Utilisation de l'autorisation de service IAM

Effectuez les étapes suivantes pour configurer le moteur d'informations d'identification IAM à l'aide de l'autorisation de service IAM.

Pour gérer les identifiants IAM à partir du même compte IBM Cloud que votre instance Secrets Manager:

1. Dans la page Moteurs de secrets, cliquez sur l'onglet Données d'identification IAM.
2. Cliquez sur Autoriser.
3. Cliquez sur Configurer.

Pour gérer les identifiants IAM à partir d'un autre compte d' IBM Cloud, créez manuellement les autorisations de service IAM.

Pour la politique d'autorisation IAM Identity Service service:

1. Dans le compte où vous souhaitez gérer les informations d'identification IAM, allez dans Gestion > Accès (IAM).
2. Sélectionnez Autorisations dans le menu du volet gauche.
3. Cliquez sur Créer.
4. Sous Source, sélectionnez Compte spécifique et indiquez l'ID du compte auquel appartient l'instance Secrets Manager.
   • Service : Secrets Manager.
   • Ressources : Ressources spécifiques > Instance de service et indiquez l'identifiant de l'instance de service pour votre instance Secrets Manager.
5. Sous Cible, sélectionnez
   • Service : IAM Identity Service
   • Ressources : Tous
   • Rôles : Opérateur

Pour la service IAM Access Groups Service politique d'autorisation :

1. Dans le compte où vous souhaitez gérer les informations d'identification IAM, allez dans Gestion > Accès (IAM).
2. Sélectionnez Autorisations dans le menu du volet gauche.
3. Cliquez sur Créer.
4. Sous Source, sélectionnez Compte spécifique et indiquez l'ID du compte auquel appartient l'instance Secrets Manager.
   • Service : Secrets Manager.
   • Ressources : Ressources spécifiques > Instance de service et indiquez l'identifiant de l'instance de service pour votre instance Secrets Manager.
5. Sous Cible, sélectionnez
   • Service : Service de groupes d'accès IAM
   • Ressources : Tous
   • Rôles : Groupes Service Membre Gérer

Utilisation de la clé d'API

Effectuez les étapes suivantes pour configurer le moteur d'informations d'identification IAM à l'aide de la clé API d'un identifiant de service.

1. Dans la page Moteurs de secrets, cliquez sur l'onglet Données d'identification IAM.
2. Cliquez sur Configure IAM credentials engine with API key.
3. Entrez une clé d'API autorisée à créer et gérer d'autres clés d'API dans votre compte.
4. Cliquez sur Configurer.

Utilisation de l'autorisation de service IAM

Effectuez les étapes suivantes pour configurer le moteur d'informations d'identification IAM à l'aide d'une autorisation de service IAM.

Pour gérer les identifiants IAM à partir du même compte IBM Cloud que votre instance Secrets Manager, exécutez les commandes suivantes pour ajouter les politiques d'autorisation de service IAM requises :

ibmcloud iam authorization-policy-create secrets-manager iam-identity "Service ID Creator, Operator" --source-service-instance-id SOURCE_SERVICE_INSTANCE_GUID
ibmcloud iam authorization-policy-create secrets-manager iam-groups "Groups Service Member Manage" --source-service-account SOURCE_SERVICE_INSTANCE_GUID

• Remplacez SOURCE_SERVICE_INSTANCE_GUID par l'identifiant du service d'instance Secrets Manager. Si elle n'est pas fournie, l'autorisation s'applique à toutes les instances Secrets Manager

Pour gérer les informations d'identification IAM à partir d'un autre compte IBM Cloud: incluez également le paramètre ACCOUNT_GUID.

1. Connectez-vous au compte IBM Cloud avec les identifiants de service que vous souhaitez gérer.
2. Exécutez les commandes suivantes pour ajouter les politiques d'autorisation de service IAM requises :

ibmcloud iam authorization-policy-create secrets-manager iam-identity "Service ID Creator, Operator" --source-service-instance-id SOURCE_SERVICE_INSTANCE_GUID --source-service-account ACCOUNT_GUID
ibmcloud iam authorization-policy-create secrets-manager iam-groups "Groups Service Member Manage" --source-service-account SOURCE_SERVICE_INSTANCE_GUID --source-service-instance-id ACCOUNT_GUID

• Remplacez SOURCE_SERVICE_INSTANCE_GUID par l'identifiant du service d'instance Secrets Manager. Si elle n'est pas fournie, l'autorisation s'applique à toutes les instances Secrets Manager
• Remplacez ACCOUNT_GUID par l'ID du compte IBM Cloud dans lequel vous souhaitez créer des secrets d'identification IAM.

Utilisation de la clé d'API

Effectuez les étapes suivantes pour configurer le moteur d'informations d'identification IAM en utilisant la clé API d'un identifiant de service.

1. Dans une fenêtre de terminal, connectez-vous à IBM Cloud via l'interface de ligne de commande IBM Cloud.

   ibmcloud login
   

2. Sélectionnez le compte, la région et le groupe de ressources où se trouve votre instance de service Secrets Manager.

3. Créez un ID de service et définissez-le en tant que variable d'environnement.

   export SERVICE_ID=`ibmcloud iam service-id-create <service_ID_name> --description "<description>" --output json | jq -r ".id"`; echo $SERVICE_ID
   

4. Gérez l'accès pour l'ID de service.

   Affectez à l'ID de service les droits pour créer et gérer d'autres ID de service.

   ibmcloud iam service-policy-create $SERVICE_ID --roles Operator --service-name "iam-identity"
   

   Affectez à l'ID de service les droits pour afficher et mettre à jour les groupes d'accès de votre compte.

   ibmcloud iam access-group-policy-create $SERVICE_ID --roles Editor --service-name "iam-groups"
   

