IBM Cloud Identity and Access Management

• Gestión de acceso gestionado de manera central en IBM Cloud.
• Permitir a un usuario o servicio acceder a distintos recursos utilizando el mismo conjunto de credenciales (por ejemplo, el mismo usuario y contraseña o clave de API IAM).
• Es posible otorgar acceso a las claves de API IAM a las funciones de gestión de cuenta, como la creación de bases de datos nuevas.

Controles de acceso heredados de IBM Cloudant

• Exclusivo de IBM Cloudant.
• El acceso a cada instancia de servicio requiere su propio conjunto de credenciales.
• Utiliza la autenticación básica HTTP con las credenciales que no están enlazadas a un servicio o usuario individual.
• Solo se pueden otorgar permisos a las claves de API de IBM Cloudant a nivel de base de datos.

Notas de clave de API

En este documento, cuando se menciona a las claves de API, se hace referencia a las claves de API de IAM. Los controles de acceso antiguos de IBM Cloudant también tiene un concepto de claves de API y cualquier discusión acerca de las credenciales o combinaciones de nombre de usuario y contraseña antiguas de IBM Cloudant incluye también claves de API de IBM Cloudant.

Claves de API de IBM Cloudant y Utilizar solo IAM

Es posible utilizar claves de API de IBM Cloudant junto con IAM, pero no se recomienda. Esta recomendación se hace porque las claves y permisos de API de IBM Cloudant no se pueden ver ni gestionar utilizando la interfaz de políticas de IAM, lo que hace imposible la gestión de acceso holístico.

La elección entre Utilizar solo IAM o Utilizar credenciales Legacy e IAM afecta a los factores siguientes:

1. Si las credenciales heredadas a nivel de cuenta de IBM Cloudant están disponibles para gestionar bases de datos y otras acciones a nivel de cuenta.
2. El estilo de credenciales que se entregan durante la generación de credenciales de servicio.

En particular, las claves de API de IBM Cloudant pueden utilizarse para gestionar el acceso a la base de datos. Dichas credenciales deben generarse y configurarse mediante la API HTTP.

Suministro mediante la línea de mandatos

Al suministrar una nueva instancia de IBM Cloudant desde la línea de mandatos, proporcione una opción a la herramienta ibmcloud utilizando el parámetro -p para habilitar o inhabilitar las credenciales heredadas de una cuenta. La opción se pasa en formato JSON y se denomina legacyCredentials.

Para suministrar una instancia como Utilizar solo IAM (recomendado), ejecute el mandato siguiente:

ibmcloud resource service-instance-create  "Instance Name" \
    cloudantnosqldb Standard us-south \
    -p {"legacyCredentials": false}

Cuando se utilizan roles de IAM distintos de Manager como, por ejemplo, Reader, Writer, Monitor o Checkpointer, debe utilizar Utilizar solo IAM para evitar suministrar a los usuarios credenciales antiguas que incluyan permisos de acceso superiores.

Para suministrar una instancia como Utilizar credenciales Legacy e IAM, ejecute el mandato siguiente:

ibmcloud resource service-instance-create  "Instance Name" \
    cloudantnosqldb Standard us-south \
    -p {"legacyCredentials": true}

Ejemplos JSON de credenciales de servicio para cada opción

La elección entre el control de acceso Utilizar solo IAM y Utilizar credenciales Legacy e IAM afecta a la manera en la que las credenciales se entregan a la aplicación al vincular y generar credenciales de servicio. Cuando se generan credenciales en la interfaz IBM Cloud IAM primaria, las claves de API se muestran en esa interfaz cuando se generan.

También puede generar credenciales desde la sección Credenciales de servicio de una instancia de servicio. Este tipo de generación de credenciales de servicio crea un blob JSON de credenciales de servicio que se puede pegar a las aplicaciones con todos los detalles necesarios para acceder a la instancia de servicio.

A continuación puede ver qué aspecto tienen el JSON de credenciales de servicio y lo que significa cada valor.

Al seleccionar Utilizar solo IAM, las credenciales de servicio que se generan contienen únicamente valores IAM y presentan el mismo aspecto que el que observamos en el ejemplo siguiente.

