IAM 서비스 권한 부여 사용

IAM 서비스 인증을 사용하여 IAM 자격 증명 엔진을 구성하려면 다음 단계를 완료하세요.

Secrets Manager 인스턴스와 동일한 IBM Cloud 계정에서 IAM 자격 증명을 관리하려면:

1. 시크릿 엔진 페이지에서 IAM 인증 정보 탭을 클릭하십시오.
2. 권한 부여를 클릭하십시오.
3. 구성을 클릭하십시오.

다른 IBM Cloud 계정에서 IAM 자격 증명을 관리하려면 IAM 서비스 인증을 수동으로 생성하십시오.

IAM Identity Service 서비스 권한 부여 정책의 경우:

1. IAM 자격 증명을 관리하려는 계정에서 관리 > 액세스(IAM) 로 이동합니다.
2. 왼쪽 창 메뉴에서 인증를 선택합니다.
3. 작성을 클릭하십시오.
4. 소스에서 특정 계정를 선택하고 Secrets Manager 인스턴스가 속해 있는 계정 ID를 입력합니다.
   • 서비스: Secrets Manager.
   • 리소스: 특정 리소스 > 서비스 인스턴스로 이동하여 Secrets Manager 인스턴스의 서비스 인스턴스 ID를 입력합니다.
5. Target에서 다음을 선택합니다
   • 서비스: IAM Identity Service
   • 리소스: 전체
   • 역할 운영자

IAM 액세스 그룹 서비스 서비스 권한 부여 정책에 대해 설명합니다:

1. IAM 자격 증명을 관리하려는 계정에서 관리 > 액세스(IAM) 로 이동합니다.
2. 왼쪽 창 메뉴에서 인증를 선택합니다.
3. 작성을 클릭하십시오.
4. 소스에서 특정 계정를 선택하고 Secrets Manager 인스턴스가 속해 있는 계정 ID를 입력합니다.
   • 서비스: Secrets Manager.
   • 리소스: 특정 리소스 > 서비스 인스턴스로 이동하여 Secrets Manager 인스턴스의 서비스 인스턴스 ID를 입력합니다.
5. Target에서 다음을 선택합니다
   • 서비스: IAM 액세스 그룹 서비스
   • 리소스: 전체
   • 역할 그룹 서비스 회원 관리

API 키 사용

다음 단계를 완료하여 서비스 ID의 API 키를 사용하여 IAM 자격 증명 엔진을 구성합니다.

1. 시크릿 엔진 페이지에서 IAM 인증 정보 탭을 클릭하십시오.
2. API 키로 IAM 자격 증명 엔진 구성을 클릭합니다.
3. 계정의 다른 API 키를 작성하고 관리할 수 있는 액세스 권한이 있는 API 키를 입력합니다.
4. 구성을 클릭하십시오.

IAM 서비스 권한 부여 사용

다음 단계를 완료하여 IAM 서비스 인증을 사용하여 IAM 자격 증명 엔진을 구성합니다.

Secrets Manager 인스턴스와 동일한 IBM Cloud 계정에서 IAM 자격 증명을 관리하려면 다음 명령을 실행하여 필요한 IAM 서비스 권한 부여 정책을 추가하십시오

ibmcloud iam authorization-policy-create secrets-manager iam-identity "Service ID Creator, Operator" --source-service-instance-id SOURCE_SERVICE_INSTANCE_GUID
ibmcloud iam authorization-policy-create secrets-manager iam-groups "Groups Service Member Manage" --source-service-account SOURCE_SERVICE_INSTANCE_GUID

• SOURCE_SERVICE_INSTANCE_GUID 를 Secrets Manager 인스턴스 서비스 ID로 바꿉니다. 제공하지 않으면 권한 부여는 모든 Secrets Manager 인스턴스에 적용됩니다

다른 IBM Cloud 계정에서 IAM 자격 증명을 관리하려면: ACCOUNT_GUID 매개 변수도 포함하십시오.

