Zugriff auf Schlüssel erteilen

Sie können verschiedene Zugriffsebenen auf IBM® Key Protect-Ressourcen in Ihrem IBM Cloud-Konto aktivieren, indem Sie IBM Cloud IAM-Zugriffsrichtlinien erstellen und ändern.

Kontoadministratoren sollten auf der Grundlage der internen Anforderungen an die Zugriffskontrolle einen Typ der Zugriffsrichtlinie für Benutzer, Dienst-IDs und ZugriffsgruppenEine Gruppe von Benutzern und Service-IDs, die in einer Gruppe zusammengefasst sind, die als Subjekt einer Zugriffsrichtlinie verwendet wird, mit der allen Gruppenmitgliedern dieselbe Zugriffsberechtigung zugewiesen wird. festlegen. Diese Zugriffssteuerungen können auf mehreren Ebenen zugewiesen werden, von Instanzen bis hin zu einzelnen Schlüsseln. Wenn Sie beispielsweise einem Benutzer Zugriff auf „ Key Protect “ auf der feinstmöglichen Ebene gewähren möchten, können Sie in einer Instanz die Berechtigung „ Zugriff auf einen einzelnen Schlüssel zuweisen “ vergeben.

Zugriff auf alle Schlüssel in einer Instanz erteilen

Überprüfen Sie die Rollen und Berechtigungen auf Informationen zum Zuordnen der IBM Cloud IAM-Rollen zu Key Protect-Aktionen.

Gehen Sie wie folgt vor, um Zugriff auf Schlüssel in einer Key Protect-Instanz über die IBM Cloud-Konsole zu erteilen:

Klicken Sie in der Menüleiste auf Verwalten > **Zugriff (IAM)**und wählen Sie Benutzer aus, um die vorhandenen Benutzer in Ihrem Account zu durchsuchen.
Wählen Sie eine Tabellenzeile aus und klicken Sie auf das Fragezeichensymbol (?), um eine Liste mit Optionen für diesen Benutzer zu öffnen.
Klicken Sie im Auswahlmenü auf Zugriffsberechtigungen zuweisen.
Klicken Sie auf Zugriff zuweisen.
Wählen Sie aus, ob Sie einer Gruppe (durch Klicken auf Zugriffsgruppe) oder einer Einzelperson (durch Klicken auf Zugriffsrichtlinien) Zugriff erteilen möchten. Ihre Zugriffsgruppen können durch Klicken auf Zugriffsgruppen im Abschnitt Zugriff verwalten der linken Navigation gefunden werden.
Wählen Sie in der Liste der Services Key Protect aus und klicken auf Weiter , um den Abschnitt Ressourcen zu öffnen.
Verwenden Sie im Abschnitt Ressourcen die Optionsfelder, um auszuwählen, ob Sie Zugriff auf alle Ressourcen oder nur auf bestimmte Ressourcen zuweisen möchten. Wenn Sie Spezifische Ressourcen auswählen, werden Sie zur Angabe eines Attributtyp s aufgefordert (z. B. Schlüsselring-ID, wobei die Zeichenfolge der ID entspricht). Über das Feld Bedingung hinzufügen können Sie weitere Attribute zu der Richtlinie hinzufügen, die Sie im nächsten Schritt erstellen. Wenn Sie bereit sind, klicken Sie auf Weiter , um die Richtlinie zu erstellen. Beachten Sie, dass Sie auf Bearbeiten klicken können, um zur Liste der Services zurückzukehren.
Im Abschnitt Rollen und Zugriff können Sie den Zugriff auf die ausgewählten Ressourcen zuweisen. Weitere Informationen zu den Unterschieden zwischen Servicezugriff -Rollen und Plattformzugriff-Rollen finden Sie unter Plattformrollen und Servicerollen. Das Feld rechts neben den Auswahloptionen wird dynamisch aktualisiert, um eine Zusammenfassung des Zugriffs bereitzustellen, der zugewiesen wird, wenn die ausgewählten Optionen beibehalten werden. Überprüfen Sie die bereitgestellte Zugriffsliste sorgfältig. Beachten Sie, dass eine JSON-Version der Richtlinie angezeigt (und kopiert) werden kann, indem Sie auf der Registerkarte mit der Markierung [UI|JSON] rechts neben dem Header Richtlinie erstellen auf JSON klicken.
Wenn Sie mit Ihrer Richtlinie zufrieden sind, klicken Sie auf Hinzufügen. Dadurch wird die ausgewählte Richtlinie über die ausgewählten Ressourcen erstellt. Die Spalte Zusammenfassung des Zugriffs zeigt die erstellte Richtlinie an. Wenn ein Fehler auftritt, können Sie den Zugriff in diesem Abschnitt Entfernen oder Bearbeiten .