{
  "apikey": "MxVp86XHkU82Wc97tdvDF8qM8B0Xdit2RqR1mGfVXPWz",
  "iam_apikey_description": "Auto generated apikey during resource-key [...]",
  "iam_apikey_name": "auto-generated-apikey-050d21b5-5f[...]",
  "iam_role_crn": "crn:v1:bluemix:public:iam::::serviceRole:Manager",
  "iam_serviceid_crn": "crn:v1:staging:public:iam-identity::[...]",
  "url": "https://76838001-b883-444d-90d0-46f89e942a15-bluemix.cloudant.com",
  "username": "76838001-b883-444d-90d0-46f89e942a15-bluemix"
}

Cada valor del ejemplo JSON anterior se debe interpretar utilizando las definiciones siguientes:

apikey

Clave de API de IAM.

iam_apikey_description

Descripción de la clave de API de IAM.

iam_apikey_name

ID de la clave de API de IAM.

iam_role_crn

El rol de IAM que tiene la clave de API de IAM.

iam_serviceid_crn

El CRN de ID de servicio.

url

URL de servicio IBM Cloudant.

username

El nombre de cuenta interno de IBM Cloudant.

Al seleccionar Utilizar tanto credenciales heredadas como IAM, las credenciales de servicio que se generan contienen credenciales heredadas e IAM y presentan un aspecto como el siguiente.

{
  "apikey": "MxVp86XHkU82Wc97tdvDF8qM8B0Xdit2RqR1mGfVXPWz",
  "host": "76838001-b883-444d-90d0-46f89e942a15-bluemix.cloudant.com",
  "iam_apikey_description": "Auto generated apikey during resource-key [...]",
  "iam_apikey_name": "auto-generated-apikey-050d21b5-5f[...]",
  "iam_role_crn": "crn:v1:bluemix:public:iam::::serviceRole:Manager",
  "iam_serviceid_crn": "crn:v1:staging:public:iam-identity::[...]",
  "password": "8fb6a16b48903e87b769e7f4968521e85c2394ed8f0e69b2769e56dcb27d2e76",
  "port": 443,
  "url": "https://<username>:<password>@76838001-b883-444d-90d0-46f89e942a15-bluemix.cloudant.com",
  "username": "apikey-v2-58B528DF5397465BB6673E1B79482A8C"
}

Cada valor del ejemplo JSON anterior se debe interpretar utilizando las definiciones siguientes:

apikey

Clave de API de IAM.

host

Nombre de host del servicio IBM Cloudant.

iam_apikey_description

Descripción de la clave de API de IAM.

iam_apikey_name

ID de la clave de API de IAM.

iam_role_crn

El rol de IAM que tiene la clave de API de IAM.

iam_serviceid_crn

El CRN de ID de servicio.

password

La contraseña de credencial heredada de IBM Cloudant.

port

Puerto de servicio de IBM Cloudant.

url

URL de servicio de IBM Cloudant, incluidas las credenciales heredadas de IBM Cloudant incorporadas.

username

El nombre de usuario de credencial heredada de IBM Cloudant.

Tenga en cuenta que los valores username y password equivalen siempre a las credenciales del Gestor de IAM. Además, la utilización de Utilizar credenciales Legacy e IAM no es segura cuando se utiliza con los roles Reader, Writer, Monitor o Checkpointer de IAM.

Ventajas y desventajas de los dos mecanismos de control de acceso

En general, IBM Cloud IAM es el modelo de autenticación recomendado. Sin embargo, las desventajas principales a este método se producen si tiene una aplicación o si no puede utilizar una biblioteca de cliente con soporte de IBM Cloudant.

Ejemplos

Generación de claves de IAM de API para el origen y el destino y una para el acceso de la API de IBM Cloudant

En este ejercicio, se crean las dos primeras claves de API de forma que las dos instancias puedan comunicarse entre sí durante el proceso de réplica. La tercera clave de API es para que el usuario acceda a la API de IBM Cloudant, para que cree la base de datos de _replicator y, a continuación, añada el documento de réplica a la misma.

Siga estos pasos para generar claves de API de IAM y acceder a la API para IBM Cloudant. Debe escribir las credenciales que se solicitan en los pasos siguientes para poder continuar con el ejemplo.

Asegúrese que seleccionar la instancia especificada, ya sea Origen o Destino.

