Erteilung einer Serviceberechtigung in der Benutzeroberfläche

Autorisieren Sie Key Protect für die Verwendung mit Cloud Databases-Bereitstellungen:

1. Öffnen Sie das IBM Cloud-Dashboard.
2. Klicken Sie in der Menüleiste auf Verwalten-> Zugriff (IAM).
3. Klicken Sie in der Seitennavigation auf Autorisierungen.
4. Klicken Sie auf Erstellen.
5. Wählen Sie im Menü Quellenservice den Service der Implementierung aus. Zum Beispiel: Databases for PostgreSQL oder Databases for MongoDB.
6. Wählen Sie im Menü Ressourcen des Source-Dienstes die Option Alle Ressourcen aus.
7. Wählen Sie im Menü Zielservice die Option Key Protect aus.
8. Wählen Sie Account als Ressourcengruppe für den Ziel-Service aus oder behalten Sie den Standardwert bei
9. Wählen Sie im Menü für die Instanz-ID des Zielservice die Serviceinstanzen aus, die autorisiert werden sollen.
10. Aktivieren Sie die Rolle Leseberechtigter.
11. Um Bring your own key (BYOK) zu verwenden, aktivieren Sie das Kontrollkästchen Autorisierungen delegieren im Abschnitt Abhängige Dienste autorisieren.
12. Klicken Sie auf Autorisieren.

Wenn die Serviceautorisierung nicht vorhanden ist, bevor Ihre Bereitstellung mit einem Schlüssel eingerichtet wird, schlägt die Einrichtung fehl.

Wenn Sie eine strengere Autorisierungsrichtlinie festlegen möchten, konfigurieren Sie Ihre Richtlinie für eine explizite CRN des Stammschlüssels oder für eine bestimmte „ Key Protect “-Instanz. Die für „ Key Protect “-Schlüsselanhänger geltenden Einschränkungen werden derzeit nicht unterstützt.

Erteilung einer Serviceberechtigung in der CLI

1. Erstellen Sie eine Autorisierungsrichtlinie, um dem Dienst „ Cloud Databases “ den Zugriff auf die Instanz des Dienstes „ Key Protect “ über die CLI zu ermöglichen. Eine vollständige Übersicht über die Argumente finden Sie in der IAM-CLI-Referenz.

ibmcloud iam authorization-policy-create <SERVICE-NAME> kms "Reader,AuthorizationDelegator"

Wenn die Serviceautorisierung nicht vorhanden ist, bevor Ihre Bereitstellung mit einem Schlüssel eingerichtet wird, schlägt die Einrichtung fehl.

Wenn Sie eine strengere Autorisierungsrichtlinie festlegen möchten, konfigurieren Sie Ihre Richtlinie für eine explizite CRN des Stammschlüssels oder für eine bestimmte „ Key Protect “-Instanz. Die für „ Key Protect “-Schlüsselanhänger geltenden Einschränkungen werden derzeit nicht unterstützt.

Erteilung einer Service-Autorisierung über die REST-API

1. Erstellen Sie eine Autorisierungsrichtlinie, um dem Cloud Databases-Dienst den Zugriff auf die Instanz des Key Protect-Dienstes über die IAM-REST-API zu ermöglichen.

Eine vollständige API-Referenz finden Sie in der IAM Policy Management API.

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
      {
          "attributes": [
              {
                  "name": "accountId",
                  "value": "CUSTOMER_ACCOUNT_ID"
              },
              {
                  "name": "serviceName",
                  "value": "<SERVICE-NAME>"
              }
          ]
      }
  ],
  "roles": [
      {
        "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Reader"
      },
      {
        "role_id": "crn:v1:bluemix:public:iam::::role:AuthorizationDelegator"
      }
    ],
    "resources": [
        {
            "attributes": [
                {
                    "name": "accountId",
                    "operator": "stringEquals",
                    "value": "CUSTOMER_ACCOUNT_ID"
                },
                {
                    "name": "serviceName",
                    "operator": "stringEquals",
                    "value": "kms"
                }
            ]
        }
    ]
}'

Wenn die Serviceautorisierung nicht vorhanden ist, bevor Ihre Bereitstellung mit einem Schlüssel eingerichtet wird, schlägt die Einrichtung fehl.

Wenn Sie eine strengere Autorisierungsrichtlinie festlegen möchten, konfigurieren Sie Ihre Richtlinie für eine explizite CRN des Stammschlüssels oder für eine bestimmte „ Key Protect “-Instanz. Die für „ Key Protect “-Schlüsselanhänger geltenden Einschränkungen werden derzeit nicht unterstützt.

Verwendung des Schlüssels „ Key Protect “ in der Benutzeroberfläche bei der Bereitstellung

Wenn Sie die Bereitstellung über die Katalogseite vornehmen, wählen Sie die Instanz Key Protect und den Schlüssel aus dem Dropdown-Menü aus.

Verwendung des Schlüssels „ Key Protect “ in der CLI bei der Bereitstellung

Verwenden Sie in der CLI den Parameter „ dataservices.encryption.disk “ im JSON-Objekt „parameters“, um Ihrer Service-Instanz eine Root-Key-CRN zuzuweisen.

ibmcloud resource service-instance-create <INSTANCE-NAME> <SERVICE-NAME> <PLAN-NAME> REGION -p '{"dataservices":{"encryption":{"disk":"KMS_KEY_CRN"}}}'

Der Schlüssel „ Key Protect “ muss anhand seiner vollständigen CRN identifiziert werden, nicht nur anhand seiner ID. Ein CRN- Key Protect t im Format crn:v1:<...>:key:<id>.

Verwendung des Schlüssels „ Key Protect “ in der API bei der Bereitstellung

Verwenden Sie in der API den Parameter dataservices.encryption.disk im Hauptteil der Anfrage.

  curl -X POST https://resource-controller.cloud.ibm.com/v2/resource_instances -H "Authorization: Bearer <IAM token>" -H 'Content-Type: application/json' -d '{
    "name": "<INSTANCE-NAME>",
    "target": "ca-mon",
    "resource_group": "<A RESOURCE GROUP GUID>",
    "resource_plan_id": "<A PLAN ID>",
    "parameters": {
      "dataservices": {
          "encryption": {
            "disk": "KMS_KEY_CRN"
          }
      }
    }

Der Schlüssel „ Key Protect “ muss anhand seiner vollständigen CRN identifiziert werden, nicht nur anhand seiner ID. Ein CRN- Key Protect t im Format crn:v1:<...>:key:<id>.