Denselben API-Schlüssel wiederverwenden, bis die Zugangsberechtigung abläuft

IAM-Berechtigungsnachweise bestehen aus einer Service-ID und einem API-Schlüssel. Standardmäßig sind die Service-ID und der API-Schlüssel ephemere Einzelwerte, die jedes Mal generiert und gelöscht werden, wenn ein geheimer Schlüssel für IAM-Berechtigungsnachweise gelesen oder darauf zugegriffen wird.

Wenn Sie diese Berechtigungsnachweise bis zum Ende der Zugangsberechtigung für Ihren geheimen Schlüssel weiterhin verwenden wollen, können Sie IAM-Berechtigungsnachweise wiederverwenden, bis Zugangsberechtigung abläuft auf ansetzen. Wenn Sie diese Option aktivieren, behält Ihr Geheimnis seine aktuelle Service-ID und die API-Schlüsselwerte und verwendet sie bei jedem Lesen erneut, solange das Geheimnis gültig ist. Wenn der geheime Schlüssel das Ende seiner Gültigkeit (Lease) erreicht hat, werden die Berechtigungsnachweise automatisch widerrufen.

Wenn die Option zur Wiederverwendung von IAM-Anmeldeinformationen auf Aus gesetzt ist, wird die manuelle Rotation für das Geheimnis nicht unterstützt. Weitere Informationen finden Sie unter Geheime Schlüssel manuell drehen.

Quellkonto ermitteln

Secrets Manager kann IAM-Anmeldungsgeheimnisse entweder vom aktuellen IBM Cloud-Konto oder von einem bestimmten IBM Cloud-Konto erstellen und verwalten. Wenn Sie die Erstellung von einem bestimmten Konto wählen, geben Sie die ID des Kontos an.

Bestimmen Sie den Umfang des zu vergebenden Zugriffs

Möglicherweise haben Sie bereits eine Service-ID in Ihrem Konto, für die Sie einen API-Schlüssel generieren möchten, indem Sie die Service-ID auswählen. Alternativ können Sie sowohl eine Service-ID als auch einen API-Schlüssel generieren, indem Sie den Zugriff einer Zugriffsgruppe zuweisen.

Wählen Sie im Schritt Zugriff zuweisen des Assistenten zum Erstellen von IAM-Anmeldeinformationen einen Zugriffsbereich für Ihr Geheimnis.

1. Um eine vorhandene Service-ID zu verwenden, wählen Sie eine ID aus der Liste aus. Handelt es sich bei dem Ausgangskonto um ein bestimmtes anderes Konto, geben Sie die ID des Dienstes in folgendem Format an: ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0.

   Wählen Sie diese Option, wenn Sie Secrets Manager benötigen, um nur einen API-Schlüssel für Ihren geheimen IAM-Berechtigungsnachweisschlüssel und nicht die Service-ID selbst zu generieren und zu verwalten. Der API-Schlüssel übernimmt die Zugriffsrichtlinie der Service-ID, die Sie aus Ihrem Konto auswählen. Es werden nur die Service-IDs angezeigt, auf die Sie Zugriff haben.

2. Wählen Sie eine Zugriffsgruppe aus, um eine neue Service-ID und einen neuen API-Schlüssel für den geheimen Schlüssel zu generieren. Wenn es sich bei dem Quellkonto um ein bestimmtes Konto handelt, geben Sie die IDs der gewünschten Zugriffsgruppen an.

   Durch die Auswahl einer Zugriffsgruppe legen Sie den Umfang der Berechtigungen fest, die der Service-ID und dem API-Schlüssel über die Zugriffsgruppe zugewiesen werden. Die Service-ID und der API-Schlüssel werden generiert und mit Ihren neuen IAM-Anmeldeinformationen verknüpft. Sie können bis zu 10 Zugriffsgruppen zuordnen.

   Zugriffsrichtlinien sollten der/den ausgewählten Zugriffsgruppe(n) zugewiesen werden und nicht direkt den Service-IDs. Sowohl die Service-ID als auch der API-Schlüssel werden gelöscht und neue erstellt, sobald die TTL der IAM-Anmeldeinformationen erreicht ist.

Wenn Sie eine vorhandene Service-ID verwendet haben, wird der von Secrets Manager generierte API-Schlüssel automatisch gesperrt. Wenn Sie eine Zugriffsgruppe ausgewählt haben, werden sowohl die neue Service-ID als auch der API-Schlüssel, den Secrets Manager für das Geheimnis erstellt, automatisch gesperrt. Jedes Mal, wenn Sie ein IAM-Anmeldungsgeheimnis abrufen über die API verwenden, werden der API-Schlüssel und die Service-ID, die Secrets Manager generiert, gesperrt, auch wenn Sie sie vor dem Abrufen des Geheimnisses manuell entsperren.

