開始前に

始めに、他のメンバーがサービスのプロビジョニング、アクセス・グループの作成、アクセス・ポリシーのカスタマイズをできるように、必ず管理者プラットフォーム・アクセス権限 を使用してください。 以下の前提条件も必要です。

• IBM Cloud CLI をダウンロードしてインストールします。

• Secrets Manager CLI プラグインをインストールします。

• jqをダウンロードしてインストールする。

  jq は、JSONデータのスライスとフィルタリングに役立ちます。 このチュートリアルにあるjqを使用して、保管された環境変数を取得・使用します。

環境を設定する

Secrets Manager および Cloud Object Storage を使用するには、両方のサービスのインスタンスを IBM Cloud アカウントに作成する必要があります。 また、両方のサービスに対して操作を実行できるように許可を構成する必要もあります。

このステップでは、アクセス・グループ、サービス ID、IBM Cloud API キーを作成することにより、アクセス環境をセットアップします。 これ以降、これらのインスタンスが不要な場合は、チュートリアルの終了時に簡単に削除できます。

IBM Cloud アカウントには、Secrets Manager サービス・インスタンスを 1 つだけ持つことができます。

IAM 資格情報の作成

IAM 資格情報は、Cloud Object Storage バケットなどの IBM Cloud リソース・オンデマンドにアクセスするときに使用可能な動的シークレットです。 IAM 資格情報のセットは、保護リソースを読み取るまたはアクセスするときに毎回生成されるサービス ID と API キーで構成されます。 IAM 資格情報の存続時間 (TTL) またはリース期間を作成時に定義することにより、シークレットが存在する時間を短くすることができます。

IBM Cloud CLI から IAM 資格情報を作成するには、ibmcloud secrets-manager secret-create コマンドを実行します。

export SECRET_ID=`ibmcloud secrets-manager secret-create --secret-name test-iam-credentials --secret-description "Extended description for my secret.",--am-credentials-access_groups $ACCESS_GROUP_ID" --secret_group_id $SECRET_GROUP_ID --iam-credentials-ttl 2h --secret-labels "storage, us-south" --output json --service-url https://${instance-id}.${region}.secrets-manager.appdomain.cloud | jq -r '.id`

必ず、 instance_id および region をご使用のものに更新してください。

また、Secrets Manager UI を使用して、IAM 資格情報を作成することもできます。 詳細については、IAM 資格情報の作成を参照してください。

API キーの生成

IAM 資格情報を作成した後、付与されている権限が少ないユーザーは、ストレージ・バケットへのアクセス時にシークレットを取得することができます。

IBM Cloud CLI から IAM 資格情報を取得するには、ibmcloud secrets-manager secret コマンドを実行します。

1. IAM 資格情報シークレットのコンテンツを取得します。

   ibmcloud secrets-manager secret --id $SECRET_ID --output json
   

   次の JSON スニペットは、応答の例を示しています。

   {
       "metadata": {
       "collection_type": "application/vnd.ibm.secrets-manager.secret+json",
       "collection_total": 1
       },
       "resources": [
       {
         "access_groups": [
           "AccessGroupId-e7e1a364-c5b9-4027-b4fe-083454499a20"
         ],
         "api_key": "pVTL3W7o1uqIWSE8sSh8ebNhRN4-d1D0W9GcPVgwcLUr",
         "created_by": "iam-ServiceId-222b47ab-b08e-4619-b68f-8014a2c3acb8",
         "creation_date": "2020-12-15T14:31:42Z",
         "crn": "crn:v1:bluemix:public:secrets-manager:us-south:a/a5ebf2570dcaedf18d7ed78e216c263a:f1bc94a6-64aa-4c55-b00f-f6cd70e4b2ce:secret:cb7a2502-8ede-47d6-b5b6-1b7af6b6f563",
         "description": "Extended description for my secret.",
         "labels": [
             "storage",
             "us-south"
         ],
         "last_update_date": "2020-12-15T14:31:42Z",
         "name": "test-iam-credentials",
         "secret_group_id": "432b91f1-ff6d-4b47-9f06-82debc236d90",
         "secret_type": "IAM_CREDENTIALS",
         "service_id": "ServiceId-0576925a-9651-4f3e-b8c7-ce1332324aa4",
         "state": 1,
         "state_description": "Active",
         "ttl": 900
       }
       ]
   }
   

   レスポンスボディには、シークレット用に生成された一回限りのapi_key値とservice_id値が表示されます。 ttl値は、資格情報の有効期間（秒単位）を示します。

2. 新たに生成された API キーが指定された環境変数をエクスポートします。

   前のステップで生成したapi_key値をコピーし、環境変数として設定します。

   export API_key="<api_key>"
   

API キーを使用したアクセス・トークンの生成

前のステップで取得した API キーを使用して、IAM アクセス・トークンを生成できます。 このトークンは、IAM 資格情報に対して最初に定義した期間のみ有効です。

