Criação de zonas de rede usando a API

É possível criar zonas de rede usando o comando create-zone Para obter mais informações, consulte Documentos da API. É possível incluir Secrets Manager em zonas de rede como uma referência de serviço para permitir que o Secrets Manager acesse recursos e serviços em sua conta que são objeto de uma regra.

O atributo serviceRef para Secrets Manager é secrets-manager.

Para determinar quais serviços estão disponíveis, verifique os destinos de referência.

Carga útil de exemplo para incluir Secrets Manager em uma zona de rede.

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "secrets-manager",
        "account_id": "ACCOUNT-ID"
      }
    }
  ]
}

Carga útil de exemplo para incluir diversos serviços, endereços IP e VPCs em uma zona de rede

{
  "name": "zone",
  "description": "",
  "addresses": [
    {
      "type": "ipAddress",
      "value": "192.168.0.0"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-east:a/CRN"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-south:a/CRN"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "cloud-object-storage",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "codeengine",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_type": "platform_service",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "iam-groups",
        "account_id": "ACCOUNT-ID"
      }
    }
  ],
  "excluded": []
}

Depois de criar zonas, você pode atualizá-las ou removê-las.

Criação de zonas de rede usando a interface do usuário

Depois de configurar os pré-requisitos e requisitos, é possível criar zonas na UI. Para obter mais informações, consulte Criando restrições baseadas em contextos

1. Determine os recursos que você deseja incluir em sua lista de permissões
2. Siga as etapas para criar as restrições baseadas em contexto no console Inclua o serviço Secrets Manager em suas zonas de rede para permitir que o IBM Cloud® Secrets Manager acesse serviços e recursos em sua conta.

Depois de criar zonas, você também pode atualizá-las ou removê-las.

Criação de zonas de rede usando a CLI

É possível usar o comando cbr-zone-create para incluir locais de rede, VPC e referências de serviço em zonas de rede. Para obter mais informações, consulte o CBR CLI reference. Inclua Secrets Manager nas zonas de rede como uma referência de serviço para permitir que o Secrets Manager acesse recursos e serviços em sua conta que são sujeitos a uma regra.

1. Para criar zonas de rede da CLI, instale o plug-in da CLI do CBR.
2. Use o comando cbr-zone-create para incluir recursos em zonas de rede Para obter mais informações, consulte o CBR CLI reference. Observe que o service_name para Secrets Manager é secrets-manager.

Para localizar uma lista de referências de serviço disponíveis, execute o comando ibmcloud cbr service-ref-targets

Exemplo de comando para incluir o serviço do secrets-manager em uma zona de rede

ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=secrets-manager

Criar regras usando a API

É possível definir regras com a API usando as informações coletadas da criação de zonas de rede.

Revise o exemplo a seguir para saber como criar regras para Secrets Manager. Para obter mais informações, consulte Documentos da API.

A carga útil de exemplo a seguir cria uma regra que protege o cluster do CLUSTER-ID Somente os recursos na zona do NETWORK-ZONE-ID podem acessar o cluster Dado que nenhum operations é especificado, os recursos na zona NETWORK-ZONE-ID podem acessar as APIs cluster e management

{
  "description": "Example rule 1",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "secrets-manager"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

Depois de criar regras, você pode atualizar e excluir eles.

Criação de regras usando a interface do usuário

Depois de configurar os pré-requisitos e requisitos, é possível criar regras na UI.

1. Determine os recursos que você deseja incluir em sua lista de permissões
2. Siga as etapas para criar as restrições baseadas em contexto no console Inclua o serviço Secrets Manager em suas zonas de rede para permitir que o IBM Cloud® Secrets Manager acesse serviços e recursos em sua conta.

Depois de criar regras, você pode atualizar e excluir eles.

Criar regras usando a CLI

Revise os exemplos a seguir para saber como criar regras para Secrets Manager. Para obter mais informações, consulte o CBR CLI reference.

1. Para criar regras a partir da CLI, instale o plug-in da CLI do CBR
2. É possível usar o comando ibmcloud cbr rule-create para criar regras do CBR Para obter mais informações, consulte o CBR CLI reference. Observe que o service_name para Secrets Manager é secrets-manager. Para localizar uma lista de nomes de serviço, execute o comando ibmcloud cbr service-ref-targets Para localizar uma lista de tipos de API para um serviço, execute o comando ibmcloud cbr api-types --service-name SERVICE

Exemplo de comando para criar uma regra que usa a chave addresses e o tipo de API cluster, e o tipo ipAddress

ibmcloud cbr rule-create my-rule-1 --service-name secrets-manager --api-type crn:v1:bluemix:public:secrets-manager::::api-type:cluster --zone-id ZONE-ID

O comando a seguir cria uma regra que protege o cluster do CLUSTER-ID Somente os recursos na zona de rede do NETWORK-ZONE-ID podem acessar o cluster Essa regra inclui os tipos de API cluster e management.

ibmcloud cbr rule-create my-rule-2 --service-name secrets-manager --service-instance CLUSTER-ID --zone-id NETWORK-ZONE-ID