Key Management Service:Creación de un punto de acceso de aplicación

Método 1: Creación rápida

1. Inicie sesión en la consola de Key Management Service. En la barra de navegación superior, seleccione una región. En el panel de navegación izquierdo, elija Application Access > Access Control (Formerly Access Point).

2. En la pestaña Application Access, haga clic en Create AAP. En el panel Create AAP, configure los parámetros.

   Parámetro	Descripción
   Mode	Seleccione Quick Creation.
   Scope (KMS Instance)	Seleccione la instancia de KMS a la que necesita acceder su aplicación.
   Application Access Point Name	Introduzca un nombre para el punto de acceso de aplicación.
   Authentication Method	Se establece en ClientKey y no se puede cambiar.
   Encryption Algorithm	Seleccione el algoritmo de cifrado que se usa para cifrar el ClientKey. Valores válidos: TripleDES-CBC y RC2-CBC (predeterminado). Nota RC2-CBC funciona en la mayoría de los entornos y es el recomendado. Si su entorno tiene requisitos de algoritmos más estrictos y no admite RC2-CBC, seleccione TripleDES-CBC.
   Default Permission Policy	El valor es key/ secret/ y no se puede cambiar. Esto significa que la aplicación puede acceder a todas las claves y secretos de la instancia de KMS especificada.

3. Haga clic en OK. El navegador descarga automáticamente el ClientKey. El ClientKey incluye los siguientes archivos:

   • Credential (ClientKeyContent): el nombre de archivo predeterminado es clientKey_****.json.

   • Contraseña de la credencial (ClientKeyPassword): el nombre de archivo predeterminado es clientKey_****_Password.txt.

Método 2: Creación estándar

1. Inicie sesión en la consola de Key Management Service. En la barra de navegación superior, seleccione una región. En el panel de navegación izquierdo, elija Application Access > Access Control (Formerly Access Point).

2. Cree una regla de acceso de red.

   Nota

   Si no necesita restringir el acceso según las direcciones IP de origen, no es necesario crear una regla de acceso de red. Sin embargo, para mayor seguridad, se recomienda configurar una.

   1. Haga clic en la pestaña Network Access Rules y luego haga clic en Create Network Access Rule.

   2. En el panel Create Network Access Rule, configure los parámetros y haga clic en OK.

      Parámetro	Descripción
      Rule Name	Introduzca un nombre para la regla de acceso de red.
      Network Type	Private: la aplicación utiliza un endpoint de instancia de KMS para acceder a claves y secretos. Public: la aplicación utiliza un endpoint de servicio de KMS (endpoint público) para acceder a secretos. VPC: la aplicación utiliza un endpoint de servicio de KMS (endpoint de VPC) para acceder a secretos. Esta opción solo está disponible en las regiones China (Hangzhou), China (Shanghai), China (Shenzhen) y China (Zhangjiakou). Nota Operaciones criptográficas: solo son compatibles cuando se usa el SDK de instancias de KMS para acceder a KMS mediante un endpoint de instancia de KMS. Esto requiere una regla de acceso de red con Network Type establecido en Private. Recuperación de valores de secretos: puede usar el SDK de instancias de KMS o el SDK de secretos. Se recomienda usar el SDK de secretos con una regla de acceso de red cuyo Network Type esté establecido en Private para lograr un QPS más alto y mayor seguridad. SDK de instancias de KMS: el tipo de red debe ser Private. La dirección IP de origen debe ser una dirección IP de la VPC asociada con la instancia de KMS. SDK de secretos: el tipo de red puede ser Private, Public o VPC.
      Allowed Source IP Addresses	En la mayoría de los casos, introduzca la dirección IP de su servidor de aplicaciones. La dirección IP debe corresponder al tipo de red seleccionado. Si el tipo de red es Private, introduzca una dirección IP de la VPC asociada con la instancia de KMS. Si el tipo de red es Public, introduzca una dirección IP pública. Si el tipo de red es VPC, introduzca un ID de VPC y una dirección IP de VPC.
      Description	Introduzca una descripción para la regla.

