Schritt 1: Öffnen Sie die Seite Cyber Vaults

1. Melden Sie sich bei der IBM Cloud-Konsole an.
2. Wählen Sie im Navigationsmenü IBM Cloud Object Storage aus.
3. Klicken Sie im linken Navigationsbereich auf Cyber Vault.
4. Klicken Sie auf der Seite Cyber Vaults auf Cyber Vault erstellen.

Das Formular Cyber Vault erstellen wird geöffnet. Ein Warnbanner oben im Formular weist darauf hin, dass die Vault-Konfiguration nach der Erstellung nicht mehr bearbeitet werden kann.

Schritt 2: Vault-Details eingeben

Füllen Sie den Abschnitt Details des Erstellungsformulars aus.

Präfix für den Vault-Namen

Geben Sie ein Namenspräfix für Ihren Tresor ein. Der endgültige Name des Vaults enthält ein automatisch generiertes, eindeutiges Suffix, das vom Dienst angehängt wird. Das Präfix muss zwischen 3 und 63 Zeichen lang sein, darf ausschließlich aus Kleinbuchstaben, Ziffern und Bindestrichen bestehen und muss mit einem Kleinbuchstaben oder einer Ziffer beginnen und enden. Über das Aktualisierungssymbol können Sie ein zufälliges Präfix generieren.

Beschreibung (optional)

Geben Sie eine freie Beschreibung des Zwecks des Tresors ein. Beispiel: Immutable backup vault for production database snapshots.

COS-Instanz

Wählen Sie eine vorhandene Object Storage-Instanz aus der Dropdown-Liste aus. Die HMAC-Anmeldedaten für den Vault werden für die Instanz erstellt, die Sie hier auswählen.

Schritt 3: Standort auswählen

Wählen Sie im Abschnitt Standort die geografische Region aus, in der Ihre Vault-Daten physisch gespeichert sind.

Standort auswählen

Derzeit ist nur Dallas (us-south) verfügbar.

Schritt 4: Konfigurieren Sie die Aufbewahrungsdauer für die Objektsperre

Legen Sie im Abschnitt Aufbewahrungsdauer für Objektsperren die Standardanzahl an Tagen fest, für die Objekte, die in den Tresor geschrieben werden, gesperrt bleiben.

Standardmäßige Aufbewahrungsdauer (Tage)

Geben Sie die Anzahl der Tage mithilfe des Schiebereglers ein. Der Standardwert ist 30. Die Objektsperre verhindert, dass Objekte für den konfigurierten Zeitraum gelöscht werden. Geben Sie ein, um 0 Sperren manuell pro Objekt mithilfe der von Ihrer Backup-Software unterstützten S3-Object-Lock-API zu setzen.

Die Einstellung Standard-Aufbewahrungsdauer auf 0 bewirkt keine automatische Aufbewahrungssperre. Auf Objekte können weiterhin zum Zeitpunkt des Schreibvorgangs individuell Aufbewahrungssperren angewendet werden.

Schritt 5: Zugriffskontrollen überprüfen

Der Abschnitt Zugriffskontrollen dient der Information. HMAC-Anmeldeinformationen werden automatisch für Lese- und Schreibzugriff erstellt. In der Konsole ist keine Identitätskonfiguration erforderlich.

Zeitbasierte Schreibbeschränkungen (optional)

Aktivieren Sie die zeitbasierten Schreibbeschränkungen, um festzulegen, wann Backup-Agenten in den Tresor schreiben dürfen. Wenn diese Option aktiviert ist, werden zwei Zeitfelder angezeigt:

• Startzeit (UTC): Der Beginn des täglichen Schreibfensters im Format HH:MM. Zum Beispiel 07:00.
• Endzeit (UTC): Das Ende des täglichen Schreibfensters im Format HH:MM. Zum Beispiel 18:00. Die Endzeit muss nach der Startzeit liegen.

