Creación de recursos compartidos de archivos con cifrado gestionado por el cliente en la consola

Siga este procedimiento para especificar el cifrado gestionado por el cliente al crear un recurso compartido de archivos.

1. En la consola IBM Cloud, vaya al ícono de menú > de infraestructura > Almacenamiento > Recursos compartidos de almacenamiento de archivos.

2. Pulse Crear.

3. Introduce la información que se describe en la Tabla 1.

1. La creación de objetivos de montaje es opcional. Puede omitir este paso si no desea crear un destino de montaje ahora. Sin embargo, usted necesita uno para montar su recurso compartido de archivos en un host de computación. Un archivo compartido puede tener varios destinos de montaje para que pueda acceder a él desde varias VPC. Puede crear un destino de montaje por cada VPC por cada compartición de archivos. Para crearla, haga clic en Crear. Defina el objetivo de montaje proporcionando la siguiente información:

   1. Proporcione un nombre de destino de montaje. El nombre puede tener hasta 63 caracteres alfanuméricos en minúsculas, incluyendo el guión (-), y debe comenzar con una letra minúscula. Más adelante puede editar el nombre si lo desea.
   2. Seleccione una VPC disponible. La lista incluye únicamente aquellas VPC que cuentan con una subred en la ubicación seleccionada. La selección de ubicación se hereda del recurso compartido de archivos (por ejemplo, us-south-2 ).
   3. Se genera una interfaz de red virtual por defecto. Puede personalizarlo haciendo clic en el icono Editar . Puede cambiar el nombre o la subred si dispone de varias subredes en la ubicación. También puede seleccionar una VNI existente para adjuntarla al destino de montaje. Se muestra la lista de VNIs disponibles en la VPC y su ubicación. Como las direcciones IP secundarias de las VNI adjuntas no se pueden aceptar como destino de montaje de recursos compartidos de archivos, se filtran de la lista.
   4. Pulse Siguiente.
   5. El cifrado en tránsito está desactivado por defecto para los recursos compartidos zonales, y está activado por defecto para los recursos compartidos regionales. Haz clic en el conmutador para cambiar el valor preestablecido. Para obtener más información sobre esta función, consulte Cifrado en tránsito: seguridad de las conexiones de montaje entre el recurso compartido de archivos y el host.
   6. A continuación, pulse Siguiente.
   7. Revise su selección y haga clic en Atrás para volver y actualizar sus opciones o haga clic en Crear.

2. Actualice los campos de la sección Cifrado en reposo.

   1. Seleccione el tipo de cifrado. Por defecto, todos los archivos compartidos se cifran mediante claves IBM. También puede optar por crear un cifrado de ensobrado para sus comparticiones con sus propias claves. Si desea utilizar sus propias teclas, seleccione una de las opciones " servicios de gestión de llaves: " Key Protect o " Hyper Protect Crypto Services.
   2. Especifique la clave localizándola por la instancia o por su CRN.
      • Si ha elegido la localización por instancia, seleccione una instancia en el menú Instancia del servicio de cifrado. A continuación, seleccione el nombre de la clave en la lista.
      • Si ha elegido la localización por CRN, introduzca el valor del CRN. Utilice esta opción cuando desee utilizar un CRN de una clave de otra cuenta, ya que no puede ver esa clave en el selector de instancias.

3. Cuando se especifique toda la información necesaria, pulse Crear compartición de archivos. Vuelve a la página File Storage for VPC, donde un mensaje indica que la compartición de archivos se está suministrando. Cuando se completa la transacción, el estado de compartición cambia a Activo.

Si ha creado su instancia de Key Protect o Hyper Protect Crypto Services utilizando un punto de acceso privado, las claves raíz creadas mediante esa instancia no se muestran en la consola. Debes utilizar la CLI o la API para acceder a esas claves raíz y utilizarlas.

Creación de comparticiones de archivos con cifrado gestionado por el cliente desde la CLI

Para poder utilizar la CLI, debe instalar la CLI de IBM Cloud y el plugin de la CLI de VPC. Para obtener más información, consulte los Requisitos previos de la CLI.

