Octroi d'une autorisation de service dans l'interface utilisateur

Autorisez Key Protect pour une utilisation avec des déploiements Cloud Databases :

1. Ouvrez votre tableau de bord IBM Cloud.
2. Dans la barre de menus, cliquez sur Gérer-> Accès (IAM).
3. Dans la barre de navigation latérale, cliquez sur Autorisations.
4. Cliquez sur Créer.
5. Dans le menu Service source, sélectionnez le service du déploiement. Par exemple, Databases for PostgreSQL ou Databases for MongoDB.
6. Dans le menu des ressources du service Source, sélectionnez Toutes les ressources.
7. Dans le menu Service cible, sélectionnez Key Protect.
8. Sélectionnez ou conservez la valeur par défaut Account comme groupe de ressources pour le service cible.
9. Dans le menu ID instance du service cible, sélectionnez les instances de service à autoriser.
10. Activez le rôle Lecteur.
11. Pour utiliser la fonctionnalité Bring your own key (BYOK), cochez la case Activer la délégation des autorisations dans la section Autoriser les services dépendants.
12. Cliquez sur Autoriser.

Si l'autorisation de service n'est pas présente avant la mise à disposition de votre déploiement avec une clé, la mise à disposition échoue.

Si vous souhaitez mettre en place une politique d'autorisation plus restrictive, configurez votre politique en spécifiant explicitement le CRN de la clé racine ou en indiquant une instance spécifique d' Key Protect. Les restrictions appliquées aux porte-clés « Key Protect » ne sont actuellement pas prises en charge.

Octroi d'une autorisation de service via l'interface CLI

1. Créez une politique d'autorisation pour permettre au service « Cloud Databases » d'accéder à l'instance du service « Key Protect » via l'interface CLI. Pour connaître la liste complète des arguments, consultez la documentation de référence de l'interface CLI IAM.

ibmcloud iam authorization-policy-create <SERVICE-NAME> kms "Reader,AuthorizationDelegator"

Si l'autorisation de service n'est pas présente avant la mise à disposition de votre déploiement avec une clé, la mise à disposition échoue.

Si vous souhaitez mettre en place une politique d'autorisation plus restrictive, configurez votre politique en spécifiant explicitement le CRN de la clé racine ou en indiquant une instance spécifique d' Key Protect. Les restrictions appliquées aux porte-clés « Key Protect » ne sont actuellement pas prises en charge.

Octroi d'une autorisation de service via l'API REST

1. Créez une politique d'autorisation pour permettre au service Cloud Databases d'accéder à l'instance du service Key Protect via l'API REST IAM.

Pour consulter la documentation complète de l'API, reportez-vous à l'API de gestion des politiques IAM.

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
      {
          "attributes": [
              {
                  "name": "accountId",
                  "value": "CUSTOMER_ACCOUNT_ID"
              },
              {
                  "name": "serviceName",
                  "value": "<SERVICE-NAME>"
              }
          ]
      }
  ],
  "roles": [
      {
        "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Reader"
      },
      {
        "role_id": "crn:v1:bluemix:public:iam::::role:AuthorizationDelegator"
      }
    ],
    "resources": [
        {
            "attributes": [
                {
                    "name": "accountId",
                    "operator": "stringEquals",
                    "value": "CUSTOMER_ACCOUNT_ID"
                },
                {
                    "name": "serviceName",
                    "operator": "stringEquals",
                    "value": "kms"
                }
            ]
        }
    ]
}'

Si l'autorisation de service n'est pas présente avant la mise à disposition de votre déploiement avec une clé, la mise à disposition échoue.

Si vous souhaitez mettre en place une politique d'autorisation plus restrictive, configurez votre politique en spécifiant explicitement le CRN de la clé racine ou en indiquant une instance spécifique d' Key Protect. Les restrictions appliquées aux porte-clés « Key Protect » ne sont actuellement pas prises en charge.

Utilisation de la clé « Key Protect » dans l'interface utilisateur lors de la mise en service

Si vous effectuez un provisionnement à partir de la page du catalogue, sélectionnez l'instance Key Protect et la clé dans le menu déroulant.

Utilisation de la clé « Key Protect » dans l'interface de ligne de commande (CLI) lors de la mise en service

Dans l'interface de ligne de commande (CLI), utilisez le paramètre « dataservices.encryption.disk » dans l'objet JSON des paramètres pour attribuer un CRN de clé racine à votre instance de service.

ibmcloud resource service-instance-create <INSTANCE-NAME> <SERVICE-NAME> <PLAN-NAME> REGION -p '{"dataservices":{"encryption":{"disk":"KMS_KEY_CRN"}}}'

La clé « Key Protect » doit être identifiée par son CRN complet, et non pas uniquement par son identifiant. Un CRN Key Protect se présente sous le format crn:v1:<...>:key:<id>.

Utilisation de la clé « Key Protect » dans l'API lors de la mise en service

Dans l'API, utilisez le paramètre dataservices.encryption.disk dans le corps de la requête.

  curl -X POST https://resource-controller.cloud.ibm.com/v2/resource_instances -H "Authorization: Bearer <IAM token>" -H 'Content-Type: application/json' -d '{
    "name": "<INSTANCE-NAME>",
    "target": "ca-mon",
    "resource_group": "<A RESOURCE GROUP GUID>",
    "resource_plan_id": "<A PLAN ID>",
    "parameters": {
      "dataservices": {
          "encryption": {
            "disk": "KMS_KEY_CRN"
          }
      }
    }

La clé « Key Protect » doit être identifiée par son CRN complet, et non pas uniquement par son identifiant. Un CRN Key Protect se présente sous le format crn:v1:<...>:key:<id>.