Réutilisation de la même clé d'API jusqu'à expiration du bail

Les données d'identification IAM se composent d'un ID de service et d'une clé d'API. Par défaut, l'ID de service et la clé d'API sont des valeurs éphémères à usage unique qui sont générées et supprimées chaque fois qu'un secret d'identification IAM est lu ou fait l'objet d'un accès.

Si vous souhaitez continuer à utiliser ces données d'identification à la fin de la location de votre secret, vous pouvez définir Réutiliser les données d'identification IAM jusqu'à l'expiration du bail sur Activé. Lorsque vous activez cette option, votre secret conserve ses valeurs actuelles d'ID de service et de clé API et les réutilise à chaque lecture tant que le secret reste valide. Une fois la durée de location du secret écoulée, les données d'identification sont automatiquement révoquées.

Si l'option de réutilisation des identifiants IAM est désactivée, la rotation manuelle du secret n'est pas prise en charge. Pour plus d'informations, voir Rotation manuelle des secrets.

Déterminer le compte source

Secrets Manager peut créer et gérer des secrets d'identification IAM à partir du compte IBM Cloud actuel ou d'un compte IBM Cloud spécifique. Lorsque vous choisissez de créer un compte à partir d'un compte spécifique, indiquez l'identifiant du compte.

Déterminer l'étendue de l'accès à attribuer

Il se peut que vous ayez déjà un identifiant de service dans votre compte pour lequel vous souhaitez générer une clé API en sélectionnant l'identifiant de service. Vous pouvez également générer à la fois un identifiant de service et une clé API en attribuant l'accès à un groupe d'accès.

Dans l'étape Attribuer un accès de l'assistant Créer des informations d'identification IAM, choisissez une étendue d'accès pour votre secret.

1. Pour utiliser un ID de service existant, sélectionnez un ID dans la liste. Si le compte source est un autre compte spécifique, indiquez l'ID du service, dans le format suivant : ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0.

   Choisissez cette option lorsque vous avez besoin de Secrets Manager pour générer et gérer uniquement une clé d'API pour votre secret de données d'identification IAM, et non pas l'ID de service lui-même. La clé d'API hérite de la stratégie d'accès de l'ID de service que vous sélectionnez dans votre compte. Seuls les ID de service auquel vous avez accès sont affichés.

2. Pour générer à la fois un nouvel ID de service et une clé d'API pour le secret, sélectionnez un groupe d'accès. Si le compte source est un compte spécifique, indiquez les identifiants des groupes d'accès souhaités.

   En sélectionnant un groupe d'accès, vous déterminez l'étendue des autorisations attribuées à l'ID de service et à la clé API à l'aide du groupe d'accès. L'identifiant de service et la clé API sont générés et associés à votre nouvel identifiant IAM. Vous pouvez affecter jusqu'à 10 groupes d'accès.

   Les politiques d'accès doivent être assignées au(x) groupe(s) d'accès sélectionné(s) et non directement aux identifiants de service. L'identifiant de service et la clé API sont supprimés et de nouveaux sont créés une fois que le TTL de l'identifiant IAM est atteint.

Si vous avez utilisé un identifiant de service existant, la clé API générée par Secrets Manager est automatiquement verrouillée. Si vous avez sélectionné un groupe d'accès, le nouvel identifiant de service et la clé API que Secrets Manager crée pour le secret sont automatiquement verrouillés. Chaque fois que vous récupérez un secret d'identification IAM à l'aide de l'API, la clé API et l'identifiant de service générés par Secrets Manager sont verrouillés, même si vous les déverrouillez manuellement avant de récupérer le secret.

Réutilisation de la même clé d'API jusqu'à expiration du bail

Si vous souhaitez continuer à utiliser les informations d'identification IAM jusqu'à la fin du bail de votre secret, vous pouvez utiliser l'option --iam-credentials-reuse-apikey. S'il est défini sur true, votre secret conserve ses valeurs actuelles d'ID de service et de clé API et les réutilise à chaque lecture tant que le secret reste valide, sinon définissez-le sur false. Par exemple, la commande suivante crée des informations d'identification IAM qui peuvent être réutilisées jusqu'à leur expiration.

ibmcloud secrets-manager secret-create --secret-type iam_credentials --secret-name "example-iam-credentials-secret" --secret-description "Description of my IAM credentials secret" --iam-credentials-service-id "<iam_id_of_service_id>" --secret-ttl 30m --iam-credentials-reuse-apikey true

La commande génère en sortie la valeur d'ID du secret ainsi que d'autres métadonnées. Une fois la durée de location du secret écoulée, les données d'identification sont automatiquement révoquées. Pour plus d'informations sur les options de commande, voir ibmcloud secrets-manager secret-create.

