Concedendo acesso a todas as chaves em uma instância

Revise funções e permissões para saber como as funções do IBM Cloud IAM são mapeadas para as ações do Key Protect.

Para conceder acesso às chaves contidas em uma instância de Key Protect utilizando o console IBM Cloud:

1. Na barra de menus, clique em Gerenciar > Acesso (IAM) e selecione Usuários para procurar pelos usuários existentes em sua conta.

2. Selecione uma linha da tabela e clique no ícone ⋯ para abrir uma lista de opções para esse usuário.

3. No menu de opções, clique em Designar acesso.

4. Clique em Designar acesso.

5. Escolha se você deseja designar acesso a um grupo (clicando em Grupo de acesso) ou a um indivíduo (clicando em Políticas de acesso). Seus grupos de acesso podem ser encontrados clicando em Grupos de acesso na seção Gerenciar acesso da navegação esquerda.

6. Na lista de serviços, selecione Key Protect e clique em Próximo para abrir a seção Recursos.

7. Na seção Recursos, use os botões de opção selecionar se você designa acesso a todos os recursos ou apenas recursos específicos. Caso você selecione Recursos específicos, você é solicitado a fornecer um Tipo de atributo (por exemplo, um ID do conjunto de chaves, em que a sequência de caracteres é igual ao ID). A caixa Incluir uma condição permite incluir mais atributos à política criada na próxima etapa. Quando estiver pronto, clique em Próximo para criar a política. Observe que é possível clicar em Editar se deseja voltar à lista de serviços.

8. Na seção Funções e acesso, é possível designar acesso aos recursos selecionados. Para obter mais informações sobre a diferença entre as funções Acesso ao serviço e Acesso à plataforma, confira Funções de plataforma e funções de serviço. A caixa à direita das opções de seleção se atualiza dinamicamente para fornecer um resumo do acesso que seria designado caso as opções selecionadas fossem mantidas. Revise a lista de acesso fornecida cuidadosamente. Observe que uma versão JSON da política pode ser visualizada (e copiada) clicando em JSON na guia marcada [UI|JSON] à direita do cabeçalho Criar política.

9. Quando estiver satisfeito com sua política, clique em Incluir. Isso cria a política selecionada sobre os recursos selecionados. A coluna Resumo de acesso mostra a política criada. Se houver um erro, é possível Remover ou Editar o acesso nesta seção.

Concedendo acesso a uma única chave em uma instância

Ao chamar a API list keys você não verá as chaves para as quais você recebeu acesso individual (em outras palavras, que somente você pode acessar, mesmo que você tenha acesso a essas chaves e seja o responsável pela chamada). No entanto, uma chamada para essa API retornará as chaves contidas nos conjuntos de chaves aos quais você tem acesso.

Caso seja necessário designar acesso além do nível da instância, é possível optar por designar o acesso a uma chave específica ou para um conjunto de chaves.

Para criar uma política de acesso para uma chave específica, é necessário:

1. Recuperar o ID da chave.
2. Criar uma política de acesso.

Etapa 2. Criar uma política de acesso

Para criar uma política de acesso para uma chave, é possível definir como destino a instância e a chave; para isso:

1. Na barra de menus, clique em Gerenciar > Acesso (IAM) e selecione Usuários para procurar pelos usuários existentes em sua conta.

2. Selecione uma linha da tabela e clique no ícone ⋯ para abrir uma lista de opções para esse usuário.

3. No menu de opções, clique em Designar acesso.

4. Clique em Designar o acesso aos usuários.

5. Na lista de serviços, selecione Key Protect.

6. Na lista de instâncias do Key Protect, selecione a instância do Key Protect que contém a chave à qual você deseja conceder acesso.

7. Selecione Recursos com base em atributos selecionados.

8. Clique na caixa ID da instância e selecione na lista suspensa a instância na qual reside o conjunto de chaves.

9. Clique na caixa Tipo de recurso e insira key.

10. Clique na caixa ID do recurso e insira o ID que foi designado para a chave pelo serviço do Key Protect.

11. Escolha uma combinação de funções de acesso de plataforma e de serviço para designar acesso ao usuário.

12. Clique em Incluir.

13. Continue a incluir funções de plataforma e de acesso a serviços, conforme necessário. Ao terminar, clique em Designar.

Concedendo acesso a conjuntos de chaves em uma instância

Um conjunto de chaves é uma coleção de chaves localizadas dentro de sua instância de serviço, na qual é possível restringir o acesso por meio da política de acesso do IAM. Para obter informações sobre conjuntos de chaves, consulte Agrupando chaves.

É possível conceder acesso a conjuntos de chaves dentro de uma instância do Key Protect usando o console do IBM Cloud, a API do IAM ou a CLI do IAM.

Revise funções e permissões para saber como as funções do IBM Cloud IAM são mapeadas para as ações do Key Protect.

Concedendo acesso aos conjuntos de chaves em uma instância utilizando o console

Para designar o acesso a um conjunto de chaves por meio do console:

1. Na barra de menus, clique em Gerenciar > Acesso (IAM) e selecione Usuários para procurar pelos usuários existentes em sua conta.

2. Selecione uma linha da tabela e clique no ícone ⋯ para abrir uma lista de opções para esse usuário.

3. No menu de opções, clique em Designar acesso.

4. Clique em Designar o acesso aos usuários.

5. Clique no bloco Serviços do IAM.

6. Na lista de serviços, selecione Key Protect.

7. Selecione Recursos com base em atributos selecionados.

8. Clique na caixa ID da instância e selecione na lista suspensa a instância na qual reside o conjunto de chaves.

9. Clique na caixa ID do conjunto de chaves e insira o nome do conjunto de chaves. Observe que o ID do conjunto de chaves faz distinção entre maiúsculas e minúsculas e deve ser exato.

10. Escolha a combinação de funções de acesso a plataformas e serviços a ser concedida a esse usuário.

11. Clique em Incluir.

12. Continue a incluir funções de plataforma e de acesso de serviço conforme necessário e quando terminar clique em Designar. Observe que o usuário deve ter pelo menos acesso de Leitor para toda a instância para poder listar, criar e excluir conjuntos de chaves nessa instância.

Concedendo acesso para funções específicas

Para usar o recurso Key Purge do Key Protect, uma função específica chamada KeyPurge deve ser concedida, pois não é ativada por padrão, mesmo para o proprietário da conta. Depois de seguir as etapas listadas nas demais seções deste tópico para a concessão de acesso a essa permissão para todas as chaves, ou para uma chave específica, escolha a função KeyPurge, conforme mostrado no gráfico.

Próximas etapas

Você também pode criar uma política de acesso por meio do Key Protect API ou do Key Protect pluginCLI.