在租賃到期之前重複使用相同的 API 金鑰

IAM 認證由服務 ID 和 API 金鑰組成。 依預設，服務 ID 和 API 金鑰是單次使用的暫時值，每次讀取或存取 IAM 認證密碼時都會產生並刪除這些值。

如果您想要在密鑰租賃結束後繼續使用這些認證，則可以將 重複使用 IAM 認證直到租賃到期 設為 開啟。 當您啟用此選項時，您的密鑰會保留其現行服務 ID 及 API 金鑰值，並在每次讀取時重複使用它們，而該密鑰仍然有效。 在秘密的租期結束後，憑證會自動撤銷。

如果重複使用 IAM 憑證選項設定為關閉，則不支援手動輪換秘密。 如需相關資訊，請參閱 手動輪替密鑰。

確定來源帳戶

Secrets Manager可以從目前IBM Cloud帳戶或特定IBM Cloud帳戶建立和管理 IAM 憑證機密。 當選擇從特定帳戶建立時，請提供該帳戶的 ID。

確定要指派的存取範圍

您的帳戶中可能已有一個服務 ID，您希望透過選擇該服務 ID 為其產生 API 金鑰。 或者，您可以透過將存取權限指派給存取群組來產生服務 ID 和 API 金鑰。

在建立 IAM 憑證精靈的指派存取權步驟中，選擇您的金鑰的存取範圍。

1. 若要使用現有的服務 ID，請從清單中選取 ID。 如果來源帳戶是特定的其他帳戶，請提供服務 ID 的 ID，格式如下：ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0。

   當您需要 Secrets Manager 只產生及管理 IAM 認證密碼的 API 金鑰，而不是服務 ID 本身時，請選擇此選項。 API 金鑰會繼承您從帳戶選取之服務 ID 的存取原則。 只會顯示您有權存取的服務 ID。

2. 若要為密鑰產生新的服務 ID 及 API 金鑰，請選取存取群組。 如果來源帳戶是特定帳戶，請提供所需存取群組的 ID。

   透過選擇存取群組，您可以確定指派給使用該存取群組的服務 ID 和 API 金鑰的權限範圍。 服務 ID 和 API 金鑰已產生並與您的新 IAM 憑證關聯。 您最多可以指派 10 個存取群組。

   存取策略應指派給選定的存取群組，而不是直接指派給服務 ID。 一旦達到 IAM 憑證的 TTL，服務 ID 和 API 金鑰都會被刪除，並建立新的。

如果您使用現有的服務 ID，則 Secrets Manager 所產生的 API 金鑰會自動鎖定。 如果您選擇了存取群組，Secrets Manager 為該秘密建立的新服務 ID 和 API 金鑰都會自動鎖定。 每次使用 API 擷取 IAM 憑證機密時，Secrets Manager 所產生的 API 金鑰和服務 ID 都會被鎖定，即使您在擷取機密前手動解除鎖定也是如此。

在租賃到期之前重複使用相同的 API 金鑰

如果您希望在金鑰租用結束前繼續使用 IAM 憑證，您可以使用 --iam-credentials-reuse-apikey 選項。 如果設定為 true，您的金鑰將保留其目前的服務 ID 和 API 金鑰值，並在金鑰保持有效的情況下在每次讀取時重複使用它們，否則將其設定為 false。 例如，下列範例指令會建立 IAM 認證，可重複使用直到它們到期為止。

ibmcloud secrets-manager secret-create --secret-type iam_credentials --secret-name "example-iam-credentials-secret" --secret-description "Description of my IAM credentials secret" --iam-credentials-service-id "<iam_id_of_service_id>" --secret-ttl 30m --iam-credentials-reuse-apikey true

指令會輸出密鑰的 ID 值，以及其他 meta 資料。 在秘密的租期結束後，憑證會自動撤銷。 如需指令選項的相關資訊，請參閱 ibmcloud secrets-manager secret-create。

