Création de zones de réseau à l'aide de l'API

Vous pouvez créer des zones réseau à l'aide de la commande create-zone. Pour plus d'informations, voir la documentation sur les API. Vous pouvez ajouter Secrets Manager aux zones réseau en tant que référence de service pour permettre à Secrets Manager d'accéder aux ressources et aux services de votre compte qui font l'objet d'une règle.

L'attribut serviceRef de Secrets Manager est secrets-manager.

Vous pouvez déterminer quels services sont disponibles en vérifiant cibles de référence.

Exemple de contenu permettant d'ajouter Secrets Manager à une zone réseau.

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "secrets-manager",
        "account_id": "ACCOUNT-ID"
      }
    }
  ]
}

Exemple de contenu permettant d'ajouter plusieurs services, adresses IP et VPC à une zone réseau.

{
  "name": "zone",
  "description": "",
  "addresses": [
    {
      "type": "ipAddress",
      "value": "192.168.0.0"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-east:a/CRN"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-south:a/CRN"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "cloud-object-storage",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "codeengine",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_type": "platform_service",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "iam-groups",
        "account_id": "ACCOUNT-ID"
      }
    }
  ],
  "excluded": []
}

Après avoir créé des zones, vous pouvez les mettre à jour ou les supprimer.

Création de zones réseau à l'aide de l'interface utilisateur

Après avoir défini les prérequis et les exigences, vous pouvez créer des zones dans l'interface utilisateur. Pour plus d'informations, voir Création de restrictions contextuelles.

1. Déterminez les ressources que vous souhaitez ajouter à votre liste autorisée.
2. Suivez les étapes pour créer des restrictions contextuelles dans la console. Ajoutez le service Secrets Manager à vos zones réseau pour permettre à IBM Cloud® Secrets Manager d'accéder aux services et aux ressources de votre compte.

Après avoir créé des zones, vous pouvez également les mettre à jour ou les supprimer.

Création de zones réseau à l'aide de l'interface de ligne de commande

Vous pouvez utiliser la commande cbr-zone-create pour ajouter des emplacements réseau, des VPC et des références de service à des zones réseau. Pour plus d'informations, voir la référence de l'interface de ligne de commande de CBR. Ajoutez Secrets Manager aux zones réseau en tant que référence de service pour permettre à Secrets Manager d'accéder aux ressources et aux services de votre compte qui font l'objet d'une règle.

1. Pour créer des zones réseau à partir de l'interface de ligne de commande, installez le plug-in d'interface de ligne de commande CBR.
2. La commande cbr-zone-create permet d'ajouter des ressources à des zones réseau. Pour plus d'informations, voir la référence de l'interface de ligne de commande de CBR. Notez que service_name pour Secrets Manager est secrets-manager.

Pour obtenir la liste des références de service disponibles, exécutez la ibmcloud cbr service-ref-targets commande .

Exemple de commande permettant d'ajouter le service secrets-manager à une zone réseau.

ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=secrets-manager

Créer des règles en utilisant l'API

Vous pouvez définir des règles avec l'API en utilisant les informations que vous avez collectées lors de la création de zones réseau.

Consultez l'exemple suivant pour apprendre à créer des règles pour Secrets Manager. Pour plus d'informations, voir la documentation sur les API.

L'exemple de contenu suivant crée une règle qui protège le cluster CLUSTER-ID. Seules les ressources de la zone NETWORK-ZONE-ID peuvent accéder au cluster. Etant donné qu'aucun operations n'est spécifié, les ressources de la zone NETWORK-ZONE-ID peuvent accéder aux API cluster et management.

{
  "description": "Example rule 1",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "secrets-manager"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

Après avoir créé des règles, vous pouvez les mettre à jour et les supprimer.

Création de règles à l'aide de l'interface utilisateur

Après avoir défini les prérequis et les exigences, vous pouvez créer des règles dans l'interface utilisateur.

1. Déterminez les ressources que vous souhaitez ajouter à votre liste autorisée.
2. Suivez les étapes pour créer des restrictions contextuelles dans la console. Ajoutez le service Secrets Manager à vos zones réseau pour permettre à IBM Cloud® Secrets Manager d'accéder aux services et aux ressources de votre compte.

Après avoir créé des règles, vous pouvez les mettre à jour et les supprimer.

Création de règles à l'aide de l'interface de ligne de commande

Passez en revue les exemples suivants pour apprendre à créer des règles pour Secrets Manager. Pour plus d'informations, voir la référence de l'interface de ligne de commande de CBR.

1. Pour créer des règles à partir de l'interface de ligne de commande, installez le plug-in d'interface de ligne de commande CBR.
2. Vous pouvez utiliser la ibmcloud cbr rule-create commande pour créer des règles CBR. Pour plus d'informations, voir la référence de l'interface de ligne de commande de CBR. Notez que service_name pour Secrets Manager est secrets-manager. Pour trouver une liste de noms de service, exécutez la commande ibmcloud cbr service-ref-targets. Pour trouver la liste des types d'API d'un service, exécutez la commande ibmcloud cbr api-types --service-name SERVICE.

Exemple de commande permettant de créer une règle qui utilise la clé addresses, le type d'API cluster et le type ipAddress.

ibmcloud cbr rule-create my-rule-1 --service-name secrets-manager --api-type crn:v1:bluemix:public:secrets-manager::::api-type:cluster --zone-id ZONE-ID

La commande suivante crée une règle qui protège le cluster CLUSTER-ID. Seules les ressources de la zone réseau NETWORK-ZONE-ID peuvent accéder au cluster. Cette règle inclut les types d'API cluster et management.

ibmcloud cbr rule-create my-rule-2 --service-name secrets-manager --service-instance CLUSTER-ID --zone-id NETWORK-ZONE-ID