Paso 1: Abre la página de Cyber Vaults

1. Inicia sesión en la consola de IBM Cloud.
2. En el menú de navegación, selecciona IBM Cloud Object Storage.
3. En el panel de navegación de la izquierda, haz clic en Cyber Vault.
4. En la página Cyber Vaults, haz clic en Crear Cyber Vault.

Se abre el formulario Crear Cyber Vault. Un banner de advertencia en la parte superior del formulario te recuerda que la configuración del almacén no se puede editar una vez creado.

Paso 2: Introducir los datos del almacén

Rellena la sección Detalles del formulario de creación.

Prefijo del nombre del almacén

Introduce un prefijo para el nombre de tu almacén. El nombre definitivo del almacén incluye un sufijo único generado automáticamente y añadido por el servicio. El prefijo debe tener entre 3 y 63 caracteres, estar compuesto únicamente por caracteres alfanuméricos en minúscula y guiones, y comenzar y terminar con un carácter alfanumérico en minúscula. Puedes utilizar el icono de actualización para generar un prefijo aleatorio.

Descripción (Opcional)

Introduce una descripción libre del propósito del almacén. Por ejemplo: Immutable backup vault for production database snapshots.

Instancia de COS

Selecciona una instancia existente de Object Storage en el menú desplegable. Las credenciales HMAC de Vault se crean en función de la instancia que selecciones aquí.

Paso 3: Selecciona una ubicación

En la sección Ubicación, selecciona la región geográfica en la que se almacenan físicamente los datos de tu almacén.

Seleccione una ubicación

Por el momento, solo está disponible Dallas (us-south).

Paso 4: Configurar el periodo de retención del bloqueo de objetos

En la sección Período de retención del bloqueo de objetos, establezca el número predeterminado de días durante los que permanecerán bloqueados los objetos escritos en el almacén.

Retención predeterminada (días)

Utiliza el control deslizante para introducir el número de días. El valor predeterminado es 30. El bloqueo de objetos impide que estos se eliminen durante el periodo de tiempo configurado. Pulsa 0 para aplicar bloqueos manualmente por objeto utilizando la compatibilidad con la API Object Lock de S3 de tu software de copias de seguridad.

Al establecer la retención predeterminada en no 0 se aplica un bloqueo de retención automático. A los objetos se les pueden seguir aplicando bloqueos de retención de forma individual en el momento de la escritura.

Paso 5: Revisar los controles de acceso

La sección Controles de acceso es de carácter informativo. Las credenciales HMAC se crean automáticamente para el acceso de lectura y escritura. No es necesario configurar ninguna identidad en la consola.

Restricciones de escritura basadas en el tiempo (opcional)

Active las restricciones de escritura basadas en el tiempo para limitar cuándo los agentes de copia de seguridad pueden escribir en el almacén. Cuando se activa, aparecen dos campos de hora:

• Hora de inicio (UTC): El inicio de la ventana de escritura diaria en formato HH:MM. Por ejemplo, 07:00.
• Hora de finalización (UTC): el final de la ventana de escritura diaria en formato HH:MM. Por ejemplo, 18:00. La hora de finalización debe ser posterior a la hora de inicio.

Cuando el conmutador está desactivado, los agentes de copia de seguridad tienen acceso de escritura permanente dentro de las restricciones de red que configures.

Paso 6: Configurar restricciones basadas en el contexto

En la sección Restricciones basadas en el contexto, restrinja el acceso a la bóveda por zona de red. Haz clic en Añadir restricciones basadas en el contexto para abrir el panel de restricciones. Selecciona el tipo de restricción y proporciona la información necesaria.

Haz clic en Guardar en el panel para añadir la restricción a la lista. Repite este proceso para añadir varias restricciones de cualquier tipo.

IBM Se recomienda configurar al menos una restricción basada en el contexto para todas las bóvedas de producción. Se puede acceder a un almacén sin restricciones desde cualquier red que disponga de credenciales HMAC válidas.

Paso 7: Revisar el cifrado

La sección Cifrado tiene carácter informativo. En la versión beta, el cifrado lo gestiona únicamente el proveedor. IBM crea y renueva automáticamente las claves de AES-256 para el almacén. No se requiere gestión de claves.

Para utilizar una clave raíz gestionada por el cliente (Bring Your Own Key), utiliza la API de IBM Cloud Object Storage Solutions y configura encryption_config.type en customer_managed.

Paso 8: Acepta la licencia y crea el almacén

1. Marque la casilla He leído y acepto el siguiente contrato de licencia y revise las condiciones a las que se remite el enlace.
2. Pulse Crear.

