임대가 만료될 때까지 동일한 API 키 재사용

IAM 인증 정보는 서비스 ID와 API 키로 구성됩니다. 기본적으로 서비스 ID와 API 키는 IAM 인증 정보 시크릿을 읽거나 액세스할 때마다 생성되고 삭제되는 일회용 임시 값입니다.

시크릿 임대가 종료될 때까지 해당 인증 정보를 계속 사용하려면 임대 만기까지 IAM 인증 정보 재사용을 켜짐으로 설정할 수 있습니다. 이 옵션을 활성화하면 시크릿이 유효한 동안 현재 서비스 ID와 API 키 값을 유지하며 각 읽기에서 해당 값을 재사용합니다. 시크릿의 임대 기간이 끝나면 인증 정보가 자동으로 취소됩니다.

IAM 자격증명 재사용 옵션이 꺼짐으로 설정되어 있으면 비밀에 대한 수동 로테이션이 지원되지 않습니다. 자세한 정보는 수동 순환 시크릿 을 참조하십시오.

소스 계정 확인

Secrets Manager는 현재 IBM Cloud 계정 또는 특정 IBM Cloud 계정에서 IAM 자격증명 비밀을 만들고 관리할 수 있습니다. 특정 계정에서 만들기를 선택하는 경우 해당 계정의 ID를 입력합니다.

할당할 액세스 범위를 결정합니다

서비스 ID를 선택하여 API 키를 생성하려는 서비스 ID가 계정에 이미 있을 수 있습니다. 또는 액세스 그룹에 액세스 권한을 할당하여 서비스 ID와 API 키를 모두 생성할 수 있습니다.

IAM 자격증명 만들기 마법사의 액세스 할당 단계에서 비밀에 대한 액세스 범위를 선택합니다.

1. 기존 서비스 ID를 사용하려면 목록에서 ID를 선택하십시오. 소스 계정이 특정 다른 계정인 경우 서비스 ID의 ID를 다음 형식으로 입력합니다: ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0.

   Secrets Manager가 서비스 ID 자체가 아닌 IAM 인증 정보 시크릿의 API 키만 생성하고 관리해야 하는 경우 이 옵션을 선택하십시오. API 키는 사용자 계정에서 선택한 서비스 ID의 액세스 정책을 상속합니다. 액세스 권한이 있는 서비스 ID만 표시됩니다.

2. 시크릿에 대한 새 서비스 ID 및 API 키를 모두 생성하려면 액세스 그룹을 선택하십시오. 소스 계정이 특정 계정인 경우 원하는 액세스 그룹의 ID를 입력합니다.

   액세스 그룹을 선택하면 액세스 그룹을 사용하여 서비스 ID 및 API 키에 할당되는 권한의 범위를 결정합니다. 서비스 ID 및 API 키가 생성되어 새 IAM 자격 증명과 연결됩니다. 최대 10개 액세스 그룹을 지정할 수 있습니다.

   액세스 정책은 선택한 액세스 그룹에 할당해야 하며 서비스 ID에 직접 할당해서는 안 됩니다. IAM 자격 증명의 TTL에 도달하면 서비스 ID와 API 키가 모두 삭제되고 새 키가 만들어집니다.

기존 서비스 ID를 사용한 경우 Secrets Manager 에서 생성한 API 키는 자동으로 잠깁니다. 액세스 그룹을 선택한 경우 Secrets Manager 에서 비밀로 생성하는 새 서비스 ID와 API 키가 모두 자동으로 잠깁니다. API를 사용하여 IAM 자격증명 비밀을 검색 할 때마다 API 키와 Secrets Manager 에서 생성하는 서비스 ID는 비밀을 검색하기 전에 수동으로 잠금을 해제하더라도 잠겨 있습니다.

임대가 만료될 때까지 동일한 API 키 재사용

시크릿 임대가 종료될 때까지 IAM 자격 증명을 계속 사용하려면 --iam-credentials-reuse-apikey 옵션을 사용할 수 있습니다. true 으로 설정하면 비밀이 유효한 동안 현재 서비스 ID와 API 키 값을 유지하고 읽을 때마다 재사용하며, 그렇지 않으면 false 으로 설정합니다. 예를 들어, 다음 예제 명령은 만료될 때까지 재사용할 수 있는 IAM 자격 증명을 만듭니다.

ibmcloud secrets-manager secret-create --secret-type iam_credentials --secret-name "example-iam-credentials-secret" --secret-description "Description of my IAM credentials secret" --iam-credentials-service-id "<iam_id_of_service_id>" --secret-ttl 30m --iam-credentials-reuse-apikey true

명령은 다른 메타데이터와 함께 시크릿의 ID 값을 출력합니다. 시크릿의 임대 기간이 끝나면 인증 정보가 자동으로 취소됩니다. 명령 옵션에 대한 자세한 정보는 ibmcloud secrets-manager secret-create의 내용을 참조하십시오.

