ランディング・ゾーンのデプロイ可能アーキテクチャーの計画

ランディング・ゾーンのデプロイ可能アーキテクチャーのデプロイメントを開始する前に、前提条件を理解して満たしていることを確認してください。

IBM Cloud の設定を確認します。

VPC landing zone のデプロイ可能アーキテクチャーをデプロイする前に、以下の手順を実行します。

IBM Cloud アカウントを確認またはセットアップします。

IBM Cloud従量課金またはサブスクリプションのアカウントを持っていることを確認してください：
- IBM Cloudアカウントを持っていない場合は、作成してください。
- トライアル・アカウントまたはライト・アカウントを持っている場合は、アカウントをアップグレードします。
IBM Cloud アカウントを構成します。
1. アカウントのセットアップに使用した IBMid を使用して、 IBM Cloud にログインします。この IBMid ユーザーはアカウント所有者であり、IAM の全アクセス権限を持っています。
2. 会社のプロファイルとアカウントの連絡先情報を入力します。このプロファイルは、 IBM Cloud Financial Services プロファイルに準拠している必要があります。
3. ご使用のアカウントに対して Financial Services 検証済みオプションを有効にします。
4. サポート Case を作成して、VRF (Virtual Routing and Forwarding) とサービス・エンドポイントを有効にします。 VRF およびサービス・エンドポイントの有効化の手順に従ってください。

IAM 許可の設定

アカウント・アクセス (Cloud Identity and Access Management (IAM)) をセットアップします。
1. IBM Cloud API キーを作成します。このキーを所有するユーザーには、管理者ロールが必要です。
  
  サービス ID API キーは、デプロイ可能アーキテクチャーの Red Hat OpenShift Container Platform on VPC landing zone ではサポートされません。
2. IBM Cloud Framework for Financial Servicesへの準拠: 多要素認証(MFA) を使用するようにアカウント内のユーザーに要求します。
3. アクセス・グループをセットアップします。
  
  IBM Cloud リソースへのユーザー・アクセスは、アクセス・グループに割り当てられたアクセス・ポリシーを使用して制御されます。 IBM Cloud 金融サービス検証では、 IBM Cloud リソースへの直接 IAM アクセス権限を割り当てないでください。
  
  グループにアクセス権限を割り当てる場合は、 「すべての ID およびアクセス対応サービス」 を選択します。

アクセス役割の確認

このデプロイ可能アーキテクチャーをインストールし、必要なすべてのエレメントを作成するには、IAM アクセス役割が必要です。

このデプロイ可能アーキテクチャーには、以下の権限が必要です。

IBM Cloud カタログからサービスを作成します。
この VPC の IBM Cloud VPC サービス、仮想サーバー・インスタンス、ネットワーク、ネットワーク接頭部、ストレージ・ボリューム、SSH 鍵、およびセキュリティー・グループを作成および変更します。
IBM Cloud の直接リンクと IBM Cloud Transit Gatewayを作成および変更します。
既存の Object Storage サービスにアクセスします。

許可の構成については、 IBM Cloud アカウント管理者にお問い合わせください。

IBM Cloud プロジェクトのアクセス

IBM Cloud プロジェクトをデプロイメント・オプションとして使用できます。プロジェクトは、コードとしてのインフラストラクチャーとコンプライアンスを考慮して設計されており、プロジェクトが管理され、セキュアで、常に準拠していることを保証します。詳しくは、プロジェクトを使用した IaC デプロイメントについてを参照してください。

プロジェクトを作成し、アカウント内にプロジェクト・ツール・リソースを作成するには、以下のアクセス権限が必要です。以下のアクセス権限があることを確認してください。

プロジェクト・サービスに対するエディターの役割。
Schematics サービスに対するエディターとマネージャーの役割
プロジェクトのリソース・グループに対するビューアー役割

詳しくは、プロジェクトへのユーザー・アクセス権限の割り当てを参照してください。

SSH 鍵の作成

認証に使用できる SSH 鍵があることを確認してください。この鍵は、作成したすべての仮想サーバー・インスタンスにログインするために使用されます。 SSH 鍵の作成について詳しくは、 SSH 鍵を参照してください。

(オプション) IBM Cloud Hyper Protect Crypto Services をセットアップします。

鍵管理サービスの場合、 IBM Cloud Object Storageの代わりに IBM Cloud Hyper Protect Crypto Services を使用できます。 Hyper Protect Crypto Services は、 IBM Cloud に基づく専用の鍵管理サービスおよびハードウェア・セキュリティー・モジュールであり、独自の鍵の保持 (KYOK) 機能を有効にします。

Hyper Protect Crypto Servicesを使用することで、デプロイ可能アーキテクチャーは以下のコントロールの要件を満たします。

詳しくは、 IBM Cloud for Financial Services の VPC リファレンス・アーキテクチャーのセキュリティー情報を参照してください。

既存のデプロイ可能アーキテクチャーを Key Protect から Hyper Protect Crypto Servicesに更新することはできません。別のデプロイ可能アーキテクチャーを作成してデプロイする必要があります。

Hyper Protect Crypto Services サービスのプロビジョニングと初期化

このデプロイ可能アーキテクチャーをデプロイする前に、 Hyper Protect Crypto Services サービスのインスタンスが必要です。

Hyper Protect Crypto Servicesを指定するには、2つの方法があります：
- IBM Cloud Hyper Protect Crypto Services Terraform モジュールを使用します。
- インスタンスを直接作成して初期化する。
  1. (オプション) インスタンスのリソース・グループを作成します。
  2. Hyper Protect Crypto Services の詳細ページで、プランを選択します。
  3. 必要事項を記入し、作成をクリックします。
Hyper Protect Crypto Servicesを初期化します。
- IBM Cloud Hyper Protect Crypto Services モジュールを使用した場合は、モジュール README ファイルの手順に従います。
- インスタンスを直接作成した場合は、 Getting started with IBM Cloud Hyper Protect Crypto Services の手順に従います。
技術検証環境の場合は、 auto-init フラグを使用します。詳しくは、リカバリー暗号装置を使用したサービス・インスタンスの初期化を参照してください。
デプロイ可能なアーキテクチャを設定するときは、hs_crypto_resource_group 入力変数でリソースグループを指定し、hs_crypto_instance_name 変数でインスタンス名を指定します。これらの変数に値を与えない場合、デフォルトのKey Protect 暗号化が使われます。