1. Recopile la información que necesita para suministrar una compartición, como un nombre exclusivo, una ubicación, la capacidad y las características de rendimiento que debe tener la compartición de archivos. Si está creando un destino de montaje con una interfaz de red virtual, utilice los mandatos de CLI adecuados para listar las subredes disponibles, las direcciones IP reservadas en una subred y los grupos de seguridad. Para obtener más información, consulte Recopilación de información desde la CLI.

2. Para el cifrado, recupere el ID del servicio de gestión de claves y el CRN de la clave raíz en ese servicio.

   1. Liste las instancias de KMS disponibles con el mandato ibmcloud resource service-instances.

      ibmcloud resource service-instances
   

   Retrieving instances with type service_instance in all resource groups in all locations under account Test Account as test.user@ibm.com...
   OK
   Name             Location   State    Type               Resource Group ID
   KeyProtect-ki    us-south   active   service_instance   db8e8d865a83e0aae03f25a492c5b39e
   schematics       us-south   active   service_instance   db8e8d865a83e0aae03f25a492c5b39e
   

   1. Utilice el mandato ibmcloud resource service-instance para obtener el ID de instancia. El ID es la última serie del CRN después del número de cuenta.

      ibmcloud resource service-instance KeyProtect-ki -location us-south --id
   

   Retrieving service instance KeyProtect-ki in all resource groups under account Test Account as test.user@ibm.com...
   crn:v1:bluemix:public:kms:us-south:a/a1234567:: 22e573bd-c02c-4d7f-81e2-2aa867da176d
   

   1. Utilice el ID del mandato ibmcloud kp keys para recuperar la información de clave.

      ibmcloud kp keys -c --instance-id 22e573bd-c02c-4d7f-81e2-2aa867da176d
   

   Targeting endpoint: https://qa.us-south.kms.cloud.ibm.com
   Retrieving keys...
   OK
   Key ID                                 Key Name      CRN
   2fb8d675-bde3-4780-b127-3d0b413631c1   my-file-key   crn:v1:bluemix:public:kms:us-south:a/a1234567:22e573bd-c02c-4d7f-81e2-2aa867da176d:key:2fb8d675-bde3-4780-b127-3d0b413631c1
   

   Si tiene previsto utilizar la clave de cifrado de otra cuenta, deberá realizar los pasos anteriores en la otra cuenta. No puedes listar los recursos de otra cuenta aunque estés autorizado a utilizarlos.

3. Si usted es un cliente con acceso especial para previsualizar el perfil regional de uso compartido de archivos, puede utilizar el perfil rfs para crear un uso compartido de archivos. Para poder crear y gestionar un recurso compartido de archivos regional desde la CLI, establezca la variable de entorno adecuada con el siguiente comando.

   export IBMCLOUD_IS_FEATURE_SHARE_DENALI_REGIONAL_AVAILABILITY=true
   

   La CLI devuelve las propiedades de "Protocolos de acceso permitidos", "Modo de disponibilidad", "Ancho de banda" y "Generación de almacenamiento" sólo cuando esta variable de entorno tiene el valor "true".

4. Especifique el mandato ibmcloud is share-create con la opción --encryption-key para crear una compartición de archivos con cifrado gestionado por el cliente. La opción encryption_key debe ir seguida de un CRN válido para la clave raíz en el servicio de gestión de claves. Si también desea habilitar el cifrado en tránsito, especifíquelo en el JSON de destino de montaje. Los grupos de seguridad que asocie a un destino de montaje deben permitir el acceso entrante para el protocolo TCP en el puerto NFS desde todos los servidores en los que desee montar el recurso compartido.

