Riutilizzo della stessa chiave API fino alla scadenza del lease

Le credenziali IAM sono composte da un ID servizio e una chiave API. Per impostazione predefinita, l'ID servizio e la chiave API sono valori effimeri di utilizzo singolo che vengono generati ed eliminati ogni volta che si legge o si accede a un segreto delle credenziali IAM.

Se desideri continuare a utilizzare tali credenziali fino alla fine del lease del tuo segreto, puoi impostare Riutilizza credenziali IAM fino alla scadenza del lease su On. Quando si abilita questa opzione, il segreto conserva il suo ID servizio corrente e i valori della chiave API e li riutilizza in ogni lettura mentre il segreto rimane valido. Quando il segreto raggiunge il termine della sua locazione, le credenziali vengono revocate automaticamente.

Se l'opzione Riutilizza credenziali IAM è impostata su Off, la rotazione manuale del segreto non è supportata. Per ulteriori informazioni, vedi Rotazione manuale dei segreti.

Determinare il conto sorgente

Secrets Manager può creare e gestire segreti di credenziali IAM dall'account IBM Cloud corrente o da un account IBM Cloud specifico. Quando si seleziona la creazione di un account specifico, fornire l'ID dell'account.

Determinare l'ambito di accesso da assegnare

È possibile che nel proprio account sia già presente un ID servizio per il quale si desidera generare una chiave API, selezionando l'ID servizio. In alternativa, è possibile generare sia un ID servizio che una chiave API assegnando l'accesso a un gruppo di accesso.

Nella fase Assegna accesso della procedura guidata di creazione delle credenziali IAM, scegliere un ambito di accesso per il segreto.

1. Per utilizzare un ID servizio esistente, selezionare un ID dall'elenco. Se l'account di origine è un altro account specifico, fornire l'ID del servizio, nel formato seguente: ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0.

   Scegli questa opzione quando hai bisogno di Secrets Manager per generare e gestire solo una chiave API per il tuo segreto delle credenziali IAM e non l'ID del servizio stesso. La chiave API eredita la politica di accesso dell'ID servizio che selezioni dal tuo account. Vengono visualizzati solo gli ID servizio a cui hai accesso.

2. Per creare un nuovo ID servizio e una nuova chiave API per il segreto, seleziona un gruppo di accesso. Se l'account di origine è un account specifico, fornire gli ID dei gruppi di accesso desiderati.

   Selezionando un gruppo di accesso, si determina l'ambito delle autorizzazioni assegnate all'ID servizio e alla chiave API utilizzando il gruppo di accesso. L'ID del servizio e la chiave API vengono generati e associati alla nuova credenziale IAM. È possibile assegnare fino a 10 gruppi di accesso.

   I criteri di accesso devono essere assegnati ai gruppi di accesso selezionati e non direttamente agli ID servizio. Sia l'ID del servizio che la chiave API vengono eliminati e ne vengono creati di nuovi una volta raggiunto il TTL della credenziale IAM.

Se si è utilizzato un ID servizio esistente, la chiave API generata da Secrets Manager viene automaticamente bloccata. Se è stato selezionato un gruppo di accesso, sia il nuovo ID servizio che la chiave API creata da Secrets Manager per il segreto sono automaticamente bloccati. Ogni volta che si recupera un segreto delle credenziali IAM utilizzando l'API, la chiave API e l'ID servizio generati da Secrets Manager sono bloccati, anche se vengono sbloccati manualmente prima di recuperare il segreto.

Riutilizzo della stessa chiave API fino alla scadenza del lease

Se si desidera continuare a utilizzare le credenziali IAM fino al termine del contratto di locazione del segreto, è possibile utilizzare l'opzione --iam-credentials-reuse-apikey. Se impostato su 'true, il segreto conserva i valori correnti dell'ID servizio e della chiave API e li riutilizza a ogni lettura finché il segreto rimane valido; altrimenti, impostatelo su 'false. Ad esempio, il seguente comando di esempio crea credenziali IAM che possono essere riutilizzate fino alla scadenza.

ibmcloud secrets-manager secret-create --secret-type iam_credentials --secret-name "example-iam-credentials-secret" --secret-description "Description of my IAM credentials secret" --iam-credentials-service-id "<iam_id_of_service_id>" --secret-ttl 30m --iam-credentials-reuse-apikey true

Il comando emette il valore di ID del segreto, insieme ad altri metadati. Quando il segreto raggiunge il termine della sua locazione, le credenziali vengono revocate automaticamente. Per ulteriori informazioni relative alle opzioni del comando, consultare ibmcloud secrets-manager secret-create.

