API-Schlüssel für Benutzer verwalten

API-Schlüssel für Benutzer verwalten

Um die IBM Cloud API-Schlüssel zu verwalten, die mit Ihrer Benutzeridentität verknüpft sind oder auf die Sie Zugriff haben, um sie für andere Benutzer des Kontos zu verwalten, gehen Sie in der Konsole IBM Cloud zu Verwalten > Zugriff (IAM) > API-Schlüssel. Auf der Seite API-Schlüssel können Sie IBM Cloud API-Schlüssel für sich selbst erstellen, bearbeiten oder löschen. Sie können auch alle klassischen Infrastruktur-API-Schlüssel für Benutzer verwalten, deren Vorfahren Sie in der Benutzerhierarchie sind. Wenn Sie der Kontoeigner oder ein Benutzer mit dem erforderlichen Zugriff zum Verwalten der API-Schlüssel anderer Benutzer in dem Konto sind, können Sie darüber hinaus auch den Filter Anzeigen verwenden, um diese API-Schlüssel aufzulisten und zu verwalten.

API-Schlüssel in der Konsole erstellen

Als IBM Cloud-Benutzer können Sie einen API-Schlüssel verwenden, wenn Sie ein Programm oder Script aktivieren, ohne Ihr Kennwort an das Script weiterzugeben. Ein Vorteil der Verwendung eines API-Schlüssels ist, dass ein Benutzer oder eine Organisation mehrere API-Schlüssel für verschiedene Programme erstellen kann. Die API-Schlüssel können unabhängig voneinander gelöscht werden, wenn sie kompromittiert sind, ohne dass andere API-Schlüssel oder sogar der Nutzer beeinträchtigt werden. Sie können bis zu 20 API-Schlüssel erstellen.

Führen Sie die folgenden Schritte aus, um einen API-Schlüssel für Ihre Benutzeridentität in der Benutzerschnittstelle zu erstellen:

1. Rufen Sie in der IBM Cloud-Konsole die Optionen Verwalten > Zugriff (IAM) > API-Schlüssel auf.
2. Klicken Sie auf Erstellen eines IBM Cloud-API-Schlüssels.
3. Geben Sie einen Namen und eine Beschreibung für den API-Schlüssel ein.
4. Klicken Sie auf Erstellen.
5. Klicken Sie dann auf Anzeigen, damit der API-Schlüssel angezeigt wird. Alternativ können Sie auf Kopieren klicken, um den Schlüssel für die spätere Verwendung zu kopieren und zu speichern, oder klicken Sie auf Herunterladen.

Aus Sicherheitsgründen kann der API-Schlüssel nur zum Zeitpunkt seiner Erstellung kopiert oder heruntergeladen werden. Wenn der API-Schlüssel verloren geht, müssen Sie einen neuen API-Schlüssel erzeugen.

API-Schlüssel über die Befehlszeilenschnittstelle erstellen

Verwenden Sie den folgenden Befehl, um einen API-Schlüssel über die Befehlszeilenschnittstelle zu erstellen:

1. Geben Sie ibmcloud iam api-key-create NAME [-d DESCRIPTION] [-f, --file FILE] [--action-if-leaked VALUE] ein, und geben Sie einen Namen, eine Beschreibung und eine Datei zum Speichern Ihres Schlüssels an. Sehen Sie sich das folgende Beispiel an:

ibmcloud iam api-key-create MyKey -d "this is my API key" --file key_file --action-if-leaked "DELETE"

Für --action-if-leaked sind die möglichen Werte "NONE", "DISABLE" oder "DELETE". Die Standardaktion ist "DISABLE".

• DEAKTIVIEREN: Das Deaktivieren des Schlüssels blockiert sofort seine Fähigkeit, sich zu authentifizieren und auf Dienste zuzugreifen. Sie können den Schlüssel später bei Bedarf wieder aktivieren.
• LÖSCHEN: Der API-Schlüssel wird dauerhaft aus Ihrem Konto gelöscht und kann nicht mehr zur Authentifizierung verwendet werden. Diese Aktion kann nicht rückgängig gemacht werden.
• KEINE: Der Schlüssel bleibt aktiv und kann weiterhin für den Zugriff auf Ressourcen verwendet werden.

