Key Management Service:Criar um application access point

Método 1: Criação rápida

1. Acesse o Key Management Service console. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Application Access > Access Control (Formerly Access Point) .

2. Na aba Application Access, clique em Create AAP. No painel Create AAP, configure os parâmetros.

   Parâmetro	Descrição
   Mode	Selecione Quick Creation.
   Scope (KMS Instance)	Selecione a instância KMS que sua aplicação precisa acessar.
   Application Access Point Name	Insira um nome para o application access point.
   Authentication Method	Definido como ClientKey e não pode ser alterado.
   Encryption Algorithm	Selecione o algoritmo de criptografia usado para cifrar o ClientKey. Valores válidos: TripleDES-CBC e RC2-CBC (padrão). Nota RC2-CBC funciona na maioria dos ambientes e é o recomendado. Se o seu ambiente tiver requisitos de algoritmo mais rigorosos e não for compatível com RC2-CBC, selecione TripleDES-CBC.
   Default Permission Policy	O valor é key/ secret/ e não pode ser alterado. Isso significa que a aplicação pode acessar todas as chaves e secrets da instância KMS especificada.

3. Clique em OK. O navegador baixa automaticamente o ClientKey. O ClientKey inclui os seguintes arquivos:

   • Credential (ClientKeyContent): O nome de arquivo padrão é clientKey_****.json.

   • Credential password (ClientKeyPassword): O nome de arquivo padrão é clientKey_****_Password.txt.

Método 2: Criação padrão

1. Acesse o Key Management Service console. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Application Access > Access Control (Formerly Access Point) .

2. Crie uma regra de acesso à rede.

   Nota

   Se não for necessário restringir o acesso com base nos endereços IP de origem, a criação de uma regra de acesso à rede não é obrigatória. Ainda assim, para maior segurança, recomendamos configurar uma.

   1. Clique na aba Network Access Rules e, em seguida, clique em Create Network Access Rule.

   2. No painel Create Network Access Rule, configure os parâmetros e clique em OK.

      Parâmetro	Descrição
      Rule Name	Insira um nome para a regra de acesso à rede.
      Network Type	Private: A aplicação usa o endpoint de uma instância KMS para acessar chaves e secrets. Public: A aplicação usa um endpoint do serviço KMS (endpoint público) para acessar secrets. VPC: A aplicação usa um endpoint do serviço KMS (endpoint VPC) para acessar secrets. Esta opção está disponível apenas nas regiões China (Hangzhou), China (Shanghai), China (Shenzhen) e China (Zhangjiakou). Nota Operações criptográficas: suportadas apenas ao usar o SDK da instância KMS para acessar o KMS por meio de um endpoint de instância KMS. Isso exige uma regra de acesso à rede com o Network Type definido como Private. Recuperação de valores de secrets: utilize o SDK da instância KMS ou o SDK de secrets. Recomendamos usar o SDK de secrets com uma regra de acesso à rede cujo Network Type seja Private para obter maior QPS e melhor segurança. SDK da instância KMS: o tipo de rede deve ser Private. O endereço IP de origem deve pertencer à VPC associada à instância KMS. SDK de secrets: o tipo de rede pode ser Private, Public ou VPC.
      Allowed Source IP Addresses	Na maioria dos casos, insira o endereço IP do servidor da aplicação. O endereço IP deve corresponder ao tipo de rede selecionado. Se o tipo de rede for Private, insira um endereço IP pertencente à VPC associada à instância KMS. Se o tipo de rede for Public, insira um endereço IP público. Se o tipo de rede for VPC, insira um ID de VPC e um endereço IP de VPC.
      Description	Insira uma descrição para a regra.

