API を使用したインスタンスのバックアップ

管理APIを使用して App ID インスタンスをバックアップするには、 App ID APIにリクエストを送信し、 App ID インスタンスのセットアップ情報を含むファイルを生成するスクリプトを記述します。 これらのファイルは、2 次リージョンの App ID インスタンスをリストアする必要があるため、安全な場所に保管してください。

App ID インスタンスのセットアップに基づいて、バックアップの設定を定義します (ユース・ケースに必要な設定など)。 例えば、以下のシナリオでは、 App ID インスタンスを以下の設定で構成します。

• パスワード・ポリシー (ユーザーが 3 回連続して誤ったパスワードを入力した場合に 60 分間ユーザー・プロファイルをロックするなど)
• SAML 構成

管理 API を使用してこれらのユーザー設定を取得するには、以下を送信します。

• エンドポイントへのGETリクエストで /management/v4/<tenantId>/config/cloud_directory/advanced_password_management エンドポイントに GET リクエストを行い、高度なパスワード管理の設定を取得します。

curl -X 'GET' \
  'https://<region>.appid.cloud.ibm.com/management/v4/<tenantId>/config/cloud_directory/advanced_password_management' \
  --header 'accept: application/json' \
  --header 'Authorization: Bearer <IAM_Token>'

• エンドポイントに GET リクエストを送る。 /management/v4/<tenantId>/config/idps/saml エンドポイントに GET リクエストして、 SAML ID プロバイダの設定を取得します。この設定には、ステータスと資格情報が含まれます。

curl -X 'GET' \
  'https://<region>.appid.cloud.ibm.com/management/v4/<tenantId>/config/idps/saml' \
  --header 'accept: application/json' \
  --header 'Authorization: Bearer <IAM_Token>'

App ID インスタンスの構成設定のバックアップを保持することに加えて、Cloud Directory ユーザーおよびユーザー・プロファイルのバックアップを生成する必要があります。 このタスクを実行するには、管理 API を使用することをお勧めします。

• クラウド・ディレクトリー・ユーザーをエクスポートするには、 cloud_directory/export/all API エンドポイントを使用します。 エクスポートをダウンロードするには、 cloud_directory/export/download API を使用します。 管理 API を使用して Cloud Directory ユーザーをエクスポートする方法について詳しくは、「 すべてのユーザーのエクスポート 」の資料を参照してください。
• ユーザー・プロファイルをエクスポートするには、 users/export エンドポイントを使用します。
• これらの 2 つのエクスポート API は 2 つのバックアップ・ファイルを生成します。これらのファイルは、後でリストア・プロセスで使用するために安全に保管する必要があります。

Terraform と API を使用したインスタンスのバックアップ

Terraform を使用して App ID 設定をバックアップするために、 App ID インスタンスのセットアップ情報を含むファイルを生成する Terraform スクリプトを作成できます。 これらのファイルは、2 次リージョンの App ID インスタンスをリストアするために使用する必要があるため、安全な場所に保管してください。

App ID インスタンスのセットアップに基づいて、バックアップの設定を定義します (ユース・ケースに必要な設定など)。 例えば、以下のシナリオでは、 App ID インスタンスを以下の設定で構成します。

• パスワード・ポリシー (ユーザーが 3 回連続して誤ったパスワードを入力した場合に 60 分間ユーザー・プロファイルをロックするなど)
• SAML 構成

以下の Terraform スクリプトを使用して、現在の構成を取得し、それをファイルに保管することができます。

terraform {
  required_providers {
    ibm = {
      source = "IBM-Cloud/ibm"
      version = ">= 1.12.0"
    }
  }
}

variable "tenant_id" {
  type = string
  default = "<<YOUR TENANT ID>>"
}

variable "region" {
  type = string
  default = "<<THE REGION YOUR TENANT IS LOCATED>>"
}

provider "ibm" {
  region = var.region
  ibmcloud_api_key = "<<API KEY TO ACCESS APP ID INSTANCE>>"
}