API-Schlüssel über die Anwendungsprogrammierschnittstelle (API) erstellen

Um einen API-Schlüssel zu erstellen, rufen Sie die IAM Identity Service API wie im folgenden Beispiel gezeigt auf:

curl -X POST 'https://iam.cloud.ibm.com/v1/apikeys' -H 'Authorization: Bearer TOKEN' -H 'Content-Type: application/json' -d '{
  "name": "My-apikey",
  "description": "my personal key",
  "iam_id": "IBMid-123WEREW",
  "account_id": "ACCOUNT_ID"
  "store_value": false
  "action_when_leaked": "delete"
  "support_sessions": false
}'

CreateApiKeyOptions createApiKeyOptions = new CreateApiKeyOptions.Builder()
    .name(apiKeyName)
    .iamId(iamId)
    .description("Example ApiKey")
    .build();

Response<ApiKey> response = service.createApiKey(createApiKeyOptions).execute();
ApiKey apiKey = response.getResult();
apikeyId = apiKey.getId();
System.out.println(apiKey.toString());

const params = {
  name: apikeyName,
  iamId: iamId,
  description: 'Example ApiKey',
};

iamIdentityService.createApiKey(params)
  .then(res => {
    apikeyId = res.result.id
    console.log(JSON.stringify(res.result, null, 2));
  })
  .catch(err => {
    console.warn(err);
  });

api_key = iam_identity_service.create_api_key(
  name=apikey_name,
  iam_id=iam_id
).get_result()

apikey_id = api_key['id']

print(json.dumps(api_key, indent=2))

createAPIKeyOptions := iamIdentityService.NewCreateAPIKeyOptions(apikeyName, iamID)
createAPIKeyOptions.SetDescription("Example ApiKey")

apiKey, response, err := iamIdentityService.CreateAPIKey(createAPIKeyOptions)
if err != nil {
  panic(err)
}
b, _ := json.MarshalIndent(apiKey, "", "  ")
fmt.Println(string(b))
apikeyID = *apiKey.ID

Für action_when_leaked sind die möglichen Werte "keine", "deaktivieren" oder "löschen". Die Standardaktion ist "deaktivieren".

• deaktivieren: Durch das Deaktivieren des Schlüssels wird seine Fähigkeit, sich zu authentifizieren und auf Dienste zuzugreifen, sofort blockiert. Sie können den Schlüssel später bei Bedarf wieder aktivieren.
• löschen: Der API-Schlüssel wird dauerhaft aus Ihrem Konto gelöscht und kann nicht mehr zur Authentifizierung verwendet werden. Diese Aktion kann nicht rückgängig gemacht werden.
• keine: Der Schlüssel bleibt aktiv und kann weiterhin für den Zugriff auf Ressourcen verwendet werden.

Legen Sie für support_sessions fest, ob Sie CLI-Anmeldesitzungen für den API-Schlüssel verwalten können:

• wahr: Erstellen Sie Anmeldesitzungen für diesen API-Schlüssel, die Sie verwalten können, indem Sie die Sitzungen überprüfen oder widerrufen. Weitere Informationen finden Sie unter Überwachung Ihrer Anmeldesitzungen.
• falsch: Es werden keine Sitzungen erstellt oder nachverfolgt. Sie können keine Anmeldungen widerrufen oder überprüfen und Sie müssen den API-Schlüssel selbst löschen oder drehen, um den Zugriff zu sperren.

