Vault Dedicated 인스턴스 설정

이 튜토리얼에서는 Vault Dedicated 플랜의 IBM Cloud® Secrets Manager 인스턴스를 프로비저닝하고, 해당 인스턴스의 엔드포인트를 조회하며, 관리자 토큰을 생성하고, 초기 구성을 위해 Vault UI에 로그인하는 방법을 배웁니다.

Vault Dedicated 플랜은 IBM Cloud 에서 Vault Enterprise를 관리형 서비스로 제공합니다. 인스턴스가 프로비저닝된 후에는 인스턴스 대시보드를 통해 연결 정보를 확인하고, Vault UI를 열어 Vault 환경 구성을 시작할 수 있습니다.

Vault Dedicated 요금제는 현재 공개 베타 버전으로 제공되고 있습니다. 베타 기능은 평가 및 테스트 목적으로 제공되며, 일반에 공개된 기능에 비해 일부 제한 사항이 있습니다.

Vault 전용 공개 베타 버전의 제한 사항

공개 베타 기간 동안, Vault Dedicated 요금제에는 다음과 같은 일시적인 제한 사항이 적용됩니다

  • 인스턴스 제한: 베타 기간 동안 계정당 Vault Dedicated 인스턴스는 1개만 사용할 수 있습니다.
  • 업그레이드 경로 없음: 베타 버전에서 GA 버전으로 업그레이드할 수 없습니다. 모든 베타 인스턴스는 정식 출시 전에 삭제될 예정입니다.
  • 지역별 이용 가능 여부: 댈러스와 프랑크푸르트에서 이용 가능합니다.
  • 베타 기간 동안 무료: 베타 기간 동안에는 요금이 부과되지 않습니다.
  • 베타에서 GA로 마이그레이션: 베타 인스턴스에서 GA 인스턴스로의 데이터 마이그레이션은 지원되지 않습니다.

이러한 제한 사항은 일시적인 것이며, 공개 베타 기간 동안에만 적용됩니다. Vault Dedicated 요금제가 정식 출시되면 해당 내용은 삭제되거나 수정될 예정입니다.

시작하기 전에

시작하기 전에, IBM Cloud 계정이 있고 해당 서비스를 사용하기 위해 필요한 IAM 액세스 권한이 있는지 확인하십시오.

다음과 같은 역할이 필요합니다:

Vault Dedicated 플랜 인스턴스 프로비저닝

IBM Cloud 카탈로그에서 ‘ Vault Dedicated ’ 계획 인스턴스를 생성합니다.

  1. IBM Cloud 콘솔에서 ‘카탈로그 ’로 이동합니다.

  2. 선택 Secrets Manager.

  3. Vault Dedicated 요금제를 선택하세요.

  4. 인스턴스 구성:

    • 배포 지역을 선택하세요.
    • 고유한 인스턴스 이름을 입력하세요.
    • 리소스 그룹을 선택하십시오.
    • Key Protect 를 사용하여 서비스 관리형 암호화 또는 고객 관리형 암호화 중 하나를 선택하십시오.
    • 비공개 전용 엔드포인트를 선택하거나, 필요한 경우 공개 엔드포인트를 활성화하십시오.

    ‘비공개 전용’ 엔드포인트를 선택한 경우, 연결을 시도하기 전에 다음 요구 사항을 확인하십시오:

    Standard 및 Vault Dedicated 플랜 인스턴스를 모두 사용할 계획이라면, 인스턴스 이름에 -standard 또는 -vault dedicated 을 포함하는 등 인스턴스 유형을 쉽게 식별할 수 있는 명명 규칙을 따르십시오.

  5. 작성을 클릭하십시오.

프로비저닝은 보통 몇 분 이내에 완료되지만, 최대 15분까지 걸릴 수도 있습니다.

인스턴스 프로비저닝에 대한 자세한 내용은 ‘인스턴스 생성’을 참조하십시오.

관리자 토큰 생성

초기 설정을 위해 Vault UI에 액세스하려면 관리자 토큰을 생성하십시오.