La configuración de Vault es permanente y no se puede modificar una vez creada. Revisa detenidamente todos los ajustes antes de hacer clic en Crear.

El estado del almacén se muestra como Aprovisionamiento mientras el servicio configura el depósito subyacente de IBM Cloud Object Storage, crea las credenciales HMAC y aplica todos los controles de acceso. Una vez finalizado el aprovisionamiento, el estado cambia a Activo y el almacén está listo para su uso.

La creación de un almacén es una operación asíncrona. El access_restrictions bloque —que contiene los datos de tus credenciales HMAC de lectura y escritura— no aparece mientras la bóveda se encuentra en ese estado provisioning. Estará disponible una vez que el almacén alcance el estado active.

Modo 1: Auto-HMAC (predeterminado)

En el auto_hmac modo predeterminado, omite el campo access_policies. El servicio crea automáticamente dos pares de credenciales de servicio HMAC con ámbito específico —una clave de escritura y una clave de lectura— para tu existing_cos_instance_id.

curl -X POST \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "my-cyber-vault",
    "region": "us-south",
    "existing_cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
    "retention_config": {
      "minimum_days": 7,
      "default_days": 30,
      "maximum_days": 365
    },
    "encryption_config": {
      "type": "provider_managed"
    },
    "network_isolation_config": {
      "allowed_vpc_crns": [
        "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
      ],
      "allowed_ip_ranges": [
        "10.0.0.0/8"
      ]
    }
  }'

curl -X POST \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "my-cyber-vault-scheduled",
    "region": "us-south",
    "existing_cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
    "retention_config": {
      "minimum_days": 7,
      "default_days": 30,
      "maximum_days": 365
    },
    "encryption_config": {
      "type": "provider_managed"
    },
    "network_isolation_config": {
      "allowed_vpc_crns": [
        "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
      ],
      "allowed_ip_ranges": [
        "10.0.0.0/8"
      ]
    },
    "write_time_restrictions": {
      "start": "02:00:00+00:00",
      "end": "06:00:00+00:00",
      "days_of_week": [1, 2, 3, 4, 5],
      "timezone": "UTC",
      "description": "Backup window: Mon-Fri 02:00-06:00 UTC"
    }
  }'

Modo 2: Proporcionar los ID de servicio existentes

Para utilizar tus propios identificadores de servicio IAM ya existentes en lugar de las credenciales HMAC asignadas automáticamente, incluye un access_policies bloque en la solicitud de creación. El servicio omite la creación de HMAC y utiliza directamente las identidades proporcionadas.

curl -X POST \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "my-cyber-vault-byoid",
    "region": "us-south",
    "existing_cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
    "retention_config": {
      "minimum_days": 7,
      "default_days": 30,
      "maximum_days": 365
    },
    "encryption_config": {
      "type": "provider_managed"
    },
    "network_isolation_config": {
      "allowed_vpc_crns": [
        "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
      ]
    },
    "access_policies": {
      "write": {
        "identities": [
          { "type": "service_id", "id": "ServiceId-aaaabbbb-1111-2222-3333-444455556666" }
        ]
      },
      "read": {
        "identities": [
          { "type": "service_id", "id": "ServiceId-ccccdddd-7777-8888-9999-aaaabbbbcccc" }
        ]
      }
    }
  }'

Campos del cuerpo de la solicitud

La siguiente tabla describe todos los campos del cuerpo de la solicitud de creación de Cyber Vault.

Crear respuesta

Una solicitud realizada con éxito devuelve HTTP202 Accepted. El campo status vault está configurado inicialmente en provisioning. El access_restrictions bloque no está presente en esta fase; se rellena una vez que el almacén alcanza el estado active.

auto_hmac modo — ( 202 Accepted con restricciones de tiempo de escritura):

{
  "id": "vault-aabbccdd-1234-5678-abcd-eeff00112233",
  "name": "cv-my-cyber-vault-scheduled-aabbccdd",
  "status": "provisioning",
  "credential_mode": "auto_hmac",
  "region": "us-south",
  "account_id": "abc123def456abc123def456abc123de",
  "cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
  "network_isolation_config": {
    "allowed_vpc_crns": [
      "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
    ],
    "allowed_ip_ranges": ["10.0.0.0/8"]
  },
  "write_time_restrictions": {
    "start": "02:00:00+00:00",
    "end": "06:00:00+00:00",
    "days_of_week": [1, 2, 3, 4, 5],
    "timezone": "UTC",
    "description": "Backup window: Mon-Fri 02:00-06:00 UTC"
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T10:00:00Z",
  "updated_at": "2026-08-15T10:00:00Z"
}

service_id modo — 202 Accepted:

{
  "id": "vault-11111111-aaaa-bbbb-cccc-222222222222",
  "name": "cv-my-cyber-vault-byoid-11111111",
  "status": "provisioning",
  "credential_mode": "service_id",
  "region": "us-south",
  "cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
  "network_isolation_config": {
    "allowed_vpc_crns": [
      "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
    ]
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T11:00:00Z",
  "updated_at": "2026-08-15T11:00:00Z"
}

La siguiente tabla describe los campos de la respuesta de creación.