3. Crie uma política de permissão.

   1. Clique na aba Policies e, em seguida, clique em Create Policy.

   2. No painel Create Policy, configure os parâmetros e clique em OK.

      Parâmetro	Descrição
      Policy Name	Insira um nome para a política de permissão.
      Scope	Se você selecionou Private em Network Type ao criar a regra de acesso à rede, selecione uma instância KMS específica. Se selecionou Public ou VPC em Network Type, selecione Shared KMS Gateway.
      RBAC Permissions	Se uma instância KMS específica for selecionada em Scope: CryptoServiceKeyUser: permite o uso de chaves na instância KMS. Essa permissão é compatível com as operações criptográficas da API da instância. Para mais informações, consulte Key-related operations. CryptoServiceSecretUser: permite o uso de secrets na instância KMS. Essa permissão é compatível com as operações relacionadas a secrets da API da instância. Para mais informações, consulte Secret-related operations. Se Scope estiver definido como Shared KMS Gateway: SecretUser: permite o uso de todos os secrets da conta atual. Essa permissão é compatível com a operação OpenAPI GetSecretValue.
      Accessible Resources	Selecione as chaves e os secrets que a aplicação precisa acessar. Importante Se você selecionar vários secrets e o comprimento total dos nomes exceder o limite, um erro "invalid parameter" será retornado. Nesse caso, use um caractere curinga para especificar os secrets acessíveis. Por exemplo, ao definir este parâmetro como secret/rds-ibm*, a aplicação poderá acessar todos os secrets cujos nomes tenham o prefixo rds-ibm.
      Network Access Rules	Selecione a regra de acesso à rede que você criou. Nota Se não for necessário restringir o acesso com base nos endereços IP de origem, a seleção de uma regra de acesso à rede não é obrigatória. Ainda assim, para maior segurança, recomendamos configurar uma.
      Description	Insira uma descrição para a política.

4. Crie o application access point.

   1. Clique na aba Application Access e, em seguida, clique em Create AAP.

   2. No painel Create AAP, configure os parâmetros.

      Parâmetro	Descrição
      Mode	Selecione Standard Creation.
      Application Access Point Name	Insira um nome para o application access point.
      Authentication Method	Métodos suportados: ClientKey e RAMRole. Este tópico usa ClientKey como exemplo.
      Encryption Algorithm	Selecione o algoritmo de criptografia usado para cifrar o ClientKey. Valores válidos: TripleDES-CBC e RC2-CBC (padrão). Este parâmetro é obrigatório e aparece apenas quando o método de autenticação está definido como ClientKey. Nota RC2-CBC funciona na maioria dos ambientes e é o recomendado. Se o seu ambiente tiver requisitos de algoritmo mais rigorosos e não for compatível com RC2-CBC, selecione TripleDES-CBC.
      Encryption Password	Uma senha para criptografar o ClientKey. A senha deve ter entre 8 e 64 caracteres e incluir pelo menos dois dos seguintes tipos: dígitos, letras maiúsculas e minúsculas, e caracteres especiais ~!@#$%^&*?_-.
      Validity Period	O período de validade do ClientKey. Importante Recomendamos definir o período de validade para um ano, a fim de reduzir o risco de vazamento do ClientKey. Faça a rotação do ClientKey antes do vencimento para evitar interrupções no serviço. Para mais informações, consulte Rotate a ClientKey.
      Policies	Selecione a política de permissão que você criou.
      Description	Insira uma descrição para o application access point.

   3. Clique em OK. O navegador baixa automaticamente o ClientKey. O ClientKey inclui os seguintes arquivos:

      • Credential (ClientKeyContent): O nome de arquivo padrão é clientKey_****.json.

      • Credential password (ClientKeyPassword): O nome de arquivo padrão é clientKey_****_Password.txt.

Obter o certificado CA da instância KMS

As instâncias KMS possuem certificados SSL/TLS integrados e usam o protocolo HTTPS para autenticação e comunicação cifrada. O certificado CA da instância serve para verificar a validade do certificado SSL/TLS da instância — confirmando se foi emitido pela CA correta, se está dentro do período de validade e se corresponde ao endpoint da instância KMS.

Obter o endpoint da instância KMS

1. Na página Instances, clique na aba Software Key Management ou Hardware Key Management e selecione a instância KMS de destino.

2. Clique no ID da instância para acessar a página de detalhes e visualize o Instance VPC Endpoint.

3. Para obter o endpoint da instância KMS, remova https:// do valor em Instance VPC Endpoint.