UI でのサービス認証情報の作成

Secrets Manager のUIを使用してサービス認証情報を作成するには、以下の手順を実行してください。

1. コンソールで、**「メニュー」**アイコン **>「リソース・リスト」**をクリックします。

2. サービスのリストから、Secrets Manager のインスタンスを選択します。

3. **「シークレット」テーブルで、「追加」**をクリックします。

4. 「シークレットの種類」の一覧から、「 サービス認証情報 」タイルをクリックします。

5. 次へ をクリックします。

6. シークレットを容易に識別できる名前と説明を追加します。

7. そのシークレットに割り当てたい シークレットグループインスタンス内に含まれているシークレットが準拠する必要のある環境と制約。 ユーザーをシークレット・グループに関連付けることで、アクセス権限とコラボレーションを有効にできます。 を選択してください。

   シークレット・グループがありませんか。 「シークレット・グループ」フィールドで、「作成」 をクリックすると、新規グループの名前と説明を入力できます。 新しいグループにシークレットが自動的に追加されます。 シークレット・グループについて詳しくは、シークレットの編成をチェックしてください。

8. オプション: インスタンス内の類似シークレットを検索しやすくするためのラベルを追加します。

9. クレデンシャルを作成するサービスとサービス・インスタンスを選択する

   サービス・インスタンスが初めて選択された場合、またはサービス CRN が指定された場合は、最初に Secrets Manager にサービス・インスタンスへのアクセスを許可します。

   1. Authorizeをクリックし、 Key Managerを選択します

10. 次へ をクリックします。

11. 選択したサービスに応じて、要求された入力を指定します。

12. オプション: シークレットまたは特定のバージョンのシークレットにメタデータを追加します。

    1. ファイルをアップロードするか、メタデータとバージョン・メタデータを JSON 形式で入力してください。

13. オプション：シークレットのリース期間または有効期限（TTL）を設定します。

    サービス認証情報のリース期間を設定することで、その認証情報の有効期間を決定します。 サービス認証情報のリース期間が終了すると、自動的に失効します。

14. オプション: シークレットの自動ローテーションを有効にします。

15. 次へ をクリックします。

16. シークレットの詳細を確認します。

17. 追加 をクリックします。

CLI からのサービス認証情報の作成

Secrets Manager CLI プラグインを使用してサービス資格情報のシークレットを作成するには、 ibmcloud secrets-manager secret-create コマンドを実行します。 --secret-type service_credentials オプションを使用して、シークレットのタイプを指定できます。 例えば、以下のコマンドは、HMAC サポートを使用して、 Cloud Object Storage インスタンスのサービス資格情報を作成します。 また、このクレデンシャルに提供する IAM ロールを指定する（例： Writer ）。

ibmcloud secrets-manager secret-create --secret-type="service_credentials" --secret-name="example-service-credentials-secret" --secret-source-service='{"instance": {"crn": "CRN of the instance to create a credential for"},"parameters": {"HMAC": true},"role": {"crn": "crn:v1:bluemix:public:iam::::serviceRole:Writer"}}'

このコマンドでは、シークレットの ID 値と他のメタデータが出力されます。 コマンド・オプションについては、ibmcloud secrets-manager secret-create を参照してください。

API を使用したサービス認証情報の作成

Secrets Manager API を呼び出すことで、プログラムからサービス認証情報を作成できます。

custom_metadata および version_custom_metadata 要求パラメーターを使用して、組織のニーズに関連するメタデータを保管できます。 version_custom_metadata の値は、シークレットのバージョンについてのみ返されます。 シークレットのカスタム・メタデータは、最大 50 バージョンの他のすべてのメタデータとして保管されるため、機密データを含めることはできません。

以下の例では、 Cloud Object Storage のサービス・クレデンシャルを、既存のサービス ID の IAM ID を使用したカスタム・パラメータで作成し、HMAC を有効にしている。 また、このクレデンシャルに提供する IAM ロールを指定する（例： Writer ）。

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
      {
        "name": "example-service-credentials-secret",
        "description": "Description of my Service Credentials secret",
        "secret_type": "service_credentials",
        "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
        "labels": [
          "dev",
          "us-south"
        ],
        "source_service": {
          "instance": {
            "crn": "CRN of the instance to create a credential for"
          },
          "parameters": {
            "serviceid_crn": "Existing Service ID's IAM ID",
            "HMAC": true
          },
          "role": {
            "crn": "crn:v1:bluemix:public:iam::::serviceRole:Writer"
          }
        }
      }' \ "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

成功すると、シークレットの ID 値が他のメタデータとともに応答で返されます。 必須およびオプションの要求パラメーターについて詳しくは、API リファレンスをチェックしてください。

Terraform を使用したサービス認証の作成

Secrets Managerの Terraformを使用して、サービス認証情報をプログラムで作成できます。 次の例は Cloud Object Storage用のサービス認証情報を作成する際に使用できる構成を示しています。

    resource "ibm_sm_service_credentials_secret" "my_service_credentials_secret" {
      instance_id = "local.instance_id"
      region = "local.region"
      name = "example-service-credentials-secret"
      secret_group_id = "ibm_sm_secret_group.sm_secret_group_test.secret_group_id"
      description = "Description of my Service Credentials secret"
      ttl = "24h"
      source_service {
        role = {
          crn = "crn:v1:bluemix:public:iam::::serviceRole:Writer"
        },
        instance = {
          crn = "crn:v1:bluemix:public:cloud-object-storage:global:a/347df6de25020f0fa8b711c6d9881111:f35e85fc-3d4d-476e-8547-51222e3c1111::"
        },
        parameters = {
          HMAC: true
        }
      }
      rotation {
        auto_rotate = true
        interval = 1
        unit = "day"
      }
    }

Terraform IBM Modules (TIM) for Secrets Manager Secret を使って、サービス認証情報を自動ローテーションでデプロイする。 Terraform IBM Modulesで 例を確認してください。