IAM Identity Services APIを呼び出すことで、API キーを IAM アクセストークンと交換できる。 IAM トークンを生成するには、コマンド・ラインから以下の cURL コマンドを実行します。

export IAM_TOKEN=`curl -X POST \
    "https://iam.cloud.ibm.com/identity/token" \
    -H "Content-Type: application/x-www-form-urlencoded" \
    -H "Accept: application/json" \
    -d "grant_type=urn%3Aibm%3Aparams%3Aoauth%3Agrant-type%3Aapikey&apikey=$API_KEY" | jq -r ".access_token"`; echo $IAM_TOKEN

成功! Cloud Object Storage バケットにアクセスするために使用できる有効な IAM トークンが生成されました。 次のステップに進んでください。

ストレージ・バケットへのアクセス

付与されている権限が少ないユーザーは、前のステップで生成したアクセス・トークンを使用して Cloud Object Storage バケットの読み取りおよび書き込みを行えるようになりました。 IAM 資格情報のリース期間が切れると、関連付けられた API キーは自動的に取り消されます。

コマンド・ラインで、以下の cURL 要求を実行し、Cloud Object Storage インスタンス内のバケットをリストします。

curl -X GET \
    "https://s3.us-south.cloud-object-storage.appdomain.cloud" \
    -H "Authorization: Bearer $IAM_TOKEN" \
    -H "ibm-service-instance-id: $COS_INSTANCE_ID" \
    -H "Accept: application/json"

以下の XML スニペットは応答の例を示しています。

<ListAllMyBucketsResult xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
    <Owner>
        <ID>cccbd89c-6eb0-4aed-8ffb-899d39bc022e</ID>
        <DisplayName>cccbd89c-6eb0-4aed-8ffb-899d39bc022e</DisplayName>
    </Owner>
    <Buckets>
        <Bucket>
            <Name>test-secrets-tutorial</Name>
            <CreationDate>2020-12-14T21:40:55.739Z</CreationDate>
        </Bucket>
    </Buckets>
</ListAllMyBucketsResult>

test-secrets-tutorialバケットの内容を表示するには、以下のコマンドを実行します。

curl -X GET \
    "https://s3.us-south.cloud-object-storage.appdomain.cloud/test-secrets-tutorial" \
    -H "Authorization: Bearer $IAM_TOKEN" \
    -H "ibm-service-instance-id: $COS_INSTANCE_ID" \
    -H "Accept: application/json"

以下の XML スニペットは応答の例を示しています。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<ListBucketResult xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
    <Name>test-secrets-tutorial</Name>
    <Prefix></Prefix>
    <Marker></Marker>
    <MaxKeys>1000</MaxKeys>
    <Delimiter></Delimiter>
    <IsTruncated>false</IsTruncated>
    <Contents>
        <Key>sample.txt</Key>
        <LastModified>2020-12-14T21:49:29.502Z</LastModified>
        <ETag>"df756a3769fcab0a261880957590c768"</ETag>
        <Size>42</Size>
        <Owner>
            <ID>cccbd89c-6eb0-4aed-8ffb-899d39bc022e</ID>
            <DisplayName>cccbd89c-6eb0-4aed-8ffb-899d39bc022e</DisplayName>
        </Owner>
        <StorageClass>STANDARD</StorageClass>
    </Contents>
</ListBucketResult>

最後に、バケツ内のオブジェクトを読み込むには、以下のコマンドを実行すればよい。

curl -X GET \
    "https://s3.us-south.cloud-object-storage.appdomain.cloud/test-secrets-tutorial/sample.txt" \
    -H "Authorization: Bearer $IAM_TOKEN" \
    -H "ibm-service-instance-id: $COS_INSTANCE_ID" \
    -H "Accept: application/json"

sample.txtを、バケットにアップロードしたファイルの名前に置き換えます。 以下の画面は応答の例を示しています。

A quick brown fox jumps over the lazy dog.

(オプション) リソースのクリーンアップ

本チュートリアルで作成したリソースが今後不要な場合は、以下の手順を実行して、アカウントからリソースを削除できます。

1. テスト Cloud Object Storage インスタンスを削除します。

   ibmcloud resource service-instance-delete test-cos-instance-tutorial
   

2. テスト Secrets Manager インスタンスを削除します。

   ibmcloud resource service-instance-delete test-sm-instance-tutorial
   

3. テスト・アクセス・グループを削除します。

   ibmcloud resource access-group-delete $ACCESS_GROUP
   

4. テスト・サービス ID を削除します。

   ibmcloud resource service-id-delete $SERVICE_ID
   

次のステップ

お疲れさまでした。 このチュートリアルでは、動的シークレットを持つ Cloud Object Storage バケットにアクセスするための Secrets Manager のセットアップ方法について学習しました。 Secrets Manager の開始に役立つリソースをさらにチェックしてください。

• シークレット・タイプについて、さらに詳しくご覧ください。
• シークレット・グループでアクセス戦略を設計します。
• Secrets Manager API の詳細をご覧ください。