관리자 토큰은 초기 설정 및 긴급 접근 용도로만 사용됩니다. 설정 작업을 완료하는 대로 해당 권한을 취소하십시오.

UI에서 관리자 토큰 생성하기

  1. Secrets Manager 인스턴스의 대시보드에서 ‘새 관리자 토큰 생성’ 섹션의 ‘토큰 생성’을 클릭합니다.
  2. 생성된 관리자 토큰을 복사하여 안전하게 보관하십시오. Vault UI에 로그인하려면 이 토큰이 필요합니다.

CLI에서 관리자 토큰 생성하기

IBM Cloud CLI를 사용하여 새로운 Vault 관리자 토큰을 생성하려면 다음 명령어를 실행하십시오.

ibmcloud secrets-manager-instance-management admin-token-create --id {instance_id}

이 명령어는 Vault 관리자 토큰을 반환합니다. 이 토큰을 안전하게 보관하세요. Vault UI에 로그인할 때 이 토큰이 필요합니다.

API를 사용하여 관리자 토큰 생성하기

curl -X POST \
  -H "Authorization: Bearer {iam_token}" \
  -H "Accept: application/json" \
  "https://{region}.secrets-manager.cloud.ibm.com/v2/instances/{id}/admintokens"

요청이 성공하면 HTTP 201 Created 가 반환됩니다. 응답에는 ' token ' 필드가 하나 포함되어 있습니다. 이 값을 안전하게 보관하고, Vault UI에 로그인할 때 사용하십시오. 이 토큰의 유효 기간은 1시간입니다.

Terraform을 사용하여 관리자 토큰 생성하기

Terraform을 사용하여 Vault 관리자 토큰을 생성하려면 ibm_sm_admin_token 리소스를 사용하십시오. 이 토큰은 1시간 동안 유효하며, 만료 시간이 가까워지면 자동으로 갱신됩니다.

resource "ibm_sm_admin_token" "sm_admin_token" {
  instance_id = "bfc50c2e-d66d-4f37-9ccf-9713f8325b39"
}

리소스가 생성된 후, Vault 관리자 토큰은 token 속성에서 확인할 수 있습니다.

Vault UI 열기

Vault API 엔드포인트를 사용하여 Vault UI를 열고 관리자 토큰으로 로그인하십시오.

  1. Secrets Manager 인스턴스 대시보드에서 ‘웹 UI 실행’을 클릭하여 Vault 기본 UI에 접속합니다.
  2. Vault 로그인 페이지에서 생성한 관리자 토큰을 사용하여 초기 Vault 설정을 완료하십시오.

관리자 토큰 취소하기

초기 설정을 완료한 후에는 의도하지 않은 접근의 위험을 줄이기 위해 활성 상태인 관리자 토큰을 모두 취소하십시오.

UI에서 관리자 토큰 취소하기

  1. Secrets Manager 인스턴스의 대시보드에서 ‘모든 관리자 토큰 취소’ 섹션에 있는 ‘취소’를 클릭하세요.
  2. 메시지가 표시되면 취소 여부를 확인하십시오.

토큰을 취소하면 해당 토큰은 즉시 무효화되며, 의도하지 않은 접근의 위험을 줄이는 데 도움이 됩니다.

CLI를 통해 관리자 토큰 취소하기

IBM Cloud CLI를 사용하여 활성 상태인 모든 Vault 관리자 토큰을 취소하려면 다음 명령어를 실행하십시오.

ibmcloud secrets-manager-instance-management admin-tokens-delete --id {instance_id}

이 작업은 모든 관리자 토큰을 즉시 무효화하므로, 향후 관리자 권한을 사용하려면 새로운 토큰을 생성해야 합니다.

API를 사용하여 관리자 토큰 취소하기

curl -X DELETE \
  -H "Authorization: Bearer {iam_token}" \
  "https://{region}.secrets-manager.cloud.ibm.com/v2/instances/{id}/admintokens"

취소가 성공하면 204 No Content 상태 코드가 반환됩니다.

다음 단계

Vault에 로그인한 후, 인스턴스의 초기 설정을 계속 진행할 수 있습니다.