Vorbereitende Schritte

Stellen Sie vor dem ersten Start sicher, dass Sie über Administrator-Plattformzugriff verfügen, damit Sie Services einrichten, Zugriffsgruppen erstellen und die Zugriffsrichtlinien für andere anpassen können. Außerdem müssen die folgenden Voraussetzungen erfüllt sein:

• Laden Sie die IBM Cloud-CLI herunter und laden und installieren Sie sie.

• Installieren Sie das Secrets Manager-CLI-Plug-in.

• Laden Sie jq herunter und installieren Sie es.

  jq unterstützt Sie beim Ausschneiden und Filtern von JSON-Daten. Sie verwenden jq in diesem Lernprogramm, um gespeicherte Umgebungsvariablen zu erfassen und zu verwenden.

Umgebung einrichten

Damit Sie mit Secrets Manager und Cloud Object Storage arbeiten können, müssen Sie Instanzen beider Services in Ihrem IBM Cloud-Konto erstellen. Sie müssen ferner Berechtigungen konfigurieren, damit Sie Operationen für beide Services ausführen können.

In diesem Schritt richten Sie eine Zugriffsumgebung ein, indem Sie eine Zugriffsgruppe, eine Service-ID und einen IBM Cloud-API-Schlüssel erstellen. Am Ende des Lernprogramms können Sie beide Instanzen ohne großen Aufwand wieder entfernen, wenn Sie diese nicht mehr benötigen.

Sie können nur eine Secrets Manager-Serviceinstanz in Ihrem IBM Cloud-Konto haben.

IAM-Berechtigungsnachweis erstellen

IAM-Berechtigungsnachweise sind dynamische geheime Schlüssel, die Sie verwenden können, um bedarfsgerecht auf eine IBM Cloud-Ressource wie beispielsweise ein Cloud Object Storage-Bucket zuzugreifen. Eine Gruppe von IAM-Berechtigungsnachweisen besteht aus einer Service-ID und einem API-Schlüssel, der jedes Mal generiert wird, wenn die geschützte Ressource gelesen wird oder wenn auf Sie zugegriffen wird. Sie können bei der Erstellung Ihres IAM-Berechtigungsnachweises eine Lebensdauer (TTL, Time-to-live) oder eine Zeitdauer für die Überlassung definieren und dadurch die Zeitdauer verkürzen, die der geheime Schlüssel existiert.

Wenn Sie einen IAM-Berechtigungsnachweis über die Befehlszeilenschnittstelle von IBM Cloud erstellen möchten, führen Sie den Befehl ibmcloud secrets-manager secret-create aus.

export SECRET_ID=`ibmcloud secrets-manager secret-create --secret-name test-iam-credentials --secret-description "Extended description for my secret.",--am-credentials-access_groups $ACCESS_GROUP_ID" --secret_group_id $SECRET_GROUP_ID --iam-credentials-ttl 2h --secret-labels "storage, us-south" --output json --service-url https://${instance-id}.${region}.secrets-manager.appdomain.cloud | jq -r '.id`

Aktualisieren Sie instance_id und region auf Ihre Version.

Sie können einen IAM-Berechtigungsnachweis auch über die Secrets Manager-Benutzerschnittstelle erstellen. Weitere Informationen finden Sie im Abschnitt zum Erstellen von IAM-Berechtigungsnachweisen.

API-Schlüssel generieren

Nachdem Sie den IAM-Berechtigungsnachweis erstellt haben, kann ein Benutzer mit weniger Berechtigungen den geheimen Schlüssel abrufen, wenn der Zeitpunkt für den Zugriff auf das Speicherbucket gekommen ist.

Wenn Sie einen IAM-Berechtigungsnachweis über die Befehlszeilenschnittstelle von IBM Cloud abrufen möchten, führen Sie den Befehl ibmcloud secrets-manager secret aus.

1. Rufen Sie den Inhalt Ihres geheimen IAM-Berechtigungsnachweises ab.

   ibmcloud secrets-manager secret --id $SECRET_ID --output json
   

   Das folgende JSON-Snippet zeigt die Beispielantwort.