如果 IAM 憑證的 --iam-credentials-reuse-apikey 設定為 false，則不支援手動輪換密鑰。 如需相關資訊，請參閱 手動輪替密鑰。

在租賃到期之前重複使用相同的 API 金鑰

如果您想在金鑰租約結束時使用 IAM 憑證，則可以使用 reuse_api_key 欄位。 如果設為 true，則密鑰會保留其現行服務 ID 及 API 金鑰值，並在每次讀取時重複使用它們，而該密鑰仍然有效。 例如，下列範例指令會建立 IAM 認證，可重複使用直到它們到期為止。

您可以使用 custom_metadata 和 version_custom_metadata 要求參數來儲存與組織需求相關的 meta 資料。 僅針對密鑰版本傳回 version_custom_metadata 的值。 密鑰的自訂 meta 資料會儲存為最多 50 個版本的所有其他 meta 資料，而且您不得包含機密資料。

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
      {
        "name": "example-iam-credentials-secret",
        "description": "Description of my IAM Credentials secret",
        "secret_type": "iam_credentials",
        "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
        "labels": [
          "dev",
          "us-south"
        ],
        "ttl": "30m",
        "access_groups": [
          "AccessGroupId-45884031-54be-4dd7-86ff-112511e92699",
          "AccessGroupId-8c0ed733-dfee-4a94-992b-e2247b86e2a2"
        ],
        "reuse_api_key": true,
        "custom_metadata": {
          "metadata_custom_key": "metadata_custom_value"
        },
        "version_custom_metadata": {
          "custom_version_key": "custom_version_value"
        }
      }' \
    "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

成功要求會傳回密鑰的 ID 值，以及其他 meta 資料。 在秘密的租期結束後，憑證會自動撤銷。 如需相關資訊，請參閱 API 參考資料。

如果 reuse_api_key 是 false for IAM 認證，則不支援手動輪換密鑰。 如需相關資訊，請參閱 手動輪替密鑰。

使用帳戶中的現有服務 ID

您可能已在帳戶中具有要用來動態產生 API 金鑰的服務 ID。 在此實務範例中，您可以選擇透過攜帶自己的服務 ID 來建立 IAM 認證密鑰。 例如，下列指令會使用 service_id 欄位來建立 IAM 認證。 要在特定的其他帳戶中建立它，請新增 account_id 欄位。

您可以使用 custom_metadata 和 version_custom_metadata 要求參數來儲存與組織需求相關的 meta 資料。 僅針對密鑰版本傳回 version_custom_metadata 的值。 密鑰的自訂 meta 資料會儲存為最多 50 個版本的所有其他 meta 資料，而且您不得包含機密資料。

您可以在控制台的 IAM 部分找到服務 ID 的 ID 值。 前往管理 > 存取 (IAM) > 服務 ID >名稱。 按一下詳細資料以檢視 ID。

curl -X POST
    -H "Authorization: Bearer {iam_token}" \
    -H "Accept: application/json" \
    -H "Content-Type: application/json" \
    -d '{
          "name": "example-iam-credentials-secret",
          "description": "Description of my IAM Credentials secret",
          "secret_type": "iam_credentials",
          "secret_group_id": "bfc0a4a9-3d58-4fda-945b-76756af516aa",
          "labels": [
            "dev",
            "us-south"
          ],
          "ttl": "30m",
          "service_id": "ServiceId-c0c7cfa4-b24e-4917-ad74-278f2fee5ba0,
          "reuse_api_key": false,
          "custom_metadata": {
            "metadata_custom_key": "metadata_custom_value"
          },
          "version_custom_metadata": {
            "custom_version_key": "custom_version_value"
          }
        }' \
  "https://{instance_ID}.{region}.secrets-manager.appdomain.cloud/api/v2/secrets"

成功要求會傳回密鑰的 ID 值，以及其他 meta 資料。 如需相關資訊，請參閱 API 參考資料。