   • El ejemplo siguiente crea una compartición de archivos con cifrado gestionado por el cliente, modalidad de acceso de grupo de seguridad y un destino de montaje con una interfaz de red virtual. El cifrado en tránsito no está habilitado.

     ibmcloud is share-create --name my-encrypted-file-share --zone us-south-2 --profile dp2 --size 500 --iops 2000  --user-tags env:dev --encryption-key crn:v1:bluemix:public:kms:us-south:a/a1234567:key:2fb8d675-bde3-4780-b127-3d0b413631c1 --mount-targets '[{"name":"my-new-mount-target","virtual_network_interface": {"name":"my-vni-2","subnet": {"id":"r006-298acd6c-e71e-4204-a04f-fe4a4dd89805"},"security_groups":[{"id":"r006-7f369ca2-ca49-4053-b007-5cab79b9873b"}]}}]'
     

     Creating file share my-encrypted-file-share under account Test Account as user test.user@ibm.com...
     ID                           r006-d44298fe-aced-4f55-a690-8a3830e9fd90
     Name                         my-encrypted-file-share
     CRN                          crn:v1:bluemix:public:is:us-south-2:a/a1234567::share:r006-d44298fe-aced-4f55-a690-8a3830e9fd90
     Lifecycle state              pending
     Access control mode          security_group
     Accessor binding role        none
     Zone                         us-south-2
     Profile                      dp2
     Size(GB)                     500
     IOPS                         2000
     User Tags                    env:dev
     Encryption                   user_managed
     Mount Targets                ID                                          Name
                                  r006-00432317-436e-4940-ab7d-8b26c186b00f   my-new-mount-target
     Resource group               ID                                 Name
                                  db8e8d865a83e0aae03f25a492c5b39e   Default
     Created                      2023-10-19T21:16:27+00:00
     Encryption key               crn:v1:bluemix:public:kms:us-south:a/a1234567:key:2fb8d675-bde3-4780-b127-3d0b413631c1
     Replication role             none
     Replication status           none
     Replication status reasons   Status code   Status message
                                  -             -
     Snapshot count               10
     Snapshot size                10
     Source snapshot              -
     

     ibmcloud is share-mount-targets my-encrypted-file-share
     

     Listing share mount target of my-encrypted-file-share in all resource groups and region us-south under account Test Account as user test.user@ibm.com...
     ID                                          Name                  VPC      Lifecycle state   Transit Encryption
     r006-00432317-436e-4940-ab7d-8b26c186b00f   my-new-mount-target   my-vpc   stable            none
     

   • El ejemplo siguiente crea una compartición de archivos con cifrado gestionado por el cliente, modalidad de acceso de grupo de seguridad y un destino de montaje con una interfaz de red virtual y cifrado en tránsito habilitado.

      ibmcloud is share-create --name my-encrypted-eit-file-share --zone us-south-2 --profile dp2 --size 500 --iops 2000  --user-tags env:dev --encryption_key crn:v1:bluemix:public::kms:us-south:a/a1234567:key:2fb8d675-bde3-4780-b127-3d0b413631c1 --mount-targets '[{"name":"my-new-mount-target","transit_encryption": "user_managed","virtual_network_interface": {"name":"my-vni-3","subnet": {"id":"r006-298acd6c-e71e-4204-a04f-fe4a4dd89805"},"security_groups":[{"id":"r006-7f369ca2-ca49-4053-b007-5cab79b9873b"}]}}]'
   

   La respuesta es similar al siguiente ejemplo.

   Creating file share my-encrypted-eit-file-share under account Test Account as user test.user@ibm.com...
   ID                           r006-f6bf049e-f46c-4160-b548-4a36d27256ac
   Name                         my-encrypted-eit-file-share
   CRN                          crn:v1:bluemix:public::is:us-south-2:a/a1234567::share:r006-f6bf049e-f46c-4160-b548-4a36d27256ac
   Lifecycle state              pending
   Access control mode          security_group
   Accessor binding role        none
   Zone                         us-south-2
   Profile                      dp2
   Size(GB)                     500
   IOPS                         2000
   User Tags                    env:dev
   Encryption                   user_managed
   Mount Targets                ID                                          Name
                                r006-e6bd52b8-c656-4ba6-8749-1bb41bfa2c3c   my-new-mount-target
   Resource group               ID                                 Name
                                db8e8d865a83e0aae03f25a492c5b39e   Default
   Created                      2023-10-20T03:05:38+00:00
   Encryption key               crn:v1:bluemix:public:kms:us-south:a/a1234567-c02c-4d7f-81e2-2aa867da176d:key:2fb8d675-bde3-4780-b127-3d0b413631c1
   Replication role             none
   Replication status           none
   Replication status reasons   Status code   Status message
                                -             -
   Snapshot count               0
   Snapshot size                0
   Source snapshot              -
   

