Concessão de autorização de serviço na interface do usuário

Autorize o Key Protect para uso com as implementações do Cloud Databases:

1. Abra o painel do IBM Cloud.
2. Na barra de menus, clique em Gerenciar-> Acesso (IAM).
3. Na navegação lateral, clique em Autorizações.
4. Clique em Criar.
5. No menu Serviço de origem, selecione o serviço da implementação. Por exemplo, Databases for PostgreSQL ou Databases for MongoDB.
6. No menu de recursos do serviço “Source”, selecione “Todos os recursos ”.
7. No menu Serviço de destino, selecione Key Protect.
8. Selecione ou mantenha o valor padrão “Conta” como o grupo de recursos para o Serviço de Destino
9. No menu ID da Instância do serviço de destino, selecione as instâncias de serviço para autorizar.
10. Ative a função Leitor.
11. Para usar o recurso “Traga sua própria chave” (BYOK), marque a caixa “Habilitar autorizações a serem delegadas ” na seção “Autorizar serviços dependentes ”.
12. Clique em Autorizar.

Se a autorização de serviço não estiver presente antes de provisionar a sua implementação com uma chave, a provisão falhará.

Se você quiser definir uma política de autorização mais restritiva, configure sua política para um CRN de chave raiz explícito ou para uma instância específica do Key Protect. As restrições aplicadas aos chaveiros “ Key Protect ” não são compatíveis no momento.

Concessão de autorização de serviço na CLI

1. Crie uma política de autorização para permitir que o serviço Cloud Databases acesse a instância do serviço Key Protect na CLI. Para obter a lista completa de argumentos, consulte a referência da CLI do IAM.

ibmcloud iam authorization-policy-create <SERVICE-NAME> kms "Reader,AuthorizationDelegator"

Se a autorização de serviço não estiver presente antes de provisionar a sua implementação com uma chave, a provisão falhará.

Se você quiser definir uma política de autorização mais restritiva, configure sua política para um CRN de chave raiz explícito ou para uma instância específica do Key Protect. As restrições aplicadas aos chaveiros “ Key Protect ” não são compatíveis no momento.

Concessão de autorização de serviço por meio da API REST

1. Crie uma política de autorização para permitir que o serviço Cloud Databases acesse a instância do serviço Key Protect por meio da API REST do IAM.

Para obter uma referência completa da API, consulte a API de gerenciamento de políticas do IAM.

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
      {
          "attributes": [
              {
                  "name": "accountId",
                  "value": "CUSTOMER_ACCOUNT_ID"
              },
              {
                  "name": "serviceName",
                  "value": "<SERVICE-NAME>"
              }
          ]
      }
  ],
  "roles": [
      {
        "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Reader"
      },
      {
        "role_id": "crn:v1:bluemix:public:iam::::role:AuthorizationDelegator"
      }
    ],
    "resources": [
        {
            "attributes": [
                {
                    "name": "accountId",
                    "operator": "stringEquals",
                    "value": "CUSTOMER_ACCOUNT_ID"
                },
                {
                    "name": "serviceName",
                    "operator": "stringEquals",
                    "value": "kms"
                }
            ]
        }
    ]
}'

Se a autorização de serviço não estiver presente antes de provisionar a sua implementação com uma chave, a provisão falhará.

Se você quiser definir uma política de autorização mais restritiva, configure sua política para um CRN de chave raiz explícito ou para uma instância específica do Key Protect. As restrições aplicadas aos chaveiros “ Key Protect ” não são compatíveis no momento.

Utilização da chave “ Key Protect ” na interface do usuário durante o provisionamento

Se estiver realizando o provisionamento a partir da página do catálogo, selecione a instância e a chave “ Key Protect ” no menu suspenso.

Utilização da chave Key Protect na CLI durante o provisionamento

Na CLI, use o parâmetro dataservices.encryption.disk no objeto JSON de parâmetros para atribuir um CRN de chave raiz à sua instância de serviço.

ibmcloud resource service-instance-create <INSTANCE-NAME> <SERVICE-NAME> <PLAN-NAME> REGION -p '{"dataservices":{"encryption":{"disk":"KMS_KEY_CRN"}}}'

A chave “ Key Protect ” precisa ser identificada pelo seu CRN completo, e não apenas pelo seu ID. Um CRN do Key Protect tem o formato crn:v1:<...>:key:<id>.

Utilização da chave “ Key Protect ” na API durante o provisionamento

Na API, utilize o parâmetro dataservices.encryption.disk no corpo da solicitação.

  curl -X POST https://resource-controller.cloud.ibm.com/v2/resource_instances -H "Authorization: Bearer <IAM token>" -H 'Content-Type: application/json' -d '{
    "name": "<INSTANCE-NAME>",
    "target": "ca-mon",
    "resource_group": "<A RESOURCE GROUP GUID>",
    "resource_plan_id": "<A PLAN ID>",
    "parameters": {
      "dataservices": {
          "encryption": {
            "disk": "KMS_KEY_CRN"
          }
      }
    }

A chave “ Key Protect ” precisa ser identificada pelo seu CRN completo, e não apenas pelo seu ID. Um CRN do Key Protect tem o formato crn:v1:<...>:key:<id>.