Reutilizando a mesma chave de API até que o lease expire

As credenciais do IAM consistem em um ID de serviço e uma chave de API. Por padrão, o ID de serviço e a chave de API são valores efêmeros de uso único que são gerados e excluídos toda vez que um segredo de credenciais do IAM é lido ou acessado.

Se desejar continuar a usar essas credenciais até o final do lease do seu segredo, configure a opção Reutilizar as credenciais do IAM até que o lease expire para Ativar. Quando você ativa essa opção, seu segredo retém o ID de serviço atual e os valores da chave de API e os reutiliza em cada leitura enquanto o segredo permanecer válido. Depois que o segredo chegar ao término de seu lease, as credenciais serão revogadas automaticamente.

Se a opção reutilizar credenciais do IAM estiver definida como Desativado, não haverá suporte para a rotação manual do segredo. Para obter mais informações, consulte Segredos de rotação manual

Determinar a conta de origem

O Secrets Manager pode criar e gerenciar segredos de credenciais do IAM a partir da conta atual IBM Cloud ou de uma conta específica IBM Cloud. Ao selecionar a criação de uma conta específica, forneça o ID da conta.

Determinar o escopo do acesso a ser atribuído

Talvez você já tenha um ID de serviço em sua conta para o qual deseja gerar uma chave de API, selecionando o ID de serviço. Como alternativa, você pode gerar uma ID de serviço e uma chave de API atribuindo acesso a um grupo de acesso.

Na etapa Atribuir acesso do assistente Criar credenciais do IAM, escolha um escopo de acesso para o seu segredo.

1. Para usar um ID de serviço existente, selecione um ID na lista. Se a conta de origem for uma outra conta específica, forneça a ID da ID do serviço, no seguinte formato: ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0.

   Escolha esta opção quando precisar que o Secrets Manager gere e gerencie apenas uma chave de API para o seu segredo de credenciais do IAM, e não o próprio ID de serviço. A chave de API herda a política de acesso do ID de serviço que você seleciona de sua conta. Apenas os IDs de serviço aos quais você tem acesso são exibidos.

2. Para gerar um novo ID de serviço e chave de API para o segredo, selecione um grupo de acesso. Se a conta de origem for uma conta específica, forneça as IDs dos grupos de acesso desejados.

   Ao selecionar um grupo de acesso, você determina o escopo das permissões atribuídas ao ID do serviço e à chave de API usando o grupo de acesso. A ID de serviço e a chave de API são geradas e associadas à sua nova credencial de IAM. É possível designar até 10 grupos de acesso.

   As políticas de acesso devem ser atribuídas ao(s) grupo(s) de acesso selecionado(s) e não diretamente aos IDs de serviço. O ID do serviço e a chave de API são excluídos e novos são criados quando o TTL da credencial do IAM é atingido.

Se você usou uma ID de serviço existente, a chave de API gerada pelo site Secrets Manager será automaticamente bloqueada. Se você selecionou um grupo de acesso, o novo ID de serviço e a chave de API que o Secrets Manager cria para o segredo são automaticamente bloqueados. Toda vez que você recupera um segredo de credenciais do IAM usando a API, a chave da API e o ID do serviço que o Secrets Manager gera são bloqueados, mesmo que você os desbloqueie manualmente antes de recuperar o segredo.

Reutilizando a mesma chave de API até que o lease expire

Se quiser continuar a usar as credenciais do IAM até o final do contrato de locação do seu segredo, você poderá usar a opção --iam-credentials-reuse-apikey. Se definido como true, seu segredo retém os valores atuais de ID de serviço e chave de API e os reutiliza em cada leitura enquanto o segredo permanecer válido; caso contrário, defina-o como false. Por exemplo, o comando de exemplo a seguir cria credenciais IAM que podem ser reutilizadas até expirarem.

ibmcloud secrets-manager secret-create --secret-type iam_credentials --secret-name "example-iam-credentials-secret" --secret-description "Description of my IAM credentials secret" --iam-credentials-service-id "<iam_id_of_service_id>" --secret-ttl 30m --iam-credentials-reuse-apikey true

O comando gera o valor do ID do segredo, além de outros metadados. Depois que o segredo chegar ao término de seu lease, as credenciais serão revogadas automaticamente. Para obter mais informações sobre as opções de comando, consulte ibmcloud secrets-manager secret-create.

