UI でのサービス承認

Key Protect デプロイメントで使用できるように Cloud Databases を許可します。

1. IBM Cloud のダッシュボードを開きます。
2. メニューバーから、「 管理 」→「 アクセス（IAM） 」をクリックします。
3. サイド・ナビゲーションで、**「許可」**をクリックします。
4. 「作成」 をクリックします。
5. **「ソース・サービス」**メニューで、デプロイメントのサービスを選択します。 例えば、 Databases for PostgreSQL あるいは Databases for MongoDB。
6. 「 ソース」サービスのリソースメニュー で、「 すべてのリソース 」を選択します。
7. 「ターゲット・サービス」 メニューで、「Key Protect」 を選択します。
8. リソースグループとして、 アカウント を選択するか、デフォルト値のままにします。 対象サービス
9. ターゲット・サービスの**「インスタンス ID」**メニューで、許可を付与するサービス・インスタンスを選択します。
10. リーダー の役割を有効にします。
11. 「Bring your own key」（BYOK）を使用するには、「 依存サービスの認証 」セクションで、「 認証の委任を有効にする 」チェックボックスを選択してください。
12. 「許可」 をクリックします。

鍵を使用してデプロイメントをプロビジョンする前にサービス許可が存在していない場合は、プロビジョンが失敗します。

より厳格な承認ポリシーを設定したい場合は、明示的なルートキーCRN、または特定の Key Protect インスタンスを対象としてポリシーを設定してください。 Key Protect のキーリングに適用される制限は、現時点ではサポートされていません。

CLI でのサービス認証の付与

1. Cloud Databases サービスが、CLI上の Key Protect サービスインスタンスにアクセスできるようにする承認ポリシーを作成します。 すべての引数については、 IAM CLI リファレンス を参照してください。

ibmcloud iam authorization-policy-create <SERVICE-NAME> kms "Reader,AuthorizationDelegator"

鍵を使用してデプロイメントをプロビジョンする前にサービス許可が存在していない場合は、プロビジョンが失敗します。

より厳格な承認ポリシーを設定したい場合は、明示的なルートキーCRN、または特定の Key Protect インスタンスを対象としてポリシーを設定してください。 Key Protect のキーリングに適用される制限は、現時点ではサポートされていません。

REST API によるサービス認証の付与

1. Cloud Databases サービスが、IAM REST API を通じて Key Protect サービスインスタンスにアクセスできるようにする承認ポリシーを作成します。

APIのリファレンスの詳細については、「 IAM ポリシー管理 API 」を参照してください。

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
      {
          "attributes": [
              {
                  "name": "accountId",
                  "value": "CUSTOMER_ACCOUNT_ID"
              },
              {
                  "name": "serviceName",
                  "value": "<SERVICE-NAME>"
              }
          ]
      }
  ],
  "roles": [
      {
        "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Reader"
      },
      {
        "role_id": "crn:v1:bluemix:public:iam::::role:AuthorizationDelegator"
      }
    ],
    "resources": [
        {
            "attributes": [
                {
                    "name": "accountId",
                    "operator": "stringEquals",
                    "value": "CUSTOMER_ACCOUNT_ID"
                },
                {
                    "name": "serviceName",
                    "operator": "stringEquals",
                    "value": "kms"
                }
            ]
        }
    ]
}'

鍵を使用してデプロイメントをプロビジョンする前にサービス許可が存在していない場合は、プロビジョンが失敗します。

より厳格な承認ポリシーを設定したい場合は、明示的なルートキーCRN、または特定の Key Protect インスタンスを対象としてポリシーを設定してください。 Key Protect のキーリングに適用される制限は、現時点ではサポートされていません。

プロビジョニング時のUIで「 Key Protect 」キーを使用する

カタログページからプロビジョニングを行う場合は、ドロップダウンメニューから Key Protect のインスタンスとキーを選択してください。

プロビジョニング時にCLIで Key Protect キーを使用する

CLI では、parameters JSON オブジェクト内の dataservices.encryption.disk パラメータを使用して、サービスインスタンスにルートキーの CRN を割り当てます。

ibmcloud resource service-instance-create <INSTANCE-NAME> <SERVICE-NAME> <PLAN-NAME> REGION -p '{"dataservices":{"encryption":{"disk":"KMS_KEY_CRN"}}}'

Key Protect キーは、IDだけでなく、完全なCRNで識別する必要があります。 Key Protect のCRNは、 crn:v1:<...>:key:<id> という形式です。

プロビジョニング時のAPIで Key Protect キーを使用する

APIでは、リクエスト本文に dataservices.encryption.disk パラメータを指定してください。

  curl -X POST https://resource-controller.cloud.ibm.com/v2/resource_instances -H "Authorization: Bearer <IAM token>" -H 'Content-Type: application/json' -d '{
    "name": "<INSTANCE-NAME>",
    "target": "ca-mon",
    "resource_group": "<A RESOURCE GROUP GUID>",
    "resource_plan_id": "<A PLAN ID>",
    "parameters": {
      "dataservices": {
          "encryption": {
            "disk": "KMS_KEY_CRN"
          }
      }
    }

Key Protect キーは、IDだけでなく、完全なCRNで識別する必要があります。 Key Protect のCRNは、 crn:v1:<...>:key:<id> という形式です。