在租赁到期之前复用相同的 API 密钥

IAM 凭证由服务标识和 API 密钥组成。 缺省情况下，服务标识和 API 密钥是每次读取或访问 IAM 凭证私钥时生成和删除的一次性临时值。

如果要在私钥租赁结束前继续使用这些凭证，那么可以将 复用 IAM 凭证直到租赁到期 设置为 开启。 启用此选项时，私钥将保留其当前服务标识和 API 密钥值，并在每次读取时在私钥保持有效时复用这些值。 秘密的租期结束后，证书会自动撤销。

如果重用 IAM 凭据选项设置为“关”，则不支持手动轮换密码。 有关更多信息，请参阅 手动旋转私钥。

确定源账户

Secrets Manager 可以从当前 IBM Cloud 帐户或特定 IBM Cloud 帐户创建和管理 IAM 凭据机密。 选择从特定账户创建时，请提供该账户的 ID。

确定分配的访问范围

您的账户中可能已经有一个服务 ID，您可以通过选择该服务 ID 为其生成 API 密钥。 另外，也可以通过将访问权限分配给访问组来生成服务 ID 和 API 密钥。

在创建 IAM 凭据向导的 分配访问权限步骤中，选择秘密的访问范围。

1. 要使用现有服务标识，请从列表中选择标识。 如果源账户是特定的其他账户，请提供服务 ID 的 ID，格式如下：ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0。

   当您需要 Secrets Manager 仅为 IAM 凭证密钥而不是服务标识本身生成和管理 API 密钥时，请选择此选项。 API 密钥继承您从帐户中选择的服务标识的访问策略。 仅显示您有权访问的服务标识。

2. 要为私钥生成新的服务标识和 API 密钥，请选择访问组。 如果源账户是特定账户，请提供所需的访问组 ID。

   通过选择访问组，可以确定使用访问组分配给服务 ID 和 API 密钥的权限范围。 服务 ID 和 API 密钥将生成并与新的 IAM 凭据关联。 最多可以分配 10 个访问组。

   访问策略应分配给选定的访问组，而不是直接分配给服务 ID。 一旦达到 IAM 证书的 TTL，服务 ID 和 API 密钥都会被删除，并创建新的服务 ID 和 API 密钥。

如果使用了现有服务标识，那么将自动锁定由 Secrets Manager 生成的 API 密钥。 如果选择了访问组，Secrets Manager 为该秘密创建的新服务 ID 和 API 密钥都会自动锁定。 每次使用 API 检索 IAM 凭证私钥 时，都会锁定 Secrets Manager 生成的 API 密钥和服务标识，即使您在检索私钥之前手动将其解锁也是如此。

在租赁到期之前复用相同的 API 密钥

如果想在秘密租期结束后继续使用 IAM 凭据，可以使用 --iam-credentials-reuse-apikey 选项。 如果设置为“true，您的密文将保留当前服务 ID 和 API 密钥值，并在每次读取时重复使用，同时密文仍然有效，否则将其设置为”false。 例如，以下示例命令创建可在到期前复用的 IAM 凭证。

ibmcloud secrets-manager secret-create --secret-type iam_credentials --secret-name "example-iam-credentials-secret" --secret-description "Description of my IAM credentials secret" --iam-credentials-service-id "<iam_id_of_service_id>" --secret-ttl 30m --iam-credentials-reuse-apikey true

该命令输出私钥的标识值以及其他元数据。 秘密的租期结束后，证书会自动撤销。 有关命令选项的更多信息，请参阅 ibmcloud secrets-manager secret-create。

如果 IAM 凭据的“--iam-credentials-reuse-apikey 设置为”false，则不支持手动轮换密文。 有关更多信息，请参阅 手动旋转私钥。

在租赁到期之前复用相同的 API 密钥

如果想在秘密租期结束前使用 IAM 凭据，可以使用 reuse_api_key 字段。 如果设置为 true，那么私钥将保留其当前服务标识和 API 密钥值，并在每次读取时复用这些值，而私钥保持有效。 例如，以下示例命令创建可在到期前复用的 IAM 凭证。

您可以使用 custom_metadata 和 version_custom_metadata 请求参数来存储与组织需求相关的元数据。 仅针对私钥版本返回 version_custom_metadata 的值。 私钥的定制元数据存储为最多 50 个版本的所有其他元数据，并且不得包含机密数据。

curl -X POST  
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
      {
        "name": "example-iam-credentials-secret",
        "description": "Description of my IAM Credentials secret",
        "secret_type": "iam_credentials",
        "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
        "labels": [
          "dev",
          "us-south"
        ],
        "ttl": "30m",
        "access_groups": [
          "AccessGroupId-45884031-54be-4dd7-86ff-112511e92699",
          "AccessGroupId-8c0ed733-dfee-4a94-992b-e2247b86e2a2"
        ],
        "reuse_api_key": true,
        "custom_metadata": {
          "metadata_custom_key": "metadata_custom_value"
        },
        "version_custom_metadata": {
          "custom_version_key": "custom_version_value"
        }
      }' \
    "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

成功请求将返回私钥的标识值以及其他元数据。 秘密的租期结束后，证书会自动撤销。 有关更多信息，请查看 API 参考。

如果 reuse_api_key 对于 IAM 凭证为 false，那么不支持手动轮换私钥。 有关更多信息，请参阅 手动旋转私钥。

在帐户中使用现有服务标识

您的帐户中可能已具有要用于动态生成 API 密钥的服务标识。 在此场景中，您可以选择通过自带服务标识来创建 IAM 凭证私钥。 例如，以下命令使用 service_id 字段创建 IAM 凭证。 要在其他特定账户中创建，请添加 account_id 字段。

您可以使用 custom_metadata 和 version_custom_metadata 请求参数来存储与组织需求相关的元数据。 仅针对私钥版本返回 version_custom_metadata 的值。 私钥的定制元数据存储为最多 50 个版本的所有其他元数据，并且不得包含机密数据。

您可以在控制台的 IAM 部分找到服务 ID 的 ID 值。 转到 Manage > Access (IAM) > Service ID > name。 单击详细信息查看 ID。

curl -X POST  
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
          "name": "example-iam-credentials-secret",
          "description": "Description of my IAM Credentials secret",
          "secret_type": "iam_credentials",
          "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
          "labels": [
            "dev",
            "us-south"
          ],
          "ttl": "30m",
          "service_id": "ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0,
          "reuse_api_key": false,
          "custom_metadata": {
            "metadata_custom_key": "metadata_custom_value"
          },
          "version_custom_metadata": {
            "custom_version_key": "custom_version_value"
          }
        }' \
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

成功请求将返回私钥的标识值以及其他元数据。 有关更多信息，请查看 API 参考。