Passaggio 1: Apri la pagina Cyber Vaults

1. Accedi al sito IBM Cloud console.
2. Dal menu di navigazione, seleziona IBM Cloud Object Storage.
3. Nel pannello di navigazione a sinistra, fare clic su Cyber Vault.
4. Nella pagina "Cyber Vaults", fare clic su "Crea Cyber Vault ".

Si apre il modulo "Crea Cyber Vault". Un banner di avviso nella parte superiore del modulo ricorda che la configurazione dell'archivio non può essere modificata dopo la creazione.

Fase 2: Inserisci i dettagli del vault

Compila la sezione " Dettagli " del modulo di creazione.

Prefisso del nome del vault

Inserisci un prefisso per il nome del tuo vault. Il nome finale del vault include un suffisso univoco generato automaticamente e aggiunto dal servizio. Il prefisso deve contenere da 3 a 63 caratteri, essere composto esclusivamente da caratteri alfanumerici minuscoli e trattini, e iniziare e terminare con un carattere alfanumerico minuscolo. È possibile utilizzare l'icona di aggiornamento per generare un prefisso casuale.

Descrizione (facoltativo)

Inserisci una descrizione libera dello scopo del caveau. Ad esempio: Immutable backup vault for production database snapshots.

Istanza COS

Seleziona un'istanza esistente di Object Storage dal menu a tendina. Le credenziali HMAC del vault vengono generate in base all'istanza selezionata in questa schermata.

Fase 3: Seleziona una località

Nella sezione " Posizione ", seleziona l'area geografica in cui sono fisicamente archiviati i dati del tuo vault.

Selezionare un'ubicazione

Al momento è disponibile solo Dallas (sud degli Stati Uniti).

Passaggio 4: Configurare il periodo di conservazione del blocco degli oggetti

Nella sezione " Periodo di blocco degli oggetti ", imposta il numero predefinito di giorni per cui gli oggetti scritti nel vault rimangono bloccati.

Periodo di conservazione predefinito (giorni)

Utilizza il tasto di scorrimento per inserire il numero di giorni. Il valore predefinito è 30. Il blocco degli oggetti impedisce che questi vengano eliminati per il periodo di tempo configurato. Accedi a 0 per applicare manualmente i blocchi per singolo oggetto utilizzando il supporto dell'API Object Lock S3 del tuo software di backup.

L'impostazione della conservazione predefinita su “ 0 ” non comporta l'applicazione di un blocco automatico della conservazione. È comunque possibile applicare blocchi di ritenzione ai singoli oggetti al momento della scrittura.

Fase 5: Verifica dei controlli di accesso

La sezione " Controlli di accesso " ha carattere puramente informativo. Le credenziali HMAC vengono generate automaticamente per l'accesso in lettura e in scrittura. Non è necessaria alcuna configurazione dell'identità nella console.

Restrizioni di scrittura basate sul tempo (facoltative)

Attiva le restrizioni di scrittura basate sul tempo per limitare i momenti in cui gli agenti di backup possono scrivere nel vault. Quando è attivata, compaiono due campi relativi all'ora:

• Ora di inizio (UTC): l'inizio della finestra di scrittura giornaliera nel formato " HH:MM ". Ad esempio, 07:00.
• Ora di fine (UTC): la fine della finestra di scrittura giornaliera nel formato HH:MM. Ad esempio, 18:00. È necessario che l'ora di fine sia successiva all'ora di inizio.

Quando l'opzione è disattivata, gli agenti di backup dispongono di accesso in scrittura sempre attivo, nel rispetto delle restrizioni di rete configurate dall'utente.

Passaggio 6: Configurare le restrizioni basate sul contesto

Nella sezione " Restrizioni basate sul contesto ", limitare l'accesso al vault in base alla zona di rete. Fai clic su " Aggiungi restrizioni basate sul contesto " per aprire il pannello delle restrizioni. Selezionare il tipo di restrizione e inserire le informazioni richieste.

Fai clic su “Salva” nel pannello per aggiungere la restrizione all’elenco. Ripetere l'operazione per aggiungere più restrizioni di qualsiasi tipo.

IBM raccomanda di configurare almeno una restrizione basata sul contesto per tutti i vault di produzione. È possibile accedere a un vault senza restrizioni da qualsiasi rete in possesso di credenziali HMAC valide.

Passaggio 7: Verifica della crittografia

La sezione “Crittografia” ha carattere puramente informativo. Nella versione beta, la crittografia è gestita esclusivamente dal provider. IBM crea e ruota automaticamente le chiavi " AES-256 " per il vault. Non è necessaria alcuna gestione delle chiavi.

Per utilizzare una chiave root gestita dal cliente (Bring Your Own Key), utilizzare l'API di " IBM Cloud Object Storage " e impostare il parametro " encryption_config.type " su " customer_managed".

Passaggio 8: Accettare i termini della licenza e creare il vault

1. Seleziona la casella di controllo " Ho letto e accetto il seguente contratto di licenza " e consulta i termini riportati nel link.
2. Fai clic su Crea.