1. Inicie sesión en cloud.ibm.com.

2. Desde la lista de recursos, seleccione Servicios y la instancia de origen.

   1. Pulse Credenciales de servicio y pulse Nueva credencial.

   2. Asigne el nombre replicator-source a la nueva credencial y, a continuación, seleccione el rol Gestor.

   3. Pulse Añadir y tome nota del valor apikey, que encontrará en Visualizar credenciales en la columna Acciones.

3. Repita los pasos 2 a 2.c. para la instancia de destino.

   1. Cree una credencial denominada replicator-target con el rol Gestor.

   2. Tome nota de la clave de API de IAM, que se halla en Visualizar credenciales en la columna Acciones.

4. Seleccione la instancia de origen y pulse Credenciales de servicio y Nueva credencial.

   1. Asigne el nombre apiaccess a la nueva credencial y, a continuación, seleccione el rol Gestor.

   2. Tome nota de la clave de API de IAM real en Visualizar credenciales en la columna Acciones.

5. Anote los URL de la instancia de origen y de destino.

Dependiendo de su flujo de trabajo, en lugar de crear una credencial de nivel de servicio (paso 4), puede utilizar una clave API de IAM personal, como se detalla en Creación de una clave API.

También puede completar estos pasos en la línea de comandos utilizando la cadena de herramientas CLI de IBM Cloud.

Generación de una señal portadora para autenticarse en la API de IBM Cloudant

En el paso 4.b, ha anotado la tecla apiaccess. Utilice esta clave ahora:

curl -k -X POST \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --header "Accept: application/json" \
  --data-urlencode "grant_type=urn:ibm:params:oauth:grant-type:apikey" \
  --data-urlencode "apikey=aSCsx4...2lN97h_2Ts" \
  "https://iam.cloud.ibm.com/identity/token"

La clave apiaccess devuelve la información siguiente (abreviada):

{
   "access_token": "eyJraWQiOiIyMDE5MD...tIwkCO9A",
   "refresh_token": "ReVbNrHo3UA38...mq67g",
   "token_type": "Bearer",
   "expires_in": 3600,
   "expiration": 1566313064,
   "scope": "ibm openid"
}

Cree una variable de entorno para guardar algún tipo de escritura utilizando el valor de la clave access_token en los datos de respuesta:

export TOK="Bearer eyJraWQiOiIyMDE5MD...tIwkCO9A"

Creación de la base de datos _replicator en el lado de origen

El URL es el URL de la instancia de origen que ha escrito anteriormente en el paso 4.b.

curl -k -X PUT \
     -H"Content-type: application/json" \
     -H'Authorization: '"$TOK"'' \
     'https://d43caf1b-e2c8-4d3e-9b85-1d04839fa68f-bluemix.cloudant.com/_replicator'

Consulte los resultados en le ejemplo siguiente:

{"ok": "true"}

Creación del trabajo de réplica

Cree un archivo denominado data.json que contenga la información siguiente. Las dos claves son las claves de API de origen y de destino que se han creado al principio, así como los URL de las instancias de origen y de destino, con los nombres de las bases de datos añadidos.

{
  "source": {
    "url": "https://d43caf1b-e2c8-4d3e-9b85-1d04839fa68f-bluemix.cloudant.com/source",
    "auth": {
      "iam": {
        "api_key": "xju1...TxuS"
      }
    }
  },
  "target": {
    "url": "https://dbc68dd8-f69f-4083-97dd-bf0a3e1a467a-bluemix.cloudant.com/target",
    "auth": {
      "iam": {
        "api_key": "UElc7...QIaL01Bjn"
      }
    }
  },
  "create_target": true,
  "continuous": true
}

Ahora, escriba un documento de réplica denominado source_dest en la base de datos _replicator de la instancia de origen.

curl -k -X PUT \
     -H"Content-type: application/json" \
     -H'Authorization: '"$TOK"'' \
     'https://d43caf1b-e2c8-4d3e-9b85-1d04839fa68f-bluemix.cloudant.com/_replicator/source_dest' -d@data.json

Consulte los resultados en le ejemplo siguiente:

{"ok":true,"id":"source_dest","rev":"1-89b01e42968acd5944ed657b87c49f0c"}

Versiones de biblioteca de cliente necesarias

La conectividad de IAM está disponible en el release más reciente de todas las bibliotecas de cliente soportadas. Para obtener más información, consulte Bibliotecas de cliente.

