Metody uwierzytelniania OKMS

Wprowadzenie

Ten przewodnik wyjaśnia, jak uwierzytelnić się w płaszczyźnie danych OKMS — regionalnym API REST udostępnianym w Twojej domenie OKMS (na przykład https://eu-west-rbx.okms.ovh.net). To API jest współdzielone przez Key Management Service (KMS) i Secret Manager.

Dla API REST dostępne są trzy metody uwierzytelniania. Integracje KMIP obsługują wyłącznie certyfikaty dostępu — zalecamy zarezerwowanie certyfikatów dla przypadków użycia KMIP, ponieważ ich konfiguracja jest bardziej złożona niż konfiguracja tokenów.

Wymagania początkowe

• Konto klienta OVHcloud.
• Domena OKMS w docelowym regionie (utworzona podczas zamawiania KMS lub aktywacji Secret Manager w tym regionie).

W praktyce

Zrozumienie płaszczyzny danych OKMS

Płaszczyzna danych OKMS to regionalny punkt końcowy API dla operacji kryptograficznych (KMS) i przechowywania sekretów (Secret Manager). Różni się ona od scentralizowanej płaszczyzny kontrolnej API OVHcloud (/v2/okms/...), która zarządza udostępnianiem i konfiguracją domen OKMS.

Z płaszczyzną danych możesz wchodzić w interakcję za pośrednictwem ujednoliconego interfejsu Swagger pod adresem https://<region>.okms.ovh.net/swagger/, CLI OKMS lub SDK Go.

Wybór metody uwierzytelniania

Konfiguracja uwierzytelniania

curl -H "Authorization: Bearer <your_pat>" \
  https://eu-west-rbx.okms.ovh.net/v1/servicekey

curl -H "Authorization: Bearer <access_token>" \
  https://eu-west-rbx.okms.ovh.net/v1/servicekey

Korzystanie z interfejsu Swagger OKMS

Domena OKMS udostępnia ujednolicony interfejs Swagger pod adresem https://<region>.okms.ovh.net/swagger/. Na przykład dla domeny w eu-west-rbx: https://eu-west-rbx.okms.ovh.net/swagger/.

Możesz ją również otworzyć z poziomu linku Swagger na panelu Twojej domeny OKMS.

Interfejs Swagger obsługuje wszystkie trzy metody uwierzytelniania API REST. Wykonaj kroki konfiguracji dla wybranej metody, w tym wymaganą politykę IAM, przed wykonaniem żądań.

Token dostępu osobistego

1. Kliknij przycisk Authorize (ikona kłódki) w interfejsie Swagger.
2. W sekcji personalAccessToken (HTTP Bearer, format JWT) wklej PAT utworzony dla użytkownika lokalnego.
3. Kliknij Authorize, a następnie Close.

Swagger wysyła Twój token w nagłówku Authorization: Bearer <token> przy każdym wykonywanym żądaniu.

Konto serwisowe

1. Kliknij przycisk Authorize w interfejsie Swagger.
2. W sekcji oAuth2ClientCredentials wprowadź client_id i client_secret swojego konta serwisowego. Zapoznaj się z przewodnikiem Jak używać kont serwisowych do łączenia się z interfejsami API OVHcloud, aby uzyskać te dane uwierzytelniające.
3. Swagger uzyskuje token dostępu OAuth2 za pomocą przepływu client-credentials i dołącza go do kolejnych żądań.

Certyfikat dostępu

Uwierzytelnianie za pomocą certyfikatu dostępu wykorzystuje wzajemny TLS (mTLS) na poziomie transportu. Certyfikat jest przedstawiany przez Twoją przeglądarkę podczas łączenia się z adresem URL Swagger — nie konfiguruje się go w oknie dialogowym Authorize.

Importowanie certyfikatu do przeglądarki

Przekonwertuj swój certyfikat OKMS i klucz prywatny do formatu PKCS#12 (zakładając pliki o nazwach ID_certificate.pem i ID_privatekey.pem):

openssl pkcs12 -export -in ID_certificate.pem -inkey ID_privatekey.pem -out client.p12

Zostaniesz poproszony o ustawienie hasła dla zaszyfrowanego pliku. Zaimportuj client.p12 do swojej przeglądarki:

W przeglądarce Firefox

• Wpisz about:preferences#privacy w pasku adresu.
• Przewiń w dół do sekcji Certyfikaty.

