Key Management Service:アクセス資格情報の作成

まず、ネットワークアクセスルールを作成します。

1. Network Access Rules タブに移動し、Create Network Access Rule をクリックします。

2. Create Network Access Rule パネルのフォームに入力し、[OK] をクリックします。

   設定アイテム	説明
   Rule Name	ネットワークアクセスルールの名前。 カスタム値を指定できます。
   Network Type	[プライベート] を選択します。
   Allowed Source IP Addresses	KMSインスタンスへのアクセスが許可されているIPアドレス。 アプリケーションサーバーのネットワークタイプに基づいて値を指定します。 プロキシサーバーを使用する場合は、プロキシサーバーのIPアドレスを入力します。
   説明	ネットワークアクセスルールの説明。

次に、権限ポリシーを作成します。

1. 権限ポリシー をクリックし、権限ポリシーの作成 をクリックします。

2. 権限ポリシーの作成 フォームに入力したら、[OK] をクリックします。

   設定アイテム	説明
   Policy Name	カスタム権限ポリシーの名前を指定します。
   スコープ	KMSインスタンスを選択します。
   RBAC の権限	CryptoServiceKeyUser: KMSインスタンスでキーを使用できます。 インスタンスAPIの暗号化操作インターフェイスをサポートします。 詳細については、「キーインターフェイス」をご参照ください。 CryptoServiceSecretUser: KMSインスタンスでシークレットを使用できます。 インスタンスAPIのシークレットインターフェイスをサポートします。 詳細については、「シークレットインターフェイス」をご参照ください。
   アクセス可能のリソース	アプリケーションがアクセスする必要があるキーとシークレット。 重要 複数のシークレットを選択し、シークレット名の長さの合計が制限を超えると、"Invalid Parameter" エラーが報告されます。 この場合、ワイルドカード文字を使用して、許可されるシークレットを設定します。 たとえば、secret/rds-ibm * として設定します。これは、プレフィックスがrds-ibmのシークレットが許可されていることを意味します。
   Network Access Rules	作成したネットワークアクセスルールを選択します。 説明 送信元IPアドレスに基づいてアクセスを制御する必要がない場合は、ネットワークアクセスルールを選択する必要はありません。 ただし、セキュリティ上の理由から、ネットワークアクセスルールを設定することを推奨します。
   説明	権限ポリシーの説明。

最後に、アプリケーションアクセスポイント (AAP) を作成します。

1. アプリケーションアクセス タブで、Create AAP をクリックします。

2. Create AAP フォームに入力します。

   設定アイテム	説明
   Mode	Standard Creation を選択します。
   Application Access Point Name	AAPの名前を入力します。
   Authentication Method	ClientKeyを選択します。
   Encryption Password	クライアントキーのパスワードを入力します。 8〜64文字、大文字と小文字の英字、および特殊文字をサポートする ~!@#$%^& *?_- 、少なくとも2つのタイプを含める必要があります。
   Validity Period	クライアントキーの有効期間を指定します。 重要 クライアントのキーリークのリスクを減らすために、値を1年に設定することを推奨します。 KMSへのアクセスを確保するには、クライアントキーの有効期限前にクライアントキーを変更する必要があります。 特定の操作については、「ClientKeyの置き換え」をご参照ください。
   権限ポリシー	作成した権限ポリシーを選択します。
   説明	AAPの説明を入力します。

3. [OK] をクリックします。 ブラウザは、作成されたクライアントキーを自動的にダウンロードします。

   クライアントキーには、Application Access Secret(ClientKeyContent) とPasswordが含まれます。 既定では、Application Access Secret(ClientKeyContent) は、名前がclientKey_****.json形式のファイルに保存されます。 デフォルトでは、Passwordは、名前がclientKey_****_Password.txt形式のファイルに保存されます。