APIを使用してネットワークゾーンを作成する

create-zone コマンドを使用して、ネットワーク・ゾーンを作成できます。 詳しくは、 API の資料 を参照してください。 Secrets Manager をサービス参照としてネットワーク・ゾーンに追加して、 Secrets Manager がルールの対象であるアカウント内のリソースおよびサービスにアクセスできるようにすることができます。

Secrets Manager の serviceRef 属性は secrets-manager です。

参照ターゲットを確認することで、使用可能なサービスを判別できます。

Secrets Manager をネットワーク・ゾーンに追加するペイロードの例。

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "secrets-manager",
        "account_id": "ACCOUNT-ID"
      }
    }
  ]
}

複数のサービス、IP アドレス、および VPC をネットワーク・ゾーンに追加するペイロードの例。

{
  "name": "zone",
  "description": "",
  "addresses": [
    {
      "type": "ipAddress",
      "value": "192.168.0.0"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-east:a/CRN"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-south:a/CRN"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "cloud-object-storage",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "codeengine",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_type": "platform_service",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "iam-groups",
        "account_id": "ACCOUNT-ID"
      }
    }
  ],
  "excluded": []
}

ゾーンを作成した後、それらを 更新または削除 することができます。

UIを使用してネットワークゾーンを作成する

前提条件および要件を設定した後、UI でゾーンを作成できます。 詳しくは、 コンテキスト・ベースの制限の作成 を参照してください。

1. 許可リストに追加するリソースを決定します。
2. コンソールで コンテキスト・ベースの制限を作成する 手順に従います。 Secrets Manager サービスをネットワーク・ゾーンに追加して、 IBM Cloud® Secrets Manager がアカウント内のサービスおよびリソースにアクセスできるようにします。

ゾーンを作成した後、それらを 更新または削除 することもできます。

CLI を使用してネットワークゾーンを作成する

cbr-zone-create コマンドを使用して、ネットワーク・ロケーション、VPC、およびサービス参照をネットワーク・ゾーンに追加できます。 詳しくは、CBR CLI リファレンス を参照してください。 Secrets Manager をサービス参照としてネットワーク・ゾーンに追加して、 Secrets Manager がルールの対象であるアカウント内のリソースおよびサービスにアクセスできるようにします。

1. CLI からネットワーク・ゾーンを作成するには、 CBR CLI プラグインをインストールします。
2. cbr-zone-create コマンドを使用して、ネットワーク・ゾーンにリソースを追加します。 詳しくは、CBR CLI リファレンス を参照してください。 Secrets Manager の service_name は secrets-manager であることに注意してください。

使用可能なサービス参照のリストを見つけるには、 ibmcloud cbr service-ref-targets コマンド を実行します。

secrets-manager サービスをネットワーク・ゾーンに追加するコマンドの例。

ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=secrets-manager

APIを使用してルールを作成する

ネットワーク・ゾーンの作成から収集した情報を使用して、API でルールを定義できます。

以下の例を検討して、 Secrets Managerのルールを作成する方法を学習します。 詳しくは、 API の資料 を参照してください。

以下のペイロードの例では、 CLUSTER-ID クラスターを保護するルールを作成します。 NETWORK-ZONE-ID ゾーン内のリソースのみがクラスターにアクセスできます。 operations が指定されていない場合、 NETWORK-ZONE-ID ゾーン内のリソースは、 cluster API と management API の両方にアクセスできます。

{
  "description": "Example rule 1",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "secrets-manager"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

ルールを作成した後、それらを 更新 および 削除 できます。

UIを使用してルールを作成する

前提条件と要件を設定した後、UI でルールを作成できます。

1. 許可リストに追加するリソースを決定します。
2. コンソールで コンテキスト・ベースの制限を作成する 手順に従います。 Secrets Manager サービスをネットワーク・ゾーンに追加して、 IBM Cloud® Secrets Manager がアカウント内のサービスおよびリソースにアクセスできるようにします。

ルールを作成した後、それらを 更新 および 削除 できます。

CLI を使用したルールの作成

Secrets Managerのルールを作成する方法については、以下の例を参照してください。 詳しくは、CBR CLI リファレンス を参照してください。

1. CLI からルールを作成するには、 CBR CLI プラグインをインストールします。
2. ibmcloud cbr rule-create コマンド を使用して、CBR ルールを作成できます。 詳しくは、CBR CLI リファレンス を参照してください。 Secrets Manager の service_name は secrets-manager であることに注意してください。 サービス名のリストを見つけるには、 ibmcloud cbr service-ref-targets コマンドを実行します。 サービスの API タイプのリストを見つけるには、 ibmcloud cbr api-types --service-name SERVICE コマンドを実行します。

addresses キー、 cluster API タイプ、および ipAddress タイプを使用するルールを作成するためのサンプル・コマンド。

ibmcloud cbr rule-create my-rule-1 --service-name secrets-manager --api-type crn:v1:bluemix:public:secrets-manager::::api-type:cluster --zone-id ZONE-ID

以下のコマンドは、 CLUSTER-ID クラスターを保護するルールを作成します。 NETWORK-ZONE-ID ネットワーク・ゾーン内のリソースのみがクラスターにアクセスできます。 このルールには、 cluster と management の両方の API タイプが含まれます。

ibmcloud cbr rule-create my-rule-2 --service-name secrets-manager --service-instance CLUSTER-ID --zone-id NETWORK-ZONE-ID