1. 관리하려는 서비스 ID로 IBM Cloud 계정에 로그인합니다.
2. 다음 명령을 실행하여 필요한 IAM 서비스 권한 부여 정책을 추가합니다:

ibmcloud iam authorization-policy-create secrets-manager iam-identity "Service ID Creator, Operator" --source-service-instance-id SOURCE_SERVICE_INSTANCE_GUID --source-service-account ACCOUNT_GUID
ibmcloud iam authorization-policy-create secrets-manager iam-groups "Groups Service Member Manage" --source-service-account SOURCE_SERVICE_INSTANCE_GUID --source-service-instance-id ACCOUNT_GUID

• SOURCE_SERVICE_INSTANCE_GUID 를 Secrets Manager 인스턴스 서비스 ID로 바꿉니다. 제공하지 않으면 권한 부여는 모든 Secrets Manager 인스턴스에 적용됩니다
• ACCOUNT_GUID 를 IAM 자격증명 비밀을 만들려는 IBM Cloud 계정의 ID로 바꿉니다.

API 키 사용

다음 단계를 완료하여 서비스 ID의 API 키를 사용하여 IAM 자격 증명 엔진을 구성합니다.

1. 터미널 창에서 IBM Cloud CLI를 통해 IBM Cloud에 로그인하십시오.

   ibmcloud login
   

2. Secrets Manager 서비스 인스턴스가 있는 계정, 지역 및 리소스 그룹을 선택하십시오.

3. 서비스 ID를 만들고 환경 변수로 설정하십시오.

   export SERVICE_ID=`ibmcloud iam service-id-create <service_ID_name> --description "<description>" --output json | jq -r ".id"`; echo $SERVICE_ID
   

4. 서비스 ID에 대한 액세스를 관리하십시오.

   다른 서비스 ID를 작성하고 관리하려면 서비스 ID 권한을 지정하십시오.

   ibmcloud iam service-policy-create $SERVICE_ID --roles Operator --service-name "iam-identity"
   

   계정의 액세스 그룹을 보고 업데이트하려면 서비스 ID 권한을 지정하십시오.

   ibmcloud iam access-group-policy-create $SERVICE_ID --roles Editor --service-name "iam-groups"
   

   계정의 액세스 그룹에 서비스 ID를 추가하십시오.

   ibmcloud iam access-group-service-id-add <access_group_name> $SERVICE_ID
   

   서비스 ID에 대한 IBM Cloud API 키를 작성하십시오.

   export IBM_CLOUD_API_KEY=`ibmcloud iam service-api-key-create <API_key_name> $SERVICE_ID --description "<description>" --output json | jq -r ".apikey"`
   

5. API 키를 사용하여 인스턴스에 대한 IAM 자격 증명 엔진을 구성합니다.

   IBM Cloud CLI에서 시크릿 엔진을 구성하려면 다음 ibmcloud secrets-manager configuration-create 명령을 실행합니다.

   ibmcloud secrets-manager configuration-create --configuration-prototype='{"config_type": "iam_credentials_configuration","name": "iam-configuration","api_key": "'$IBM_CLOUD_API_KEY'"}'
   

   Windows™ 명령 프롬프트(cmd.exe) 또는 PowerShell을 사용하십니까? 명령행에서 JSON 컨텐츠를 전달할 때 오류가 발생하면 운영 체제에 특정한 따옴표 이스케이프 요구사항에 맞게 문자열을 조정해야 할 수 있습니다. 자세한 정보는 IBM Cloud CLI에서 문자열과 함께 따옴표 사용을 참조하십시오.

IAM 서비스 권한 부여 사용

다음 예는 IAM 서비스 인증을 사용할 때 인스턴스에 대한 IAM 자격 증명 엔진을 구성하는 데 사용할 수 있는 쿼리를 보여 줍니다. IBM Cloud IAM의 API 문서 에서 자세히 알아보세요.

