IBM Cloud Identity and Access Management

• Gestion centrale des accès dans tout IBM Cloud.
• Permet à un utilisateur ou à un service d'accéder à plusieurs ressources différentes avec le même ensemble de données d'identification (par exemple, avec le même nom d'utilisateur/mot de passe ou la même clé d'API IAM).
• Les clés d'API IAM peuvent obtenir un accès aux fonctions de gestion du compte, par exemple pour la création de bases de données.

Contrôles d'accès existants àIBM Cloudant

• Uniques à IBM Cloudant.
• L'accès à chaque instance de service nécessite son propre ensemble de données d'identification.
• Utilisation de l'authentification de base HTTP avec des données d'identification qui ne sont pas liées à un utilisateur ou à un service individuel.
• Les clés d'API d'IBM Cloudant obtiennent des autorisations uniquement au niveau de la base de données.

Remarques concernant les clés d'API

Dans ce document, lorsque des clés d'API sont mentionnées, il est toujours question de clés d'API IAM. Les contrôles d'accès existants d'IBM Cloudant incluent également le concept de clés d'API et dans toutes les discussions relatives aux données d'identification existantes d'IBM Cloudant ou aux combinaisons de nom d'utilisateur/mot de passe, il est également question des clés d'API d'IBM Cloudant.

Clés API IBM Cloudant et Utilisation seul de IAM

L'utilisation en parallèle des clés d'API d'IBM Cloudant et IAM est possible bien que non recommandée. Cette recommandation est formulée parce que Les clés et les droits d'API IBM Cloudant ne sont pas visibles ou gérables à l'aide de l'interface de stratégie IAM, ce qui rend impossible la gestion holistique de l'accès.

Le choix entre Use only IAM ou Use both legacy credentials and IAM affecte les facteurs suivants :

1. Si des données d'identification existantes d'IBM Cloudant du compte sont disponibles pour gérer les bases de données et d'autres actions au niveau du compte.
2. Le style de données d'identification fournies durant la génération des données d'identification du service.

En particulier, les clés d'API d'IBM Cloudant peuvent continuer d'être utilisées pour gérer l'accès à la base de données. Ces données d'identification doivent être générées et configurées via l'API HTTP.

Mise à disposition à l'aide de la ligne de commande

Lorsque vous mettez à disposition une nouvelle instance IBM Cloudant depuis la ligne de commande, fournissez une option à l'outil ibmcloud en utilisant le paramètre -p pour activer ou désactiver les données d'identification existantes pour un compte. L'option est transférée au format JSON et est appelée legacyCredentials.

Pour mettre à disposition une instance et Use only IAM (recommandé), exécutez la commande suivante :

ibmcloud resource service-instance-create  "Instance Name" \
    cloudantnosqldb Standard us-south \
    -p {"legacyCredentials": false}

Lorsque vous utilisez des rôles IAM autres que Manager, par exemple Reader, Writer, Monitor ou Checkpointer, vous devez choisir l'option Use only IAM pour éviter de fournir aux utilisateurs des données d'identification existantes offrant des droits d'accès plus importants.

Pour mettre à disposition une instance en tant que Use both legacy credentials and IAM, exécutez la commande suivante :

ibmcloud resource service-instance-create  "Instance Name" \
    cloudantnosqldb Standard us-south \
    -p {"legacyCredentials": true}

Exemples JSON de données d'identification de service pour chaque option

Le choix entre le contrôle d'accès Use only IAM ou Use both legacy credentials and IAM affecte la manière dont les données d'identification sont livrées à votre application lorsque vous liez et générez des données d'identification du service. Lorsque vous générez des données d'identification dans le fichier IBM Cloud principal L'interface IAM et les clés API sont affichées dans cette interface lorsqu'elles sont générées.

Vous pouvez également générer des données d'identification à partir de la section Données d'identification pour le service, d'une instance de service. La génération de données d'identification de service de cette manière crée un objet BLOB JSON de données d'identification de service que vous pouvez coller dans les applications avec tous les détails nécessaires pour accéder à l'instance de service.

La section ci-après montre à quoi ressemble le JSON de données d'identification de service et ce que signifie chaque valeur.

Lorsque vous sélectionnez Use only IAM, les données d'identification de service qui sont générées contiennent seulement les valeurs IAM, comme le montre l'exemple suivant.

