Creazione di zone di rete utilizzando l'API

È possibile creare zone di rete utilizzando il comando create - zone. Per ulteriori informazioni, vedi la documentazione API. Puoi aggiungere Secrets Manager alle aree di rete come riferimento del servizio per consentire a Secrets Manager di accedere alle risorse e ai servizi nel tuo account che sono oggetto di una regola.

L'attributo serviceRef per Secrets Manager è secrets-manager.

È possibile stabilire quali servizi sono disponibili controllando le destinazioni di riferimento.

Payload di esempio per aggiungere Secrets Manager a una zona di rete.

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "secrets-manager",
        "account_id": "ACCOUNT-ID"
      }
    }
  ]
}

Payload di esempio per aggiungere più servizi, indirizzi IP e VPC a una zona di rete.

{
  "name": "zone",
  "description": "",
  "addresses": [
    {
      "type": "ipAddress",
      "value": "192.168.0.0"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-east:a/CRN"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-south:a/CRN"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "cloud-object-storage",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "codeengine",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_type": "platform_service",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "iam-groups",
        "account_id": "ACCOUNT-ID"
      }
    }
  ],
  "excluded": []
}

Dopo aver creato le zone, è possibile aggiornarle o rimuoverle.

Creazione di zone di rete utilizzando l'IU

Una volta impostati i prerequisiti e i requisiti, è possibile creare zone nell'interfaccia utente. Per ulteriori informazioni, consultare Creazione di restrizioni basate sul contesto.

1. Determinare le risorse che si desidera aggiungere alla propria allowlist.
2. Attieniti alla procedura per creare restrizioni basate sul contesto nella console. Aggiungi il servizio Secrets Manager alle tue zone di rete per consentire a IBM Cloud® Secrets Manager di accedere a servizi e risorse nel tuo account.

Dopo aver creato le zone, è possibile anche aggiornarle o rimuoverle.

Creazione di zone di rete utilizzando la CLI

Puoi utilizzare il comando cbr-zone-create per aggiungere ubicazioni di rete, VPC e riferimenti di servizio alle zone di rete. Per ulteriori informazioni, consultare il manuale CBR CLI reference. Aggiungi Secrets Manager alle aree di rete come riferimento di un servizio per consentire a Secrets Manager di accedere alle risorse e ai servizi nel tuo account che sono oggetto di una regola.

1. Per creare le aree di rete dalla CLI, installa il plug-in CLI CBR.
2. Utilizzare il comando cbr-zone-create per aggiungere risorse alle zone di rete. Per ulteriori informazioni, consultare il manuale CBR CLI reference. Nota che il service_name per Secrets Manager è secrets-manager.

Per trovare un elenco di riferimenti di servizi disponibili, eseguire il comando ibmcloud cbr service-ref-targets .

Comando di esempio per aggiungere il servizio secrets-manager a una zona di rete.

ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=secrets-manager

Creare regole utilizzando l'API

Puoi definire le regole con l'API utilizzando le informazioni raccolte dalla creazione delle zone di rete.

Esamina il seguente esempio per informazioni su come creare regole per Secrets Manager. Per ulteriori informazioni, vedi la documentazione API.

Il seguente payload di esempio crea una regola che protegge il cluster CLUSTER-ID. Solo le risorse nella zona NETWORK-ZONE-ID possono accedervi. Dato che non è stato specificato alcun operations, le risorse nella zona NETWORK-ZONE-ID possono accedere sia alle API cluster che management.

{
  "description": "Example rule 1",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "secrets-manager"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

Dopo aver creato le regole, è possibile aggiornare ed eliminarle.

Creare regole utilizzando l'interfaccia utente

Dopo aver impostato i prerequisiti e i requisiti, puoi creare le regole nell'IU.

1. Determinare le risorse che si desidera aggiungere alla propria allowlist.
2. Attieniti alla procedura per creare restrizioni basate sul contesto nella console. Aggiungi il servizio Secrets Manager alle tue zone di rete per consentire a IBM Cloud® Secrets Manager di accedere a servizi e risorse nel tuo account.

Dopo aver creato le regole, è possibile aggiornare ed eliminarle.

Crea regole utilizzando la CLI

Esamina i seguenti esempi per informazioni su come creare regole per Secrets Manager. Per ulteriori informazioni, consultare il manuale CBR CLI reference.

1. Per creare regole dalla CLI, installa il plug-in CLI CBR.
2. È possibile utilizzare il comando ibmcloud cbr rule-create per creare le regole CBR. Per ulteriori informazioni, consultare il manuale CBR CLI reference. Nota che il service_name per Secrets Manager è secrets-manager. Per trovare un elenco di nomi servizio, eseguire il comando ibmcloud cbr service-ref-targets. Per trovare un elenco di tipi di API per un servizio, esegui il comando ibmcloud cbr api-types --service-name SERVICE.

Comando di esempio per creare una regola che utilizza la chiave addresses e il tipo API cluster e il tipo ipAddress.

ibmcloud cbr rule-create my-rule-1 --service-name secrets-manager --api-type crn:v1:bluemix:public:secrets-manager::::api-type:cluster --zone-id ZONE-ID

Il comando seguente crea una regola che protegge il cluster CLUSTER-ID. Solo le risorse nella zona di rete NETWORK-ZONE-ID possono accedere al cluster. Questa regola include sia i tipi di API cluster che management.

ibmcloud cbr rule-create my-rule-2 --service-name secrets-manager --service-instance CLUSTER-ID --zone-id NETWORK-ZONE-ID