Vorbereitende Schritte

Bevor Sie Benutzer-API-Schlüssel mit Terraform verwalten können, müssen Sie die folgenden Schritte ausführen:

• Installieren Sie die Terraform CLI und konfigurieren Sie das IBM Cloud Provider Plug-in für Terraform. Weitere Informationen finden Sie in der Anleitung zu den ersten Schritten mit Terraform auf IBM Cloud®. Das Plug-in abstrahiert die IBM Cloud APIs, die zur Erfüllung dieses Tasks verwendet werden.
• Erstellen Sie eine Terraform-Konfigurationsdatei mit dem Namen main.tf. In dieser Datei definieren Sie die Ressourcen mit Hilfe der HashiCorp Configuration Language. Weitere Informationen finden Sie in der Terraform-Dokumentation.

Erstellen eines API-Schlüssels mit Terraform

Verwenden Sie die folgenden Schritte, um mit Terraform Zugriffsgruppen zu erstellen.

1. Erstellen Sie ein Argument in Ihrer main.tf Datei. Das folgende Beispiel erstellt eine Zugriffsgruppe unter Verwendung der Ressource ibm_iam_api_key, wobei name ein eindeutiger Name zur Identifizierung des API-Schlüssels ist.

   resource "ibm_iam_api_key" "iam_api_key" {
    name        = "test1234"
   }
   

   Die Eigenschaft description ist nur verfügbar, wenn bei der Erstellung des API-Schlüssels eine Beschreibung angegeben wurde. Weitere Informationen finden Sie in der Argument-Referenz auf der Terraform Identity and Access Management(IAM) Seite.

2. Nachdem Sie Ihre Konfigurationsdatei erstellt haben, initialisieren Sie die Terraform CLI. Weitere Informationen finden Sie unter Initialisierung von Arbeitsverzeichnissen.

   terraform init
   

3. Bereitstellung der Ressourcen aus der Datei main.tf. Weitere Informationen finden Sie unter Bereitstellung der Infrastruktur mit Terraform.

   1. Führen Sie terraform plan aus, um einen Terraform-Ausführungsplan zu erstellen und eine Vorschau der vorgeschlagenen Aktionen zu erhalten.

      terraform plan
      

   2. Führen Sie terraform apply aus, um die im Plan definierten Ressourcen zu erstellen.

      terraform apply
      

Aktualisieren eines API-Schlüssels in der Konsole

Wenn Sie den Namen oder die Beschreibung eines API-Schlüssels ändern möchten, führen Sie die folgenden Schritte in der Benutzerschnittstelle oder der Befehlszeilenschnittstelle aus.

Führen Sie die folgenden Schritte aus, um einen API-Schlüssel zu bearbeiten:

1. Rufen Sie in der IBM Cloud-Konsole die Optionen Verwalten > Zugriff (IAM) > API-Schlüssel auf.
2. Ermitteln Sie die Zeile des API-Schlüssels, die Sie aktualisieren möchten, und klicken Sie auf das Aktionen-Symbol > Bearbeiten.
3. Aktualisieren Sie die Informationen für den API-Schlüssel.
4. Klicken Sie auf Anwenden.

Um einen API-Schlüssel zu bearbeiten, der nicht Ihr eigener ist, für den Sie jedoch über Verwaltungszugriff verfügen, rufen Sie die Seite 'API-Schlüssel' auf. Wählen Sie anschließend die Option Alle IBM Cloud-API-Schlüssel der Benutzer im Menü Anzeigen aus, um den API-Schlüssel zu suchen.

Aktualisieren eines API-Schlüssels mit der CLI

Geben Sie den folgenden Befehl ein, um einen API-Schlüssel über die Befehlszeilenschnittstelle zu bearbeiten:

1. Geben Sie ibmcloud iam api-key-update NAME [-n NAME] [-d DESCRIPTION] ein und geben Sie den alten Namen, den neuen Namen und die neue Beschreibung für den Schlüssel an. Weitere Informationen finden Sie in dem folgenden Beispiel:

ibmcloud iam api-key-update MyCurrentName -n MyNewName -d "the new description of my key"