Denselben API-Schlüssel wiederverwenden, bis die Zugangsberechtigung abläuft

Wenn Sie die IAM-Anmeldeinformationen bis zum Ende der Laufzeit Ihres Geheimnisses weiter verwenden möchten, können Sie die Option --iam-credentials-reuse-apikey verwenden. Wenn es auf true gesetzt ist, behält Ihr Geheimnis seine aktuellen Werte für die Service-ID und den API-Schlüssel und verwendet sie bei jedem Lesen erneut, solange das Geheimnis gültig ist. Andernfalls setzen Sie es auf false. Der folgende Beispielbefehl erstellt beispielsweise IAM-Anmeldeinformationen, die bis zum Ablauf ihrer Gültigkeit wiederverwendet werden können.

ibmcloud secrets-manager secret-create --secret-type iam_credentials --secret-name "example-iam-credentials-secret" --secret-description "Description of my IAM credentials secret" --iam-credentials-service-id "<iam_id_of_service_id>" --secret-ttl 30m --iam-credentials-reuse-apikey true

Der Befehl gibt den ID-Wert des geheimen Schlüssels zusammen mit anderen Metadaten aus. Wenn der geheime Schlüssel das Ende seiner Gültigkeit (Lease) erreicht hat, werden die Berechtigungsnachweise automatisch widerrufen. Weitere Informationen zu den Befehlsoptionen finden Sie in ibmcloud secrets-manager secret-create.

Wenn --iam-credentials-reuse-apikey für IAM-Anmeldeinformationen auf false eingestellt ist, wird die manuelle Rotation für das Geheimnis nicht unterstützt. Weitere Informationen finden Sie unter Geheime Schlüssel manuell rotieren.

Denselben API-Schlüssel wiederverwenden, bis die Zugangsberechtigung abläuft

Wenn Sie die IAM-Anmeldedaten bis zum Ende der Laufzeit Ihres Geheimnisses verwenden möchten, können Sie das Feld reuse_api_key verwenden. Wenn true festgelegt ist, behält Ihr geheimer Schlüssel seine aktuelle Service-ID und seine API-Schlüsselwerte bei und verwendet sie bei jedem Lesevorgang, während der geheime Schlüssel gültig bleibt. Der folgende Beispielbefehl erstellt beispielsweise IAM-Anmeldeinformationen, die bis zum Ablauf ihrer Gültigkeit wiederverwendet werden können.

Sie können Metadaten, die für die Anforderungen Ihrer Organisation relevant sind, mit den Anforderungsparametern custom_metadata und version_custom_metadata speichern. Werte von version_custom_metadata werden nur für die Versionen eines geheimen Schlüssels zurückgegeben. Die angepassten Metadaten Ihres geheimen Schlüssels werden wie alle anderen Metadaten für bis zu 50 Versionen gespeichert und Sie dürfen keine vertraulichen Daten einschließen.

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
      {
        "name": "example-iam-credentials-secret",
        "description": "Description of my IAM Credentials secret",
        "secret_type": "iam_credentials",
        "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
        "labels": [
          "dev",
          "us-south"
        ],
        "ttl": "30m",
        "access_groups": [
          "AccessGroupId-45884031-54be-4dd7-86ff-112511e92699",
          "AccessGroupId-8c0ed733-dfee-4a94-992b-e2247b86e2a2"
        ],
        "reuse_api_key": true,
        "custom_metadata": {
          "metadata_custom_key": "metadata_custom_value"
        },
        "version_custom_metadata": {
          "custom_version_key": "custom_version_value"
        }
      }' \
    "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

Eine erfolgreiche Anforderung gibt den ID-Wert des geheimen Schlüssels zusammen mit anderen Metadaten zurück. Wenn der geheime Schlüssel das Ende seiner Gültigkeit (Lease) erreicht hat, werden die Berechtigungsnachweise automatisch widerrufen. Weitere Informationen finden Sie in der API-Referenz.

Wenn reuse_api_key für IAM-Berechtigungsnachweise false ist, wird die manuelle Rotation für den geheimen Schlüssel nicht unterstützt. Weitere Informationen finden Sie unter Geheime Schlüssel manuell rotieren.

Vorhandene Service-ID in Ihrem Konto verwenden

Möglicherweise verfügen Sie bereits über eine Service-ID, die Sie zum dynamischen Generieren eines API-Schlüssels verwenden möchten. In diesem Szenario können Sie einen geheimen IAM-Berechtigungsnachweis erstellen, indem Sie Ihre eigene Service-ID verwenden. Der folgende Befehl erstellt beispielsweise einen IAM-Berechtigungsnachweis mithilfe des Felds service_id. Um sie in einem bestimmten anderen Konto zu erstellen, fügen Sie das Feld account_id hinzu.

Sie können Metadaten, die für die Anforderungen Ihrer Organisation relevant sind, mit den Anforderungsparametern custom_metadata und version_custom_metadata speichern. Werte von version_custom_metadata werden nur für die Versionen eines geheimen Schlüssels zurückgegeben. Die angepassten Metadaten Ihres geheimen Schlüssels werden wie alle anderen Metadaten für bis zu 50 Versionen gespeichert und Sie dürfen keine vertraulichen Daten einschließen.

Sie können den ID-Wert einer Dienst-ID im IAM-Abschnitt der Konsole finden. Gehen Sie zu Verwalten > Zugriff (IAM) > Dienst-IDs > Name. Klicken Sie auf Details, um die ID anzuzeigen.

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
          "name": "example-iam-credentials-secret",
          "description": "Description of my IAM Credentials secret",
          "secret_type": "iam_credentials",
          "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
          "labels": [
            "dev",
            "us-south"
          ],
          "ttl": "30m",
          "service_id": "ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0,
          "reuse_api_key": false,
          "custom_metadata": {
            "metadata_custom_key": "metadata_custom_value"
          },
          "version_custom_metadata": {
            "custom_version_key": "custom_version_value"
          }
        }' \
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

Eine erfolgreiche Anforderung gibt den ID-Wert des geheimen Schlüssels zusammen mit anderen Metadaten zurück. Weitere Informationen finden Sie in der API-Referenz.