Utilizzare il Secret Manager con l'API REST

Obiettivo

L'obiettivo di questa guida è presentare l'utilizzo dell'API REST per il Secret Manager.

Prerequisiti

• Un account cliente OVHcloud.
• Avere ordinato un dominio OKMS o creato un primo secret.
• Avere configurato un metodo di autenticazione per il piano dati OKMS.

Procedura

Descrizione

Il Secret Manager è un prodotto che consente di memorizzare in modo sicuro le credenziali, le chiavi API, le chiavi SSH o qualsiasi altro tipo di secret necessario al funzionamento delle tue applicazioni.

Un secret è una raccolta di una o più coppie chiave-valore raggruppate all'interno di una versione. Ogni modifica di un secret comporta la creazione di una nuova versione di tale secret, permettendo di risalire nella cronologia delle modifiche del secret.

Le API REST sono uno dei due set di API offerti dal Secret Manager, insieme alle API compatibili con HashiCorp Vault KV2. Sono progettate per essere simili all'insieme delle API OVHcloud e alle API OKMS per il Key Management Service.

Le API REST possono essere utilizzate tramite le API centralizzate OVHcloud oppure direttamente sul dominio OKMS nella regione. L'unica differenza risiede nel percorso API esatto:

• API centralizzata OVHcloud: /v2/okms/resource/{okmsId}/secret/{path}
• API regionalizzata OKMS: /api/{okmsId}/v2/secret/{path}

Questa documentazione si concentrerà sulle API del dominio OKMS nella regione.

Comunicare con il dominio OKMS

La comunicazione con il dominio OKMS per le azioni di cifratura e firma è disponibile tramite l'API.

Poiché il dominio OKMS è regionalizzato, l'accesso all'API avviene direttamente nella sua regione: https://my-region.okms.ovh.net.

Ad esempio, per un dominio OKMS creato nella regione eu-west-rbx: https://eu-west-rbx.okms.ovh.net.

È possibile comunicare con il dominio OKMS utilizzando:

• L'interfaccia utente Swagger
• La CLI OKMS: https://github.com/ovh/okms-cli
• L'SDK Golang: https://pkg.go.dev/github.com/ovh/okms-sdk-go

Autenticati tramite un token di accesso personale, un account di servizio o un certificato di accesso. Per l'utilizzo dell'API REST, è consigliato un token di accesso personale (PAT) o un account di servizio.

Per testare le chiamate API in modo interattivo, utilizza l'interfaccia Swagger OKMS all'indirizzo https://<region>.okms.ovh.net/swagger/.

Creare un secret

Per creare un secret, puoi utilizzare la seguente API:

L'API si aspetta i seguenti valori:

Ad esempio:

{
  "metadata": {
    "cas_required": true,
    "custom_metadata": {
      "project": "A",
      "team": "X"
    },
    "deactivate_version_after": "10h30m10s",
    "max_versions": 5
  },
  "path": "prod/database/MySQL",
  "version": {
    "data": {
      "login": "admin",
      "password": "my_secret_password",
      "address": {
        "ip": "1.1.1.1"
      },
      "ports": [
        "30",
        "31"
      ]
    }
  }
}

Gestire i secret

Aggiornare i metadati e la configurazione

Una volta creato il secret, è possibile aggiornare i metadati del secret o la sua configurazione.

L'API si aspetta i seguenti valori:

È inoltre possibile modificare la configurazione predefinita del dominio OKMS per i valori cas_required, deactivate_version_after e max_versions tramite l'API:

Creare una nuova versione

È inoltre possibile modificare il contenuto del secret, il che comporta la creazione di una nuova versione per tale secret. Le nuove versioni possono essere create tramite l'API:

Che la modifica dei data del secret avvenga tramite l'API generale di aggiornamento del secret o tramite l'API specifica, viene creata una nuova versione del secret.

Un secret può contenere tutte le versioni desiderate, entro il limite massimo del parametro max_versions. Se viene raggiunto il numero massimo di versioni, la versione più vecchia viene eliminata automaticamente.

Gestire le versioni

È possibile gestire le diverse versioni del secret tramite l'API:

L'API si aspetta l'unico valore:

Per saperne di più

Metodi di autenticazione OKMS

Contatta la nostra Community di utenti.