Vault Dedicatedインスタンスのセットアップ

このチュートリアルでは、 IBM Cloud® Secrets Manager の Vault Dedicated プランのインスタンスをセットアップする方法について解説します。具体的には、インスタンスのプロビジョニング、エンドポイントの取得、管理用トークンの生成、および初期設定のためのVault UIへのサインインの手順を学びます。

Vault Dedicated プランでは、 IBM Cloud 上でVault Enterpriseをマネージドサービスとして提供します。 インスタンスのプロビジョニングが完了したら、インスタンスのダッシュボードで接続の詳細を確認したり、Vault UI を開いて Vault 環境の設定を開始したりできます。

「Vault Dedicated」プランは現在、パブリックベータ版として提供されています。 ベータ版機能は、評価およびテストを目的として提供されており、一般に利用可能な機能に比べて制限があります。

Vault 専用パブリックベータ版の制限事項

パブリックベータ期間中、「 [Vault Dedicated] 」の{: tag-green} プランには、以下の暫定的な制限が適用されます：

  • インスタンス数の上限 ：ベータ期間中は、 アカウントにつき1つのVault Dedicatedインスタンスのみ利用可能です。
  • アップグレードパスなし ：ベータ版からGA版へのアップグレードはできません。 一般公開に先立ち、すべてのベータインスタンスは削除されます。
  • 提供地域 ：ダラスおよびフランクフルトで利用可能です。
  • ベータ期間中は無料 ：ベータ期間中は一切料金がかかりません。
  • ベータ版からGA版への移行 ：ベータ版インスタンスからGA版インスタンスへのデータ移行はサポートされていません。

これらの制限は一時的なものであり、パブリックベータ期間中にのみ適用されます。 Vault Dedicatedの プランが一般提供開始された時点で、この機能は削除または変更されます。

開始前に

作業を開始する前に、 IBM Cloud アカウントと、本サービスを利用するために必要なIAMアクセス権限が確保されていることを確認してください。

以下のロールが必要です：

Vault Dedicated プランのインスタンスをプロビジョニングする

「 IBM Cloud 」カタログから、 Vault Dedicated プランインスタンスを作成します。

  1. IBM Cloud コンソールで、「 カタログ 」に移動します。

  2. 選択 Secrets Manager.

  3. 「 Vault Dedicated 」プランを選択してください。

  4. インスタンスの設定：

    • デプロイ先のリジョンを選択してください。
    • 一意のインスタンス名を入力してください。
    • リソース・グループを選択します。
    • Key Protect を使用して、サービス管理型暗号化またはお客様暗号化のいずれかを選択してください。
    • 「非公開のみ」のエンドポイントを選択するか、必要に応じてパブリックエンドポイントを有効にしてください。

    「プライベート専用 」のエンドポイントを選択する場合は、接続を試みる前に以下の要件に注意してください：

    Standard と Vault Dedicated の両方のプランのインスタンスを使用する場合は、インスタンス名に「 -standard 」や「 -vault dedicated 」を含めるなど、インスタンスの種類が容易に識別できる命名規則を採用してください。

  5. 「作成」 をクリックします。

プロビジョニングは通常、数分以内に完了しますが、最大で15分ほどかかる場合があります。

インスタンスのプロビジョニングに関する詳細については、「 インスタンスの作成 」を参照してください。

管理用トークンを生成する

初期設定のためにVault UIにアクセスするには、管理者トークンを生成してください。

管理用トークンは、初期設定および緊急時のアクセスのみに使用することを目的としています。 設定作業が完了次第、速やかにそれらを取り消してください。

UIでの管理トークンの生成

  1. Secrets Manager のインスタンスのダッシュボードで、「 新しい管理用トークンの作成 」セクションにある「 トークンの作成 」をクリックします。
  2. 生成された管理用トークンをコピーし、安全な場所に保管してください。 Vault UI にサインインするには、このトークンが必要です。

CLI から管理用トークンを生成する

IBM Cloud CLI を使用して新しい Vault 管理トークンを生成するには、次のコマンドを実行してください。

ibmcloud secrets-manager-instance-management admin-token-create --id {instance_id}

このコマンドは、Vault 管理者トークンを返します。 安全に保管してください。Vault UI にログインするには、このトークンが必要です。

API を使用して管理トークンを生成する

curl -X POST \
  -H "Authorization: Bearer {iam_token}" \
  -H "Accept: application/json" \
  "https://{region}.secrets-manager.cloud.ibm.com/v2/instances/{id}/admintokens"

リクエストが成功すると、 HTTP 201 Created が返されます。 応答には「 token 」というフィールドが1つ含まれています。これを安全に保管し、Vault UIへのログインに使用してください。 このトークンの有効期間は1時間です。

Terraform を使用した管理トークンの生成

Terraform を使用して Vault 管理トークンを生成するには、 ibm_sm_admin_token リソースを使用します。 このトークンの有効期間は1時間で、有効期限が近づくと自動的に更新されます。

resource "ibm_sm_admin_token" "sm_admin_token" {
  instance_id = "bfc50c2e-d66d-4f37-9ccf-9713f8325b39"
}

リソースの作成後、Vault 管理者トークンは token 属性で利用可能になります。

Vault UI を開く

Vault APIエンドポイントを使用してVault UIを開き、管理者トークンでサインインしてください。

  1. Secrets Manager インスタンスのダッシュボードで、「 Web UIを起動 」をクリックして、VaultのネイティブUIにアクセスします。
  2. Vaultのサインインページで、作成した管理者トークンを使用して、Vaultの初期設定を完了してください。

管理トークンを無効にする

初期設定が完了したら、意図しないアクセスによるリスクを軽減するため、有効な管理者トークンをすべて無効にしてください。

UI での管理トークンの無効化

  1. Secrets Manager のインスタンスのダッシュボードで、「 すべての管理者トークンを無効化 」セクションにある [ 無効化 ] をクリックします。
  2. プロンプトが表示されたら、失効を確認してください。

トークンを無効化すると、そのトークンは直ちに無効となり、意図しないアクセスによるリスクを軽減するのに役立ちます。

CLI からの管理トークンの無効化

IBM Cloud のCLIを使用して、有効なすべてのVault管理トークンを無効にするには、次のコマンドを実行してください。

ibmcloud secrets-manager-instance-management admin-tokens-delete --id {instance_id}

この操作により、すべての管理者トークンが直ちに無効化され、今後の管理者アクセスには新しいトークンの生成が必要となります。

API を使用した管理トークンの無効化

curl -X DELETE \
  -H "Authorization: Bearer {iam_token}" \
  "https://{region}.secrets-manager.cloud.ibm.com/v2/instances/{id}/admintokens"

取り消しが成功すると、 204 No Content ステータスコードが返されます。

次のステップ

Vault にサインインしたら、インスタンスの初期設定を続行できます。