Étape 1 : Ouvrez la page Cyber Vaults

1. Connectez-vous à la console d' IBM Cloud.
2. Dans le menu de navigation, sélectionnez IBM Cloud Object Storage.
3. Dans le panneau de navigation de gauche, cliquez sur Cyber Vault.
4. Sur la page Cyber Vaults, cliquez sur Créer un Cyber Vault.

Le formulaire Créer un Cyber Vault s'ouvre. Une bannière d'avertissement en haut du formulaire vous rappelle que la configuration du coffre-fort ne peut plus être modifiée après sa création.

Étape 2 : Saisir les informations relatives au coffre-fort

Remplissez la section Détails du formulaire de création.

Préfixe du nom du coffre-fort

Saisissez un préfixe pour votre coffre-fort. Le nom final du coffre-fort comprend un suffixe unique généré automatiquement et ajouté par le service. Le préfixe doit comporter entre 3 et 63 caractères, être composé exclusivement de caractères alphanumériques minuscules et de tirets, et commencer et se terminer par un caractère alphanumérique minuscule. Vous pouvez utiliser l'icône d'actualisation pour générer un préfixe aléatoire.

Description (optionnel)

Saisissez une description libre de l'objectif du coffre-fort. Par exemple : Immutable backup vault for production database snapshots.

Instance COS

Sélectionnez une instance existante d' Object Storage dans le menu déroulant. Les identifiants HMAC du coffre-fort sont créés pour l'instance que vous sélectionnez ici.

Étape 3 : Sélectionnez un emplacement

Dans la section Emplacement, sélectionnez la région géographique où vos données de coffre-fort sont physiquement stockées.

Sélectionner une localisation

Pour l'instant, seul Dallas (us-south) est disponible.

Étape 4 : Configurer la durée de conservation du verrouillage d'objet

Dans la section Durée de verrouillage des objets, définissez le nombre de jours par défaut pendant lesquels les objets enregistrés dans le coffre-fort restent verrouillés.

Durée de conservation par défaut (jours)

Utilisez le sélecteur pour saisir le nombre de jours. La valeur par défaut est 30. Le verrouillage d'objet empêche la suppression des objets pendant la durée configurée. Appuyez sur pour 0 appliquer manuellement des verrous par objet à l'aide de la prise en charge de l'API Object Lock d' S3, intégrée à votre logiciel de sauvegarde.

Le fait de définir la conservation par défaut sur 0 n'applique pas de verrouillage automatique de conservation. Il est toujours possible d'appliquer des verrous de conservation aux objets individuellement au moment de l'écriture.

Étape 5 : Vérifier les contrôles d'accès

La section Contrôles d'accès est informative. Les identifiants HMAC sont créés automatiquement pour les accès en lecture et en écriture. Aucune configuration d'identité n'est requise dans la console.

Restrictions d'écriture basées sur la durée (facultatif)

Activez les restrictions d'écriture basées sur l'heure pour limiter les moments où les agents de sauvegarde peuvent écrire dans le coffre-fort. Lorsque cette option est activée, deux champs de date et d'heure s'affichent :

• Heure de début (UTC): le début de la fenêtre d'écriture quotidienne au format HH:MM. Par exemple, 07:00.
• Heure de fin (UTC): fin de la fenêtre d'écriture quotidienne au format HH:MM. Par exemple, 18:00. L'heure de fin doit être postérieure à l'heure de début.

Lorsque le commutateur est désactivé, les agents de sauvegarde disposent d'un accès en écriture permanent, dans les limites des restrictions réseau que vous configurez.

Étape 6 : Configurer les restrictions basées sur le contexte

Dans la section Restrictions basées sur le contexte, limitez l'accès au coffre-fort par zone réseau. Cliquez sur Ajouter des restrictions basées sur le contexte pour ouvrir le panneau des restrictions. Sélectionnez le type de restriction et fournissez les informations requises.

Cliquez sur Enregistrer dans le panneau pour ajouter la restriction à la liste. Répétez cette procédure pour ajouter plusieurs restrictions de tout type.

IBM Il est recommandé de configurer au moins une restriction basée sur le contexte pour tous les coffres de production. Un coffre-fort sans restriction est accessible depuis n'importe quel réseau disposant d'identifiants HMAC valides.

Étape 7 : Vérification du chiffrement

La section Chiffrement est informative. Dans la version bêta, le chiffrement est géré uniquement par le fournisseur. Le service IBM crée et renouvelle automatiquement les clés AES-256 pour le coffre-fort. Aucune gestion des clés n'est requise.

Pour utiliser une clé racine gérée par le client (Bring Your Own Key), utilisez l'API IBM Cloud Object Storage Solutions et définissez encryption_config.type sur customer_managed.

