Octroi de l'accès à des clés

Vous pouvez activer différents niveaux d'accès aux ressources IBM® Key Protect dans votre compte IBM Cloud en créant et modifiant des règles d'accès IBM Cloud IAM.

Les administrateurs de compte doivent définir un type de politique d'accès pour les utilisateurs, les identifiants de service et les groupes d'accèsEnsemble d'utilisateurs et d'ID de service organisés sous forme de groupe utilisé comme sujet d'une règle d'accès pour affecter le même accès à tous les membres du groupe., en fonction des exigences internes en matière de contrôle d'accès. Ces contrôles d'accès peuvent être affectés à plusieurs niveaux, depuis les instances jusqu'aux clés individuelles. Par exemple, si vous souhaitez accorder à un utilisateur l'accès à Key Protect au niveau d'autorisation le plus précis possible, vous pouvez lui attribuer l'accès à une seule clé au sein d'une instance.

Octroi de l'accès à toutes les clés d'une instance

Examinez les rôles et droits d'accès pour découvrir la manière dont les rôles IBM Cloud IAM sont mappés aux actions Key Protect.

Pour accorder l'accès aux clés dans une instance Key Protect à l'aide de la console IBM Cloud :

Dans la barre de menus, cliquez sur Gérer > Accès (IAM), et sélectionnez Utilisateurs pour parcourir les utilisateurs existants dans votre compte.
Sélectionnez une ligne de table, puis cliquez sur l'icône ⋯ pour ouvrir une liste des options de cet utilisateur.
Dans le menu des options, cliquez sur Affecter un accès.
Cliquez sur Affecter un accès.
Choisissez si vous souhaitez affecter un accès à un groupe (en cliquant sur Groupe d'accès) ou à une personne (en cliquant sur Règles d'accès). Vous pouvez trouver vos groupes d'accès en cliquant sur Groupes d'accès dans la section Gérer l'accès de la navigation de gauche.
Dans la liste des services, sélectionnez Key Protect et cliquez sur Suivant pour ouvrir la section Ressources.
Dans la section Ressources, utilisez les boutons d'option pour sélectionner si vous affectez l'accès à toutes les ressources ou uniquement à des ressources spécifiques. Si vous sélectionnez Ressources spécifiques, vous êtes invité à fournir un Type d'attribut (par exemple, un ID du fichier de clés, où la chaîne est égale à l'ID). La boîte Ajouter une condition vous permet d'ajouter d'autres attributs à la règle que vous créez à l'étape suivante. Lorsque vous êtes prêt, cliquez sur Suivant pour créer la règle. Notez que vous pouvez cliquer sur Éditer si vous souhaitez revenir à la liste des services.
Dans la section Rôles et accès, vous pouvez affecter l'accès aux ressources que vous avez sélectionnées. Pour plus d'informations sur la différence entre les rôles Accès au service et les rôles Accès à la plateforme, consultez Rôles de plateforme et rôles de service. La case à droite des options de sélection est mise à jour dynamiquement pour fournir un récapitulatif de l'accès qui serait affecté si les options sélectionnées étaient conservées. Vérifiez attentivement la liste d'accès fournie. Notez qu'une version JSON de la règle peut être affichée (et copiée) en cliquant sur JSON dans l'onglet [UI|JSON] à droite de l'en-tête Créer une règle.
Lorsque vous êtes satisfait de votre règle, cliquez sur Ajouter. Cette action crée la règle sélectionnée sur les ressources sélectionnées. La colonne Récapitulatif de l'accès affiche la règle créée. S'il y a une erreur, vous pouvez Supprimer ou éditer l'accès dans cette section.

Octroi de l'accès à une clé d'une instance

L'appel de l'API de clés de liste ne renvoie pas les clés pour lesquelles vous avez affecté un accès individuel (auxquelles vous seul pouvez accéder, en d'autres termes, même si vous avez l'accès à ces clés et que vous êtes celui qui effectue l'appel). L'appel de cette API renvoie cependant les clés dans les fichiers de clés auxquels vous avez accès.

Si vous devez affecter un accès au-delà du niveau d'instance, vous pouvez choisir d'affecter un accès à une clé particulière ou à un fichier de clés.

Pour créer une règle d'accès pour une clé particulière, vous devez :

Extraire l'ID de clé.
Créer une règle d'accès.

Etape 1. Extraire l'ID de clé

Extrayez l'identificateur unique associé à la clé à laquelle vous souhaitez accorder un accès.

Pour obtenir l'ID d'une clé spécifique, vous pouvez :

Accéder à l'interface graphique de Key Protect pour parcourir les clés stockées dans votre instance Key Protect.
Utiliser l'API de Key Protect pour extraire une liste de vos clés, avec les métadonnées sur ces clés.

