使用IAM服務授權

完成下列步驟以使用 IAM 服務授權設定 IAM 憑證引擎。

要從與 Secrets Manager 範例相同的 IBM Cloud 帳戶管理 IAM 認證：

1. 在「密鑰引擎」頁面中，按一下 IAM 認證 標籤。
2. 按一下授權。
3. 按一下配置。

若要從其他 IBM Cloud 帳戶管理 IAM 憑證，請手動建立 IAM 服務授權。

對於 IAM Identity Service服務授權策略：

1. 在您想要管理 IAM 憑證的帳戶中，請前往管理 > 存取 (IAM)。
2. 從左窗格選單中選擇授權。
3. 按一下建立。
4. 在「來源」下，選擇 「特定帳號」 並提供Secrets Manager實例所屬的帳號 ID。
   • 服務：Secrets Manager。
   • 資源：特定資源 > 服務實體，並提供 Secrets Manager 實體的服務實體 ID。
5. 在目標下選擇
   • 服務：IAM Identity Service
   • 資源：全部
   • 角色：操作員

對於 IAM Access Groups Service 服務授權策略：

1. 在您想要管理 IAM 憑證的帳戶中，請前往管理 > 存取 (IAM)。
2. 從左窗格選單中選擇授權。
3. 按一下建立。
4. 在「來源」下，選擇 「特定帳號」 並提供Secrets Manager實例所屬的帳號 ID。
   • 服務：Secrets Manager。
   • 資源：特定資源 > 服務實體，並提供 Secrets Manager 實體的服務實體 ID。
5. 在目標下選擇
   • 服務：IAM 存取群組服務
   • 資源：全部
   • 角色：群組服務成員管理

使用 API 金鑰

完成下列步驟以使用服務 ID 的 API 金鑰設定 IAM 憑證引擎。

1. 在「密鑰引擎」頁面中，按一下 IAM 認證 標籤。
2. 按一下使用 API 金鑰設定 IAM 認證引擎。
3. 輸入有權在帳戶中建立及管理其他 API 金鑰的 API 金鑰。
4. 按一下配置。

使用IAM服務授權

完成下列步驟以使用 IAM 服務授權設定 IAM 憑證引擎。

若要從與 Secrets Manager 範例相同的 IBM Cloud 帳戶管理 IAM 認證，請執行下列指令新增所需的 IAM 服務授權原則：

ibmcloud iam authorization-policy-create secrets-manager iam-identity "Service ID Creator, Operator" --source-service-instance-id SOURCE_SERVICE_INSTANCE_GUID
ibmcloud iam authorization-policy-create secrets-manager iam-groups "Groups Service Member Manage" --source-service-account SOURCE_SERVICE_INSTANCE_GUID

• 將 SOURCE_SERVICE_INSTANCE_GUID 替換為Secrets Manager實例服務 ID。 如果未提供，則授權適用於所有Secrets Manager實例

若要從其他 IBM Cloud 帳戶管理 IAM 憑證：也要包含 ACCOUNT_GUID 參數。

1. 使用您要管理的服務 ID 登入IBM Cloud帳戶。
2. 執行以下命令新增所需的 IAM 服務授權策略：

ibmcloud iam authorization-policy-create secrets-manager iam-identity "Service ID Creator, Operator" --source-service-instance-id SOURCE_SERVICE_INSTANCE_GUID --source-service-account ACCOUNT_GUID
ibmcloud iam authorization-policy-create secrets-manager iam-groups "Groups Service Member Manage" --source-service-account SOURCE_SERVICE_INSTANCE_GUID --source-service-instance-id ACCOUNT_GUID

• 將 SOURCE_SERVICE_INSTANCE_GUID 替換為Secrets Manager實例服務 ID。 如果未提供，則授權適用於所有Secrets Manager實例
• 將 ACCOUNT_GUID 替換為您要在其中建立 IAM 憑證金鑰的IBM Cloud帳戶的 ID。

使用 API 金鑰

完成下列步驟以使用服務 ID 的 API 金鑰設定 IAM 憑證引擎。

1. 在終端機視窗中，透過 IBM Cloud CLI 登入 IBM Cloud。

   ibmcloud login
   

2. 選取 Secrets Manager 服務實例所在的帳戶、地區及資源群組。

3. 建立服務 ID 並將它設為環境變數。

   export SERVICE_ID=`ibmcloud iam service-id-create <service_ID_name> --description "<description>" --output json | jq -r ".id"`; echo $SERVICE_ID
   

4. 管理服務 ID 的存取權。

   指派服務 ID 許可權，以建立及管理其他服務 ID。

   ibmcloud iam service-policy-create $SERVICE_ID --roles Operator --service-name "iam-identity"
   

   指派服務 ID 許可權，以檢視及更新您帳戶中的存取群組。

   ibmcloud iam access-group-policy-create $SERVICE_ID --roles Editor --service-name "iam-groups"
   

   將服務 ID 新增至帳戶中的存取群組。

   ibmcloud iam access-group-service-id-add <access_group_name> $SERVICE_ID
   

   為您的服務 ID 建立 IBM Cloud API 金鑰。

   export IBM_CLOUD_API_KEY=`ibmcloud iam service-api-key-create <API_key_name> $SERVICE_ID --description "<description>" --output json | jq -r ".apikey"`
   

