Uso da autorização de serviço do IAM

Conclua as etapas a seguir para configurar o mecanismo de credenciais do IAM usando a autorização de serviço do IAM.

Para gerenciar as credenciais do IAM na mesma conta IBM Cloud da sua instância Secrets Manager:

1. Na página mecanismos de segredo, clique na guia credenciais do IAM.
2. Clique em Autorizar.
3. Clique em Configurar.

Para gerenciar as credenciais do IAM de outra conta IBM Cloud, crie manualmente as autorizações de serviço do IAM.

Para a política de autorização IAM Identity Service:

1. Na conta em que você deseja gerenciar as credenciais do IAM, vá para Manage > Access (IAM).
2. Selecione Autorizações no menu do painel esquerdo.
3. Clique em Criar.
4. Em Origem, selecione Conta específica e forneça o ID da conta à qual a instância Secrets Manager pertence.
   • Serviço: Secrets Manager.
   • Recursos: Specific resources > Service instance (Recursos específicos > Instância de serviço ) e forneça o ID da instância de serviço para sua instância Secrets Manager.
5. Em Target, selecione
   • Serviço: IAM Identity Service
   • Recursos: Todos
   • Funções: Operador

Para a política de autorização do serviço IAM Access Groups Service:

1. Na conta em que você deseja gerenciar as credenciais do IAM, vá para Manage > Access (IAM).
2. Selecione Autorizações no menu do painel esquerdo.
3. Clique em Criar.
4. Em Origem, selecione Conta específica e forneça o ID da conta à qual a instância Secrets Manager pertence.
   • Serviço: Secrets Manager.
   • Recursos: Specific resources > Service instance (Recursos específicos > Instância de serviço ) e forneça o ID da instância de serviço para sua instância Secrets Manager.
5. Em Target, selecione
   • Serviço: Serviço de grupos de acesso IAM
   • Recursos: Todos
   • Funções: Grupos que os membros do serviço gerenciam

Usando a chave de API

Conclua as etapas a seguir para configurar o mecanismo de credenciais do IAM usando uma chave de API do Service ID.

1. Na página mecanismos de segredo, clique na guia credenciais do IAM.
2. Clique em Configure IAM credentials engine with API key (Configurar mecanismo de credenciais IAM com chave de API ).
3. Insira uma chave de API que tenha acesso para criar e gerenciar outras chaves API em sua conta.
4. Clique em Configurar.

Uso da autorização de serviço do IAM

Conclua as etapas a seguir para configurar o mecanismo de credenciais do IAM usando uma autorização de serviço do IAM.

Para gerenciar as credenciais do IAM na mesma conta IBM Cloud da instância Secrets Manager, execute os seguintes comandos para adicionar as políticas de autorização de serviço do IAM necessárias:

ibmcloud iam authorization-policy-create secrets-manager iam-identity "Service ID Creator, Operator" --source-service-instance-id SOURCE_SERVICE_INSTANCE_GUID
ibmcloud iam authorization-policy-create secrets-manager iam-groups "Groups Service Member Manage" --source-service-account SOURCE_SERVICE_INSTANCE_GUID

• Substitua SOURCE_SERVICE_INSTANCE_GUID pela Secrets Manager ID do serviço de instância. Se não for fornecida, a autorização se aplicará a todas as instâncias de Secrets Manager

Para gerenciar credenciais IAM de outra conta IBM Cloud: inclua também o parâmetro ACCOUNT_GUID.

1. Faça login na conta IBM Cloud com as IDs de serviço que você deseja gerenciar.
2. Execute os seguintes comandos para adicionar as políticas de autorização de serviço IAM necessárias:

ibmcloud iam authorization-policy-create secrets-manager iam-identity "Service ID Creator, Operator" --source-service-instance-id SOURCE_SERVICE_INSTANCE_GUID --source-service-account ACCOUNT_GUID
ibmcloud iam authorization-policy-create secrets-manager iam-groups "Groups Service Member Manage" --source-service-account SOURCE_SERVICE_INSTANCE_GUID --source-service-instance-id ACCOUNT_GUID

• Substitua SOURCE_SERVICE_INSTANCE_GUID pela Secrets Manager ID do serviço de instância. Se não for fornecida, a autorização se aplicará a todas as instâncias de Secrets Manager
• Substitua ACCOUNT_GUID pela IBM Cloud ID da conta em que você deseja criar segredos de credenciais do IAM.

Usando a chave de API

Conclua as etapas a seguir para configurar o mecanismo de credenciais do IAM usando uma chave de API do Service ID.

1. Em uma janela do terminal, efetue login no IBM Cloud por meio da CLI do IBM Cloud.

   ibmcloud login
   

2. Selecione a conta, a região e o grupo de recursos nos quais sua instância de serviço do Secrets Manager está localizada.

