Conceder autorización de servicio en la interfaz de usuario

Autorice el uso de Key Protect con despliegues de Cloud Databases:

1. Abra el panel de control de IBM Cloud.
2. En la barra de menú, haz clic en Gestionar-> Acceso (IAM).
3. En el panel de navegación lateral, pulse Autorizaciones.
4. Pulse Crear.
5. En el menú Servicio de origen, seleccione el servicio del despliegue. Por ejemplo, Databases for PostgreSQL o Databases for MongoDB.
6. En el menú de recursos del servicio Source, selecciona Todos los recursos.
7. En el menú Servicio de destino, seleccione Key Protect.
8. Selecciona o mantén el valor predeterminado Cuenta como grupo de recursos para el servicio de destino.
9. En el menú ID de instancia del servicio de destino, seleccione las instancias de servicio que desea autorizar.
10. Habilite el rol Lector.
11. Para utilizar Trae tu propia clave (BYOK), marca la casilla Habilitar autorizaciones delegadas en la sección Autorizar servicios dependientes.
12. Pulse Autorizar.

Si la autorización de servicio no está presente antes de suministrar su despliegue con una clave, el suministro falla.

Si deseas establecer una política de autorización más restrictiva, configura tu política para un CRN de clave raíz explícito o para una instancia específica de Key Protect. Actualmente no se admiten las restricciones aplicadas a los llaveros « Key Protect ».

Conceder autorización de servicio en la CLI

1. Crea una política de autorización para permitir que el servicio Cloud Databases acceda a la instancia del servicio Key Protect en la CLI. Para ver la lista completa de argumentos, consulta la referencia de la CLI de IAM.

ibmcloud iam authorization-policy-create <SERVICE-NAME> kms "Reader,AuthorizationDelegator"

Si la autorización de servicio no está presente antes de suministrar su despliegue con una clave, el suministro falla.

Si deseas establecer una política de autorización más restrictiva, configura tu política para un CRN de clave raíz explícito o para una instancia específica de Key Protect. Actualmente no se admiten las restricciones aplicadas a los llaveros « Key Protect ».

Concesión de autorización de servicio a través de la API REST

1. Crea una política de autorización para permitir que el servicio Cloud Databases acceda a la instancia del servicio Key Protect a través de la API REST de IAM.

Para consultar la referencia completa de la API, véase la API de gestión de políticas de IAM.

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
      {
          "attributes": [
              {
                  "name": "accountId",
                  "value": "CUSTOMER_ACCOUNT_ID"
              },
              {
                  "name": "serviceName",
                  "value": "<SERVICE-NAME>"
              }
          ]
      }
  ],
  "roles": [
      {
        "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Reader"
      },
      {
        "role_id": "crn:v1:bluemix:public:iam::::role:AuthorizationDelegator"
      }
    ],
    "resources": [
        {
            "attributes": [
                {
                    "name": "accountId",
                    "operator": "stringEquals",
                    "value": "CUSTOMER_ACCOUNT_ID"
                },
                {
                    "name": "serviceName",
                    "operator": "stringEquals",
                    "value": "kms"
                }
            ]
        }
    ]
}'

Si la autorización de servicio no está presente antes de suministrar su despliegue con una clave, el suministro falla.

Si deseas establecer una política de autorización más restrictiva, configura tu política para un CRN de clave raíz explícito o para una instancia específica de Key Protect. Actualmente no se admiten las restricciones aplicadas a los llaveros « Key Protect ».

Uso de la clave « Key Protect » en la interfaz de usuario durante el aprovisionamiento

Si realiza el aprovisionamiento desde la página del catálogo, seleccione la instancia Key Protect y la clave en el menú desplegable.

Uso de la clave « Key Protect » en la CLI durante el aprovisionamiento

En la CLI, utiliza el parámetro « dataservices.encryption.disk » del objeto JSON de parámetros para asignar un CRN de clave raíz a tu instancia de servicio.

ibmcloud resource service-instance-create <INSTANCE-NAME> <SERVICE-NAME> <PLAN-NAME> REGION -p '{"dataservices":{"encryption":{"disk":"KMS_KEY_CRN"}}}'

La clave « Key Protect » debe identificarse mediante su CRN completo, no solo mediante su ID. Un CRN de Key Protect tiene el formato crn:v1:<...>:key:<id>.

Uso de la clave « Key Protect » en la API durante el proceso de aprovisionamiento

En la API, utiliza el parámetro dataservices.encryption.disk en el cuerpo de la solicitud.

  curl -X POST https://resource-controller.cloud.ibm.com/v2/resource_instances -H "Authorization: Bearer <IAM token>" -H 'Content-Type: application/json' -d '{
    "name": "<INSTANCE-NAME>",
    "target": "ca-mon",
    "resource_group": "<A RESOURCE GROUP GUID>",
    "resource_plan_id": "<A PLAN ID>",
    "parameters": {
      "dataservices": {
          "encryption": {
            "disk": "KMS_KEY_CRN"
          }
      }
    }

La clave « Key Protect » debe identificarse mediante su CRN completo, no solo mediante su ID. Un CRN de Key Protect tiene el formato crn:v1:<...>:key:<id>.