API-Schlüssel über die Anwendungsprogrammierschnittstelle (API) aktualisieren

Um einen API-Schlüssel über die API zu bearbeiten, rufen Sie die IAM Identity Service API wie im folgenden Beispiel gezeigt auf:

curl -X PUT 'https://iam.cloud.ibm.com/v1/apikeys/APIKEY_UNIQUE_ID' -H 'Authorization: Bearer TOKEN' -H 'If-Match: <value of etag header from GET request>' -H 'Content-Type: application/json' -d '{
  "name": "My-apikey",
  "description": "my personal key"
}'

UpdateApiKeyOptions updateApiKeyOptions = new UpdateApiKeyOptions.Builder()
    .id(apikeyId)
    .ifMatch(apikeyEtag)
    .description("This is an updated description")
    .build();

Response<ApiKey> response = service.updateApiKey(updateApiKeyOptions).execute();
ApiKey apiKey = response.getResult();
System.out.println(apiKey.toString());

const params = {
  id: apikeyId,
  ifMatch: apikeyEtag,
  description: 'This is an updated description',
};

iamIdentityService.updateApiKey(params)
  .then(res => {
    console.log(JSON.stringify(res.result, null, 2));
  })
  .catch(err => {
    console.warn(err);
  });

api_key = iam_identity_service.update_api_key(
  id=apikey_id,
  if_match=apikey_etag,
  description='This is an updated description'
).get_result()

print(json.dumps(api_key, indent=2))

updateAPIKeyOptions := iamIdentityService.NewUpdateAPIKeyOptions(apikeyID, apikeyEtag)
updateAPIKeyOptions.SetDescription("This is an updated description")

apiKey, response, err := iamIdentityService.UpdateAPIKey(updateAPIKeyOptions)
if err != nil {
  panic(err)
}
b, _ := json.MarshalIndent(apiKey, "", "  ")
fmt.Println(string(b))

Aktualisieren eines API-Schlüssels mithilfe von Terraform

Führen Sie die folgenden Schritte aus, um einen API-Schlüssel mit terraform zu aktualisieren:

1. In Ihrer Terraform-Konfigurationsdatei main.tf finden Sie den Terraform-Code, den Sie zum Erstellen der iam_api_key verwendet haben.

2. Im folgenden Beispiel wird ein API-Schlüssel mithilfe der Ressource ibm_iam_api_key aktualisiert, wobei name ein eindeutiger Name zur Identifizierung des API-Schlüssels ist.

   resource "ibm_iam_api_key" "iam_api_key" {
    name        = "test1234"
    description = "API key for users"
   }
   

   Die Eigenschaft description ist nur verfügbar, wenn bei der Erstellung des API-Schlüssels eine Beschreibung angegeben wurde. Weitere Informationen finden Sie in der Argument-Referenz auf der Terraform Identity and Access Management(IAM) Seite.

3. Bereitstellung der Ressourcen aus der Datei main.tf. Weitere Informationen finden Sie unter Bereitstellung der Infrastruktur mit Terraform.

   1. Führen Sie terraform plan aus, um einen Terraform-Ausführungsplan zu erstellen und eine Vorschau der vorgeschlagenen Aktionen zu erhalten.

      terraform plan
      

   2. Führen Sie terraform apply aus, um die im Plan definierten Ressourcen zu erstellen.

      terraform apply
      

Weitere Informationen finden Sie in der Dokumentation zu Terraform.

Sperren und Entsperren eines API-Schlüssels in der Konsole

Sie können das Löschen von API-Schlüsseln der Plattform, die Ihre Benutzeridentität darstellen, verhindern, indem Sie sie sperren. Ein gesperrter API-Schlüssel hat das Symbol Gesperrt .

1. Rufen Sie in der IBM Cloud-Konsole die Optionen Verwalten > Zugriff (IAM) > API-Schlüssel auf.
2. Ermitteln Sie die Zeile des API-Schlüssels, den Sie sperren möchten, und klicken Sie auf das Aktionen-Symbol > Sperren.

Sie können den API-Schlüssel zu jedem beliebigen Zeitpunkt entsperren, um ihn zu aktualisieren oder aus Ihrem Konto zu entfernen. Wählen Sie den API-Schlüssel aus der Tabelle aus, den Sie entsperren wollen, und klicken auf das Aktionen-Symbol > Entsperren.