Acceso mediante el cliente HTTP

IBM Cloud IAM requiere que se intercambie una clave de API de IAM por una señal de acceso de tiempo limitado antes de realizar una solicitud a un recurso o servicio. La señal de acceso se incluye en la cabecera HTTP Authorization para el servicio. Cuando la señal de acceso caduca, el cliente debe manejar la obtención de una nueva del servicio de señal de IAM.

Tal como se ha indicado anteriormente, si se utiliza IBM Cloud IAM, es necesario que primero cambie una clave de API de IBM por una señal de acceso de tiempo limitado. Después, puede utilizar la señal para llevar a cabo una autenticación en la API de IBM Cloudant.

En Python, un ejemplo podría ser el siguiente:

import time

import requests

API_KEY = "MxVp86XHkU82Wc97tdvDF8qM8B0Xdit2RqR1mGfVXPWz"
ACCOUNT = "76838001-b883-444d-90d0-46f89e942a15-bluemix"

def get_access_token(api_key):
    """Retrieve an access token from the IAM token service."""
    token_response = requests.post(
        "https://iam.cloud.ibm.com/identity/token",
        data={
            "grant_type": "urn:ibm:params:oauth:grant-type:apikey",
            "response_type": "cloud_iam",
            "apikey": api_key
        },
        headers={
            "Accept": "application/json"
        }
    )
    if token_response.status_code == 200:
        print "Got access token from IAM"
        return token_response.json()['access_token']
    else:
        print token_response.status_code, token_response.json()
        return None

def main(api_key, account):
    access_token = None
    while True:
        if not access_token:
            access_token = get_access_token(api_key)

        if access_token:
            response = requests.get(
                "https://{0}.cloudant.com/_all_dbs".format(account),
                headers={
                    "Accept": "application/json",
                    "Authorization": "Bearer {0}".format(access_token)
                }
            )
            print "Got Cloudant response, status code", response.status_code
            if response.status_code == 401:
                print "Token has expired."
                access_token = None

        time.sleep(1)

if __name__ == "__main__":
    main(API_KEY, ACCOUNT)

Creación de una zona de red

Para añadir IBM Cloudant a la lista de acceso de IAM, primero debe crear una Zona de red que incluya el servicio IBM Cloudant.

Para crear una zona de red, siga estos pasos.

1. En la consola de IBM Cloud, pulse Gestionar > Restricciones basadas en contexto y seleccione Zonas de red.
2. Pulse Crear.
3. Especifique un nombre exclusivo (por ejemplo, cloudant-network) y, opcionalmente, una descripción.
4. En Reference a service, seleccione el tipo de servicio IAM Services y el servicio IBM Cloudant. Pulse Añadir para asociar las direcciones IP de IBM Cloudant con la zona de red.
5. Pulse Siguiente para revisar la zona de red.
6. Pulse Crear.

Referencia a la zona de red en la lista de elementos permitidos de IP de IAM

La Zona de red creada anteriormente, denominada cloudant-network, se puede utilizar ahora en la Lista de elementos permitidos de IP de IAM.

1. En la consola de IBM Cloud, pulse Gestionar > Acceso (IAM) y seleccione Valores.
2. En la sección Cuenta, habilite la configuración de acceso por dirección IP.
3. En el campo Allowed IP addresses, añada el nombre de la zona de red que ha creado anteriormente (por ejemplo, cloudant-network).
4. Pulse Guardar.

Roles de IBM Cloudant

En la tabla siguiente se listan los roles de servicio de IAM disponibles para IBM Cloudant y una pequeña descripción de cada uno de ellos.

Gestor incluye todas las acciones de Lector y Escritor; y Escritor incluye todas las acciones de Lector.

Acciones de IBM Cloudant

En la tabla siguiente se describen las acciones y los roles de IAM disponibles. Para obtener una autorización precisa, puede utilizar los roles de Manager, Reader, Writer, Monitor o Checkpointer.

Cuando se utilizan roles de IAM distintos de Manager como, por ejemplo, Reader, Writer, Monitor o Checkpointer, debe utilizar Utilizar solo IAM para evitar suministrar a los usuarios credenciales antiguas que incluyan permisos de acceso superiores.

Asegúrese de que la cuenta está habilitada para IAM

En la parte Visión general del panel de control de IBM Cloudant, el "método de autenticación" se muestra en los detalles del despliegue. Los métodos de autenticación disponibles se listan ahí.