Étape 8 : Acceptez la licence et créez le coffre-fort

1. Cochez la case J'ai lu et j'accepte le contrat de licence suivant et consultez les conditions générales associées.
2. Cliquez sur Créer.

La configuration du coffre-fort est définitive et ne peut pas être modifiée après sa création. Vérifiez attentivement tous les paramètres avant de cliquer sur Créer.

Le statut du coffre-fort s'affiche comme Provisioning pendant que le service configure le compartiment IBM Cloud Object Storage sous-jacent, crée les identifiants HMAC et applique tous les contrôles d'accès. Une fois le provisionnement terminé, le statut passe à Actif et le coffre-fort est prêt à être utilisé.

La création d'un coffre-fort est une opération asynchrone. Le access_restrictions bloc — qui contient vos informations d'identification HMAC en lecture et en écriture — est absent tant que le coffre-fort est dans cet état provisioning. Il devient disponible dès que le coffre-fort atteint le statut active.

Mode 1 : Auto-HMAC (par défaut)

En mode auto_hmac par défaut, omettez le champ access_policies. Le service crée automatiquement deux paires d’identifiants de service HMAC à portée limitée — une clé d’écriture et une clé de lecture — associées à votre existing_cos_instance_id.

curl -X POST \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "my-cyber-vault",
    "region": "us-south",
    "existing_cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
    "retention_config": {
      "minimum_days": 7,
      "default_days": 30,
      "maximum_days": 365
    },
    "encryption_config": {
      "type": "provider_managed"
    },
    "network_isolation_config": {
      "allowed_vpc_crns": [
        "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
      ],
      "allowed_ip_ranges": [
        "10.0.0.0/8"
      ]
    }
  }'

curl -X POST \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "my-cyber-vault-scheduled",
    "region": "us-south",
    "existing_cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
    "retention_config": {
      "minimum_days": 7,
      "default_days": 30,
      "maximum_days": 365
    },
    "encryption_config": {
      "type": "provider_managed"
    },
    "network_isolation_config": {
      "allowed_vpc_crns": [
        "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
      ],
      "allowed_ip_ranges": [
        "10.0.0.0/8"
      ]
    },
    "write_time_restrictions": {
      "start": "02:00:00+00:00",
      "end": "06:00:00+00:00",
      "days_of_week": [1, 2, 3, 4, 5],
      "timezone": "UTC",
      "description": "Backup window: Mon-Fri 02:00-06:00 UTC"
    }
  }'

Mode 2 : Fournir les identifiants de service existants

Pour utiliser vos propres identifiants de service IAM existants à la place des identifiants HMAC attribués automatiquement, incluez un access_policies bloc dans la requête de création. Le service ne génère pas de HMAC et utilise directement les identités fournies.

curl -X POST \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "my-cyber-vault-byoid",
    "region": "us-south",
    "existing_cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
    "retention_config": {
      "minimum_days": 7,
      "default_days": 30,
      "maximum_days": 365
    },
    "encryption_config": {
      "type": "provider_managed"
    },
    "network_isolation_config": {
      "allowed_vpc_crns": [
        "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
      ]
    },
    "access_policies": {
      "write": {
        "identities": [
          { "type": "service_id", "id": "ServiceId-aaaabbbb-1111-2222-3333-444455556666" }
        ]
      },
      "read": {
        "identities": [
          { "type": "service_id", "id": "ServiceId-ccccdddd-7777-8888-9999-aaaabbbbcccc" }
        ]
      }
    }
  }'

Champs du corps de la requête

Le tableau suivant décrit tous les champs du corps de la requête de création de Cyber Vault.

Créer une réponse

Une requête réussie renvoie HTTP202 Accepted. Le champ status vault est initialement défini sur provisioning. Le access_restrictions bloc est absent à ce stade; il est renseigné dès que le coffre-fort atteint le statut active.

auto_hmac mode — ( 202 Accepted avec des restrictions concernant l'heure de rédaction):

{
  "id": "vault-aabbccdd-1234-5678-abcd-eeff00112233",
  "name": "cv-my-cyber-vault-scheduled-aabbccdd",
  "status": "provisioning",
  "credential_mode": "auto_hmac",
  "region": "us-south",
  "account_id": "abc123def456abc123def456abc123de",
  "cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
  "network_isolation_config": {
    "allowed_vpc_crns": [
      "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
    ],
    "allowed_ip_ranges": ["10.0.0.0/8"]
  },
  "write_time_restrictions": {
    "start": "02:00:00+00:00",
    "end": "06:00:00+00:00",
    "days_of_week": [1, 2, 3, 4, 5],
    "timezone": "UTC",
    "description": "Backup window: Mon-Fri 02:00-06:00 UTC"
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T10:00:00Z",
  "updated_at": "2026-08-15T10:00:00Z"
}

service_id mode — 202 Accepted:

