Concessione dell'autorizzazione al servizio nell'interfaccia utente

Autorizza Key Protect per l'utilizzo con le distribuzioni Cloud Databases:

1. Apri il tuo dashboard IBM Cloud.
2. Dalla barra dei menu, fare clic su Gestisci-> Accesso (IAM).
3. Nella navigazione laterale, fai clic su Autorizzazioni.
4. Fai clic su Crea.
5. Nel menu “Servizio di origine ”, selezionare il servizio della distribuzione. Ad esempio, Databases for PostgreSQL oppure Databases for MongoDB.
6. Nel menu delle risorse del servizio Source, selezionare " Tutte le risorse ".
7. Nel menu Servizio di destinazione, seleziona Key Protect.
8. Selezionare o mantenere il valore predefinito " Account " come gruppo di risorse per il servizio di destinazione
9. Nel menu "ID istanza del servizio" di Target, selezionare le istanze del servizio da autorizzare.
10. Abilita il ruolo Lettore.
11. Per utilizzare la funzione "Bring your own key" (BYOK), selezionare la casella " Abilita la delega delle autorizzazioni " nella sezione " Autorizza servizi dipendenti ".
12. Fai clic su Autorizza.

Se l'autorizzazione al servizio non è presente prima di configurare l'implementazione con una chiave, la configurazione non va a buon fine.

Se desideri impostare una politica di autorizzazione più restrittiva, configura la tua politica specificando un CRN della chiave radice o un'istanza specifica di Key Protect. Le restrizioni applicate ai portachiavi " Key Protect " non sono attualmente supportate.

Concessione dell'autorizzazione al servizio nella CLI

1. Creare una politica di autorizzazione per consentire al servizio Cloud Databases di accedere all'istanza del servizio Key Protect sulla CLI. Per l'elenco completo degli argomenti, consultare la guida di riferimento della CLI di IAM.

ibmcloud iam authorization-policy-create <SERVICE-NAME> kms "Reader,AuthorizationDelegator"

Se l'autorizzazione al servizio non è presente prima di configurare l'implementazione con una chiave, la configurazione non va a buon fine.

Se desideri impostare una politica di autorizzazione più restrittiva, configura la tua politica specificando un CRN della chiave radice o un'istanza specifica di Key Protect. Le restrizioni applicate ai portachiavi " Key Protect " non sono attualmente supportate.

Concessione dell'autorizzazione al servizio tramite l'API REST

1. Creare una politica di autorizzazione per consentire al servizio Cloud Databases di accedere all'istanza del servizio Key Protect tramite l'API REST di IAM.

Per una guida completa all'API, consultare l'API di gestione delle politiche IAM.

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
      {
          "attributes": [
              {
                  "name": "accountId",
                  "value": "CUSTOMER_ACCOUNT_ID"
              },
              {
                  "name": "serviceName",
                  "value": "<SERVICE-NAME>"
              }
          ]
      }
  ],
  "roles": [
      {
        "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Reader"
      },
      {
        "role_id": "crn:v1:bluemix:public:iam::::role:AuthorizationDelegator"
      }
    ],
    "resources": [
        {
            "attributes": [
                {
                    "name": "accountId",
                    "operator": "stringEquals",
                    "value": "CUSTOMER_ACCOUNT_ID"
                },
                {
                    "name": "serviceName",
                    "operator": "stringEquals",
                    "value": "kms"
                }
            ]
        }
    ]
}'

Se l'autorizzazione al servizio non è presente prima di configurare l'implementazione con una chiave, la configurazione non va a buon fine.

Se desideri impostare una politica di autorizzazione più restrittiva, configura la tua politica specificando un CRN della chiave radice o un'istanza specifica di Key Protect. Le restrizioni applicate ai portachiavi " Key Protect " non sono attualmente supportate.

Utilizzo del tasto " Key Protect " nell'interfaccia utente durante la configurazione

Se si esegue il provisioning dalla pagina del catalogo, selezionare l'istanza e la chiave " Key Protect " dal menu a tendina.

Utilizzo del parametro Key Protect nella CLI durante la configurazione

Nella CLI, utilizzare il parametro dataservices.encryption.disk nell'oggetto JSON dei parametri per assegnare un CRN della chiave radice all'istanza del servizio.

ibmcloud resource service-instance-create <INSTANCE-NAME> <SERVICE-NAME> <PLAN-NAME> REGION -p '{"dataservices":{"encryption":{"disk":"KMS_KEY_CRN"}}}'

La chiave " Key Protect " deve essere identificata tramite il suo CRN completo, non solo tramite il suo ID. Un CRN di Key Protect ha il formato crn:v1:<...>:key:<id>.

Utilizzo del parametro “ Key Protect ” nell’API durante la configurazione

Nell'API, utilizzare il parametro dataservices.encryption.disk nel corpo della richiesta.

  curl -X POST https://resource-controller.cloud.ibm.com/v2/resource_instances -H "Authorization: Bearer <IAM token>" -H 'Content-Type: application/json' -d '{
    "name": "<INSTANCE-NAME>",
    "target": "ca-mon",
    "resource_group": "<A RESOURCE GROUP GUID>",
    "resource_plan_id": "<A PLAN ID>",
    "parameters": {
      "dataservices": {
          "encryption": {
            "disk": "KMS_KEY_CRN"
          }
      }
    }

La chiave " Key Protect " deve essere identificata tramite il suo CRN completo, non solo tramite il suo ID. Un CRN di Key Protect ha il formato crn:v1:<...>:key:<id>.