--iam-credentials-reuse-apikey 을 false 으로 설정한 경우, 비밀에 대한 수동 로테이션이 지원되지 않습니다. 자세한 정보는 수동으로 시크릿 순환을 참조하십시오.

임대가 만료될 때까지 동일한 API 키 재사용

시크릿 임대가 종료될 때까지 IAM 자격 증명을 사용하려면 reuse_api_key 필드를 사용하면 됩니다. true(으)로 설정하면 시크릿에 현재 서비스 ID와 API 키 값이 보존되고 시크릿이 유효한 동안 각 읽기에서 해당 값을 재사용합니다. 예를 들어, 다음 예제 명령은 만료될 때까지 재사용할 수 있는 IAM 자격 증명을 만듭니다.

custom_metadata 및 version_custom_metadata 요청 매개변수를 사용하여 조직의 요구사항과 관련된 메타데이터를 저장할 수 있습니다. version_custom_metadata 의 값은 시크릿 버전에 대해서만 리턴됩니다. 시크릿의 사용자 정의 메타데이터는 최대 50개의 버전에 대해 다른 모든 메타데이터로 저장되며 기밀 데이터를 포함하지 않아야 합니다.

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
      {
        "name": "example-iam-credentials-secret",
        "description": "Description of my IAM Credentials secret",
        "secret_type": "iam_credentials",
        "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
        "labels": [
          "dev",
          "us-south"
        ],
        "ttl": "30m",
        "access_groups": [
          "AccessGroupId-45884031-54be-4dd7-86ff-112511e92699",
          "AccessGroupId-8c0ed733-dfee-4a94-992b-e2247b86e2a2"
        ],
        "reuse_api_key": true,
        "custom_metadata": {
          "metadata_custom_key": "metadata_custom_value"
        },
        "version_custom_metadata": {
          "custom_version_key": "custom_version_value"
        }
      }' \
    "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

성공적인 요청은 다른 메타데이터와 함께 시크릿의 ID 값을 리턴합니다. 시크릿의 임대 기간이 끝나면 인증 정보가 자동으로 취소됩니다. 자세한 정보는 API 참조를 확인하십시오.

reuse_api_key이(가) IAM 신임 정보에 대한 false인 경우 시크릿에 대한 수동 회전은 지원되지 않습니다. 자세한 정보는 수동으로 시크릿 순환을 참조하십시오.

계정에 있는 기존 서비스 ID 사용

API 키를 동적으로 생성하는 데 사용하려는 서비스 ID가 이미 계정에 있을 수 있습니다. 이 시나리오에서는 사용자 고유 서비스 ID를 가져와서 IAM 인증 정보를 작성하도록 선택할 수 있습니다. 예를 들어, 다음 명령은 service_id 필드를 사용하여 IAM 신임 정보를 작성합니다. 다른 특정 계정에서 만들려면 account_id 필드를 추가합니다.

custom_metadata 및 version_custom_metadata 요청 매개변수를 사용하여 조직의 요구사항과 관련된 메타데이터를 저장할 수 있습니다. version_custom_metadata 의 값은 시크릿 버전에 대해서만 리턴됩니다. 시크릿의 사용자 정의 메타데이터는 최대 50개의 버전에 대해 다른 모든 메타데이터로 저장되며 기밀 데이터를 포함하지 않아야 합니다.

콘솔의 IAM 섹션에서 서비스 ID의 ID 값을 찾을 수 있습니다. 관리 > 액세스(IAM) > 서비스 ID > 이름으로 이동합니다. 세부 정보를 클릭하여 ID를 확인합니다.

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
          "name": "example-iam-credentials-secret",
          "description": "Description of my IAM Credentials secret",
          "secret_type": "iam_credentials",
          "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
          "labels": [
            "dev",
            "us-south"
          ],
          "ttl": "30m",
          "service_id": "ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0,
          "reuse_api_key": false,
          "custom_metadata": {
            "metadata_custom_key": "metadata_custom_value"
          },
          "version_custom_metadata": {
            "custom_version_key": "custom_version_value"
          }
        }' \
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

성공적인 요청은 다른 메타데이터와 함께 시크릿의 ID 값을 리턴합니다. 자세한 정보는 API 참조를 확인하십시오.