Reutilizar la misma clave de API hasta que caduque la concesión

Las credenciales de IAM constan de un ID de servicio y una clave de API. De forma predeterminada, el ID de servicio y la clave de API son valores efímeros que se generan y se suprimen cada vez que se lee o se accede a un secreto de credenciales de IAM.

Si desea continuar utilizando esas credenciales hasta el final de la cesión de su secreto, puede establecer Reutilizar credenciales de IAM hasta que caduque la cesión en On (Encendido). Cuando activas esta opción, tu secreto retiene su ID de servicio actual, y los valores de la clave API y los reutiliza en cada lectura mientras el secreto siga siendo válido. Una vez que el secreto alcanza el final de su arrendamiento, las credenciales se revocan automáticamente.

Si la opción de reutilización de credenciales IAM está desactivada, no se admite la rotación manual del secreto. Para obtener más información, consulte Secretos de rotación manual.

Determinar la cuenta de origen

Secrets Manager puede crear y gestionar secretos de credenciales IAM desde la cuenta IBM Cloud actual o desde una cuenta IBM Cloud específica. Cuando seleccione crear una desde una cuenta específica, proporcione el ID de la cuenta.

Determinar el alcance del acceso a asignar

Es posible que ya tenga un ID de servicio en su cuenta para el que desee generar una clave API seleccionando el ID de servicio. Alternativamente, puede generar tanto un ID de servicio como una clave API asignando el acceso a un grupo de acceso.

En el paso Asignar acceso del asistente Crear credenciales IAM, elija un ámbito de acceso para su secreto.

1. Para utilizar un ID de servicio existente, seleccione un ID de la lista. Si la cuenta de origen es otra cuenta específica, proporcione el ID del ID de servicio, con el siguiente formato: ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0.

   Elija esta opción cuando necesite que Secrets Manager genere y gestione solo una clave de API para el secreto de credenciales de IAM, y no el ID de servicio. La clave de API hereda la política de acceso del ID de servicio que seleccione en la cuenta. Solo se muestran los ID de servicio a los que tiene acceso.

2. Para generar un nuevo ID de servicio y una clave de API para el secreto, seleccione un grupo de acceso. Si la cuenta de origen es una cuenta específica, proporcione los ID de los grupos de acceso deseados.

   Al seleccionar un grupo de acceso, se determina el alcance de los permisos que se asignan al ID de servicio y a la clave API mediante el grupo de acceso. El ID de servicio y la clave API se generan y se asocian a su nueva credencial IAM. Puede asignar hasta 10 grupos de acceso.

   Las políticas de acceso deben asignarse a los grupos de acceso seleccionados y no directamente a los ID de servicio. Tanto el ID de servicio como la clave API se eliminan y se crean otros nuevos una vez que se alcanza el TTL de la credencial IAM.

Si ha utilizado un ID de servicio existente, la clave API generada por Secrets Manager se bloquea automáticamente. Si ha seleccionado un grupo de acceso, tanto el nuevo ID de servicio como la clave API que Secrets Manager crea para el secreto se bloquean automáticamente. Cada vez que recupera un secreto de credenciales de IAM mediante la API, la clave de API y el ID de servicio que genera Secrets Manager se bloquean, incluso si los desbloquea manualmente antes de recuperar el secreto.

Reutilizar la misma clave de API hasta que caduque la concesión

Si desea seguir utilizando las credenciales de IAM hasta el final del contrato de arrendamiento de su secreto, puede utilizar la opción --iam-credentials-reuse-apikey. Si se establece en true, su secreto conserva su ID de servicio actual y los valores de la clave API y los reutiliza en cada lectura mientras el secreto siga siendo válido, de lo contrario, establézcalo en false. Por ejemplo, el siguiente comando ejemplo crea credenciales IAM que pueden reutilizarse hasta que caduquen.

ibmcloud secrets-manager secret-create --secret-type iam_credentials --secret-name "example-iam-credentials-secret" --secret-description "Description of my IAM credentials secret" --iam-credentials-service-id "<iam_id_of_service_id>" --secret-ttl 30m --iam-credentials-reuse-apikey true

El mandato genera el valor de ID del secreto, junto con otros metadatos. Una vez que el secreto alcanza el final de su arrendamiento, las credenciales se revocan automáticamente. Para obtener más información sobre las opciones de mandato, consulte ibmcloud secrets-manager secret-create.