Wenn der Schalter ausgeschaltet ist, verfügen Backup-Agenten innerhalb der von Ihnen konfigurierten Netzwerkeinschränkungen über einen stets aktiven Schreibzugriff.

Schritt 6: Konfigurieren Sie kontextbasierte Einschränkungen

Im Abschnitt Kontextbasierte Einschränkungen können Sie den Zugriff auf den Tresor nach Netzwerkzonen einschränken. Klicken Sie auf Kontextbezogene Einschränkungen hinzufügen, um das Fenster mit den Einschränkungen zu öffnen. Wählen Sie die Art der Einschränkung aus und geben Sie die erforderlichen Informationen an.

Klicken Sie im Fenster auf Speichern, um die Einschränkung zur Liste hinzuzufügen. Wiederholen Sie diesen Vorgang, um mehrere Einschränkungen beliebiger Art hinzuzufügen.

IBM Es wird empfohlen, für alle Produktions-Vaults mindestens eine kontextbasierte Einschränkung zu konfigurieren. Auf einen Tresor ohne Einschränkungen kann von jedem Netzwerk aus zugegriffen werden, das über gültige HMAC-Anmeldedaten verfügt.

Schritt 7: Überprüfung der Verschlüsselung

Der Abschnitt Verschlüsselung dient der Information. In der Beta-Version erfolgt die Verschlüsselung ausschließlich durch den Anbieter. IBM erstellt automatisch AES-256-Schlüssel für den Tresor und führt deren Rotation durch. Es ist keine Schlüsselverwaltung erforderlich.

Um einen vom Kunden verwalteten Root-Schlüssel (Bring Your Own Key) zu verwenden, nutzen Sie die IBM Cloud Object Storage-Lösungs-API und setzen Sie encryption_config.type auf customer_managed.

Schritt 8: Lizenz akzeptieren und Tresor erstellen

1. Aktivieren Sie das Kontrollkästchen Ich habe die folgende Lizenzvereinbarung gelesen und stimme ihr zu und lesen Sie die verlinkten Bedingungen durch.
2. Klicken Sie auf Erstellen.

Die Vault-Konfiguration ist dauerhaft und kann nach der Erstellung nicht mehr geändert werden. Überprüfen Sie alle Einstellungen sorgfältig, bevor Sie auf Erstellen klicken.

Der Vault-Status wird als Provisioning angezeigt, während der Dienst den zugrunde liegenden IBM Cloud Object Storage-Bucket konfiguriert, die HMAC-Anmeldedaten erstellt und alle Zugriffskontrollen anwendet. Nach Abschluss der Bereitstellung ändert sich der Status auf Aktiv und der Tresor ist einsatzbereit.

Die Erstellung eines Vaults ist ein asynchroner Vorgang. Der access_restrictions Block – der Ihre HMAC-Anmeldedaten für Lese- und Schreibzugriff enthält – fehlt, solange sich der Tresor im Status provisioning befindet. Es wird verfügbar, sobald der Tresor den Status active erreicht hat.

Modus 1: Auto-HMAC (Standard)

Im Standardmodus auto_hmac lassen Sie das Feld access_policies weg. Der Dienst erstellt automatisch zwei HMAC-Dienstzugangsdatenpaare mit begrenztem Geltungsbereich – einen Schreibschlüssel und einen Leseschlüssel – für Ihre existing_cos_instance_id.