Étape 2. Créez une stratégie d'accès

Vous pouvez créer une règle d'accès pour une clé en ciblant l'instance et la clé en procédant comme suit :

Dans la barre de menus, cliquez sur Gérer > Accès (IAM), et sélectionnez Utilisateurs pour parcourir les utilisateurs existants dans votre compte.
Sélectionnez une ligne de table, puis cliquez sur l'icône ⋯ pour ouvrir une liste des options de cet utilisateur.
Dans le menu des options, cliquez sur Affecter un accès.
Cliquez sur Attribuer l'accès aux utilisateurs.
Dans la liste des services, sélectionnez Key Protect.
Dans la liste des instances Key Protect, sélectionnez l'instance Key Protect contenant la clé à laquelle vous souhaitez octroyer l'accès.
Sélectionnez Ressources basées sur les attributs sélectionnés.
Cliquez sur la zone ID instance et sélectionnez l'instance dans laquelle se trouve le fichier de clés dans la liste déroulante.
Cliquez sur la zone Type de ressource et entrez key.
Cliquez sur la zone ID ressource entrez l'ID affecté à votre clé par le service Key Protect.
Choisissez une combinaison de rôles d'accès de plateforme et de service pour affecter l'accès de l'utilisateur.
Cliquez sur Ajouter.
Continuez à ajouter des rôles d'accès aux plateformes et aux services selon les besoins. Lorsque vous avez terminé, cliquez sur Affecter.

L'image illustre un exemple montrant comment accorder à un utilisateur l'accès à une clé. — Montre comment accorder à un utilisateur l'accès à une clé spécifique.

Accorder l'accès aux fichiers de clés d'une instance

Un fichier de clés est une collection de clés située dans votre instance de service, dans laquelle vous pouvez restreindre l'accès via la règle d'accès IAM. Pour plus d'informations sur les fichiers de clés, voir Grouping keys.

Vous pouvez accorder l'accès aux fichiers de clés dans une instance Key Protect à l'aide de la console IBM Cloud, de l'API IAM ou de l'interface de ligne de commande IAM.

Examinez les rôles et droits d'accès pour découvrir la manière dont les rôles IBM Cloud IAM sont mappés aux actions Key Protect.

Autorisation d'accès aux fichiers de clés d'une instance à l'aide de la console

Pour accorder l'accès à un fichier de clés via la console, procédez comme suit :

Dans la barre de menus, cliquez sur Gérer > Accès (IAM), et sélectionnez Utilisateurs pour parcourir les utilisateurs existants dans votre compte.
Sélectionnez une ligne de table, puis cliquez sur l'icône ⋯ pour ouvrir une liste des options de cet utilisateur.
Dans le menu des options, cliquez sur Affecter un accès.
Cliquez sur Attribuer l'accès aux utilisateurs.
Cliquez sur la mosaïque Services IAM.
Dans la liste des services, sélectionnez Key Protect.
Sélectionnez Ressources basées sur les attributs sélectionnés.
Cliquez sur la zone ID instance et sélectionnez l'instance dans laquelle se trouve le fichier de clés dans la liste déroulante.
Cliquez sur la zone ID du fichier de clés et entrez le nom du fichier de clés. Notez que l'ID du fichier de clés est sensible à la casse et doit être exact.
Choisissez la combinaison de rôles d'accès aux plateformes et au service que cet utilisateur doit posséder.
Cliquez sur Ajouter.
Continuez à ajouter des rôles d'accès à la plateforme et au service selon vos besoins et lorsque vous avez terminé, cliquez sur Affecter. Notez que l'utilisateur doit avoir au moins l'accès Lecteur pour l'instance entière pour pouvoir répertorier, créer et supprimer des fichiers de clés dans l'instance.

L'image illustre un exemple montrant comment accorder à un utilisateur l'accès à un trousseau de clés. — Montre comment accorder à un utilisateur l'accès à un porte-clés.

Octroi d'accès à des fonctions spécifiques

Pour pouvoir utiliser la fonctionnalité « Key Purge » d’ Key Protect, il est nécessaire de disposer d’un rôle spécifique appelé « KeyPurge », car cette fonctionnalité n’est pas activée par défaut, même pour le propriétaire du compte. Lorsque vous avez procédé comme indiqué dans les autres sections de cette rubrique pour accorder l'accès à cette autorisation pour toutes les clés, ou à une clé spécifique, choisissez le rôle KeyPurge comme indiqué dans le graphique.

L'image illustre un exemple de la manière d'accorder l'autorisation d'utiliser la fonctionnalité « Key Purge ». — Indique comment accorder l'autorisation d'utiliser la fonction de purge des clés.

Etapes suivantes

Vous pouvez également créer une politique d'accès via Key Protect API ou le Key Protect plugin CLI.