Создание API-ключа
Это инструкция по созданию API-ключа для сервисного аккаунта. API-ключ — секретный ключ, используемый для упрощенной авторизации в API Yandex Cloud.
Если у вас еще нет сервисного аккаунта, создайте его и назначьте ему роли.
Создать API-ключ
Чтобы создать API-ключ:
- В консоли управления
перейдите в каталог, которому принадлежит сервисный аккаунт. - В списке сервисов выберите Identity and Access Management.
- На панели слева выберите
Сервисные аккаунты. - Выберите сервисный аккаунт, для которого вы хотите создать API-ключ. При необходимости создайте новый сервисный аккаунт.
- На панели сверху нажмите кнопку
Создать новый ключ и выберите пункт Создать API-ключ. - Задайте описание ключа, чтобы потом было проще найти его в консоли управления.
- (Опционально) Выберите Область действия. Подробнее про области действия см. в разделе API-ключи с ограничениями области и срока действия.
- (Опционально) Укажите Срок действия.
- Нажмите кнопку Создать.
- Сохраните идентификатор и секретный ключ.
Внимание
После закрытия диалога значение ключа будет недоступно.
Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.
По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name
или --folder-id
.
-
Посмотрите описание команды создания API-ключа:
yc iam api-key create --help
-
Получите список сервисных аккаунтов в каталоге по умолчанию:
yc iam service-account list
Результат:
+----------------------+------------------+-------------------------------+ | ID | NAME | DESCRIPTION | +----------------------+------------------+-------------------------------+ | aje6o61dvog2******** | my-robot | | | aje9sda1ufvq******** | account_name | account_description | +----------------------+------------------+-------------------------------+
-
Создайте API-ключ для нужного сервисного аккаунта и запишите ответ в файл
api_key.yaml
:yc iam api-key create \ --service-account-name <имя_сервисного_аккаунта> \ --scope <область_действия> \ --expires-at <дата_и_время> \ > api_key.yaml
Где:
--service-account-name
— имя сервисного аккаунта. Обязательный параметр.--scope
— область действия ключа. Необязательный параметр.--expires-at
— дата и время истечения срока действия ключа. Необязательный параметр.api_key.yaml
— файл, в который сохраняется ответ.
В результате вы получите файл
api_key.yaml
, который содержит значение API-ключа в полеsecret
:api_key: id: ajeke74kbp5b******** service_account_id: ajepg0mjt06s******** created_at: "2019-04-09T08:41:27Z" secret: AQVN1HHJReSrfo9jU3aopsXrJyfq_UHs********
О том, как передать ключ в запросе, читайте в документации сервисов, которые поддерживают такой способ авторизации.
Terraform
Terraform распространяется под лицензией Business Source License
Подробную информацию о ресурсах провайдера смотрите в документации на сайте Terraform
Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.
-
Опишите в конфигурационном файле Terraformпараметры ресурсов, которые необходимо создать:
resource "yandex_iam_service_account_api_key" "sa-api-key" { service_account_id = "<идентификатор_сервисного_аккаунта>" description = "<описание_ключа>" pgp_key = "<pgp-ключ>" }
Где:
service_account_id
— идентификатор сервисного аккаунта. Обязательный параметр.description
— описание ключа. Необязательный параметр.pgp_key
— дополнительный PGP-ключ для шифрования закрытого ключа. Указывается публичная часть ключа в кодировке base64, либо в видеkeybase:keybaseusername
. Необязательный параметр.
Более подробную информацию о ресурсах, которые вы можете создать с помощью Terraform, см. в документации провайдера
. -
Создайте ресурсы:
-
В терминале перейдите в папку, где вы отредактировали конфигурационный файл.
-
Проверьте корректность конфигурационного файла с помощью команды:
terraform validate
Если конфигурация является корректной, появится сообщение:
Success! The configuration is valid.
-
Выполните команду:
terraform plan
В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.
-
Примените изменения конфигурации:
terraform apply
-
Подтвердите изменения: введите в терминале слово
yes
и нажмите Enter.
Terraform создаст все требуемые ресурсы. Проверить появление ресурсов и их настройки можно в консоли управления
или с помощью команды CLI:yc iam key list --service-account-id <идентификатор_сервисного_аккаунта>
-
Создайте API-ключ с помощью метода REST API create для ресурса ApiKey:
export SERVICEACCOUNT_ID=<идентификатор_сервисного_аккаунта>
export IAM_TOKEN=<токен>
curl \
--request POST \
--header "Content-Type: application/json" \
--header "Authorization: Bearer $IAM_TOKEN" \
--data "{
\"serviceAccountId\": \"$SERVICEACCOUNT_ID\",
\"scope\": \"<область_действия>\",
\"expiresAt\": \"<дата_и_время>\"
}" \
https://iam.api.cloud.yandex.net/iam/v1/apiKeys
Где:
SERVICEACCOUNT_ID
— идентификатор сервисного аккаунта. Обязательный параметр.IAM_TOKEN
— IAM-токен. Обязательный параметр.scope
— область действия для ключа с ограниченным доступом. Необязательный параметр.expiresAt
— дата и время истечения срока действия ключа с ограниченным доступом. Необязательный параметр.
Также API-ключ можно создать с помощью вызова gRPC API ApiKeyService/Create.
Посмотреть доступные области действия
Чтобы посмотреть доступные области действия API-ключа, выполните команду:
yc iam api-key list-scopes
Результат:
- yc.ydb.tables.manage
- yc.ydb.topics.manage
Посмотрите доступные области действия API-ключа с помощью метода REST API ListScopes для ресурса ApiKey.
Доступные области действия API-ключа также можно посмотреть с помощью вызова gRPC API ApiKeyService/ListScopes.
Примеры
Добавить описание при создании API-ключа
Чтобы добавить описание API-ключа при его создании:
yc iam api-key create --service-account-name my-robot \
--description "this API-key is for my-robot"
Где:
--service-account-name
— имя сервисного аккаунта. Обязательный параметр.--description
— описание API-ключа. Необязательный параметр.
resource "yandex_iam_service_account_api_key" "sa-api-key" {
service_account_id = "<идентификатор_сервисного_аккаунта>"
description = "this API-key is for my-robot"
}
Где:
service_account_id
— идентификатор сервисного аккаунта. Обязательный параметр.description
— описание ключа. Необязательный параметр.
export SERVICEACCOUNT_ID=<идентификатор_сервисного_аккаунта>
export IAM_TOKEN=<IAM-токен>
curl \
--request POST \
--header "Content-Type: application/json" \
--header "Authorization: Bearer $IAM_TOKEN" \
--data "{
\"serviceAccountId\": \"$SERVICEACCOUNT_ID\",
\"description\": \"this API-key is for my-robot\"
}" \
https://iam.api.cloud.yandex.net/iam/v1/apiKeys
Где:
SERVICEACCOUNT_ID
- идентификатор сервисного аккаунта. Обязательный параметр.IAM_TOKEN
- IAM-токен. Обязательный параметр.