Si --iam-credentials-reuse-apikey está configurado como false para las credenciales IAM, no se admite la rotación manual del secreto. Para obtener más información, consulte Rotar secretos manualmente.

Reutilizar la misma clave de API hasta que caduque la concesión

Si desea utilizar las credenciales IAM hasta el final del arrendamiento de su secreto, puede utilizar el campo reuse_api_key. Si está establecido en true, el secreto conserva su ID de servicio actual y sus valores de clave de API y los vuelve a utilizar en cada lectura mientras el secreto siga siendo válido. Por ejemplo, el siguiente comando ejemplo crea credenciales IAM que pueden reutilizarse hasta que caduquen.

Puede almacenar metadatos que sean relevantes para las necesidades de su organización con los parámetros de solicitud custom_metadata y version_custom_metadata. Los valores de version_custom_metadata sólo se devuelven para las versiones de un secreto. Los metadatos personalizados del secreto se almacenan como todos los demás metadatos, para un máximo de 50 versiones, y no debe incluir datos confidenciales.

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
      {
        "name": "example-iam-credentials-secret",
        "description": "Description of my IAM Credentials secret",
        "secret_type": "iam_credentials",
        "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
        "labels": [
          "dev",
          "us-south"
        ],
        "ttl": "30m",
        "access_groups": [
          "AccessGroupId-45884031-54be-4dd7-86ff-112511e92699",
          "AccessGroupId-8c0ed733-dfee-4a94-992b-e2247b86e2a2"
        ],
        "reuse_api_key": true,
        "custom_metadata": {
          "metadata_custom_key": "metadata_custom_value"
        },
        "version_custom_metadata": {
          "custom_version_key": "custom_version_value"
        }
      }' \
    "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

Una solicitud correcta devuelve el valor de ID del secreto, junto con otros metadatos. Una vez que el secreto alcanza el final de su arrendamiento, las credenciales se revocan automáticamente. Para obtener más información, consulte la Referencia de API.

Si reuse_api_key es false para credenciales de IAM, no se da soporte a la rotación manual del secreto. Para obtener más información, consulte Rotar secretos manualmente.

Utilizar un ID de servicio existente en su cuenta

Es posible que ya tenga un ID de servicio en la cuenta que desee utilizar para generar dinámicamente una clave de API. En este caso, puede elegir crear un secreto de credenciales de IAM aportando su propio ID de servicio. Por ejemplo, el mandato siguiente crea una credencial de IAM utilizando el campo service_id. Para crearlo en otra cuenta específica añade el campo account_id.

Puede almacenar metadatos que sean relevantes para las necesidades de su organización con los parámetros de solicitud custom_metadata y version_custom_metadata. Los valores de version_custom_metadata sólo se devuelven para las versiones de un secreto. Los metadatos personalizados del secreto se almacenan como todos los demás metadatos, para un máximo de 50 versiones, y no debe incluir datos confidenciales.

Puede encontrar el valor ID de un servicio ID en la sección IAM de la consola. Vaya a Gestionar > Acceso (IAM) > ID de servicio > nombre. Haga clic en Detalles para ver el ID.

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
          "name": "example-iam-credentials-secret",
          "description": "Description of my IAM Credentials secret",
          "secret_type": "iam_credentials",
          "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
          "labels": [
            "dev",
            "us-south"
          ],
          "ttl": "30m",
          "service_id": "ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0,
          "reuse_api_key": false,
          "custom_metadata": {
            "metadata_custom_key": "metadata_custom_value"
          },
          "version_custom_metadata": {
            "custom_version_key": "custom_version_value"
          }
        }' \
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

Una solicitud correcta devuelve el valor de ID del secreto, junto con otros metadatos. Para obtener más información, consulte la Referencia de API.