使用 API 创建网络区域

您可以使用 create-zone 命令来创建网络区域。 有关更多信息，请参阅 API 文档。 您可以将 Secrets Manager 作为服务引用添加到网络区域，以允许 Secrets Manager 访问作为规则主体的帐户中的资源和服务。

Secrets Manager 的 serviceRef 属性为 secrets-manager。

您可以通过检查 引用目标 来确定哪些服务可用。

用于将 Secrets Manager 添加到网络区域的示例有效内容。

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "secrets-manager",
        "account_id": "ACCOUNT-ID"
      }
    }
  ]
}

用于将多个服务，IP 地址和 VPC 添加到网络区域的示例有效内容。

{
  "name": "zone",
  "description": "",
  "addresses": [
    {
      "type": "ipAddress",
      "value": "192.168.0.0"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-east:a/CRN"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-south:a/CRN"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "cloud-object-storage",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "codeengine",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_type": "platform_service",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "iam-groups",
        "account_id": "ACCOUNT-ID"
      }
    }
  ],
  "excluded": []
}

创建区域后，您可以 更新或删除 它们。

使用 UI 创建网络区域

设置先决条件和需求后，可以在 UI 中创建区域。 有关更多信息，请参阅 创建基于上下文的限制。

1. 确定要添加到允许列表的资源。
2. 执行以下步骤以在控制台中 创建基于上下文的限制。 将 Secrets Manager 服务添加到网络区域，以允许 IBM Cloud® Secrets Manager 访问帐户中的服务和资源。

创建区域后，您还可以 更新或删除 它们。

使用 CLI 创建网络区域

您可以使用 cbr-zone-create 命令将网络位置，VPC 和服务引用添加到网络区域。 有关更多信息，请参阅 CBR CLI 参考。 将 Secrets Manager 作为服务引用添加到网络区域，以允许 Secrets Manager 访问作为规则主体的帐户中的资源和服务。

1. 要从 CLI 创建网络区域，请 安装 CBR CLI 插件。
2. 使用 cbr-zone-create 命令将资源添加到网络区域。 有关更多信息，请参阅 CBR CLI 参考。 请注意，Secrets Manager 的 service_name 为 secrets-manager。

要查找可用服务引用的列表，请运行 ibmcloud cbr service-ref-targets 命令。

用于将 secrets-manager 服务添加到网络区域的示例命令。

ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=secrets-manager

使用应用程序接口创建规则

您可以使用从创建网络区域收集的信息来使用 API 定义规则。

请查看以下示例，以了解如何为 Secrets Manager创建规则。 有关更多信息，请参阅 API 文档。

以下示例有效内容创建用于保护 CLUSTER-ID 集群的规则。 只有 NETWORK-ZONE-ID 区域中的资源才能访问集群。 如果未指定 operations，那么 NETWORK-ZONE-ID 区域中的资源可以访问 cluster 和 management API。

{
  "description": "Example rule 1",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "secrets-manager"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

创建规则后，可以 更新 并 删除 这些规则。

使用用户界面创建规则

设置先决条件和需求后，可以在 UI 中创建规则。

1. 确定要添加到允许列表的资源。
2. 执行以下步骤以在控制台中 创建基于上下文的限制。 将 Secrets Manager 服务添加到网络区域，以允许 IBM Cloud® Secrets Manager 访问帐户中的服务和资源。

创建规则后，可以 更新 并 删除 这些规则。

使用 CLI 创建规则

查看以下示例以了解如何为 Secrets Manager创建规则。 有关更多信息，请参阅 CBR CLI 参考。

1. 要从 CLI 创建规则，请 安装 CBR CLI 插件。
2. 您可以使用 ibmcloud cbr rule-create 命令 来创建 CBR 规则。 有关更多信息，请参阅 CBR CLI 参考。 请注意，Secrets Manager 的 service_name 为 secrets-manager。 要查找服务名称列表，请运行 ibmcloud cbr service-ref-targets 命令。 要查找服务的 API 类型列表，请运行 ibmcloud cbr api-types --service-name SERVICE 命令。

用于创建使用 addresses 键和 cluster API 类型以及 ipAddress 类型的规则的示例命令。

ibmcloud cbr rule-create my-rule-1 --service-name secrets-manager --api-type crn:v1:bluemix:public:secrets-manager::::api-type:cluster --zone-id ZONE-ID

以下命令将创建用于保护 CLUSTER-ID 集群的规则。 只有 NETWORK-ZONE-ID 网络区域中的资源才能访问集群。 此规则包含 cluster 和 management API 类型。

ibmcloud cbr rule-create my-rule-2 --service-name secrets-manager --service-instance CLUSTER-ID --zone-id NETWORK-ZONE-ID