secretas, a sua instância da cadeia de ferramentas deve ter acesso de Viewer e ReaderPlus à instância de serviço correta do Key Protect.

Configurando o Key Protect por meio da API

A integração da ferramenta Key Protect é compatível com os seguintes parâmetros de configuração que você pode usar com a API e os SDKs do Toolchain HTTP ao criar, ler e atualizar integrações de ferramentas.

Você deve especificar a propriedade tool_type_id no corpo da solicitação com o valor keyprotect.

Saiba mais sobre Key Protect

Para saber mais sobre o Key Protect, consulte Visão geral do serviço.