{
  "apikey": "MxVp86XHkU82Wc97tdvDF8qM8B0Xdit2RqR1mGfVXPWz",
  "iam_apikey_description": "Auto generated apikey during resource-key [...]",
  "iam_apikey_name": "auto-generated-apikey-050d21b5-5f[...]",
  "iam_role_crn": "crn:v1:bluemix:public:iam::::serviceRole:Manager",
  "iam_serviceid_crn": "crn:v1:staging:public:iam-identity::[...]",
  "url": "https://76838001-b883-444d-90d0-46f89e942a15-bluemix.cloudant.com",
  "username": "76838001-b883-444d-90d0-46f89e942a15-bluemix"
}

Chaque valeur fournie dans l'exemple de JSON précédent doit être interprétée à l'aide des définitions suivantes :

apikey

Clé d'API IAM.

iam_apikey_description

Description de la clé d'API IAM.

iam_apikey_name

ID de la clé d'API IAM.

iam_role_crn

Rôle IAM associé à la clé d'API IAM.

iam_serviceid_crn

CRN de l'ID de service.

url

URL de service IBM Cloudant.

username

Nom du compte IBM Cloudant interne.

Lorsque vous sélectionnez Use both legacy credentials and IAM, les données d'identification de service qui sont générées contiennent à la fois les données d'identification existantes et IAM, comme dans l'exemple suivant.

{
  "apikey": "MxVp86XHkU82Wc97tdvDF8qM8B0Xdit2RqR1mGfVXPWz",
  "host": "76838001-b883-444d-90d0-46f89e942a15-bluemix.cloudant.com",
  "iam_apikey_description": "Auto generated apikey during resource-key [...]",
  "iam_apikey_name": "auto-generated-apikey-050d21b5-5f[...]",
  "iam_role_crn": "crn:v1:bluemix:public:iam::::serviceRole:Manager",
  "iam_serviceid_crn": "crn:v1:staging:public:iam-identity::[...]",
  "password": "8fb6a16b48903e87b769e7f4968521e85c2394ed8f0e69b2769e56dcb27d2e76",
  "port": 443,
  "url": "https://<username>:<password>@76838001-b883-444d-90d0-46f89e942a15-bluemix.cloudant.com",
  "username": "apikey-v2-58B528DF5397465BB6673E1B79482A8C"
}

Chaque valeur fournie dans l'exemple de JSON précédent doit être interprétée à l'aide des définitions suivantes :

apikey

Clé d'API IAM.

host

Nom d'hôte du service IBM Cloudant .

iam_apikey_description

Description de la clé d'API IAM.

iam_apikey_name

ID de la clé d'API IAM.

iam_role_crn

Rôle IAM associé à la clé d'API IAM.

iam_serviceid_crn

CRN de l'ID de service.

password

Le mot de passe des données d'identification actuelles IBM Cloudant .

port

Port de service IBM Cloudant.

url

URL de service IBM Cloudant, y compris les données d'identification IBM Cloudant existantes.

username

Le nom d'utilisateur du droit d'accès IBM Cloudant existant.

Notez que username et password correspondent toujours aux données d'identification du Responsable dans IAM. Par conséquent, l'option Use both legacy credentials and IAM n'est pas sûre lorsqu'elle est utilisée avec les rôles IAM Reader, Writer, Monitor ou Checkpointer.

Avantages et inconvénients des deux mécanismes de contrôle d'accès

Globalement, IBM Cloud IAM est le modèle d'authentification recommandé. Cependant il existe des inconvénients à cette approche, principalement si vous avez une application existante ou n'êtes pas en mesure d'utiliser une bibliothèque client prise en charge par IBM Cloudant.

Exemples

Génération de clés d'API IAM pour la source et la cible et d'une autre clé d'API pour l'accès à l'API IBM Cloudant

Dans cet exercice, les deux premières clés d'API sont créées pour que les deux instances puissent communiquer pendant le processus de réplication. La troisième clé d'API est destinée à l'utilisateur qui souhaite accéder à l'API IBM Cloudant, créer la base de données _replicator, puis y ajouter le document de réplication.

Procédez comme indiqué ci-après pour générer des clés d'API IAM et un accès à l'API pour IBM Cloudant. Vous devez écrire les données d'identification qui seront demandées au cours des étapes suivantes pour pouvoir poursuivre avec l'exemple.

Prenez soin de sélectionner l'instance spécifiée, la source ou la cible.

