Utilizzo degli ID funzionali

IBM Cloud Le chiavi API per gli utenti possono essere create e associate a un ID funzionale. Un ID funzionale è un ID utente creato per rappresentare un programma, un'applicazione o un servizio. L'ID funzionale può essere invitato a un account e gli viene assegnato solo l'accesso per uno scopo particolare, come l'interazione con una risorsa o un'applicazione specifica.

Se un servizio richiede una chiave API utente per interagire con altri servizi o applicazioni, utilizzare una chiave API utente con ID funzionale. Utilizzando la chiave API associata all'ID funzionale, si fornisce solo l'accesso necessario per quel servizio. La condivisione della chiave API di un ID utente reale con un servizio consente a quest'ultimo di accedere a tutte le risorse a cui l'utente può accedere attraverso più account, il che è altamente sconsigliato.

Solo l'utente a cui è associata la chiave API e un amministratore del servizio IAM possono eliminarla. È possibile utilizzare le chiavi API IBM Cloud nell'interfaccia a riga di comando (CLI) o come parte dell'automazione per accedere come identità utente. Puoi anche utilizzare le chiavi API IBM Cloud per accedere alle API dell'infrastruttura classica.

Per ulteriori informazioni sull'utilizzo di una chiave API associata alla tua identità utente, consulta Gestione delle chiavi API utente.

Scadenza della chiave API

Quando una chiave API viene creata o aggiornata, è possibile impostare una data di scadenza. Se viene specificata una data di scadenza, la chiave API non è più valida dopo tale data. Le chiavi API scadute vengono eliminate automaticamente 90 giorni dopo la loro scadenza. Alcuni giorni prima della scadenza di una chiave API, viene inviata una notifica tramite il servizio di notifica IBM Cloud all'utente che possiede la chiave API (per le chiavi a livello utente) o al proprietario dell'account (per le chiavi API con ID servizio).

Protezione della chiave API trapelata

Le chiavi API sono potenti credenziali che permettono di accedere alle risorse e ai servizi di IBM Cloud. Quando queste chiavi vengono inavvertitamente esposte in archivi pubblici, registri o altri luoghi, possono creare rischi significativi per la sicurezza. I malintenzionati scansionano attivamente gli archivi pubblici alla ricerca di credenziali trapelate e possono sfruttarle rapidamente per accessi non autorizzati, operazioni di crypto mining o altre attività dannose, spesso entro pochi minuti dall'esposizione. A seconda dell'accesso concesso all'utente o all'ID del servizio associato alla chiave, i malintenzionati possono essere in grado di:

• Accedere o eliminare i dati.
• Predisporre le risorse nel proprio account, comprese quelle che possono essere utilizzate per il mining di bitcoin.
• Eseguire altre azioni nei servizi del proprio account.
• Creano ulteriori ID o chiavi API all'interno del vostro account per avere un accesso persistente, anche dopo la rotazione della chiave compromessa.

IBM Cloud sfrutta le funzionalità di scansione segreta di piattaforme come GitHub e GitLab per identificare le chiavi API esposte. Quando si scopre che una chiave è stata divulgata, l'utente o il team di sicurezza possono intraprendere rapidamente l'azione appropriata in base alla disposizione configurata per quella chiave. A seconda della configurazione, IBM può intraprendere le seguenti azioni:

Disabilita la chiave divulgata

La chiave API viene immediatamente disabilitata da IBM, impedendo l'uso non autorizzato mentre si indaga e si determinano i passi successivi. Questo approccio è consigliato per la maggior parte delle chiavi, tranne nei casi in cui sia stata effettuata una valutazione e il rischio dovuto a una chiave esposta sia basso. Se una chiave è disabilitata, le chiamate API dell'applicazione ai servizi cloud non funzioneranno, causando potenzialmente un'interruzione.

Elimina la chiave divulgata

La chiave API viene eliminata in modo permanente da IBM al momento del rilevamento. Questa soluzione offre la protezione più forte, ma richiede la creazione di una nuova chiave. Se una chiave viene eliminata, le chiamate API dell'applicazione ai servizi cloud non funzioneranno, causando potenzialmente un'interruzione del servizio.

Nessuna azione

Non viene eseguita alcuna azione automatica. Potreste continuare a ricevere notifiche sull'esposizione, ma dovrete affrontare manualmente il problema.

Prima di prendere una decisione, è importante soppesare le conseguenze sulla sicurezza dell'esposizione di una chiave rispetto alle conseguenze di un'interruzione dell'applicazione. IBM consiglia di utilizzare l'opzione "Disattiva" per la maggior parte delle chiavi, tranne nei casi in cui sia stata effettuata una valutazione e il rischio di esposizione di una chiave sia basso a causa dell'accesso limitato. Se la vostra organizzazione richiede l'impostazione "Non fare nulla" per chiavi API specifiche a causa di requisiti di produzione, IBM vi incoraggia ad analizzare regolarmente la vostra posizione di sicurezza, a implementare controlli di compensazione come la rotazione frequente delle chiavi e a pianificare l'attivazione della protezione automatica quando l'ambiente lo consente.

Per ulteriori informazioni, vedere Revisione delle chiavi API utente trapelate o Revisione delle chiavi API ID servizio trapelate.