Se '--iam-credentials-reuse-apikey è impostato su 'false per le credenziali IAM, la rotazione manuale del segreto non è supportata. Per ulteriori informazioni, vedi Rotazione manuale dei segreti.

Riutilizzo della stessa chiave API fino alla scadenza del lease

Se si desidera utilizzare le credenziali IAM fino alla fine della locazione del segreto, è possibile utilizzare il campo reuse_api_key. Se impostato su true, il tuo segreto conserva i suoi valori di ID servizio e chiave API correnti e li riutilizza in ogni lettura mentre il segreto rimane valido. Ad esempio, il seguente comando di esempio crea credenziali IAM che possono essere riutilizzate fino alla scadenza.

Puoi archiviare i metadati che sono pertinenti alle esigenze della tua organizzazione con i parametri di richiesta custom_metadata e version_custom_metadata. I valori di version_custom_metadata vengono restituiti solo per le versioni di un segreto. I metadati personalizzati del tuo segreto vengono memorizzati come tutti gli altri metadati, per un massimo di 50 versioni, e non devi includere dati riservati.

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
      {
        "name": "example-iam-credentials-secret",
        "description": "Description of my IAM Credentials secret",
        "secret_type": "iam_credentials",
        "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
        "labels": [
          "dev",
          "us-south"
        ],
        "ttl": "30m",
        "access_groups": [
          "AccessGroupId-45884031-54be-4dd7-86ff-112511e92699",
          "AccessGroupId-8c0ed733-dfee-4a94-992b-e2247b86e2a2"
        ],
        "reuse_api_key": true,
        "custom_metadata": {
          "metadata_custom_key": "metadata_custom_value"
        },
        "version_custom_metadata": {
          "custom_version_key": "custom_version_value"
        }
      }' \
    "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

Una richiesta riuscita restituisce il valore ID del segreto, insieme ad altri metadati. Quando il segreto raggiunge il termine della sua locazione, le credenziali vengono revocate automaticamente. Per ulteriori informazioni, consulta la Guida di riferimento API.

Se reuse_api_key è false per le credenziali IAM, la rotazione manuale per il segreto non è supportata. Per ulteriori informazioni, vedi Rotazione manuale dei segreti.

Utilizzo di un ID servizio esistente nel tuo account

Potresti già avere un ID servizio nel tuo account che vuoi utilizzare per generare dinamicamente una chiave API. In questo scenario, puoi scegliere di creare un segreto di credenziali IAM portando il proprio ID servizio. Ad esempio, il seguente comando crea una credenziale IAM utilizzando il campo service_id. Per crearlo in un altro account specifico, aggiungere il campo account_id.

Puoi archiviare i metadati che sono pertinenti alle esigenze della tua organizzazione con i parametri di richiesta custom_metadata e version_custom_metadata. I valori di version_custom_metadata vengono restituiti solo per le versioni di un segreto. I metadati personalizzati del tuo segreto vengono memorizzati come tutti gli altri metadati, per un massimo di 50 versioni, e non devi includere dati riservati.

Il valore ID di un ID di servizio si trova nella sezione IAM della console. Andate in Gestione > Accesso (IAM) > ID servizio > nome. Fare clic su Dettagli per visualizzare l'ID.

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
          "name": "example-iam-credentials-secret",
          "description": "Description of my IAM Credentials secret",
          "secret_type": "iam_credentials",
          "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
          "labels": [
            "dev",
            "us-south"
          ],
          "ttl": "30m",
          "service_id": "ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0,
          "reuse_api_key": false,
          "custom_metadata": {
            "metadata_custom_key": "metadata_custom_value"
          },
          "version_custom_metadata": {
            "custom_version_key": "custom_version_value"
          }
        }' \
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

Una richiesta riuscita restituisce il valore ID del segreto, insieme ad altri metadati. Per ulteriori informazioni, consulta la Guida di riferimento API.