Cómo otorgar acceso a todas las claves de una instancia

Revise el tema roles y permisos para saber cómo se correlacionan los roles de IBM Cloud IAM con las acciones de Key Protect.

Para otorgar acceso a claves dentro de una instancia de Key Protect utilizando la consola de IBM Cloud:

1. En la barra de menús, pulse Gestionar > Acceso (IAM) y seleccione Usuarios para examinar los usuarios existentes en su cuenta.

2. Seleccione una fila de la tabla y pulse el icono ⋯ para abrir una lista de opciones para dicho usuario.

3. En el menú de opciones, pulse Asignar acceso.

4. Pulse Asignar acceso.

5. Decida si desea asignar acceso a un grupo (pulsando Grupo de acceso) o a un individuo (pulsando Políticas de acceso). Los grupos de acceso se pueden encontrar pulsando Grupos de acceso en la sección Gestionar acceso de la navegación situada a la izquierda.

6. En la lista de servicios, seleccione Key Protect y pulse Siguiente para abrir la sección Recursos.

7. En la sección Recursos, utilice los botones de selección para seleccionar si asigna acceso a todos los recursos o solo a recursos específicos. Si selecciona Recursos específicos, se le solicitará que proporcione un Tipo de atributo (por ejemplo, un ID de conjunto de claves, donde la serie es igual al ID). El recuadro Añadir una condición permite añadir más atributos a la política que cree en el paso siguiente. Cuando esté preparado, pulse Siguiente para crear la política. Tenga en cuenta que puede pulsar Editar si desea volver a la lista de servicios.

8. En la sección Roles y acceso, puede asignar acceso a los recursos que ha seleccionado. Para obtener más información sobre la diferencia entre los roles de Acceso a servicio y los roles de Acceso a plataforma, consulte Roles de plataforma y roles de servicio. El recuadro a la derecha de las opciones de selección se actualiza dinámicamente para proporcionar un resumen del acceso que se asignaría si se mantienen las opciones seleccionadas. Revise detenidamente la lista de acceso proporcionada. Tenga en cuenta que una versión JSON de la política se puede ver (y copiar) pulsando JSON en la pestaña marcada [UI|JSON] situada a la derecha de la cabecera Crear política.

9. Cuando esté satisfecho con su política, pulse Añadir. Se creará la política seleccionada sobre los recursos seleccionados. La columna Resumen de acceso muestra la política creada. Si hay un error, puede Eliminar o Editar el acceso en esta sección.

Cómo otorgar acceso a una única clave de una instancia

Al llamar a la API listar claves no se devolverán las claves a las que haya asignado acceso individual (a las que solo usted pueda acceder, en otras palabras, aunque tenga acceso a esas claves y sea usted quien realiza la llamada). Sino que, al llamar a esta API, se devolverán las claves de los anillos de claves a los que tenga acceso.

Si necesita asignar acceso más allá del nivel de instancia, puede elegir asignar acceso a una clave determinada o a un anillo de claves.

Para crear una política de acceso para una clave determinada, debe:

1. Recuperar el ID de clave.
2. Crear una política de acceso.

Paso 2. Cree una política de acceso

Puede crear una política de acceso para una clave apuntando a la instancia y a la clave:

1. En la barra de menús, pulse Gestionar > Acceso (IAM) y seleccione Usuarios para examinar los usuarios existentes en su cuenta.

2. Seleccione una fila de la tabla y pulse el icono ⋯ para abrir una lista de opciones para dicho usuario.

3. En el menú de opciones, pulse Asignar acceso.

4. Pulse Asignar acceso a los usuarios.

5. En la lista de servicios, seleccione Key Protect.

6. En la lista de instancias de Key Protect, seleccione la instancia de Key Protect que contiene la clave a la que desea otorgar acceso.

7. Seleccione Recursos basados en atributos seleccionados.

8. Pulse en el recuadro ID de instancia y seleccione la instancia donde reside el anillo de claves en la lista desplegable.

9. Pulse en el recuadro Tipo de recurso y especifique key.

10. Pulse en el recuadro ID de recurso especifique el ID asignado a la clave por el servicio Key Protect.

11. Elija una combinación de roles de plataforma y de acceso al servicio para asignar acceso para el usuario.

12. Pulse Añadir.

13. Continúe añadiendo roles de acceso a la plataforma y servicio según sea necesario. Cuando haya terminado, pulse Asignar.

Cómo asignar acceso a los conjuntos de claves de una instancia

Un conjunto de claves es una colección de claves ubicadas dentro de la instancia de servicio, en la que puede restringir el acceso a través de la política de acceso de IAM. Para obtener información sobre los conjuntos de claves, consulte Agrupaciones de claves.

Puede otorgar acceso a los conjuntos de claves en una instancia de Key Protect utilizando la consola IBM Cloud, la API IAM o la CLI IAM.

Revise el tema roles y permisos para saber cómo se correlacionan los roles de IBM Cloud IAM con las acciones de Key Protect.

Otorgar acceso a anillos de claves en una instancia utilizando la consola

Para asignar acceso a un conjunto de claves a través de la consola:

1. En la barra de menús, pulse Gestionar > Acceso (IAM) y seleccione Usuarios para examinar los usuarios existentes en su cuenta.

2. Seleccione una fila de la tabla y pulse el icono ⋯ para abrir una lista de opciones para dicho usuario.

3. En el menú de opciones, pulse Asignar acceso.

4. Pulse Asignar acceso a los usuarios.

5. Pulse el mosaico Servicios de IAM.

6. En la lista de servicios, seleccione Key Protect.

7. Seleccione Recursos basados en atributos seleccionados.

8. Pulse en el recuadro ID de instancia y seleccione la instancia donde reside el anillo de claves en la lista desplegable.

9. Pulse en el recuadro ID de anillo de claves y especifique el nombre del anillo de claves. Tenga en cuenta que el ID de anillo de claves es sensible a mayúsculas y minúsculas y debe ser exacto.

10. Elija la combinación de roles de acceso a la plataforma y al servicio que desea que tenga este usuario.

11. Pulse Añadir.

12. Continúe añadiendo roles de acceso al servicio y plataforma según sea necesario y, cuando haya terminado, pulse Asignar. Tenga en cuenta que al usuario se le debe asignar al menos acceso de Lector a toda la instancia para que pueda listar, crear y suprimir anillos de claves dentro de la instancia.

Otorgar acceso para funciones específicas

Para poder utilizar la característica de depuración de claves de Key Protect, debe otorgarse un rol específico denominado KeyPurge ya que no está habilitado de forma predeterminada, incluso para el propietario de la cuenta. Una vez que haya seguido los pasos listados en las otras secciones de este tema para otorgar acceso a este permiso a todas las claves o a una clave específica, elija el rol KeyPurge tal como se muestra en el gráfico.

Próximos pasos

También puede crear una política de acceso mediante la Key Protect API o el Key Protect complementoCLI.