{
  "id": "vault-11111111-aaaa-bbbb-cccc-222222222222",
  "name": "cv-my-cyber-vault-byoid-11111111",
  "status": "provisioning",
  "credential_mode": "service_id",
  "region": "us-south",
  "cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
  "network_isolation_config": {
    "allowed_vpc_crns": [
      "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
    ]
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T11:00:00Z",
  "updated_at": "2026-08-15T11:00:00Z"
}

Le tableau suivant décrit les champs de la réponse de création.

Récupération des détails du coffre-fort et des identifiants HMAC

Une fois qu'un coffre-fort a atteint le statut active, récupérez ses détails — y compris les URL des points de terminaison et les informations d'identification HMAC — à l'aide du point GET /v1/cyber_vaults/{vault_id} de terminaison.

curl -X GET \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults/vault-87654321-abcd-1234-efgh-210987654321 \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN"

{
  "id": "vault-87654321-abcd-1234-efgh-210987654321",
  "name": "cv-my-cyber-vault-87654321",
  "status": "active",
  "credential_mode": "auto_hmac",
  "region": "us-south",
  "account_id": "abc123def456abc123def456abc123de",
  "cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
  "vault_private_endpoint": "https://cv-my-cyber-vault-87654321.s3.private.us-south.cloud-object-storage.appdomain.cloud",
  "vault_direct_endpoint": "https://cv-my-cyber-vault-87654321.s3.direct.us-south.cloud-object-storage.appdomain.cloud",
  "network_isolation_config": {
    "allowed_vpc_crns": [
      "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
    ],
    "allowed_ip_ranges": ["10.0.0.0/8"]
  },
  "access_restrictions": {
    "write": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-write-key",
          "id": "wr-cred-uuid-1111-2222-3333",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/wr-cred-uuid-1111-2222-3333"
        }
      ],
      "time_windows": []
    },
    "read": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-read-key",
          "id": "rd-cred-uuid-4444-5555-6666",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/rd-cred-uuid-4444-5555-6666"
        }
      ]
    }
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T10:00:00Z",
  "updated_at": "2026-08-15T10:01:30Z"
}

curl -X GET \
  "https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults/vault-87654321-abcd-1234-efgh-210987654321?include_credentials=true" \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN"

{
  "id": "vault-87654321-abcd-1234-efgh-210987654321",
  "name": "cv-my-cyber-vault-87654321",
  "status": "active",
  "credential_mode": "auto_hmac",
  "access_restrictions": {
    "write": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-write-key",
          "id": "wr-cred-uuid-1111-2222-3333",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/wr-cred-uuid-1111-2222-3333",
          "hmac_keys": {
            "access_key_id": "347aa3a4b34344f8bc7c7cccdf856e4c",
            "secret_access_key": "gvurfb82712ad14W7a7915h763a6i87155d30a1234364f61"
          }
        }
      ],
      "time_windows": []
    },
    "read": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-read-key",
          "id": "rd-cred-uuid-4444-5555-6666",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/rd-cred-uuid-4444-5555-6666",
          "hmac_keys": {
            "access_key_id": "a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4",
            "secret_access_key": "z9y8x7w6v5u4z9y8x7w6v5u4z9y8x7w6v5u4z9y8x7"
          }
        }
      ]
    }
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T10:00:00Z",
  "updated_at": "2026-08-15T10:01:30Z"
}

{
  "status_code": 403,
  "error": "failed to retrieve HMAC credentials from Resource Controller: caller does not have resource-controller.credential.retrieve_all on the credential resource"
}

curl -X GET \
  "https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults?account_id=abc123def456abc123def456abc123de" \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN"

Réponses d'erreur

Le tableau suivant décrit les codes d'erreur renvoyés par l'opération de création d'un coffre-fort.

400 — Manquant existing_cos_instance_id en auto_hmac mode :

{
  "status_code": 400,
  "error": "existing_cos_instance_id is required when credential_mode is auto_hmac (the default)"
}

400 — Manquant network_isolation_config:

{
  "status_code": 400,
  "error": "network_isolation_config is required: at least one of allowed_vpc_crns or allowed_ip_ranges must be provided"
}

400 — Plage d’adresses IP ne faisant pas partie de l’espace privé défini par la RFC 1918 :

{
  "status_code": 400,
  "error": "allowed_ip_ranges must contain only private IP CIDR ranges (RFC 1918: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16), got: 203.0.113.0/24"
}