リース期間が切れるまで、同じ API キーを再利用する

IAM 資格情報は、サービス ID と API キーで構成されています。 サービス ID と API キーはデフォルトで、IAM 資格情報のシークレットが読み取りまたはアクセスされるたびに生成、削除されるシングルユースの一時的な値です。

これらの資格情報をシークレットのリース終了まで継続して使用したい場合は、**「リース期限切れまで IAM 資格情報を再使用する」を「オン」**に設定します。 このオプションを有効にすると、シークレットは現在のサービスIDとAPIキーの値を保持し、シークレットが有効な間、各読み取りでそれらを再利用します。 シークレットのリースが終了すると、資格情報は自動的に取り消されます。

IAM 資格情報の再利用オプションが Off に設定されている場合、シークレットの手動ローテーションはサポートされません。 詳しくは、 シークレットの手動ローテート を参照してください。

ソースアカウントの決定

Secrets Managerは、現在のIBM Cloudアカウント、または特定のIBM CloudアカウントからIAMクレデンシャル・シークレットを作成・管理できます。 特定のアカウントから作成する場合は、そのアカウントのIDを入力してください。

割り当てるアクセス範囲を決定する

すでにアカウントにAPIキーを生成したいサービスIDがある場合は、そのサービスIDを選択してください。 また、アクセス・グループにアクセス権を割り当てることで、サービスIDとAPIキーの両方を生成することもできる。

IAM 資格情報の作成ウィザードのアクセス権の割り当てステップで、シークレットのアクセス範囲を選択します。

1. 既存のサービス IDを使用するには、リストから ID を選択します。 ソースアカウントが特定の他のアカウントである場合は、サービスIDのIDを以下のフォーマットで入力してください：ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0.

   Secrets Manager オプションは、サービス ID 自体ではなく、 IAM 資格情報シークレットの API キーのみを生成、管理する必要がある場合に選択します。 API キーは、アカウントから選択したサービス ID のアクセス・ポリシーを継承します。 表示されるのは、アクセス権限のあるサービス ID のみです。

2. シークレットに新しいサービス ID と API キーの両方を生成するには、アクセス・グループを選択します。 ソース・アカウントが特定のアカウントである場合は、必要なアクセス・グループのIDを指定する。

   アクセスグループを選択することで、アクセスグループを使用してサービスIDとAPIキーに割り当てられる権限の範囲を決定します。 サービスIDとAPIキーが生成され、新しいIAMクレデンシャルに関連付けられます。 最大 10 個のアクセス・グループを割り当てることができます。

   アクセスポリシーは、サービスIDに直接ではなく、選択したアクセスグループに割り当てる必要があります。 IAMクレデンシャルのTTLに達すると、サービスIDとAPIキーの両方が削除され、新しいものが作成される。

既存のサービスIDを使用した場合、 Secrets Manager によって生成されたAPIキーは自動的にロックされます。 アクセスグループを選択した場合、 Secrets Manager がシークレット用に作成する新しいサービス ID と API キーの両方が自動的にロックされます。 API を使用して IAM 資格情報の秘密を取得する たびに、 Secrets Manager が生成する API キーとサービス ID はロックされる。たとえ、秘密を取得する前に手動でロックを解除したとしても。

リース期間が切れるまで、同じ API キーを再利用する

シークレットのリース終了までIAM認証情報を使い続けたい場合は、 --iam-credentials-reuse-apikey。 true に設定した場合、シークレットは現在のサービスIDとAPIキーの値を保持し、シークレットが有効である間、各読み取り時にそれらを再利用する。そうでない場合は、 false に設定する。 例えば、次のコマンド例は、有効期限が切れるまで再利用できるIAMクレデンシャルを作成する。

ibmcloud secrets-manager secret-create --secret-type iam_credentials --secret-name "example-iam-credentials-secret" --secret-description "Description of my IAM credentials secret" --iam-credentials-service-id "<iam_id_of_service_id>" --secret-ttl 30m --iam-credentials-reuse-apikey true