##### ---------- Getting the configuration from your App ID instance ---------- #####

# Get Settigs about Password's rules
data "ibm_appid_apm" "app" {
    tenant_id = var.tenant_id   
}

# Get SAML config
data "ibm_appid_idp_saml" "saml" {
    tenant_id = var.tenant_id
}

##### ---------- Saving the App ID configuration to files ---------- #####

resource "local_file" "app_config" {
    content  = jsonencode(data.ibm_appid_apm.app)
    filename = "${path.module}/backup_configurations/app_config.json"
}

resource "local_file" "saml_config" {
    content  = jsonencode(data.ibm_appid_idp_saml.saml)
    filename = "${path.module}/backup_configurations/saml_config.json"
}

前のシナリオでは、バックアップを含むファイルはローカルに保管されます。 しかし、他の保管場所に保管することもできます。 IBM Cloud Object Storage.

Cloud Directory ユーザーおよびユーザー・プロファイルのバックアップを生成するには、管理 API を使用することをお勧めします。

• クラウド・ディレクトリー・ユーザーをエクスポートするには、 cloud_directory/export/all API エンドポイントを使用します。 エクスポートをダウンロードするには、 cloud_directory/export/download API を使用します。 管理 API を使用して Cloud Directory ユーザーをエクスポートする方法について詳しくは、 すべてのユーザーのエクスポート を参照してください。
• ユーザー・プロファイルをエクスポートするには、 users/export エンドポイントを使用します。
• これらの 2 つのエクスポート API は 2 つのバックアップ・ファイルを生成します。これらのファイルは、後でリストア・プロセスで使用するために保管する必要があります。

API を使用した App ID インスタンスのリストア

最初に、2 次リージョンに App ID の新規インスタンスを手動でプロビジョンする必要があります。 その後、バックアップ・ファイルを読み取り、管理 API 要求を使用して 2 次リージョンの App ID インスタンスをセットアップすることで、 App ID 設定を復元できます。

バックアップセクションに含まれるシナリオを続けると、管理APIに以下を送信することで、 SAML 構成とパスワードポリシーをリストアできる：

• エンドポイントにPUTリクエストを送る。 /management/v4/<tenantId>/config/cloud_directory/advanced_password_management エンドポイントに PUT リクエストを送り、高度なパスワード管理設定を更新します。 バックアップに保存されているデータを HTTP リクエストボディとして渡す。

curl -X 'PUT' \
  'https://<region>.appid.cloud.ibm.com/management/v4/<tenantId>/config/cloud_directory/advanced_password_management' \
  --header 'accept: application/json' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <IAM_Token>' \
  -d '<Data_from_your_backup_file>'

• エンドポイントにPUTリクエストを送る。 /management/v4/<tenantId>/config/idps/saml エンドポイントに PUT リクエストを送り、 SAML IdP の設定を更新します。 バックアップに保存されているデータを HTTP リクエストボディとして渡す。

curl -X 'PUT' \
  'https://<region>.appid.cloud.ibm.com/management/v4/<tenantId>/config/idps/saml' \
  --header 'accept: application/json' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <IAM_Token>' \
  -d '<Data_from_your_backup_file>'

Cloud Directory ユーザーとそのプロファイル (使用可能な場合) のバックアップをリストアするには、管理 API を使用することをお勧めします。

• クラウド・ディレクトリー・ユーザーをインポートするには、 cloud_directory/import/all API エンドポイントを使用します。 管理 API を使用して Cloud Directory ユーザーをインポートする方法について詳しくは、「 すべてのユーザーのインポート 」の資料を参照してください。
• ユーザー・プロファイルをインポートするには、 users/import エンドポイントを使用します。