3. Cree una política de permisos.

   1. Haga clic en la pestaña Policies y luego haga clic en Create Policy.

   2. En el panel Create Policy, configure los parámetros y haga clic en OK.

      Parámetro	Descripción
      Policy Name	Introduzca un nombre para la política de permisos.
      Scope	Si seleccionó Private para Network Type al crear una regla de acceso de red, seleccione una instancia de KMS específica. Si seleccionó Public o VPC para Network Type, seleccione Shared KMS Gateway.
      RBAC Permissions	Si seleccionó una instancia de KMS específica para Scope: CryptoServiceKeyUser: permite usar las claves de la instancia de KMS. Este permiso admite las operaciones criptográficas de la API de la instancia. Para obtener más información, consulte Key-related operations. CryptoServiceSecretUser: permite usar los secretos de la instancia de KMS. Este permiso admite las operaciones relacionadas con secretos de la API de la instancia. Para obtener más información, consulte Secret-related operations. Si seleccionó Scope como Shared KMS Gateway: SecretUser: permite usar todos los secretos de la cuenta actual. Este permiso admite la operación openapi GetSecretValue.
      Accessible Resources	Seleccione las claves y los secretos a los que necesita acceder la aplicación. Importante Si selecciona varios secretos y la longitud total de sus nombres supera el límite, recibirá un error de "invalid parameter". En ese caso, use un comodín para especificar los secretos accesibles. Por ejemplo, si establece este parámetro en secret/rds-ibm*, la aplicación podrá acceder a todos los secretos cuyos nombres tengan el prefijo rds-ibm.
      Network Access Rules	Seleccione la regla de acceso de red que creó. Nota Si no necesita restringir el acceso según las direcciones IP de origen, no es necesario seleccionar una regla de acceso de red. Sin embargo, para mayor seguridad, se recomienda configurar una.
      Description	Introduzca una descripción para la política.

4. Cree el punto de acceso de aplicación.

   1. Haga clic en la pestaña Application Access y luego haga clic en Create AAP.

   2. En el panel Create AAP, configure los parámetros.

      Parámetro	Descripción
      Mode	Seleccione Standard Creation.
      Application Access Point Name	Introduzca un nombre para el punto de acceso de aplicación.
      Authentication Method	Métodos admitidos: ClientKey y RAMRole. En este tema se usa ClientKey como ejemplo.
      Encryption Algorithm	Seleccione el algoritmo de cifrado que se usa para cifrar el ClientKey. Valores válidos: TripleDES-CBC y RC2-CBC (predeterminado). Este parámetro es obligatorio y solo aparece cuando el método de autenticación se establece en ClientKey. Nota RC2-CBC funciona en la mayoría de los entornos y es el recomendado. Si su entorno tiene requisitos de algoritmos más estrictos y no admite RC2-CBC, seleccione TripleDES-CBC.
      Encryption Password	Contraseña para cifrar el ClientKey. Debe tener entre 8 y 64 caracteres e incluir caracteres de como mínimo dos de los siguientes tipos: dígitos, letras mayúsculas y minúsculas, y caracteres especiales ~!@#$%^&*?_-.
      Validity Period	Periodo de validez del ClientKey. Importante Se recomienda establecer el periodo de validez en un año para reducir el riesgo de filtración del ClientKey. Debe rotar el ClientKey antes de que caduque para evitar interrupciones del servicio. Para obtener más información, consulte Rotate a ClientKey.
      Policies	Seleccione la política de permisos que creó.
      Description	Introduzca una descripción para el punto de acceso de aplicación.

   3. Haga clic en OK. El navegador descarga automáticamente el ClientKey. El ClientKey incluye los siguientes archivos:

      • Credential (ClientKeyContent): el nombre de archivo predeterminado es clientKey_****.json.

      • Contraseña de la credencial (ClientKeyPassword): el nombre de archivo predeterminado es clientKey_****_Password.txt.

Obtener el certificado de CA de la instancia de KMS

Las instancias de KMS incluyen certificados SSL/TLS integrados y utilizan el protocolo HTTPS para la autenticación y la comunicación cifrada. Use el certificado de CA de la instancia para comprobar la validez del certificado SSL/TLS de dicha instancia. Esta comprobación verifica si el certificado lo emitió la CA correcta, si se encuentra dentro de su periodo de validez y si corresponde al endpoint de la instancia de KMS.

Obtener el endpoint de la instancia de KMS

1. En la página Instances, haga clic en la pestaña Software Key Management o Hardware Key Management y luego seleccione la instancia de KMS de destino.

2. Haga clic en el ID de la instancia para ir a la página de detalles y consulte Instance VPC Endpoint.

3. Para obtener el endpoint de la instancia de KMS, elimine https:// del valor de Instance VPC Endpoint.