在用户界面中授予服务授权

授权 Key Protect 用于 Cloud Databases 的部署：

1. 打开 IBM Cloud 仪表板。
2. 在菜单栏中，点击“管理”→“访问（IAM）”。
3. 在侧边导航中，单击授权。
4. 单击创建。
5. 在 “源服务”菜单中，选择该部署的服务。 例如，Databases for PostgreSQL 或者 Databases for MongoDB。
6. 在 “源”服务资源菜单中，选择“所有资源”。
7. 在目标服务菜单中，选择 Key Protect。
8. 选择或保留默认值 “Account”作为目标服务的资源组
9. 在“目标服务实例 ID”菜单中，选择要授权的服务实例。
10. 启用读取者角色。
11. 要使用“自带密钥”（BYOK），请在 “授权从属服务” 部分中选中 “启用授权委托”复选框。
12. 单击授权。

如果在为部署分配密钥之前未获得服务授权，则配置将失败。

如果您想设置更严格的授权策略，请将策略配置为针对显式的根密钥 CRN 或特定的 Key Protect 实例。 目前不支持针对 Key Protect 钥匙扣设置的限制。

在 CLI 中授予服务授权

1. 创建一项授权策略，允许“Cloud Databases”服务访问 CLI 上的“Key Protect”服务实例。 有关完整参数列表，请参阅 IAM CLI 参考 文档。

ibmcloud iam authorization-policy-create <SERVICE-NAME> kms "Reader,AuthorizationDelegator"

如果在为部署分配密钥之前未获得服务授权，则配置将失败。

如果您想设置更严格的授权策略，请将策略配置为针对显式的根密钥 CRN 或特定的 Key Protect 实例。 目前不支持针对 Key Protect 钥匙扣设置的限制。

通过 REST API 授予服务授权

1. 创建一项授权策略，允许“Cloud Databases”服务通过 IAM REST API 访问“Key Protect”服务实例。

如需完整的 API 参考文档，请参阅 IAM 策略管理 API。

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
      {
          "attributes": [
              {
                  "name": "accountId",
                  "value": "CUSTOMER_ACCOUNT_ID"
              },
              {
                  "name": "serviceName",
                  "value": "<SERVICE-NAME>"
              }
          ]
      }
  ],
  "roles": [
      {
        "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Reader"
      },
      {
        "role_id": "crn:v1:bluemix:public:iam::::role:AuthorizationDelegator"
      }
    ],
    "resources": [
        {
            "attributes": [
                {
                    "name": "accountId",
                    "operator": "stringEquals",
                    "value": "CUSTOMER_ACCOUNT_ID"
                },
                {
                    "name": "serviceName",
                    "operator": "stringEquals",
                    "value": "kms"
                }
            ]
        }
    ]
}'

如果在为部署分配密钥之前未获得服务授权，则配置将失败。

如果您想设置更严格的授权策略，请将策略配置为针对显式的根密钥 CRN 或特定的 Key Protect 实例。 目前不支持针对 Key Protect 钥匙扣设置的限制。

在配置过程中，在用户界面中使用 Key Protect 键

如果从目录页面进行配置，请从下拉菜单中选择“Key Protect”实例和密钥。

在 CLI 中进行配置时使用 Key Protect 键

在命令行界面（CLI）中，请在参数 JSON 对象中使用 dataservices.encryption.disk 参数，为您的服务实例分配一个根密钥 CRN。

ibmcloud resource service-instance-create <INSTANCE-NAME> <SERVICE-NAME> <PLAN-NAME> REGION -p '{"dataservices":{"encryption":{"disk":"KMS_KEY_CRN"}}}'

Key Protect 键必须通过其完整的CRN来识别，而不仅仅是其ID。 Key Protect 的CRN格式为 crn:v1:<...>:key:<id>。

在 API 的配置过程中使用 Key Protect 密钥

在 API 中，请在请求正文中使用 dataservices.encryption.disk 参数。

  curl -X POST https://resource-controller.cloud.ibm.com/v2/resource_instances -H "Authorization: Bearer <IAM token>" -H 'Content-Type: application/json' -d '{
    "name": "<INSTANCE-NAME>",
    "target": "ca-mon",
    "resource_group": "<A RESOURCE GROUP GUID>",
    "resource_plan_id": "<A PLAN ID>",
    "parameters": {
      "dataservices": {
          "encryption": {
            "disk": "KMS_KEY_CRN"
          }
      }
    }

Key Protect 键必须通过其完整的CRN来识别，而不仅仅是其ID。 Key Protect 的CRN格式为 crn:v1:<...>:key:<id>。