UI에서 서비스 권한 부여

Key Protect 배치에 사용할 수 있도록 Cloud Databases에 권한을 부여하십시오.

1. IBM Cloud 대시보드를 여십시오.
2. 메뉴 모음에서 관리-> 액세스(IAM)를 클릭합니다.
3. 사이드 탐색에서 권한을 클릭하십시오.
4. 작성을 클릭하십시오.
5. 소스 서비스 메뉴에서 배치 서비스를 선택하십시오. 예를 들어, Databases for PostgreSQL 혹은 Databases for MongoDB.
6. 소스 서비스 리소스 메뉴에서 모든 리소스를 선택하십시오.
7. 대상 서비스 메뉴에서 Key Protect를 선택하십시오.
8. 대상 서비스 의 리소스 그룹으로 Account를 선택하거나 기본값을 유지하십시오
9. 대상 서비스 인스턴스 ID 메뉴에서 권한 부여할 서비스 인스턴스를 선택하십시오.
10. 독자 역할을 사용으로 설정하십시오.
11. Bring your own key(BYOK)를 사용하려면, [ 종속 서비스 권한 부여] 섹션에서 [ 권한 위임 활성화 ] 확인란을 선택하십시오.
12. 권한 부여를 클릭하십시오.

키로 배치를 프로비저닝하기 전에 서비스 권한이 없는 경우 프로비저닝이 실패합니다.

보다 엄격한 권한 부여 정책을 설정하려면, 명시적인 루트 키 CRN 또는 특정 Key Protect 인스턴스를 대상으로 정책을 구성하십시오.

CLI에서 서비스 권한 부여

1. Cloud Databases 서비스가 CLI상의 Key Protect 서비스 인스턴스에 액세스할 수 있도록 권한 정책을 생성합니다. 전체 인수 목록을 보려면 IAM CLI 참조 문서를 참조하십시오.

ibmcloud iam authorization-policy-create <SERVICE-NAME> kms "Reader,AuthorizationDelegator"

키로 배치를 프로비저닝하기 전에 서비스 권한이 없는 경우 프로비저닝이 실패합니다.

보다 엄격한 권한 부여 정책을 설정하려면, 명시적인 루트 키 CRN 또는 특정 Key Protect 인스턴스를 대상으로 정책을 구성하십시오.

REST API를 통한 서비스 승인 부여

1. Cloud Databases 서비스가 IAM REST API를 통해 Key Protect 서비스 인스턴스에 액세스할 수 있도록 권한 정책을 생성합니다.

전체 API 참조 내용은 IAM 정책 관리 API를 참조하십시오.

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
      {
          "attributes": [
              {
                  "name": "accountId",
                  "value": "CUSTOMER_ACCOUNT_ID"
              },
              {
                  "name": "serviceName",
                  "value": "<SERVICE-NAME>"
              }
          ]
      }
  ],
  "roles": [
      {
        "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Reader"
      },
      {
        "role_id": "crn:v1:bluemix:public:iam::::role:AuthorizationDelegator"
      }
    ],
    "resources": [
        {
            "attributes": [
                {
                    "name": "accountId",
                    "operator": "stringEquals",
                    "value": "CUSTOMER_ACCOUNT_ID"
                },
                {
                    "name": "serviceName",
                    "operator": "stringEquals",
                    "value": "kms"
                }
            ]
        }
    ]
}'

키로 배치를 프로비저닝하기 전에 서비스 권한이 없는 경우 프로비저닝이 실패합니다.

보다 엄격한 권한 부여 정책을 설정하려면, 명시적인 루트 키 CRN 또는 특정 Key Protect 인스턴스를 대상으로 정책을 구성하십시오.

프로비저닝 시 UI에서 ‘ Key Protect ’ 키 사용

카탈로그 페이지에서 프로비저닝하는 경우, 드롭다운 메뉴에서 Key Protect 인스턴스와 키를 선택하십시오.

프로비저닝 시 CLI에서 Key Protect 키 사용

CLI에서 parameters JSON 객체의 dataservices.encryption.disk 매개변수를 사용하여 서비스 인스턴스에 루트 키 CRN을 할당하십시오.

ibmcloud resource service-instance-create <INSTANCE-NAME> <SERVICE-NAME> <PLAN-NAME> REGION -p '{"dataservices":{"encryption":{"disk":"KMS_KEY_CRN"}}}'

Key Protect 키는 단순히 ID가 아닌 전체 CRN으로 식별되어야 합니다. Key Protect 의 CRN은 다음과 같은 형식을 따릅니다 crn:v1:<...>:key:<id>.

프로비저닝 시 API에서 Key Protect 키 사용

API에서는 요청 본문에 dataservices.encryption.disk 매개변수를 사용하십시오.

  curl -X POST https://resource-controller.cloud.ibm.com/v2/resource_instances -H "Authorization: Bearer <IAM token>" -H 'Content-Type: application/json' -d '{
    "name": "<INSTANCE-NAME>",
    "target": "ca-mon",
    "resource_group": "<A RESOURCE GROUP GUID>",
    "resource_plan_id": "<A PLAN ID>",
    "parameters": {
      "dataservices": {
          "encryption": {
            "disk": "KMS_KEY_CRN"
          }
      }
    }

Key Protect 키는 단순히 ID가 아닌 전체 CRN으로 식별되어야 합니다. Key Protect 의 CRN은 다음과 같은 형식을 따릅니다 crn:v1:<...>:key:<id>.