1. Connectez-vous à cloud.ibm.com.

2. Dans la liste de ressources, sélectionnez Services, ainsi que votre instance source.

   1. Cliquez sur Données d'identification pour le service, puis sur Nouvelles données d'identification.

   2. Nommez les nouvelles données d'identification replicator-source, puis sélectionnez le rôle Responsable.

   3. Cliquez sur Ajouter et notez sa clé d'API (apikey), qui se trouve sous Afficher les données d'identification dans la colonne Actions.

3. Répétez les étapes 2 à 2.c. pour l'instance cible.

   1. Créez des données d'identification nommées replicator-target avec le rôle Responsable.

   2. Notez sa clé d'API IAM, qui figure sous Afficher les données d'identification dans la colonne Actions.

4. Sélectionnez l'instance source, puis cliquez sur Données d'identification pour le service pour le service et Nouvelles données d'identification du service.

   1. Nommez les nouvelles données d'identification apiaccess, puis sélectionnez le rôle Responsable.

   2. Notez la clé d'API IAM réelle, qui figure sous Afficher les données d'identification dans la colonne Actions.

5. Notez les URL des instances source et cible.

En fonction de votre flux de travail, au lieu de créer un identifiant de niveau service (étape 4), vous pouvez utiliser une clé API IAM personnelle, comme indiqué dans la section « Création d'une clé API ».

Vous pouvez également effectuer ces étapes en ligne de commande à l'aide de la suite d'outils CLI « IBM Cloud ».

Génération d'un jeton bearer pour s'authentifier auprès de l'API IBM Cloudant

A l'étape 4.b, vous avez noté la clé apiaccess. Utilisez cette clé maintenant:

curl -k -X POST \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --header "Accept: application/json" \
  --data-urlencode "grant_type=urn:ibm:params:oauth:grant-type:apikey" \
  --data-urlencode "apikey=aSCsx4...2lN97h_2Ts" \
  "https://iam.cloud.ibm.com/identity/token"

La clé apiaccess renvoie les informations suivantes (abrégées) :

{
   "access_token": "eyJraWQiOiIyMDE5MD...tIwkCO9A",
   "refresh_token": "ReVbNrHo3UA38...mq67g",
   "token_type": "Bearer",
   "expires_in": 3600,
   "expiration": 1566313064,
   "scope": "ibm openid"
}

Créez une variable d'environnement pour vous épargner de la saisie en utilisant la valeur sous la clé access_token dans les données de réponse :

export TOK="Bearer eyJraWQiOiIyMDE5MD...tIwkCO9A"

Création de la base de données _replicator coté source

L'URL est l'URL de l'instance source que vous avez précédemment écrite à l'étape 4.b.

curl -k -X PUT \
     -H"Content-type: application/json" \
     -H'Authorization: '"$TOK"'' \
     'https://d43caf1b-e2c8-4d3e-9b85-1d04839fa68f-bluemix.cloudant.com/_replicator'

Consultez les résultats illustrés dans l'exemple suivant :

{"ok": "true"}

Création du travail de réplication

Créez un fichier nommé data.json contenant les informations ci-après. Il s'agit des deux clés d'API source et cible qui ont été créées au début, et des URL des instances source et cible, avec les noms de base de données ajoutés.

{
  "source": {
    "url": "https://d43caf1b-e2c8-4d3e-9b85-1d04839fa68f-bluemix.cloudant.com/source",
    "auth": {
      "iam": {
        "api_key": "xju1...TxuS"
      }
    }
  },
  "target": {
    "url": "https://dbc68dd8-f69f-4083-97dd-bf0a3e1a467a-bluemix.cloudant.com/target",
    "auth": {
      "iam": {
        "api_key": "UElc7...QIaL01Bjn"
      }
    }
  },
  "create_target": true,
  "continuous": true
}

A présent, écrivez un document de réplication nommé source_dest dans la base de données _replicator sur l'instance Source.

curl -k -X PUT \
     -H"Content-type: application/json" \
     -H'Authorization: '"$TOK"'' \
     'https://d43caf1b-e2c8-4d3e-9b85-1d04839fa68f-bluemix.cloudant.com/_replicator/source_dest' -d@data.json

Consultez les résultats illustrés dans l'exemple suivant :

{"ok":true,"id":"source_dest","rev":"1-89b01e42968acd5944ed657b87c49f0c"}

Versions de bibliothèques client requises

La connectivité IAM est disponible dans la dernière version de toutes les bibliothèques client prises en charge. Pour plus d'informations, voir Bibliothèques client.