   Ajoutez l'ID de service à un groupe d'accès dans votre compte.

   ibmcloud iam access-group-service-id-add <access_group_name> $SERVICE_ID
   

   Créez une clé d'API IBM Cloud pour votre ID de service.

   export IBM_CLOUD_API_KEY=`ibmcloud iam service-api-key-create <API_key_name> $SERVICE_ID --description "<description>" --output json | jq -r ".apikey"`
   

5. Utilisez la clé API pour configurer le moteur d'identification IAM pour votre instance.

   Pour configurer un moteur de secrets à partir de l'interface CLI de IBM Cloud, exécutez la commande ibmcloud secrets-manager configuration-create commande.

   ibmcloud secrets-manager configuration-create --configuration-prototype='{"config_type": "iam_credentials_configuration","name": "iam-configuration","api_key": "'$IBM_CLOUD_API_KEY'"}'
   

   Utilisation d'une invite de commande Windows™ (cmd.exe) ou PowerShell ? Si vous rencontrez des erreurs lors de la transmission de contenu JSON sur la ligne de commande, vous devrez peut-être adapter les chaînes en fonction des exigences d'échappement propres à votre système d'exploitation. Pour plus d'informations, voir Utilisation de guillemets avec des chaînes dans l'interface de ligne de commande IBM Cloud.

Utilisation de l'autorisation de service IAM

L'exemple suivant montre une requête que vous pouvez utiliser pour configurer le moteur d'informations d'identification IAM pour votre instance lors de l'utilisation de l'autorisation de service IAM. Pour en savoir plus, consultez IBM Cloud IAM's API Docs.

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "$SOURCE_ACCOUNT_ID"
        },
        {
          "name": "serviceName",
          "value": "secrets-manager"
        },
        {
          "name": "serviceInstance",
          "value": "$INSTANCE_GUID"
        }
      ]
    }
  ],
  "roles":[
        {
          "role_id": "crn:v1:bluemix:public:iam-identity::::serviceRole:ServiceIdCreator"
        },
        {
          "role_id": "crn:v1:bluemix:public:iam::::role:Operator"
        }
  ],
  "resources":[
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "$TARGET_ACCOUNT_ID"
        },
        {
          "name": "serviceName",
          "value": "iam-identity"
        }
      ]
    }
  ]
}'

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "$SOURCE_ACCOUNT_ID"
        },
        {
          "name": "serviceName",
          "value": "secrets-manager"
        },
        {
          "name": "serviceInstance",
          "value": "$INSTANCE_GUID"
        }
      ]
    }
  ],
  "roles":[
        {
          "role_id": "crn:v1:bluemix:public:iam-groups::::serviceRole:MemberManage"
        }
  ],
  "resources":[
    {
      "attributes": [
        {
          "name":"$TARGET_ACCOUNT_ID",
          "value": "791f5fb10986423e97aa8512f18b7e65"
        },
        {
          "name": "serviceName",
          "value": "iam-groups"
        }
      ]
    }
  ]
}'

L'attribut serviceInstance est facultatif. Si elle est omise, l'autorisation s'applique à toutes les instances de Secrets Manager. Les SOURCE_ACCOOUNT_ID et TARGET_ACCOUNT_ID sont nécessaires pour créer l'autorisation pour le compte courant ou un compte spécifique.

Utilisation de la clé d'API

L'exemple suivant montre une requête que vous pouvez utiliser pour configurer le moteur d'identifiants IAM pour votre instance en utilisant une clé API. Lorsque vous appelez l'API, remplacez les variables de clé d'API et le jeton IAM par les valeurs spécifiques à votre instance Secrets Manager.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
    "api_key": "{iam_apikey}", "config_type": "iam_credentials_configuration",
    "name": "iam-configuration"
    }' \
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations"

Une réponse ayant abouti renvoie la valeur d'ID du secret ainsi que d'autres métadonnées. Pour plus d'informations sur les paramètres de demande obligatoires et facultatifs, voir Créer un secret.

Utilisation de l'autorisation de service IAM

L'exemple suivant montre une requête que vous pouvez utiliser pour configurer le moteur d'informations d'identification IAM pour votre instance Secrets Manager lors de l'utilisation d'une autorisation de service IAM.

    resource "ibm_iam_authorization_policy" "sm_to_iam_identity" {
        source_service_name = "secrets-manager"
        source_service_account = local.source_account_id
        source_resource_instance_id = local.instance_id
        target_service_name = "iam-identity"
        roles = ["Service ID creator", "Operator"]
    }

    resource "ibm_iam_authorization_policy" "sm_to_iam_groups" {
        source_service_name = "secrets-manager"
        source_service_account = local.source_account_id
        source_resource_instance_id = local.instance_id
        target_service_name = "iam-groups"
        roles = ["Groups Service Member Manage"]
    }

L'attribut source_resource_instance_id est facultatif. Si elle est omise, l'autorisation s'applique à toutes les instances de Secrets Manager. L'attribut source_service_account est facultatif. Il peut être omis si le compte source est le même que le compte courant.

Utilisation de la clé d'API

Pour obtenir des instructions détaillées sur la création d'une clé d'API IBM Cloud avec un niveau d'accès correct, passez aux étapes UI ou CLI .

L'exemple suivant montre une configuration que vous pouvez utiliser pour configurer le moteur d'identifiants IAM en utilisant la clé API d'un identifiant de service.

    resource "ibm_sm_iam_credentials_configuration" "iam_credentials_configuration" {
        instance_id = local.instance_id
        region = local.region
        name = "iam_credentials_config"
        api_key = var.ibmcloud_api_key
    }

Configurez le moteur d'authentification IAM de manière programmatique avec Secrets Manager IAM Engine. Voir Terraform IBM Modules pour des exemples de configuration.