• Kliknij Wyświetl certyfikaty..., otwórz kartę Twoje certyfikaty, a następnie Zaimportuj... i wybierz plik client.p12.
• Wprowadź hasło PKCS#12, gdy pojawi się monit.

W przeglądarce Chrome/Chromium

• Wpisz chrome://settings/certificates w pasku adresu.
• Otwórz kartę Twoje certyfikaty, kliknij Importuj i wybierz plik client.p12.
• Wprowadź hasło PKCS#12, gdy pojawi się monit.

Dostęp do Swagger za pomocą certyfikatu

Otwórz https://<region>.okms.ovh.net/swagger/ w swojej przeglądarce. Zostaniesz poproszony o wybranie zaimportowanego certyfikatu:

Teraz możesz interaktywnie wykonywać wywołania API z poziomu interfejsu Swagger.

Uprawnienia IAM dla OKMS

Akcje IAM OKMS mają postać okms:<channel>:<resource>/<operation>:

Typowe akcje okms:apiovh

Pełną listę akcji znajdziesz w konsoli API OVHcloud w typie produktu Key Management System (KMS) lub w politykach IAM podczas tworzenia polityki.

Sugerowane polityki IAM

Zastosuj te szablony do zasobu swojej domeny OKMS (urn:v1:<region>:resource:okms:<okmsId>). Zastąp <identity_urn> i <okms_urn> swoimi wartościami. Utwórz polityki za pośrednictwem Panelu klienta lub API IAM.

Pełna administracja — pełna kontrola nad domeną OKMS za pośrednictwem API REST:

{
  "name": "okms-full-admin",
  "description": "Full administrative access to an OKMS domain",
  "identities": ["<identity_urn>"],
  "resources": [{ "urn": "<okms_urn>" }],
  "action": ["okms:apiovh:*"]
}

Tylko do odczytu — wyświetlanie i inspekcja zasobów bez operacji zapisu lub kryptograficznych:

{
  "name": "okms-read-only",
  "description": "Read-only access to an OKMS domain",
  "identities": ["<identity_urn>"],
  "resources": [{ "urn": "<okms_urn>" }],
  "action": [
    "okms:apiovh:serviceKey/get",
    "okms:apiovh:secret/get",
    "okms:apiovh:credential/get",
    "okms:apiovh:secretConfig/get",
    "okms:apiovh:log/get"
  ]
}

Dodaj okms:apiovh:secret/version/getData, jeśli tożsamość musi odczytywać wartości sekretów.

Tylko operacje kryptograficzne — używanie kluczy do szyfrowania, odszyfrowywania, podpisywania i weryfikacji bez zarządzania kluczami lub sekretami:

{
  "name": "okms-crypto-only",
  "description": "Cryptographic operations on an OKMS domain",
  "identities": ["<identity_urn>"],
  "resources": [{ "urn": "<okms_urn>" }],
  "action": [
    "okms:apiovh:serviceKey/get",
    "okms:apiovh:serviceKey/encrypt",
    "okms:apiovh:serviceKey/decrypt",
    "okms:apiovh:serviceKey/sign",
    "okms:apiovh:serviceKey/verify",
    "okms:apiovh:serviceKey/datakey",
    "okms:apiovh:serviceKey/datakeyDecrypt"
  ]
}

Tylko dostęp do sekretów — odczyt sekretów Secret Manager bez dostępu do kluczy KMS, certyfikatów lub konfiguracji domeny:

{
  "name": "okms-secret-access-only",
  "description": "Read-only access to Secret Manager secrets on an OKMS domain",
  "identities": ["<identity_urn>"],
  "resources": [{ "urn": "<okms_urn>" }],
  "action": [
    "okms:apiovh:secret/get",
    "okms:apiovh:secret/version/getData",
    "okms:apikms:secret/version/getData"
  ]
}

Dodaj okms:apiovh:secret/create, okms:apiovh:secret/update i okms:apiovh:secret/delete, jeśli tożsamość musi zarządzać sekretami.

Sprawdź również

Korzystanie z OVHcloud Key Management Service (KMS) z Twoimi danymi

Korzystanie z Secret Manager za pomocą API REST

Jak podłączyć kompatybilny produkt za pomocą protokołu KMIP

Zarządzanie certyfikatem dostępu OKMS

Dołącz do grona naszych użytkowników.