   {
       "metadata": {
       "collection_type": "application/vnd.ibm.secrets-manager.secret+json",
       "collection_total": 1
       },
       "resources": [
       {
         "access_groups": [
           "AccessGroupId-e7e1a364-c5b9-4027-b4fe-083454499a20"
         ],
         "api_key": "pVTL3W7o1uqIWSE8sSh8ebNhRN4-d1D0W9GcPVgwcLUr",
         "created_by": "iam-ServiceId-222b47ab-b08e-4619-b68f-8014a2c3acb8",
         "creation_date": "2020-12-15T14:31:42Z",
         "crn": "crn:v1:bluemix:public:secrets-manager:us-south:a/a5ebf2570dcaedf18d7ed78e216c263a:f1bc94a6-64aa-4c55-b00f-f6cd70e4b2ce:secret:cb7a2502-8ede-47d6-b5b6-1b7af6b6f563",
         "description": "Extended description for my secret.",
         "labels": [
             "storage",
             "us-south"
         ],
         "last_update_date": "2020-12-15T14:31:42Z",
         "name": "test-iam-credentials",
         "secret_group_id": "432b91f1-ff6d-4b47-9f06-82debc236d90",
         "secret_type": "IAM_CREDENTIALS",
         "service_id": "ServiceId-0576925a-9651-4f3e-b8c7-ce1332324aa4",
         "state": 1,
         "state_description": "Active",
         "ttl": 900
       }
       ]
   }
   

   Im Antworthauptteil werden die api_key- und service_id-Werte für die einmalige Verwendung angezeigt, die für Ihren geheimen Schlüssel generiert werden. Der Wert für ttl gibt an, wie lange Ihre Berechtigungsnachweise gültig sind (in Sekunden).

2. Exportieren Sie eine Umgebungsvariable mit dem neu generierten API-Schlüssel.

   Kopieren Sie den Wert api_key, den Sie im vorherigen Schritt erstellt haben, und legen Sie ihn als Umgebungsvariable fest.

   export API_key="<api_key>"
   

Zugriffstoken mit API-Schlüssel generieren

Indem Sie den API-Schlüssel verwenden, den Sie im vorherigen Schritt abgerufen haben, können Sie ein IAM-Zugriffstoken generieren. Das Token ist nur für die Dauer gültig, die Sie ursprünglich für den IAM-Berechtigungsnachweis definiert haben.

Sie können den API-Schlüssel gegen ein IAM-Zugangs-Token austauschen, indem Sie die IAM Identity Services API aufrufen. Um ein IAM-Token zu generieren, führen Sie den folgenden cURL-Befehl über Ihre Befehlszeile aus.

export IAM_TOKEN=`curl -X POST \
    "https://iam.cloud.ibm.com/identity/token" \
    -H "Content-Type: application/x-www-form-urlencoded" \
    -H "Accept: application/json" \
    -d "grant_type=urn%3Aibm%3Aparams%3Aoauth%3Agrant-type%3Aapikey&apikey=$API_KEY" | jq -r ".access_token"`; echo $IAM_TOKEN

Erfolgreich! Sie haben nun ein gültiges IAM-Token, das Sie für den Zugriff auf Ihr Cloud Object Storage-Bucket verwenden können. Fahren Sie mit dem nächsten Schritt fort.

Auf ein Speicherbucket zugreifen

Als Benutzer mit geringeren Berechtigungen haben Sie jetzt mithilfe des im vorherigen Schritt erstellten Zugriffstokens Lese- und Schreibberechtigung für Ihr Cloud Object Storage-Bucket. Nach Ablauf der Überlassungsdauer Ihrer IAM-Berechtigungsnachweise wird der zugehörige API-Schlüssel automatisch widerrufen.

Führen Sie in der Befehlszeile die folgende cURL-Anforderung aus, um die Buckets in Ihrer Cloud Object Storage-Instanz aufzuführen.

curl -X GET \
    "https://s3.us-south.cloud-object-storage.appdomain.cloud" \
    -H "Authorization: Bearer $IAM_TOKEN" \
    -H "ibm-service-instance-id: $COS_INSTANCE_ID" \
    -H "Accept: application/json"

Das folgende XML-Snippet zeigt eine Beispielantwort.