Zugriff auf einen einzelnen Schlüssel in einer Instanz erteilen

Wenn Sie Schlüssel auflisten-API aufrufen, werden keine Schlüssel zurückgegeben, auf die Sie individuellen Zugriff haben (d. h. auf die nur Sie zugreifen können, auch wenn Sie den Zugriff über diese Schlüssel haben und Sie den Aufruf durchführen). Durch Aufrufen dieser API werden jedoch die Schlüssel in Schlüsselringen zurückgegeben, auf die Sie Zugriff haben.

Wenn Sie Zugriff über die Instanzebene hinaus zuweisen müssen, haben Sie die Möglichkeit, Zugriff auf einen bestimmten Schlüssel oder auf einen Schlüsselring zuzuweisen.

Gehen Sie wie folgt vor, um eine Zugriffsrichtlinie für einen bestimmten Schlüssel zu erstellen:

Schlüssel-ID abrufen.
Zugriffsrichtlinie erstellen.

Schritt 1. Schlüssel-ID abrufen

Rufen Sie die eindeutige ID ab, die dem Schlüssel zugeordnet ist, auf den Sie einer Person Zugriff erteilen möchten.

Um die ID eines bestimmten Schlüssels abzurufen, können Sie folgendermaßen vorgehen:

Rufen Sie die Key Protect-GUI auf, um die in Ihrer Key Protect-Instanz gespeicherten Schlüssel zu durchsuchen.
Verwenden Sie die Key Protect-API, um eine Liste der Schlüssel und die Metadaten zu den Schlüsseln abzurufen.

Schritt 2. Zugriffsrichtlinie erstellen

Sie können eine Zugriffsrichtlinie für einen Schlüssel erstellen, indem Sie die Instanz und den Schlüssel wie folgt als Ziel festlegen:

Klicken Sie in der Menüleiste auf Verwalten > **Zugriff (IAM)**und wählen Sie Benutzer aus, um die vorhandenen Benutzer in Ihrem Account zu durchsuchen.
Wählen Sie eine Tabellenzeile aus und klicken Sie auf das Fragezeichensymbol (?), um eine Liste mit Optionen für diesen Benutzer zu öffnen.
Klicken Sie im Auswahlmenü auf Zugriffsberechtigungen zuweisen.
Klicken Sie auf Zugriff den Benutzern zuweisen.
Wählen Sie in der Liste der Services den Eintrag Key Protect aus.
Wählen Sie in der Liste der Key Protect-Instanzen die Key Protect-Instanz aus, die den Schlüssel enthält, auf den Sie Zugriff erteilen möchten.
Wählen Sie Ressourcen auf der Basis ausgewählter Attribute aus.
Klicken Sie auf das Feld Instanz-ID und wählen Sie in der Dropdown-Liste die Instanz aus, in der sich der Schlüsselring befindet.
Klicken Sie auf das Feld Ressourcentyp und geben Sie key ein.
Klicken Sie auf das Feld Ressourcen-ID, um die ID einzugeben, die Ihrem Schlüssel vom Key Protect-Service zugewiesen wurde.
Wählen Sie eine Kombination aus Plattform- und Servicezugriffsrollen aus, um den Zugriff für den Benutzer zuzuweisen.
Klicken Sie auf Hinzufügen.
Fügen Sie bei Bedarf weitere Plattform- und Servicezugriffsrollen hinzu. Klicken Sie anschließend auf Zuweisen.