このコマンドでは、シークレットの ID 値と他のメタデータが出力されます。 シークレットのリースが終了すると、資格情報は自動的に取り消されます。 コマンド・オプションについては、ibmcloud secrets-manager secret-create を参照してください。

IAM クレデンシャルで --iam-credentials-reuse-apikey が false に設定されている場合、シークレットの手動ローテーションはサポートされません。 詳細については、シークレットの手動ローテーションを参照してください。

リース期間が切れるまで、同じ API キーを再利用する

シークレットのリース期間終了までIAMクレデンシャルを使いたい場合は、 reuse_api_key。 trueに設定した場合、シークレットは現在のサービスIDとAPIキーの値を保持し、シークレットが有効である間、読み取りのたびにそれらの値を再使用します。 例えば、次のコマンド例は、有効期限が切れるまで再利用できるIAMクレデンシャルを作成する。

custom_metadata および version_custom_metadata 要求パラメーターを使用して、組織のニーズに関連するメタデータを保管できます。 version_custom_metadata の値は、シークレットのバージョンについてのみ返されます。 シークレットのカスタム・メタデータは、最大 50 バージョンの他のすべてのメタデータとして保管されます。機密データを含めることはできません。

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
      {
        "name": "example-iam-credentials-secret",
        "description": "Description of my IAM Credentials secret",
        "secret_type": "iam_credentials",
        "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
        "labels": [
          "dev",
          "us-south"
        ],
        "ttl": "30m",
        "access_groups": [
          "AccessGroupId-45884031-54be-4dd7-86ff-112511e92699",
          "AccessGroupId-8c0ed733-dfee-4a94-992b-e2247b86e2a2"
        ],
        "reuse_api_key": true,
        "custom_metadata": {
          "metadata_custom_key": "metadata_custom_value"
        },
        "version_custom_metadata": {
          "custom_version_key": "custom_version_value"
        }
      }' \
    "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

リクエストに成功すると、シークレットのID値とその他のメタデータが返されます。 シークレットのリースが終了すると、資格情報は自動的に取り消されます。 詳しくは、APIリファレンスをご確認ください。

IAM資格情報のreuse_api_keyがfalseである場合、シークレットの手動ローテーションはサポートされません。 詳細については、シークレットの手動ローテーションを参照してください。

アカウントの既存のサービス ID の使用

APIキーを動的に生成するために使用するサービスIDがアカウントに既に登録されている場合があります。 このシナリオでは、独自のサービス ID を使用して、IAM 資格情報シークレットを作成することを選択できます。 例えば、以下のコマンドはservice_idフィールドを使用してIAM資格情報を作成します。 特定の他のアカウントで作成するには、account_id フィールドを追加します。

custom_metadata および version_custom_metadata 要求パラメーターを使用して、組織のニーズに関連するメタデータを保管できます。 version_custom_metadata の値は、シークレットのバージョンについてのみ返されます。 シークレットのカスタム・メタデータは、最大 50 バージョンの他のすべてのメタデータとして保管されます。機密データを含めることはできません。

サービスIDの ID 値は、コンソールのIAMセクションで確認できる。 管理 > アクセス（IAM） > サービスID > 名前. 詳細をクリックするとIDが表示されます。

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
          "name": "example-iam-credentials-secret",
          "description": "Description of my IAM Credentials secret",
          "secret_type": "iam_credentials",
          "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
          "labels": [
            "dev",
            "us-south"
          ],
          "ttl": "30m",
          "service_id": "ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0,
          "reuse_api_key": false,
          "custom_metadata": {
            "metadata_custom_key": "metadata_custom_value"
          },
          "version_custom_metadata": {
            "custom_version_key": "custom_version_value"
          }
        }' \
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

リクエストに成功すると、シークレットのID値とその他のメタデータが返されます。 詳しくは、APIリファレンスをご確認ください。