Si --iam-credentials-reuse-apikey est défini sur false pour les identifiants IAM, la rotation manuelle du secret n'est pas prise en charge. Pour plus d'informations, voir Rotation manuelle des secrets.

Réutilisation de la même clé d'API jusqu'à expiration du bail

Si vous souhaitez utiliser les informations d'identification IAM jusqu'à la fin du bail de votre secret, vous pouvez utiliser le champ reuse_api_key. Si elle est définie sur true, votre secret conserve ses valeurs d'ID de service et de clé d'API en cours et les réutilise à chaque lecture tant qu'il reste valide. Par exemple, la commande suivante crée des informations d'identification IAM qui peuvent être réutilisées jusqu'à leur expiration.

Vous pouvez stocker des métadonnées adaptées aux besoins de votre organisation à l'aide des paramètres de demande custom_metadata et version_custom_metadata. Les valeurs de version_custom_metadata sont renvoyées uniquement pour les versions d'un secret. Les métadonnées personnalisées de votre secret sont stockées comme toutes les autres métadonnées, pour un maximum de 50 versions, et vous ne devez pas inclure de données confidentielles.

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
      {
        "name": "example-iam-credentials-secret",
        "description": "Description of my IAM Credentials secret",
        "secret_type": "iam_credentials",
        "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
        "labels": [
          "dev",
          "us-south"
        ],
        "ttl": "30m",
        "access_groups": [
          "AccessGroupId-45884031-54be-4dd7-86ff-112511e92699",
          "AccessGroupId-8c0ed733-dfee-4a94-992b-e2247b86e2a2"
        ],
        "reuse_api_key": true,
        "custom_metadata": {
          "metadata_custom_key": "metadata_custom_value"
        },
        "version_custom_metadata": {
          "custom_version_key": "custom_version_value"
        }
      }' \
    "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

Une demande réussie renvoie la valeur d'ID du secret, ainsi que d'autres métadonnées. Une fois la durée de location du secret écoulée, les données d'identification sont automatiquement révoquées. Pour plus d'informations, consultez la Référence d'API.

Si reuse_api_key est false pour les données d'identification IAM, la rotation manuelle du secret n'est pas prise en charge. Pour plus d'informations, voir Rotation manuelle des secrets.

Utilisation d'un ID de service existant dans votre compte

Vous pouvez déjà avoir un ID de service dans votre compte que vous souhaitez utiliser pour générer dynamiquement une clé d'API. Dans ce scénario, vous pouvez choisir de créer un secret de données 'identification IAM en apportant votre propre ID de service. Par exemple, la commande suivante crée un justificatif IAM à l'aide de la zone service_id. Pour le créer dans un autre compte spécifique, ajoutez le champ account_id.

Vous pouvez stocker des métadonnées adaptées aux besoins de votre organisation à l'aide des paramètres de demande custom_metadata et version_custom_metadata. Les valeurs de version_custom_metadata sont renvoyées uniquement pour les versions d'un secret. Les métadonnées personnalisées de votre secret sont stockées comme toutes les autres métadonnées, pour un maximum de 50 versions, et vous ne devez pas inclure de données confidentielles.

Vous pouvez trouver la valeur de l'ID d'un service dans la section IAM de la console. Allez dans Gérer > Accès (IAM) > Service IDs > nom. Cliquez sur Détails pour afficher l'ID.

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
          "name": "example-iam-credentials-secret",
          "description": "Description of my IAM Credentials secret",
          "secret_type": "iam_credentials",
          "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
          "labels": [
            "dev",
            "us-south"
          ],
          "ttl": "30m",
          "service_id": "ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0,
          "reuse_api_key": false,
          "custom_metadata": {
            "metadata_custom_key": "metadata_custom_value"
          },
          "version_custom_metadata": {
            "custom_version_key": "custom_version_value"
          }
        }' \
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

Une demande réussie renvoie la valeur d'ID du secret, ainsi que d'autres métadonnées. Pour plus d'informations, consultez la Référence d'API.