<ListAllMyBucketsResult xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
    <Owner>
        <ID>cccbd89c-6eb0-4aed-8ffb-899d39bc022e</ID>
        <DisplayName>cccbd89c-6eb0-4aed-8ffb-899d39bc022e</DisplayName>
    </Owner>
    <Buckets>
        <Bucket>
            <Name>test-secrets-tutorial</Name>
            <CreationDate>2020-12-14T21:40:55.739Z</CreationDate>
        </Bucket>
    </Buckets>
</ListAllMyBucketsResult>

Führen Sie den folgenden Befehl aus, um den Inhalt Ihres test-secrets-tutorial-Buckets anzuzeigen:

curl -X GET \
    "https://s3.us-south.cloud-object-storage.appdomain.cloud/test-secrets-tutorial" \
    -H "Authorization: Bearer $IAM_TOKEN" \
    -H "ibm-service-instance-id: $COS_INSTANCE_ID" \
    -H "Accept: application/json"

Das folgende XML-Snippet zeigt eine Beispielantwort.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ListBucketResult xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
    <Name>test-secrets-tutorial</Name>
    <Prefix></Prefix>
    <Marker></Marker>
    <MaxKeys>1000</MaxKeys>
    <Delimiter></Delimiter>
    <IsTruncated>false</IsTruncated>
    <Contents>
        <Key>sample.txt</Key>
        <LastModified>2020-12-14T21:49:29.502Z</LastModified>
        <ETag>"df756a3769fcab0a261880957590c768"</ETag>
        <Size>42</Size>
        <Owner>
            <ID>cccbd89c-6eb0-4aed-8ffb-899d39bc022e</ID>
            <DisplayName>cccbd89c-6eb0-4aed-8ffb-899d39bc022e</DisplayName>
        </Owner>
        <StorageClass>STANDARD</StorageClass>
    </Contents>
</ListBucketResult>

Um das Objekt im Bucket zu lesen, können Sie den folgenden Befehl ausführen.

curl -X GET \
    "https://s3.us-south.cloud-object-storage.appdomain.cloud/test-secrets-tutorial/sample.txt" \
    -H "Authorization: Bearer $IAM_TOKEN" \
    -H "ibm-service-instance-id: $COS_INSTANCE_ID" \
    -H "Accept: application/json"

Ersetzen Sie sample.txt durch den Namen der Datei, die Sie in Ihr Bucket hochgeladen haben. Die folgende Anzeige zeigt eine Beispielantwort.

A quick brown fox jumps over the lazy dog.

(Optional) Ressourcen bereinigen

Wenn Sie die Ressourcen, die Sie in diesem Lernprogramm erstellt haben, nicht mehr benötigen, können Sie die folgenden Schritte ausführen, um sie aus Ihrem Konto zu entfernen.

1. Löschen Sie Ihre Testinstanz von Cloud Object Storage.

   ibmcloud resource service-instance-delete test-cos-instance-tutorial
   

2. Löschen Sie Ihre Secrets Manager-Testinstanz.

   ibmcloud resource service-instance-delete test-sm-instance-tutorial
   

3. Löschen Sie Ihre Testzugriffsgruppe.

   ibmcloud resource access-group-delete $ACCESS_GROUP
   

4. Löschen Sie Ihre Test-Service-ID.

   ibmcloud resource service-id-delete $SERVICE_ID
   

Nächste Schritte

Gut gemacht! In diesem Lernprogramm haben Sie erfahren, wie Sie Secrets Manager für den Zugriff auf ein Cloud Object Storage-Bucket mit einem dynamischen geheimen Schlüssel einrichten. Nutzen Sie weitere Ressourcen, die Sie beim Einstieg in Secrets Manager unterstützen.

• Weitere Informationen zu den verschiedenen Typen geheimer Schlüssel.
• Entwerfen Sie eine Zugriffsstrategie mit Gruppen geheimer Schlüssel.
• Weitere Informationen zur Secrets Manager-API.