   ibmcloud is share-mount-targets my-encrypted-eit-file-share
   

   La respuesta es similar al siguiente ejemplo.

   Listing share mount target of my-encrypted-eit-file-share in all resource groups and region us-south under account Test Account as user test.user@ibm.com...
   ID                                          Name                  VPC      Lifecycle state   Transit Encryption
   r006-e6bd52b8-c656-4ba6-8749-1bb41bfa2c3c   my-new-mount-target   my-vpc   stable            user_managed
   

   • El siguiente ejemplo crea un recurso compartido de archivos regional con cifrado gestionado por el cliente, modo de acceso de grupo de seguridad y cifrado en tránsito activado.

      ibmcloud is share-create --name my-regional-file-share --profile rfs --size 40 --bandwidth 800 --atem stunnel,none --encryption-key crn:v1:bluemix:public::kms:us-south:a/a1234567:key:2fb8d675-bde3-4780-b127-3d0b413631c1
   

   La respuesta es similar al siguiente ejemplo.

   Creating file share my-file-share1 under account Test Account as user test.user@ibm.com...
   ID                                 r006-9ae55188-610e-4cf9-9350-d0b675026ff8
   Name                               my-regional-file-share
   CRN                                crn:v1:bluemix:public:is:us-south:a/a1234567::share:r006-9ae55188-610e-4cf9-9350-d0b675026ff8
   Lifecycle state                    pending
   Access control mode                security_group
   Accessor binding role              none
   Allowed transit encryption modes   stunnel,none
   Zone                               -
   Profile                            rfs
   Size(GB)                           40
   IOPS                               35000
   Encryption                         user_managed
   Mount Targets                      ID                          Name
                                      No mounted targets found.
   Resource group                     ID                                 Name
                                      11caaa983d9c4beb82690daab08717e9   Default
   Created                            2025-09-22T21:17:23+05:30
   Encryption key                     crn:v1:bluemix:public:kms:us-south:a/a1234567-c02c-4d7f-81e2-2aa867da176d:key:2fb8d675-bde3-4780-b127-3d0b413631c1
   Replication role                   none
   Replication status                 none
   Replication status reasons         Status code   Status message
                                      -             -
   Snapshot count                     0
   Snapshot size                      0
   Source snapshot                    -
   Allowed Access Protocols           nsf4
   Availability Mode                  regional
   Bandwidth(Mbps)                    800
   Storage Generation                 2
   

Para obtener más información sobre las opciones de mandato, consulte ibmcloud is share-create.

Creación de comparticiones de archivos con cifrado gestionado por el cliente con la API

Puede crear comparticiones de archivos con cifrado gestionado por el cliente invocando el API de Virtual Private Cloud (VPC).

Realice una solicitud POST /shares y especifique el parámetro encryption_key para identificar la clave raíz de cliente (CRK). Se muestra en el ejemplo como crn:[...key:...].

Debe proporcionar el parámetro generation y especificar generation=2. Para obtener más información, consulte Generación en la Referencia de API de Virtual Private Cloud.