curl -X POST \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "my-cyber-vault",
    "region": "us-south",
    "existing_cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
    "retention_config": {
      "minimum_days": 7,
      "default_days": 30,
      "maximum_days": 365
    },
    "encryption_config": {
      "type": "provider_managed"
    },
    "network_isolation_config": {
      "allowed_vpc_crns": [
        "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
      ],
      "allowed_ip_ranges": [
        "10.0.0.0/8"
      ]
    }
  }'

curl -X POST \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "my-cyber-vault-scheduled",
    "region": "us-south",
    "existing_cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
    "retention_config": {
      "minimum_days": 7,
      "default_days": 30,
      "maximum_days": 365
    },
    "encryption_config": {
      "type": "provider_managed"
    },
    "network_isolation_config": {
      "allowed_vpc_crns": [
        "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
      ],
      "allowed_ip_ranges": [
        "10.0.0.0/8"
      ]
    },
    "write_time_restrictions": {
      "start": "02:00:00+00:00",
      "end": "06:00:00+00:00",
      "days_of_week": [1, 2, 3, 4, 5],
      "timezone": "UTC",
      "description": "Backup window: Mon-Fri 02:00-06:00 UTC"
    }
  }'

Modus 2: Vorhandene Service-IDs angeben

Um Ihre eigenen, bereits vorhandenen IAM-Service-IDs anstelle der automatisch bereitgestellten HMAC-Anmeldedaten zu verwenden, fügen Sie einen access_policies Block in die Erstellungsanfrage ein. Der Dienst überspringt die HMAC-Erstellung und verwendet die bereitgestellten Identitäten direkt.

curl -X POST \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "my-cyber-vault-byoid",
    "region": "us-south",
    "existing_cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
    "retention_config": {
      "minimum_days": 7,
      "default_days": 30,
      "maximum_days": 365
    },
    "encryption_config": {
      "type": "provider_managed"
    },
    "network_isolation_config": {
      "allowed_vpc_crns": [
        "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
      ]
    },
    "access_policies": {
      "write": {
        "identities": [
          { "type": "service_id", "id": "ServiceId-aaaabbbb-1111-2222-3333-444455556666" }
        ]
      },
      "read": {
        "identities": [
          { "type": "service_id", "id": "ServiceId-ccccdddd-7777-8888-9999-aaaabbbbcccc" }
        ]
      }
    }
  }'

Felder im Request-Body

In der folgenden Tabelle werden alle Felder im Request-Body der Cyber Vault-Erstellungsanfrage beschrieben.

Antwort erstellen

Eine erfolgreiche Anfrage gibt HTTP zurück 202 Accepted. Das Feld status vault ist zunächst auf gesetzt provisioning. Der Block access_restrictions fehlt derzeit noch; er wird ausgefüllt, sobald der Tresor den Status active erreicht hat.

auto_hmac Modus — 202 Accepted (mit Einschränkungen hinsichtlich des Zeitpunkts der Erstellung):

{
  "id": "vault-aabbccdd-1234-5678-abcd-eeff00112233",
  "name": "cv-my-cyber-vault-scheduled-aabbccdd",
  "status": "provisioning",
  "credential_mode": "auto_hmac",
  "region": "us-south",
  "account_id": "abc123def456abc123def456abc123de",
  "cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
  "network_isolation_config": {
    "allowed_vpc_crns": [
      "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
    ],
    "allowed_ip_ranges": ["10.0.0.0/8"]
  },
  "write_time_restrictions": {
    "start": "02:00:00+00:00",
    "end": "06:00:00+00:00",
    "days_of_week": [1, 2, 3, 4, 5],
    "timezone": "UTC",
    "description": "Backup window: Mon-Fri 02:00-06:00 UTC"
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T10:00:00Z",
  "updated_at": "2026-08-15T10:00:00Z"
}

service_id Modus — 202 Accepted:

{
  "id": "vault-11111111-aaaa-bbbb-cccc-222222222222",
  "name": "cv-my-cyber-vault-byoid-11111111",
  "status": "provisioning",
  "credential_mode": "service_id",
  "region": "us-south",
  "cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
  "network_isolation_config": {
    "allowed_vpc_crns": [
      "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
    ]
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T11:00:00Z",
  "updated_at": "2026-08-15T11:00:00Z"
}

Die folgende Tabelle beschreibt die Felder in der create-Antwort.