API-Schlüssel über die Befehlszeilenschnittstelle sperren bzw. entsperren

Sie können das Löschen von API-Schlüsseln der Plattform, die Ihre Benutzeridentität darstellen, verhindern, indem Sie sie sperren. Verwenden Sie den folgenden Befehl, um einen API-Schlüssel zu sperren:

ibmcloud iam api-key-lock (NAME|UUID) [-f, --force]

Voraussetzungen: Endpunkt, Anmeldung

Befehlsoptionen:

NAME (erforderlich)

Der Name des zu sperrenden API-Schlüssels, ausschließlich mit UUID.

UUID (erforderlich)

UUID des zu sperrenden API-Schlüssels, ausschließlich mit NAME.

-f, --force

Sperren ohne Bestätigung erzwingen.

Beispiel:

API-Schlüssel sperren test-api-key

ibmcloud iam api-key-lock test-api-key

Führen Sie den folgenden Befehl aus, um einen API-Schlüssel zu entsperren:

ibmcloud iam api-key-unlock (NAME|UUID) [-f, --force]

Voraussetzungen: Endpunkt, Anmeldung

Befehlsoptionen:

NAME (erforderlich)

Der Name des zu entsperrenden API-Schlüssels, gegenseitig ausschließend mit UUID

UUID (erforderlich)

Die UUID des zu entsperrenden API-Schlüssels, gegenseitig ausschließend mit NAME

-f, --force

Entsperren ohne Bestätigung erzwingen.

Beispiel:

API-Schlüssel entsperren test-api-key

ibmcloud iam api-key-unlock test-api-key

API-Schlüssel über die Anwendungsprogrammierschnittstelle (API) sperren bzw. entsperren

Sie können das Löschen von API-Schlüsseln der Plattform, die Ihre Benutzeridentität darstellen, verhindern, indem Sie sie sperren.

curl -X POST 'https://iam.cloud.ibm.com/v1/apikeys/APIKEY_UNIQUE_ID/lock' -H 'Authorization: Bearer TOKEN' -H 'Content-Type: application/json'

LockApiKeyOptions lockApiKeyOptions = new LockApiKeyOptions.Builder()
    .id(apikeyId)
    .build();

service.lockApiKey(lockApiKeyOptions).execute();

const params = {
  id: apikeyId,
};

iamIdentityService.lockApiKey(params)
  .then(res => {
    console.log(JSON.stringify(res.result, null, 2));
  })
  .catch(err => {
    console.warn(err);
  });

lock_api_key(self,
        id: str,
        **kwargs
    ) -> DetailedResponse

response = iam_identity_service.lock_api_key(id=apikey_id)

print(response)

lockAPIKeyOptions := iamIdentityService.NewLockAPIKeyOptions(apikeyID)

response, err := iamIdentityService.LockAPIKey(lockAPIKeyOptions)
if err != nil {
  panic(err)
}

curl -X DELETE 'https://iam.cloud.ibm.com/v1/apikeys/APIKEY_UNIQUE_ID/lock' -H 'Authorization: Bearer TOKEN' -H 'Content-Type: application/json'

UnlockApiKeyOptions unlockApiKeyOptions = new UnlockApiKeyOptions.Builder()
    .id(apikeyId)
    .build();

service.unlockApiKey(unlockApiKeyOptions).execute();

const params = {
  id: apikeyId,
};

iamIdentityService.unlockApiKey(params)
  .then(res => {
    console.log(JSON.stringify(res.result, null, 2));
  })
  .catch(err => {
    console.warn(err);
  });

response = iam_identity_service.unlock_api_key(id=apikey_id)

print(response)

unlockAPIKeyOptions := iamIdentityService.NewUnlockAPIKeyOptions(apikeyID)

response, err := iamIdentityService.UnlockAPIKey(unlockAPIKeyOptions)
if err != nil {
  panic(err)
}

Sperren und Entsperren eines API-Schlüssels mit Hilfe von Terraform

Sie können das Löschen von API-Schlüsseln der Plattform, die Ihre Benutzeridentität darstellen, verhindern, indem Sie sie sperren.