Se --iam-credentials-reuse-apikey estiver definido como false para credenciais do IAM, não haverá suporte para a rotação manual do segredo. Para obter mais informações, consulte Girando segredos manualmente.

Reutilizando a mesma chave de API até que o lease expire

Se quiser usar as credenciais do IAM até o final do período de concessão do seu segredo, você poderá usar o campo reuse_api_key. Se configurado como true, seu segredo mantém seus valores de ID de serviço e de chave de API atuais e os reutilizará em cada leitura enquanto o segredo permanecer válido. Por exemplo, o comando de exemplo a seguir cria credenciais IAM que podem ser reutilizadas até expirarem.

Você pode armazenar metadados que são relevantes para as necessidades de sua organização com os parâmetros de solicitação custom_metadata e version_custom_metadata. Os valores do version_custom_metadata são retornados apenas para as versões de um segredo. Os metadados personalizados do seu segredo são armazenados como todos os outros metadados, para versões de até 50 bits e você não deve incluir dados confidenciais.

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
      {
        "name": "example-iam-credentials-secret",
        "description": "Description of my IAM Credentials secret",
        "secret_type": "iam_credentials",
        "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
        "labels": [
          "dev",
          "us-south"
        ],
        "ttl": "30m",
        "access_groups": [
          "AccessGroupId-45884031-54be-4dd7-86ff-112511e92699",
          "AccessGroupId-8c0ed733-dfee-4a94-992b-e2247b86e2a2"
        ],
        "reuse_api_key": true,
        "custom_metadata": {
          "metadata_custom_key": "metadata_custom_value"
        },
        "version_custom_metadata": {
          "custom_version_key": "custom_version_value"
        }
      }' \
    "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

Uma solicitação bem-sucedida retorna o valor de ID do segredo, juntamente com outros metadados. Depois que o segredo chegar ao término de seu lease, as credenciais serão revogadas automaticamente. Para obter mais informações, confira a Referência da API.

Se o reuse_api_key for false para credenciais do IAM, a rotação manual para o segredo não será suportada. Para obter mais informações, consulte Girando segredos manualmente.

Usando um ID de serviço existente em sua conta

Talvez você já tenha um ID de serviço em sua conta que deseja usar para gerar uma chave de API dinamicamente. Neste cenário, é possível optar por criar um segredo de credenciais do IAM, trazendo seu próprio ID de serviço. Por exemplo, o comando a seguir cria uma credencial do IAM usando o campo service_id. Para criá-lo em uma outra conta específica, adicione o campo account_id.

Você pode armazenar metadados que são relevantes para as necessidades de sua organização com os parâmetros de solicitação custom_metadata e version_custom_metadata. Os valores do version_custom_metadata são retornados apenas para as versões de um segredo. Os metadados personalizados do seu segredo são armazenados como todos os outros metadados, para versões de até 50 bits e você não deve incluir dados confidenciais.

É possível encontrar o valor do ID de um ID de serviço na seção IAM do console. Vá para Gerenciar > Acesso (IAM) > IDs de serviço > nome. Clique em Details (Detalhes ) para visualizar o ID.

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
          "name": "example-iam-credentials-secret",
          "description": "Description of my IAM Credentials secret",
          "secret_type": "iam_credentials",
          "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
          "labels": [
            "dev",
            "us-south"
          ],
          "ttl": "30m",
          "service_id": "ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0,
          "reuse_api_key": false,
          "custom_metadata": {
            "metadata_custom_key": "metadata_custom_value"
          },
          "version_custom_metadata": {
            "custom_version_key": "custom_version_value"
          }
        }' \
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

Uma solicitação bem-sucedida retorna o valor de ID do segredo, juntamente com outros metadados. Para obter mais informações, confira a Referência da API.