ベアメタルサーバー上の IBM Cloud® Virtual Private Cloud (VPC) メタデータについて
ベアメタルサーバー上の IBM Cloud® Virtual Private Cloud （VPC）メタデータサービスは、ベアメタルサーバー内のREST APIを通じて呼び出すことで、ベアメタルサーバーのIDトークンやID証明書を取得できる無料のサービスです。
ベアメタルサーバーの外部からは、APIにアクセスできません。 メタデータにアクセスする前に、ベアメタルサーバーのIDアクセストークンを生成する必要があります。 ベアメタルサーバーの ID トークンを使って、オプションで IAM トークンを取得することができます。 REST API については、 VPC Identity API ドキュメントを参照。
メタデータ・サービスの概念
ベアメタルサーバーに関するメタデータにプログラムでアクセスし、それを使って新しいベアメタルサーバーを初期化することができる。 APIサービスによって提供されるメタデータは、リクエストが送信されたベアメタルサーバーにのみ関連するものです。 ベアメタルサーバー内のメタデータサービスを使用して、別のベアメタルサーバーに関する情報を取得したり、現在ベアメタルサーバーに関連付けられていないリソースに関する情報を取得したりすることはできません。
アクセスできるメタデータは、ベアメタルサーバーの ID トークンとベアメタルサーバーの ID 証明書である。 デフォルトでは、メタデータ・サービスは無効になっています。 VPC API、CLI、またはコンソールから、すべてのベアメタルサーバーのメタデータサービスを有効にできます。
ベアメタルサーバーIDトークンサービス
ベアメタルサーバーIDトークンサービスを使用して、VPCメタデータサービスにアクセスするためのJSONウェブトークンを取得できます。 IBM Cloud のその他のIAM対応サービスにアクセスするには、ベアメタルサーバーのIDトークンからIAMトークンを生成することができます。 たとえば、ベアメタルサーバーを起動する際には、データベースサーバーを設定するために、 IBM Cloud Database を呼び出す必要がある場合があります。
ベアメタルサーバーアイデンティティトークンサービスを使用すると、メタデータサービスにアクセスするためのベアメタルサーバーアイデンティティアクセストークンを生成できます。 セキュアな通信が有効になっている場合は、 http://api.metadata.cloud.ibm.com/identity/v1/token、または https://api.metadata.cloud.ibm.com/identity/v1/token。
このエンドポイントは、ベアメタルサーバー内で実行されているすべてのコマンド、プロセス、ソフトウェアアプリケーションにアクセスできる。 APIエンドポイントへのアクセスは、ベアメタルサーバー以外では利用できない。
メタデータサービスを呼び出すときは、ベアメタルサーバーの ID アクセストークンを使用します。 トークンは有効期限が切れるまで有効で、デフォルトでは5分間です。 詳細については、「 ベアメタルサーバーのIDアクセストークンを取得する 」を参照してください
また、ベアメタルサーバーのIDアクセストークンからIAMトークンを生成することもできます。 この IAM トークンは、ベアメタルサーバーにリンクされている IAM 信頼済みプロファイルのアクセス権とポリシー設定に基づく、すべての IAM 対応サービスにアクセスするために使用できる。 IAMトークンサービスのデフォルト設定に基づき、独自の有効期限が設定されています。 ベアメタルサーバーのIDアクセストークンからIAMトークンを生成する。
コンピュート・リソース ID
IAM を利用すれば、 コンピュートリソース ID を作成してベアメタルサーバーへのアクセス権を割り当て、その ID を使用している「 IBM 」対応サービスへのアクセス権を設定することもできます。
コンピュートリソースアイデンティティサービスは、ベアメタルサーバーが IBM Cloud Object Storage や IBM Key Protect for IBM Cloud などのIAM対応サービスを呼び出せるように、アクセス権を割り当てることができる信頼されたプロファイルを作成します。 ベアメタルサーバー内に信頼済みプロファイルを作成する。 信頼済みプロファイルは、ベアメタルサーバー上で実行されるすべてのアプリケーションの承認を定義する。
データ・セキュリティー
IBM お客様のデータを安全に保つための予防措置を講じます。 ベアメタルサーバー ID トークンサービスは、アクセス権を持つベアメタルサーバーからのみ取得されます。 複数のベアメタルサーバーに共通するデータは取得されるが、他のベアメタルサーバーの特定のIPアドレスは公開されない。
ベアメタルサーバー ID トークンサービスのデフォルトプロトコルは HTTP です。 ベアメタルサーバーのIDトークンサービスへの呼び出しは、その発信元であるコンピュートホストを離れる前にセキュアに行われる。 データは、コンピュート・ホストを離れる前に、安全なプロトコルを使ってラップされる。 ベアメタルサーバーIDトークンサービスへの最初の呼び出しは、 HTTP 接続を介して行われる。 この呼び出しの目的は、ベアメタルサーバーのIDトークンサービスにアクセスするためのIDトークンを取得することである。 これらのサービスでは、既知の URL を使用します。 非セキュアな接続が表示されますが、VPC コンピュートサービスはトークンとベアメタルサーバーの ID トークンサービスをセキュアにするために特別なアクションを実行します。
ベアメタルサーバの ID トークンサービスは、 HTTP Secure プロトコル（ HTTPS ）を使用するように構成することもできる。 詳細については、 UIを使用して安全なアクセスを有効にするを 参照してください。
ベアメタルサーバーの ID トークンサービスは、機密データを対象としていない。 このサービスエンドポイントは、ベアメタルサーバー上のすべてのプロセスからアクセス可能です。 このサービスを通じて公開される情報は、ベアメタルサーバー内で実行されているすべてのアプリケーションの共有情報とみなされる。
追加のセキュリティ対策の詳細については、 ベアメタルサーバー用メタデータサービスのセキュリティベストプラクティスを 参照してください。