Das Bild zeigt ein Beispiel dafür, wie man einem Benutzer Zugriff auf einen Schlüssel gewährt. — Zeigt, wie man einem Benutzer Zugriff auf einen bestimmten Schlüssel gewährt.

Zugriff auf Schlüsselringe in einer Instanz erteilen

Ein Schlüsselring ist eine Sammlung von Schlüsseln innerhalb Ihrer Serviceinstanz, auf die Sie den Zugriff über die IAM-Zugriffsrichtlinie beschränken können. Informationen zu Schlüsselringen finden Sie unter Gruppierungsschlüssel.

Sie können den Zugriff auf Schlüsselringe innerhalb einer Key Protect-Instanz über die IBM Cloud-Konsole, die IAM-API oder die IAM-CLI gewähren.

Überprüfen Sie die Rollen und Berechtigungen auf Informationen zum Zuordnen der IBM Cloud IAM-Rollen zu Key Protect-Aktionen.

Zugriff auf Schlüsselringe in einer Instanz mit der Konsole erteilen

Gehen Sie wie folgt vor, um über die Konsole Zugriff auf einen Schlüsselring zuzuordnen:

Klicken Sie in der Menüleiste auf Verwalten > **Zugriff (IAM)**und wählen Sie Benutzer aus, um die vorhandenen Benutzer in Ihrem Account zu durchsuchen.
Wählen Sie eine Tabellenzeile aus und klicken Sie auf das Fragezeichensymbol (?), um eine Liste mit Optionen für diesen Benutzer zu öffnen.
Klicken Sie im Auswahlmenü auf Zugriffsberechtigungen zuweisen.
Klicken Sie auf Zugriff den Benutzern zuweisen.
Klicken Sie auf die Kachel IAM-Services.
Wählen Sie in der Liste der Services den Eintrag Key Protect aus.
Wählen Sie Ressourcen auf der Basis ausgewählter Attribute aus.
Klicken Sie auf das Feld Instanz-ID und wählen Sie in der Dropdown-Liste die Instanz aus, in der sich der Schlüsselring befindet.
Klicken Sie auf das Feld Schlüsselring-ID und geben Sie den Namen des Schlüsselrings ein. Beachten Sie, dass bei der Schlüsselring-ID die Groß-/Kleinschreibung beachtet werden muss und sie exakt sein muss.
Wählen Sie die Kombination von Plattform- und Servicezugriffsrollen aus, über die dieser Benutzer verfügen soll.
Klicken Sie auf Hinzufügen.
Fügen Sie nach Bedarf weitere Plattform- und Servicezugriffsrollen hinzu und klicken Sie anschließend auf Zuweisen. Beachten Sie, dass dem Benutzer mindestens Reader-Zugriff auf die gesamte Instanz zugewiesen werden muss, damit dieser Schlüsselringe in der Instanz auflisten, erstellen und löschen kann.

Das Bild zeigt ein Beispiel dafür, wie man einem Benutzer Zugriff auf einen Schlüsselbund gewährt. — Zeigt, wie man einem Benutzer Zugang zu einem Schlüsselanhänger gewährt.

Zugriff für bestimmte Funktionen erteilen

Um die Key ProtectFunktion Key Purge nutzen zu können, muss eine spezielle Rolle namens KeyPurge zugewiesen werden, da sie nicht standardmäßig aktiviert ist, auch nicht für den Kontoinhaber. Nachdem Sie die in den anderen Abschnitten dieses Themas aufgeführten Schritte für die Gewährung des Zugriffs auf diese Berechtigung für alle Schlüssel oder für einen bestimmten Schlüssel ausgeführt haben, wählen Sie die Rolle KeyPurge aus, wie in der Grafik dargestellt.

Die Abbildung zeigt ein Beispiel dafür, wie man die Berechtigung zur Nutzung der Funktion „Key Purge“ erteilt. — Zeigt, wie man die Berechtigung zur Verwendung der Schlüsselbereinigungsfunktion erteilt.

Nächste Schritte

Sie können eine Zugriffsrichtlinie auch über die Key Protect API oder das Key Protect CLI Plugin erstellen.