La configurazione del vault è permanente e non può essere modificata dopo la creazione. Controlla attentamente tutte le impostazioni prima di fare clic su “Crea ”.

Lo stato del vault viene visualizzato come " Provisioning " mentre il servizio configura il bucket sottostante di IBM Cloud Object Storage, crea le credenziali HMAC e applica tutti i controlli di accesso. Una volta completata la configurazione, lo stato passa a “Attivo” e il vault è pronto per l’uso.

La creazione di un vault è un'operazione asincrona. Il blocco " access_restrictions " — che contiene i dettagli delle credenziali HMAC di scrittura e lettura — risulta assente quando il vault si trova nello stato " provisioning ". Diventa disponibile non appena il vault raggiunge lo stato “ active ”.

Modalità 1: Auto-HMAC (impostazione predefinita)

Nella modalità predefinita “ auto_hmac ”, ometti il campo “ access_policies ”. Il servizio crea automaticamente due coppie di credenziali HMAC con ambito limitato — una chiave di scrittura e una chiave di lettura — associate al tuo existing_cos_instance_id.

curl -X POST \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "my-cyber-vault",
    "region": "us-south",
    "existing_cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
    "retention_config": {
      "minimum_days": 7,
      "default_days": 30,
      "maximum_days": 365
    },
    "encryption_config": {
      "type": "provider_managed"
    },
    "network_isolation_config": {
      "allowed_vpc_crns": [
        "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
      ],
      "allowed_ip_ranges": [
        "10.0.0.0/8"
      ]
    }
  }'

curl -X POST \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "my-cyber-vault-scheduled",
    "region": "us-south",
    "existing_cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
    "retention_config": {
      "minimum_days": 7,
      "default_days": 30,
      "maximum_days": 365
    },
    "encryption_config": {
      "type": "provider_managed"
    },
    "network_isolation_config": {
      "allowed_vpc_crns": [
        "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
      ],
      "allowed_ip_ranges": [
        "10.0.0.0/8"
      ]
    },
    "write_time_restrictions": {
      "start": "02:00:00+00:00",
      "end": "06:00:00+00:00",
      "days_of_week": [1, 2, 3, 4, 5],
      "timezone": "UTC",
      "description": "Backup window: Mon-Fri 02:00-06:00 UTC"
    }
  }'

Modalità 2: Inserire gli ID dei servizi esistenti

Per utilizzare i propri ID di servizio IAM preesistenti invece delle credenziali HMAC fornite automaticamente, è necessario includere un blocco access_policies nella richiesta di creazione. Il servizio salta la fase di creazione dell'HMAC e utilizza direttamente le identità fornite.

curl -X POST \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "my-cyber-vault-byoid",
    "region": "us-south",
    "existing_cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
    "retention_config": {
      "minimum_days": 7,
      "default_days": 30,
      "maximum_days": 365
    },
    "encryption_config": {
      "type": "provider_managed"
    },
    "network_isolation_config": {
      "allowed_vpc_crns": [
        "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
      ]
    },
    "access_policies": {
      "write": {
        "identities": [
          { "type": "service_id", "id": "ServiceId-aaaabbbb-1111-2222-3333-444455556666" }
        ]
      },
      "read": {
        "identities": [
          { "type": "service_id", "id": "ServiceId-ccccdddd-7777-8888-9999-aaaabbbbcccc" }
        ]
      }
    }
  }'

Campi del corpo della richiesta

La tabella seguente descrive tutti i campi presenti nel corpo della richiesta di creazione di un Cyber Vault.

Crea una risposta

Una richiesta andata a buon fine restituisce un HTTP 202 Accepted. Il campo " status " del vault è inizialmente impostato su " provisioning". Il blocco " access_restrictions " non è presente in questa fase; verrà compilato una volta che il vault avrà raggiunto lo stato " active ".

auto_hmac modalità — 202 Accepted (con restrizioni relative all’ora di scrittura):

{
  "id": "vault-aabbccdd-1234-5678-abcd-eeff00112233",
  "name": "cv-my-cyber-vault-scheduled-aabbccdd",
  "status": "provisioning",
  "credential_mode": "auto_hmac",
  "region": "us-south",
  "account_id": "abc123def456abc123def456abc123de",
  "cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
  "network_isolation_config": {
    "allowed_vpc_crns": [
      "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
    ],
    "allowed_ip_ranges": ["10.0.0.0/8"]
  },
  "write_time_restrictions": {
    "start": "02:00:00+00:00",
    "end": "06:00:00+00:00",
    "days_of_week": [1, 2, 3, 4, 5],
    "timezone": "UTC",
    "description": "Backup window: Mon-Fri 02:00-06:00 UTC"
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T10:00:00Z",
  "updated_at": "2026-08-15T10:00:00Z"
}

service_id modalità — 202 Accepted:

{
  "id": "vault-11111111-aaaa-bbbb-cccc-222222222222",
  "name": "cv-my-cyber-vault-byoid-11111111",
  "status": "provisioning",
  "credential_mode": "service_id",
  "region": "us-south",
  "cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
  "network_isolation_config": {
    "allowed_vpc_crns": [
      "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
    ]
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T11:00:00Z",
  "updated_at": "2026-08-15T11:00:00Z"
}

La tabella seguente descrive i campi presenti nella risposta di creazione.