API-Schlüssel löschen

Wenn Sie ein Schlüsselrotationsverfahren nutzen, können Sie einen älteren Schlüssel löschen und durch einen neuen ersetzen.

Führen Sie die folgenden Schritte aus, um einen API-Schlüssel zu löschen:

1. Rufen Sie in der IBM Cloud-Konsole die Optionen Verwalten > Zugriff (IAM) > API-Schlüssel auf.
2. Identifizieren Sie die Zeile des API-Schlüssels, die Sie löschen möchten, und klicken Sie auf das Symbol Aktionen Aktionen > Löschen.
3. Bestätigen Sie anschließend den Löschvorgang durch Klicken auf Löschen.

Um einen API-Schlüssel zu löschen, der nicht Ihr eigener ist, für den Sie jedoch über Verwaltungszugriff verfügen, rufen Sie die Seite 'API-Schlüssel' auf. Wählen Sie anschließend die Option Alle IBM Cloud-API-Schlüssel der Benutzer im Menü Anzeigen aus, um den API-Schlüssel zu suchen.

API-Schlüssel über die Befehlszeilenschnittstelle löschen

Gehen Sie wie folgt vor, um einen API-Schlüssel über die Befehlszeilenschnittstelle zu löschen:

Geben Sie ibmcloud iam api-key-delete NAME ein und geben Sie den Namen des zu löschenden Schlüssels an.

API-Schlüssel über die API löschen

Um einen API-Schlüssel über die API zu löschen, rufen Sie die API IAM Identity Service wie im folgenden Beispiel gezeigt auf:

curl -X DELETE 'https://iam.cloud.ibm.com/v1/apikeys/APIKEY_UNIQUE_ID' -H 'Authorization: Bearer TOKEN' -H 'Content-Type: application/json'

DeleteApiKeyOptions deleteApiKeyOptions = new DeleteApiKeyOptions.Builder()
    .id(apikeyId)
    .build();

service.deleteApiKey(deleteApiKeyOptions).execute();

const params = {
  id: apikeyId,
};

iamIdentityService.deleteApiKey(params)
  .then(res => {
    console.log(JSON.stringify(res.result, null, 2));
  })
  .catch(err => {
    console.warn(err);
  });

delete_api_key(self,
        id: str,
        **kwargs
    ) -> DetailedResponse

response = iam_identity_service.delete_api_key(id=apikey_id)

print(response)

deleteAPIKeyOptions := iamIdentityService.NewDeleteAPIKeyOptions(apikeyID)

response, err := iamIdentityService.DeleteAPIKey(deleteAPIKeyOptions)
if err != nil {
  panic(err)
}

Überprüfung von durchgesickerten Benutzer-API-Schlüsseln mit Hilfe der Konsole

Wenn ein durchgesickerter Benutzer-API-Schlüssel entdeckt wird, können Sie ihn über die Konsole überprüfen. Führen Sie die folgenden Schritte aus:

1. Melden Sie sich bei der IBM Cloud-Konsole an.
2. Wählen Sie das Konto aus, das den durchgesickerten API-Schlüssel enthält.
3. Gehen Sie zu Verwalten > Zugriff > API-Schlüssel, um den durchgesickerten API-Schlüssel zu überprüfen.

Überprüfung von durchgesickerten Benutzer-API-Schlüsseln mit Hilfe der CLI

Wenn ein durchgesickerter Benutzer-API-Schlüssel entdeckt wird, können Sie ihn mit der Befehlszeilenschnittstelle überprüfen. Führen Sie die folgenden Schritte aus:

1. Melden Sie sich bei der IBM Cloud-CLI an.

2. Wählen Sie das Konto aus, das den durchgesickerten API-Schlüssel enthält.

3. Führen Sie den folgenden Befehl aus:

   ibmcloud iam api-key <API_key_ID>