El siguiente ejemplo crea un recurso compartido de archivos zonal con un destino de montaje y especifica el CRN de la clave raíz para el cifrado gestionado por el cliente.

curl -X POST \
"$vpc_api_endpoint/v1/shares?version=2024-11-05&generation=2" -H "Authorization: Bearer $iam_token" \
-d '{
     "name": "my-encrypted-share",
     "mount_targets": [
         {
           "name": "docs-mount-1",
           "virtual_network_interface": {
             "name": "my-virtual-network-interface-1",
             "allow_ip_spoofing": false,
             "auto_delete": true,
             "enable_infrastructure_nat": true,
             "primary_ip": {"auto_delete": true},
             "subnet": {"id": "0727-267015ac-7b12-4f62-bda9-52fcb9483fc4"},
             "ips": [],
             "security_groups": [{"id": "r006-bf9475c2-6846-4c39-b392-587643b2e2f8"}],
             "protocol_state_filtering_mode": "auto"
          },
          "transit_encryption": "none"
         }
       ],
     "profile": {"name": "dp2"},
     "size": 100,
     "zone": {"name": "us-south-2"},
     "iops": 3000,
     "allowed_transit_encryption_modes": ["none","user_managed"],
     "encryption_key": {"crn": "crn:v1:bluemix:public:kms:us-south:a/a1234567-c02c-4d7f-81e2-2aa867da176d:key:2fb8d675-bde3-4780-b127-3d0b413631c1"},
     "resource_group": {"id": "db00a952a88945a987b7be1980fdae8e"},
     "access_control_mode": "security_group"
   }'

El siguiente ejemplo crea un recurso compartido de archivos regional sin un destino de montaje y especifica el CRN de la clave raíz para el cifrado gestionado por el cliente.

curl -X POST \
"$vpc_api_endpoint/v1/shares?version=2025-09-02&generation=2" -H "Authorization: Bearer $iam_token" \
-d '{
     "name": "my-encrypted-regional-share",
     "profile": {"name": "rfs"},
     "size": 1000,
     "bandwidth": 800,
     "allowed_transit_encryption_modes": ["none","stunnel"],
     "encryption_key": {"crn": "crn:v1:bluemix:public:kms:us-south:a/a1234567-c02c-4d7f-81e2-2aa867da176d:key:2fb8d675-bde3-4780-b127-3d0b413631c1"},
     "resource_group": {"id": "db00a952a88945a987b7be1980fdae8e"},
     "access_control_mode": "security_group"
   }'

También puede especificar el CRN de una clave raíz de una cuenta diferente en la llamada POST /shares. Si quieres hacerlo, ponte en contacto con el administrador de la otra cuenta para asegurarte de que existen las autorizaciones de servicio a servicio y para obtener el CRN de la clave de cifrado.

Creación de recursos compartidos de archivos con cifrado gestionado por el cliente mediante Terraform

Para crear una compartición de archivos, utilice el recurso ibm_is_share. El siguiente ejemplo crea un recurso compartido de archivos zonal con una capacidad de 800 GiB y el perfil de rendimiento dp2. La compartición de archivos se cifra utilizando una clave identificada por su CRN. El ejemplo también especifica un nuevo destino de montaje con una interfaz de red virtual.

resource "ibm_is_share" "share4" {
   zone                = "us-south-2"
   size                = "800"
   iops                = "3000"
   name                = "my-share4"
   profile             = "dp2"
   encryption_key      = "crn:v1:bluemix:public:kms:us-south:a/a1234567:key:2fb8d675-bde3-4780-b127-3d0b413631c1"
   access_control_mode = "security_group"
   mount_target {
       name = "target"
       security_groups = [<security_group_ids>]
       virtual_network_interface {
         primary_ip {
           address     = "10.240.64.5"
           auto_delete = true
           name        = "my-example-pip"
         }
       }
   }
}

El siguiente ejemplo crea un recurso compartido de archivos regional con una capacidad de 1000 GiB y el perfil de rendimiento rfs. La compartición de archivos se cifra utilizando una clave identificada por su CRN.

resource "ibm_is_share" "regional-share" {
   size                = "1000"
   name                = "my-regional-share"
   profile             = "rfs"
   bandwidth           = "800"
   encryption_key      = "crn:v1:bluemix:public:kms:us-south:a/a1234567:key:2fb8d675-bde3-4780-b127-3d0b413631c1"
   access_control_mode = "security_group"
   }

Para obtener más información sobre los argumentos y atributos, consulte ibm_is_share.