3. Crie um ID de serviço e configure-o como uma variável de ambiente.

   export SERVICE_ID=`ibmcloud iam service-id-create <service_ID_name> --description "<description>" --output json | jq -r ".id"`; echo $SERVICE_ID
   

4. Gerencie o acesso ao ID de serviço.

   Designe as permissões de ID de serviço para criar e gerenciar outros IDs de serviço.

   ibmcloud iam service-policy-create $SERVICE_ID --roles Operator --service-name "iam-identity"
   

   Designe as permissões de ID de serviço para visualizar e atualizar grupos de acesso em sua conta.

   ibmcloud iam access-group-policy-create $SERVICE_ID --roles Editor --service-name "iam-groups"
   

   Inclua o ID de serviço em um grupo de acesso em sua conta.

   ibmcloud iam access-group-service-id-add <access_group_name> $SERVICE_ID
   

   Crie uma chave de API IBM Cloud para o seu ID de serviço.

   export IBM_CLOUD_API_KEY=`ibmcloud iam service-api-key-create <API_key_name> $SERVICE_ID --description "<description>" --output json | jq -r ".apikey"`
   

5. Use a chave de API para configurar o mecanismo de credenciais do IAM para sua instância.

   Para configurar um mecanismo de segredos na CLI do site IBM Cloud, execute o comando ibmcloud secrets-manager configuration-create comando.

   ibmcloud secrets-manager configuration-create --configuration-prototype='{"config_type": "iam_credentials_configuration","name": "iam-configuration","api_key": "'$IBM_CLOUD_API_KEY'"}'
   

   Usando um prompt de comandos do Windows™ (cmd.exe) ou PowerShell? Se você encontrar erros ao transmitir conteúdo JSON na linha de comandos, poderá ser necessário ajustar as sequências para os requisitos de escape de aspas específicos de seu sistema operacional. Para obter mais informações, consulte Usando aspas com sequências de caracteres na CLI do IBM Cloud.

Uso da autorização de serviço do IAM

O exemplo a seguir mostra uma consulta que você pode usar para configurar o mecanismo de credenciais do IAM para sua instância ao usar a autorização de serviço do IAM. Saiba mais em IBM Cloud nos Documentos da API do IAM.

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "$SOURCE_ACCOUNT_ID"
        },
        {
          "name": "serviceName",
          "value": "secrets-manager"
        },
        {
          "name": "serviceInstance",
          "value": "$INSTANCE_GUID"
        }
      ]
    }
  ],
  "roles":[
        {
          "role_id": "crn:v1:bluemix:public:iam-identity::::serviceRole:ServiceIdCreator"
        },
        {
          "role_id": "crn:v1:bluemix:public:iam::::role:Operator"
        }
  ],
  "resources":[
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "$TARGET_ACCOUNT_ID"
        },
        {
          "name": "serviceName",
          "value": "iam-identity"
        }
      ]
    }
  ]
}'

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "$SOURCE_ACCOUNT_ID"
        },
        {
          "name": "serviceName",
          "value": "secrets-manager"
        },
        {
          "name": "serviceInstance",
          "value": "$INSTANCE_GUID"
        }
      ]
    }
  ],
  "roles":[
        {
          "role_id": "crn:v1:bluemix:public:iam-groups::::serviceRole:MemberManage"
        }
  ],
  "resources":[
    {
      "attributes": [
        {
          "name":"$TARGET_ACCOUNT_ID",
          "value": "791f5fb10986423e97aa8512f18b7e65"
        },
        {
          "name": "serviceName",
          "value": "iam-groups"
        }
      ]
    }
  ]
}'

O atributo serviceInstance é opcional. Se omitida, a autorização se aplica a todas as instâncias do Secrets Manager. O SOURCE_ACCOOUNT_ID e TARGET_ACCOUNT_ID são necessários para criar a autorização para a conta atual ou para uma conta específica.

Usando a chave de API

O exemplo a seguir mostra uma consulta que você pode usar para configurar o mecanismo de credenciais do IAM para sua instância usando uma chave de API. Ao chamar a API, substitua as variáveis de chave de API e o token do IAM pelos valores que são específicos para a sua instância do Secrets Manager.

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
    "api_key": "{iam_apikey}", "config_type": "iam_credentials_configuration",
    "name": "iam-configuration"
    }' \
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations"

Uma resposta bem-sucedida retorna o valor de ID do segredo, além de outros metadados. Para obter mais informações sobre os parâmetros de solicitação obrigatórios e opcionais, consulte Criar um segredo.

Uso da autorização de serviço do IAM

O exemplo a seguir mostra uma consulta que você pode usar para configurar o mecanismo de credenciais do IAM para a instância Secrets Manager ao usar uma autorização de serviço do IAM.

    resource "ibm_iam_authorization_policy" "sm_to_iam_identity" {
        source_service_name = "secrets-manager"
        source_service_account = local.source_account_id
        source_resource_instance_id = local.instance_id
        target_service_name = "iam-identity"
        roles = ["Service ID creator", "Operator"]
    }

    resource "ibm_iam_authorization_policy" "sm_to_iam_groups" {
        source_service_name = "secrets-manager"
        source_service_account = local.source_account_id
        source_resource_instance_id = local.instance_id
        target_service_name = "iam-groups"
        roles = ["Groups Service Member Manage"]
    }

O atributo source_resource_instance_id é opcional. Se omitida, a autorização se aplica a todas as instâncias do Secrets Manager. O atributo source_service_account é opcional. Pode ser omitido se a conta de origem for a mesma que a conta corrente.

Usando a chave de API

Para obter instruções passo a passo para criar uma chave de API da IBM Cloud com o nível de acesso correto, alterne para as etapas IU ou CLI.

O exemplo a seguir mostra uma configuração que pode ser usada para configurar o mecanismo de credenciais do IAM usando a chave de API de um ID de serviço.

    resource "ibm_sm_iam_credentials_configuration" "iam_credentials_configuration" {
        instance_id = local.instance_id
        region = local.region
        name = "iam_credentials_config"
        api_key = var.ibmcloud_api_key
    }

Configure o mecanismo de credenciais do IAM programaticamente com o Secrets Manager IAM Engine. Consulte Terraform IBM Modules para obter exemplos de configuração.