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "$SOURCE_ACCOUNT_ID"
        },
        {
          "name": "serviceName",
          "value": "secrets-manager"
        },
        {
          "name": "serviceInstance",
          "value": "$INSTANCE_GUID"
        }
      ]
    }
  ],
  "roles":[
        {
          "role_id": "crn:v1:bluemix:public:iam-identity::::serviceRole:ServiceIdCreator"
        },
        {
          "role_id": "crn:v1:bluemix:public:iam::::role:Operator"
        }
  ],
  "resources":[
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "$TARGET_ACCOUNT_ID"
        },
        {
          "name": "serviceName",
          "value": "iam-identity"
        }
      ]
    }
  ]
}'

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "$SOURCE_ACCOUNT_ID"
        },
        {
          "name": "serviceName",
          "value": "secrets-manager"
        },
        {
          "name": "serviceInstance",
          "value": "$INSTANCE_GUID"
        }
      ]
    }
  ],
  "roles":[
        {
          "role_id": "crn:v1:bluemix:public:iam-groups::::serviceRole:MemberManage"
        }
  ],
  "resources":[
    {
      "attributes": [
        {
          "name":"$TARGET_ACCOUNT_ID",
          "value": "791f5fb10986423e97aa8512f18b7e65"
        },
        {
          "name": "serviceName",
          "value": "iam-groups"
        }
      ]
    }
  ]
}'

속성은 serviceInstance 속성은 선택 사항입니다. 생략하면 모든 Secrets Manager 인스턴스에 권한 부여가 적용됩니다. 그리고 SOURCE_ACCOOUNT_ID 및 TARGET_ACCOUNT_ID 는 현재 계정에 대한 인증 또는 특정 계정에 대한 인증을 만들 때 필요합니다.

API 키 사용

다음 예는 API 키를 사용하여 인스턴스에 대한 IAM 자격 증명 엔진을 구성하는 데 사용할 수 있는 쿼리를 보여 줍니다. API를 호출할 때 API 키 변수와 IAM 토큰을 Secrets Manager 인스턴스에 고유한 값으로 바꾸십시오.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
    "api_key": "{iam_apikey}", "config_type": "iam_credentials_configuration",
    "name": "iam-configuration"
    }' \
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations"

성공적 응답은 다른 메타데이터와 함께 시크릿의 ID 값을 리턴합니다. 필수 및 선택적 요청 매개변수에 대한 자세한 내용은 비밀 만들기를 참조하세요.

IAM 서비스 권한 부여 사용

다음 예는 IAM 서비스 인증을 사용할 때 Secrets Manager 인스턴스에 대한 IAM 자격 증명 엔진을 구성하는 데 사용할 수 있는 쿼리를 보여 줍니다.

    resource "ibm_iam_authorization_policy" "sm_to_iam_identity" {
        source_service_name = "secrets-manager"
        source_service_account = local.source_account_id
        source_resource_instance_id = local.instance_id
        target_service_name = "iam-identity"
        roles = ["Service ID creator", "Operator"]
    }

    resource "ibm_iam_authorization_policy" "sm_to_iam_groups" {
        source_service_name = "secrets-manager"
        source_service_account = local.source_account_id
        source_resource_instance_id = local.instance_id
        target_service_name = "iam-groups"
        roles = ["Groups Service Member Manage"]
    }

속성은 source_resource_instance_id 속성은 선택 사항입니다. 생략하면 모든 Secrets Manager 인스턴스에 권한 부여가 적용됩니다. 속성은 source_service_account 속성은 선택 사항입니다. 소스 계정이 현재 계정과 동일한 경우 생략할 수 있습니다.

API 키 사용

올바른 액세스 레벨로 IBM Cloud API 키를 작성하는 단계별 지침을 보려면 UI 또는 CLI 단계로 전환하십시오.

다음 예는 서비스 ID의 API 키를 사용하여 IAM 자격 증명 엔진을 구성하는 데 사용할 수 있는 구성을 보여줍니다.

    resource "ibm_sm_iam_credentials_configuration" "iam_credentials_configuration" {
        instance_id = local.instance_id
        region = local.region
        name = "iam_credentials_config"
        api_key = var.ibmcloud_api_key
    }

Secrets Manager IAM 엔진을 사용하여 프로그래밍 방식으로 IAM 자격 증명 엔진을 구성합니다. 구성 예제는 Terraform IBM 모듈을 참조하세요.