在使用者介面中授予服務授權

授權 Key Protect 用於 Cloud Databases 的部署：

1. 開啟您的 IBM Cloud 儀表板
2. 在選單列中，點選「管理」→「存取權限 (IAM)」。
3. 在側邊導覽中，按一下授權。
4. 按一下建立。
5. 在「來源服務」選單中，選取該部署的服務。 舉例來說，Databases for PostgreSQL 或者 Databases for MongoDB。
6. 在「來源」服務的資源選單中，選取「所有資源」。
7. 在目標服務功能表中，選取 Key Protect。
8. 請選擇或保留預設值「Account」作為「目標服務」的資源群組
9. 在「目標服務實例 ID」選單中，選取要授權的服務實例。
10. 啟用讀者角色。
11. 若要使用「自帶金鑰」（BYOK），請在「授權依賴服務」區段中勾選「啟用授權委派」方塊。
12. 按一下授權。

若在透過金鑰為您的部署進行配置之前，尚未取得服務授權，則配置將失敗。

若您想設定更嚴格的授權政策，請將政策配置為針對明確的根金鑰 CRN，或針對特定的 Key Protect 實例。 目前尚不支援針對 Key Protect 鑰匙圈所設定的限制。

在 CLI 中授予服務授權

1. 建立一項授權政策，以允許「Cloud Databases」服務存取 CLI 上的「Key Protect」服務實例。 如需完整的參數清單，請參閱 IAM CLI 參考手冊。

ibmcloud iam authorization-policy-create <SERVICE-NAME> kms "Reader,AuthorizationDelegator"

若在透過金鑰為您的部署進行配置之前，尚未取得服務授權，則配置將失敗。

若您想設定更嚴格的授權政策，請將政策配置為針對明確的根金鑰 CRN，或針對特定的 Key Protect 實例。 目前尚不支援針對 Key Protect 鑰匙圈所設定的限制。

透過 REST API 授予服務授權

1. 建立一項授權政策，允許「Cloud Databases」服務透過 IAM REST API 存取「Key Protect」服務實例。

如需完整的 API 參考資料，請參閱 IAM 政策管理 API。

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
      {
          "attributes": [
              {
                  "name": "accountId",
                  "value": "CUSTOMER_ACCOUNT_ID"
              },
              {
                  "name": "serviceName",
                  "value": "<SERVICE-NAME>"
              }
          ]
      }
  ],
  "roles": [
      {
        "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Reader"
      },
      {
        "role_id": "crn:v1:bluemix:public:iam::::role:AuthorizationDelegator"
      }
    ],
    "resources": [
        {
            "attributes": [
                {
                    "name": "accountId",
                    "operator": "stringEquals",
                    "value": "CUSTOMER_ACCOUNT_ID"
                },
                {
                    "name": "serviceName",
                    "operator": "stringEquals",
                    "value": "kms"
                }
            ]
        }
    ]
}'

若在透過金鑰為您的部署進行配置之前，尚未取得服務授權，則配置將失敗。

若您想設定更嚴格的授權政策，請將政策配置為針對明確的根金鑰 CRN，或針對特定的 Key Protect 實例。 目前尚不支援針對 Key Protect 鑰匙圈所設定的限制。

在配置時於使用者介面中使用 Key Protect 鍵

若要從目錄頁面進行配置，請從下拉式選單中選取「Key Protect」實例及金鑰。

在 CLI 中進行配置時使用 Key Protect 鍵

在 CLI 中，請在參數 JSON 物件中使用 dataservices.encryption.disk 參數，為您的服務實例指派一個根金鑰 CRN。

ibmcloud resource service-instance-create <INSTANCE-NAME> <SERVICE-NAME> <PLAN-NAME> REGION -p '{"dataservices":{"encryption":{"disk":"KMS_KEY_CRN"}}}'

Key Protect 金鑰必須透過其完整的 CRN 來識別，而不僅僅是其 ID。 Key Protect 的CRN格式為 crn:v1:<...>:key:<id>。

在 API 的配置過程中使用 Key Protect 鍵

在 API 中，請於請求正文中使用 dataservices.encryption.disk 參數。

  curl -X POST https://resource-controller.cloud.ibm.com/v2/resource_instances -H "Authorization: Bearer <IAM token>" -H 'Content-Type: application/json' -d '{
    "name": "<INSTANCE-NAME>",
    "target": "ca-mon",
    "resource_group": "<A RESOURCE GROUP GUID>",
    "resource_plan_id": "<A PLAN ID>",
    "parameters": {
      "dataservices": {
          "encryption": {
            "disk": "KMS_KEY_CRN"
          }
      }
    }

Key Protect 金鑰必須透過其完整的 CRN 來識別，而不僅僅是其 ID。 Key Protect 的CRN格式為 crn:v1:<...>:key:<id>。