Accès à l'aide du client HTTP

IBM Cloud IAM exige qu'une clé d'API IAM soit échangée contre un jeton d'accès limité dans le temps avant d'envoyer une demande à une ressource ou à un service. Le jeton d'accès est ensuite inclus dans l'en-tête HTTP Authorization envoyée au service. Lorsque le jeton d'accès expire, le client doit en obtenir un autre du service de jeton IAM.

Comme indiqué précédemment, l'utilisation d'IBM Cloud IAM nécessite que vous échangiez d'abord une clé d'API IBM contre un jeton d'accès à durée limitée. Ensuite, vous utilisez le jeton pour vous authentifier auprès de l'API IBM Cloudant.

Exemple dans Python :

import time
import requests
API_KEY = "MxVp86XHkU82Wc97tdvDF8qM8B0Xdit2RqR1mGfVXPWz"
ACCOUNT = "76838001-b883-444d-90d0-46f89e942a15-bluemix"
def get_access_token(api_key):
    """Retrieve an access token from the IAM token service."""
    token_response = requests.post(
        "https://iam.cloud.ibm.com/identity/token",
        data={
            "grant_type": "urn:ibm:params:oauth:grant-type:apikey",
            "response_type": "cloud_iam",
            "apikey": api_key
        },
        headers={
            "Accept": "application/json"
        }
    )
    if token_response.status_code == 200:
        print "Got access token from IAM"
        return token_response.json()['access_token']
    else:
        print token_response.status_code, token_response.json()
        return None
def main(api_key, account):
    access_token = None
    while True:
        if not access_token:
            access_token = get_access_token(api_key)
        if access_token:
            response = requests.get(
                "https://{0}.cloudant.com/_all_dbs".format(account),
                headers={
                    "Accept": "application/json",
                    "Authorization": "Bearer {0}".format(access_token)
                }
            )
            print "Got Cloudant response, status code", response.status_code
            if response.status_code == 401:
                print "Token has expired."
                access_token = None
        time.sleep(1)
if __name__ == "__main__":
    main(API_KEY, ACCOUNT)

Création d'une zone réseau

Pour ajouter IBM Cloudant à votre liste d'accès IAM, vous devez d'abord créer une zone réseau qui inclut le service IBM Cloudant.

Pour créer une zone réseau, procédez comme suit.

1. Dans la console d' IBM Cloud, cliquez sur « **Gérer ** » > « Restrictions basées sur le contexte », puis sélectionnez « Zones réseau ».
2. Cliquez sur Créer.
3. Entrez un nom unique (par exemple, cloudant-network) et, éventuellement, une description.
4. Sous Reference a service, sélectionnez le type de service IAM Services et le service IBM Cloudant. Cliquez sur Ajouter pour associer les adresses IP IBM Cloudant à votre zone réseau.
5. Cliquez sur Suivant pour vérifier votre zone réseau.
6. Cliquez sur Créer.

Référencement de la zone réseau dans la liste autorisée des adresses IP IAM

La zone réseau créée ci-dessus, appelée cloudant-network, peut désormais être utilisée dans votre liste autorisée d'adresses IP IAM.

1. Dans la console d' IBM Cloud, cliquez sur Gérer > Accès (IAM), puis sélectionnez « Paramètres ».
2. Dans la section « Compte », activez le paramètre d'accès par adresse IP.
3. Dans la zone Allowed IP addresses, ajoutez le nom de la zone réseau que vous avez créée ci-dessus (par exemple, cloudant-network).
4. Cliquez sur Sauvegarder.

Rôles IBM Cloudant

Le tableau ci-après répertorie et décrit brièvement les rôles de service IAM disponibles pour IBM Cloudant.

Le rôle Manager inclut toutes les actions associées aux rôles Reader et Writer et le rôle Writer inclut toutes les actions associées au rôle Reader.

Actions IBM Cloudant

Le tableau ci-après décrit les actions et les rôles IAM disponibles. Pour affiner les autorisations, vous pouvez utiliser les rôles Manager, Reader, Writer, Monitor ou Checkpointer.

Lorsque vous utilisez des rôles IAM autres que Manager, par exemple Reader, Writer, Monitor ou Checkpointer, vous devez choisir l'option Use only IAM pour éviter de fournir aux utilisateurs des données d'identification existantes offrant des droits d'accès plus importants.

Vérifiez que votre compte est activé pour IAM

Dans la partie de la présentation du tableau de bord IBM Cloudant, la "méthode d'authentification" est mentionnée sous les détails de déploiement. Vos méthodes d'authentification disponibles y sont répertoriées.