5. 使用 API 金鑰為您的執行個體設定 IAM 憑證引擎。

   若要從 IBM Cloud CLI 配置密碼引擎，請執行 ibmcloud secrets-manager configuration-create 指令。

   ibmcloud secrets-manager configuration-create --configuration-prototype='{"config_type": "iam_credentials_configuration","name": "iam-configuration","api_key": "'$IBM_CLOUD_API_KEY'"}'
   

   使用 Windows™ 指令提示 (cmd.exe) 或 PowerShell? 如果您在指令行上傳遞 JSON 內容時發生錯誤，則可能需要調整字串，以符合作業系統特有的引號跳出需求。 如需詳細資訊，請參閱 IBM Cloud CLI 中使用字串的引號。

使用IAM服務授權

以下範例顯示了一個查詢，您可以在使用 IAM 服務授權時使用該查詢為您的執行個體設定 IAM 憑證引擎。 請參閱IBM Cloud IAM 的 API 文件 以了解更多資訊。

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "$SOURCE_ACCOUNT_ID"
        },
        {
          "name": "serviceName",
          "value": "secrets-manager"
        },
        {
          "name": "serviceInstance",
          "value": "$INSTANCE_GUID"
        }
      ]
    }
  ],
  "roles":[
        {
          "role_id": "crn:v1:bluemix:public:iam-identity::::serviceRole:ServiceIdCreator"
        },
        {
          "role_id": "crn:v1:bluemix:public:iam::::role:Operator"
        }
  ],
  "resources":[
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "$TARGET_ACCOUNT_ID"
        },
        {
          "name": "serviceName",
          "value": "iam-identity"
        }
      ]
    }
  ]
}'

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H "Authorization: Bearer $TOKEN" -H 'Content-Type: application/json' -d '{
  "type": "authorization",
  "subjects": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "$SOURCE_ACCOUNT_ID"
        },
        {
          "name": "serviceName",
          "value": "secrets-manager"
        },
        {
          "name": "serviceInstance",
          "value": "$INSTANCE_GUID"
        }
      ]
    }
  ],
  "roles":[
        {
          "role_id": "crn:v1:bluemix:public:iam-groups::::serviceRole:MemberManage"
        }
  ],
  "resources":[
    {
      "attributes": [
        {
          "name":"$TARGET_ACCOUNT_ID",
          "value": "791f5fb10986423e97aa8512f18b7e65"
        },
        {
          "name": "serviceName",
          "value": "iam-groups"
        }
      ]
    }
  ]
}'

該 serviceInstance 屬性是可選的。 如果省略，則授權適用於所有 Secrets Manager 實例。 的 SOURCE_ACCOOUNT_ID 和 TARGET_ACCOUNT_ID 不論是為目前帳戶或特定帳戶建立授權，都必須使用。

使用 API 金鑰

以下範例顯示了一個查詢，您可以使用該查詢透過 API 金鑰為您的執行個體設定 IAM 憑證引擎。 當您呼叫 API 時，請將 API 金鑰變數及 IAM 記號取代為 Secrets Manager 實例特定的值。

curl -X POST
  --H "Authorization: Bearer {iam_token}" \
  --H "Accept: application/json" \
  --H "Content-Type: application/json" \
  --d '{
    "api_key": "{iam_apikey}", "config_type": "iam_credentials_configuration",
    "name": "iam-configuration"
    }' \
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/configurations"

成功的回應會傳回秘密的 ID 值以及其他元資料。 如需必要及選用要求參數的相關資訊，請參閱 建立密鑰。

使用IAM服務授權

以下範例顯示了一個查詢，您可以在使用 IAM 服務授權時使用該查詢為您的Secrets Manager實例設定 IAM 憑證引擎。

    resource "ibm_iam_authorization_policy" "sm_to_iam_identity" {
        source_service_name = "secrets-manager"
        source_service_account = local.source_account_id
        source_resource_instance_id = local.instance_id
        target_service_name = "iam-identity"
        roles = ["Service ID creator", "Operator"]
    }

    resource "ibm_iam_authorization_policy" "sm_to_iam_groups" {
        source_service_name = "secrets-manager"
        source_service_account = local.source_account_id
        source_resource_instance_id = local.instance_id
        target_service_name = "iam-groups"
        roles = ["Groups Service Member Manage"]
    }

該 source_resource_instance_id 屬性是可選的。 如果省略，則授權適用於所有 Secrets Manager 實例。 該 source_service_account 屬性是可選的。 如果來源帳戶與目前帳戶相同，則可以省略。

使用 API 金鑰

如需逐步說明如何建立具有正確存取層級的 IBM Cloud API 金鑰，請切換至 UI 或 CLI 步驟。

以下範例顯示了可用於透過服務 ID 的 API 金鑰配置 IAM 憑證引擎的配置。

    resource "ibm_sm_iam_credentials_configuration" "iam_credentials_configuration" {
        instance_id = local.instance_id
        region = local.region
        name = "iam_credentials_config"
        api_key = var.ibmcloud_api_key
    }

使用 Secrets Manager IAM 引擎 程式化配置 IAM 認證引擎。 有關配置範例，請參閱 Terraform IBM 模組。