Recuperación de los detalles del almacén y de las credenciales HMAC

Una vez que un almacén alcance el estado active, recupera sus detalles —incluidas las URL de los puntos finales y la información de credenciales HMAC— utilizando el punto GET /v1/cyber_vaults/{vault_id} final.

curl -X GET \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults/vault-87654321-abcd-1234-efgh-210987654321 \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN"

{
  "id": "vault-87654321-abcd-1234-efgh-210987654321",
  "name": "cv-my-cyber-vault-87654321",
  "status": "active",
  "credential_mode": "auto_hmac",
  "region": "us-south",
  "account_id": "abc123def456abc123def456abc123de",
  "cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
  "vault_private_endpoint": "https://cv-my-cyber-vault-87654321.s3.private.us-south.cloud-object-storage.appdomain.cloud",
  "vault_direct_endpoint": "https://cv-my-cyber-vault-87654321.s3.direct.us-south.cloud-object-storage.appdomain.cloud",
  "network_isolation_config": {
    "allowed_vpc_crns": [
      "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
    ],
    "allowed_ip_ranges": ["10.0.0.0/8"]
  },
  "access_restrictions": {
    "write": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-write-key",
          "id": "wr-cred-uuid-1111-2222-3333",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/wr-cred-uuid-1111-2222-3333"
        }
      ],
      "time_windows": []
    },
    "read": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-read-key",
          "id": "rd-cred-uuid-4444-5555-6666",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/rd-cred-uuid-4444-5555-6666"
        }
      ]
    }
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T10:00:00Z",
  "updated_at": "2026-08-15T10:01:30Z"
}

curl -X GET \
  "https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults/vault-87654321-abcd-1234-efgh-210987654321?include_credentials=true" \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN"

{
  "id": "vault-87654321-abcd-1234-efgh-210987654321",
  "name": "cv-my-cyber-vault-87654321",
  "status": "active",
  "credential_mode": "auto_hmac",
  "access_restrictions": {
    "write": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-write-key",
          "id": "wr-cred-uuid-1111-2222-3333",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/wr-cred-uuid-1111-2222-3333",
          "hmac_keys": {
            "access_key_id": "347aa3a4b34344f8bc7c7cccdf856e4c",
            "secret_access_key": "gvurfb82712ad14W7a7915h763a6i87155d30a1234364f61"
          }
        }
      ],
      "time_windows": []
    },
    "read": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-read-key",
          "id": "rd-cred-uuid-4444-5555-6666",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/rd-cred-uuid-4444-5555-6666",
          "hmac_keys": {
            "access_key_id": "a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4",
            "secret_access_key": "z9y8x7w6v5u4z9y8x7w6v5u4z9y8x7w6v5u4z9y8x7"
          }
        }
      ]
    }
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T10:00:00Z",
  "updated_at": "2026-08-15T10:01:30Z"
}

{
  "status_code": 403,
  "error": "failed to retrieve HMAC credentials from Resource Controller: caller does not have resource-controller.credential.retrieve_all on the credential resource"
}

curl -X GET \
  "https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults?account_id=abc123def456abc123def456abc123de" \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN"

Respuestas de error

La siguiente tabla describe los códigos de error que devuelve la operación create vault.

400 — Falta existing_cos_instance_id en modo auto_hmac:

{
  "status_code": 400,
  "error": "existing_cos_instance_id is required when credential_mode is auto_hmac (the default)"
}

400 — Falta network_isolation_config:

{
  "status_code": 400,
  "error": "network_isolation_config is required: at least one of allowed_vpc_crns or allowed_ip_ranges must be provided"
}

400 — Rango de direcciones IP que no se encuentra en el espacio privado del RFC 1918:

{
  "status_code": 400,
  "error": "allowed_ip_ranges must contain only private IP CIDR ranges (RFC 1918: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16), got: 203.0.113.0/24"
}