Abrufen von Vault-Details und HMAC-Anmeldedaten

Sobald ein Tresor den Status active erreicht hat, rufen Sie dessen Details – einschließlich der Endpunkt-URLs und der HMAC-Anmeldeinformationen – mithilfe des GET /v1/cyber_vaults/{vault_id} Endpunkts ab.

curl -X GET \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults/vault-87654321-abcd-1234-efgh-210987654321 \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN"

{
  "id": "vault-87654321-abcd-1234-efgh-210987654321",
  "name": "cv-my-cyber-vault-87654321",
  "status": "active",
  "credential_mode": "auto_hmac",
  "region": "us-south",
  "account_id": "abc123def456abc123def456abc123de",
  "cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
  "vault_private_endpoint": "https://cv-my-cyber-vault-87654321.s3.private.us-south.cloud-object-storage.appdomain.cloud",
  "vault_direct_endpoint": "https://cv-my-cyber-vault-87654321.s3.direct.us-south.cloud-object-storage.appdomain.cloud",
  "network_isolation_config": {
    "allowed_vpc_crns": [
      "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
    ],
    "allowed_ip_ranges": ["10.0.0.0/8"]
  },
  "access_restrictions": {
    "write": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-write-key",
          "id": "wr-cred-uuid-1111-2222-3333",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/wr-cred-uuid-1111-2222-3333"
        }
      ],
      "time_windows": []
    },
    "read": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-read-key",
          "id": "rd-cred-uuid-4444-5555-6666",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/rd-cred-uuid-4444-5555-6666"
        }
      ]
    }
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T10:00:00Z",
  "updated_at": "2026-08-15T10:01:30Z"
}

curl -X GET \
  "https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults/vault-87654321-abcd-1234-efgh-210987654321?include_credentials=true" \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN"

{
  "id": "vault-87654321-abcd-1234-efgh-210987654321",
  "name": "cv-my-cyber-vault-87654321",
  "status": "active",
  "credential_mode": "auto_hmac",
  "access_restrictions": {
    "write": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-write-key",
          "id": "wr-cred-uuid-1111-2222-3333",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/wr-cred-uuid-1111-2222-3333",
          "hmac_keys": {
            "access_key_id": "347aa3a4b34344f8bc7c7cccdf856e4c",
            "secret_access_key": "gvurfb82712ad14W7a7915h763a6i87155d30a1234364f61"
          }
        }
      ],
      "time_windows": []
    },
    "read": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-read-key",
          "id": "rd-cred-uuid-4444-5555-6666",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/rd-cred-uuid-4444-5555-6666",
          "hmac_keys": {
            "access_key_id": "a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4",
            "secret_access_key": "z9y8x7w6v5u4z9y8x7w6v5u4z9y8x7w6v5u4z9y8x7"
          }
        }
      ]
    }
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T10:00:00Z",
  "updated_at": "2026-08-15T10:01:30Z"
}

{
  "status_code": 403,
  "error": "failed to retrieve HMAC credentials from Resource Controller: caller does not have resource-controller.credential.retrieve_all on the credential resource"
}

curl -X GET \
  "https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults?account_id=abc123def456abc123def456abc123de" \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN"

Fehlerantworten

In der folgenden Tabelle werden die Fehlercodes beschrieben, die beim Vorgang create vault zurückgegeben werden.

400 — Fehlt existing_cos_instance_id im Modus auto_hmac:

{
  "status_code": 400,
  "error": "existing_cos_instance_id is required when credential_mode is auto_hmac (the default)"
}

400 — Fehlt network_isolation_config:

{
  "status_code": 400,
  "error": "network_isolation_config is required: at least one of allowed_vpc_crns or allowed_ip_ranges must be provided"
}

400 — IP-Bereich, der nicht zum privaten Bereich gemäß RFC 1918 gehört:

{
  "status_code": 400,
  "error": "allowed_ip_ranges must contain only private IP CIDR ranges (RFC 1918: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16), got: 203.0.113.0/24"
}