Terraform と API を使用した App ID インスタンスのリストア

Terraform と管理 API を組み合わせて使用して App ID インスタンスをリストアする場合、最初のステップは、2 次リージョンに App ID の新規インスタンスをプロビジョンするための Terraform スクリプトを作成することです。 その後、バックアップ・ファイルを読み取り、terraform コマンドを使用して 2 次リージョンの App ID インスタンスをセットアップすることで、 App ID 設定を復元できます。

バックアップ セクションに含まれるシナリオに引き続き、以下のスクリプトを使用して、 SAML 構成とパスワードポリシーを復元できます：

terraform {
  required_providers {
    ibm = {
      source = "IBM-Cloud/ibm"
      version = ">= 1.12.0"
    }
  }
}

variable "backup_region" {
  type = string
  default = "<<REGION WHERE TO CREATE THE NEW APPID INSTANCE>>"
}

variable "backup_appid_instance_name" {
  type = string
  default = "<<THE NAME OF THE NEW APPID INSTANCE>>"
}

provider "ibm" {
  region = var.backup_region
  ibmcloud_api_key = "<<API KEY TO ACCESS APP ID INSTANCE>>"
}

##### ---------- Creating an AppID instance in a secondary location ---------- #####

data "ibm_resource_group" "group" {
  name = "Default"
}

resource "ibm_resource_instance" "backup_appid_instance" {
  name              = var.backup_appid_instance_name
  service           = "appid"
  plan              = "graduated-tier"
  location          = var.backup_region
  resource_group_id = data.ibm_resource_group.group.id
  tags              = ["backup_instance", "backup_of_appid_from_primary_region"]
}

##### ---------- Getting the configuration from the local backups ---------- #####

locals {
	app_config = jsondecode(file("${path.module}/backup_configurations/app_config.json"))
	saml_config = jsondecode(file("${path.module}/backup_configurations/saml_config.json"))
}


##### ---------- Restoring the App ID configuration into the new App ID instance ---------- #####


# Setting SAML config in the new App ID Instance
resource "ibm_appid_idp_saml" "saml" {
  tenant_id = resource.ibm_resource_instance.backup_appid_instance.guid
  is_active = local.saml_config.is_active
  config {
    entity_id = local.saml_config.config[0].entity_id
    sign_in_url = local.saml_config.config[0].sign_in_url
    display_name = local.saml_config.config[0].display_name
    encrypt_response = local.saml_config.config[0].encrypt_response
    sign_request = local.saml_config.config[0].sign_request
    certificates = [local.saml_config.config[0].certificates[0]]
  }
}

# Setting password policies config in the new App ID Instance
resource "ibm_appid_apm" "apm" {
  tenant_id = resource.ibm_resource_instance.backup_appid_instance.guid
  enabled = local.app_config.enabled
  prevent_password_with_username = local.app_config.prevent_password_with_username

  password_reuse {
    enabled = local.app_config.password_reuse[0].enabled
    max_password_reuse = local.app_config.password_reuse[0].max_password_reuse
  }

  password_expiration {
    enabled = local.app_config.password_expiration[0].enabled
    days_to_expire = local.app_config.password_expiration[0].days_to_expire
  }

  lockout_policy {
    enabled = local.app_config.lockout_policy[0].enabled
    lockout_time_sec = local.app_config.lockout_policy[0].lockout_time_sec
    num_of_attempts = local.app_config.lockout_policy[0].num_of_attempts
  }

  min_password_change_interval {
    enabled = local.app_config.min_password_change_interval[0].enabled
    min_hours_to_change_password = local.app_config.min_password_change_interval[0].min_hours_to_change_password
  }
}

クラウド・ディレクトリーのユーザーおよびユーザー・プロファイルを復元するには、管理 API を使用することをお勧めします。

• クラウド・ディレクトリー・ユーザーをインポートするには、 cloud_directory/import/all API エンドポイントを使用します。 管理 API を使用して Cloud Directory ユーザーをインポートする方法について詳しくは、 すべてのユーザーのインポート を参照してください。
• ユーザー・プロファイルをインポートするには、 users/import エンドポイントを使用します。