Recupero dei dettagli del vault e delle credenziali HMAC

Una volta che un vault ha raggiunto lo stato “ active ”, è possibile recuperare i relativi dettagli — inclusi gli URL degli endpoint e le informazioni sulle credenziali HMAC — utilizzando l’endpoint GET /v1/cyber_vaults/{vault_id}.

curl -X GET \
  https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults/vault-87654321-abcd-1234-efgh-210987654321 \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN"

{
  "id": "vault-87654321-abcd-1234-efgh-210987654321",
  "name": "cv-my-cyber-vault-87654321",
  "status": "active",
  "credential_mode": "auto_hmac",
  "region": "us-south",
  "account_id": "abc123def456abc123def456abc123de",
  "cos_instance_id": "crn:v1:bluemix:public:cloud-object-storage:global:a/abc123def456abc123def456abc123de:12345678-1234-1234-1234-123456789012::",
  "vault_private_endpoint": "https://cv-my-cyber-vault-87654321.s3.private.us-south.cloud-object-storage.appdomain.cloud",
  "vault_direct_endpoint": "https://cv-my-cyber-vault-87654321.s3.direct.us-south.cloud-object-storage.appdomain.cloud",
  "network_isolation_config": {
    "allowed_vpc_crns": [
      "crn:v1:bluemix:public:is:us-south:a/abc123def456abc123def456abc123de::vpc:r006-11112222-3333-4444-5555-666677778888"
    ],
    "allowed_ip_ranges": ["10.0.0.0/8"]
  },
  "access_restrictions": {
    "write": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-write-key",
          "id": "wr-cred-uuid-1111-2222-3333",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/wr-cred-uuid-1111-2222-3333"
        }
      ],
      "time_windows": []
    },
    "read": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-read-key",
          "id": "rd-cred-uuid-4444-5555-6666",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/rd-cred-uuid-4444-5555-6666"
        }
      ]
    }
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T10:00:00Z",
  "updated_at": "2026-08-15T10:01:30Z"
}

curl -X GET \
  "https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults/vault-87654321-abcd-1234-efgh-210987654321?include_credentials=true" \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN"

{
  "id": "vault-87654321-abcd-1234-efgh-210987654321",
  "name": "cv-my-cyber-vault-87654321",
  "status": "active",
  "credential_mode": "auto_hmac",
  "access_restrictions": {
    "write": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-write-key",
          "id": "wr-cred-uuid-1111-2222-3333",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/wr-cred-uuid-1111-2222-3333",
          "hmac_keys": {
            "access_key_id": "347aa3a4b34344f8bc7c7cccdf856e4c",
            "secret_access_key": "gvurfb82712ad14W7a7915h763a6i87155d30a1234364f61"
          }
        }
      ],
      "time_windows": []
    },
    "read": {
      "credentials": [
        {
          "type": "hmac",
          "name": "cv-my-cyber-vault-87654321-read-key",
          "id": "rd-cred-uuid-4444-5555-6666",
          "credential_url": "https://resource-controller.cloud.ibm.com/v2/resource_keys/rd-cred-uuid-4444-5555-6666",
          "hmac_keys": {
            "access_key_id": "a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4",
            "secret_access_key": "z9y8x7w6v5u4z9y8x7w6v5u4z9y8x7w6v5u4z9y8x7"
          }
        }
      ]
    }
  },
  "retention_config": { "minimum_days": 7, "default_days": 30, "maximum_days": 365 },
  "encryption_config": { "type": "provider_managed" },
  "created_at": "2026-08-15T10:00:00Z",
  "updated_at": "2026-08-15T10:01:30Z"
}

{
  "status_code": 403,
  "error": "failed to retrieve HMAC credentials from Resource Controller: caller does not have resource-controller.credential.retrieve_all on the credential resource"
}

curl -X GET \
  "https://solutions.private.cloud-object-storage.cloud.ibm.com/v1/cyber_vaults?account_id=abc123def456abc123def456abc123de" \
  -H "Authorization: Bearer $CUSTOMER_IAM_TOKEN"

Risposte di errore

La tabella seguente illustra i codici di errore restituiti dall'operazione di creazione di un vault.

400 — Manca " existing_cos_instance_id " nella modalità " auto_hmac ":

{
  "status_code": 400,
  "error": "existing_cos_instance_id is required when credential_mode is auto_hmac (the default)"
}

400 — Scomparso network_isolation_config:

{
  "status_code": 400,
  "error": "network_isolation_config is required: at least one of allowed_vpc_crns or allowed_ip_ranges must be provided"
}

400 — Intervallo di indirizzi IP non compreso nello spazio privato definito nella RFC 1918:

{
  "status_code": 400,
  "error": "allowed_ip_ranges must contain only private IP CIDR ranges (RFC 1918: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16), got: 203.0.113.0/24"
}