IBM Cloud Identity and Access Management

• IBM Cloud 전체에서 중앙 집중식으로 액세스를 관리합니다.
• 사용자 또는 서비스가 동일한 인증 정보 세트(예: 동일한 사용자 이름 및 비밀번호 또는 IAM API 키)를 사용하여 다양한 리소스에 액세스할 수 있도록 허용합니다.
• IAM API 키에는 새 데이터베이스 작성과 같은 계정 관리 기능에 대한 액세스 권한이 부여될 수 있습니다.

IBM Cloudant 레거시 액세스 제어

• IBM Cloudant에 고유합니다.
• 각 서비스 인스턴스에 대한 액세스에는 해당 인증 정보 세트가 필요합니다.
• 개별 사용자 또는 서비스에 바인드되지 않은 인증 정보로 HTTP 기본 인증을 사용합니다.
• IBM Cloudant API 키는 데이터베이스 레벨에서만 권한 부여될 수 있습니다.

API 키 참고

이 문서에서 API 키가 언급되는 모든 경우 이는 IAM API 키를 가리킵니다. IBM Cloudant 레거시 액세스 제어에도 API 키의 개념이 존재하며, IBM Cloudant 레거시 인증 정보 또는 사용자 이름 및 비밀번호 조합에 대한 모든 설명에도 IBM Cloudant API 키가 포함되어 있습니다.

IBM Cloudant API 키 및 IAM만 사용

IAM과 함께 IBM Cloudant API 키를 사용하는 것은 가능하지만 권장되지 않습니다. 이 권장사항은 다음의 이유로 작성되었습니다. IBM Cloudant API 키 및 권한을 IAM 정책 인터페이스를 사용하여 보거나 관리할 수 없으므로, 전체적인 액세스 관리가 불가능합니다.

IAM만 사용 또는 레거시 인증 정보 및 IAM 둘 다 사용 중 하나를 선택하는 것은 다음과 같은 요소에 영향을 미칩니다.

1. 레거시 IBM Cloudant 계정 레벨 인증 정보의 데이터베이스 및 기타 계정 레벨 조치 관리 가능 여부.
2. 서비스 인증 정보 생성 중에 전달되는 인증 정보의 스타일.

특히, IBM Cloudant API 키는 여전히 데이터베이스 액세스를 관리하는 데 사용할 수 있습니다. 이러한 인증 정보는 HTTP API를 사용하여 생성하고 구성해야 합니다.

명령행을 사용한 프로비저닝

명령행에서 새 IBM Cloudant 인스턴스를 프로비저닝하는 경우에는 계정에 대해 레거시 인증 정보를 사용 또는 사용 안함으로 설정하기 위해 ibmcloud 매개변수를 사용하여 -p 도구에 옵션을 제공하십시오. 이 옵션은 JSON 형식으로 전달되며 이름은 legacyCredentials입니다.

IAM만 사용으로 인스턴스를 프로비저닝하려면(권장됨) 다음 명령을 실행하십시오.

ibmcloud resource service-instance-create  "Instance Name" \
    cloudantnosqldb Standard us-south \
    -p {"legacyCredentials": false}

Manager, Reader, Writer 또는 Monitor와 같은 Checkpointer 이외의 IAM 역할을 사용하는 경우에는 더 큰 액세스 권한을 포함하는 레거시 인증 정보를 사용자에게 제공하지 않도록 반드시 IAM만 사용을 사용해야 합니다.

레거시 인증 정보와 IAM을 둘 다 사용으로 인스턴스를 프로비저닝하려면 다음 명령을 실행하십시오.

ibmcloud resource service-instance-create  "Instance Name" \
    cloudantnosqldb Standard us-south \
    -p {"legacyCredentials": true}

각 옵션에 대한 서비스 인증 정보 JSON 예

IAM만 사용 및 레거시 인증 정보와 IAM을 둘 다 사용 액세스 제어 중 하나를 선택하는 것은 서비스 인증 정보를 바인드하고 생성할 때 애플리케이션에 인증 정보가 전달되는 방식에 영향을 줍니다. 기본 IBM Cloud 내에서 신임 정보를 생성하는 경우 IAM 인터페이스, API 키는 생성될 때 해당 인터페이스에 표시됩니다.

서비스 인스턴스의 서비스 인증 정보 섹션에서 인증 정보를 생성할 수도 있습니다. 이 방식으로 서비스 인증 정보를 생성하면 서비스 인스턴스에 액세스하는 데 필요한 모든 세부사항을 포함하는, 애플리케이션에 붙여 넣을 수 있는 서비스 인증 정보 JSON BLOB이 작성됩니다.

다음 내용에서는 서비스 인증 정보 JSON의 양식과 각 값의 의미를 볼 수 있습니다.

IAM만 사용을 선택하는 경우 생성되는 서비스 인증 정보에는 IAM 값만 포함되며 다음 예와 같은 양식을 보입니다.

{
  "apikey": "MxVp86XHkU82Wc97tdvDF8qM8B0Xdit2RqR1mGfVXPWz",
  "iam_apikey_description": "Auto generated apikey during resource-key [...]",
  "iam_apikey_name": "auto-generated-apikey-050d21b5-5f[...]",
  "iam_role_crn": "crn:v1:bluemix:public:iam::::serviceRole:Manager",
  "iam_serviceid_crn": "crn:v1:staging:public:iam-identity::[...]",
  "url": "https://76838001-b883-444d-90d0-46f89e942a15-bluemix.cloudant.com",
  "username": "76838001-b883-444d-90d0-46f89e942a15-bluemix"
}

이전 JSON 예의 각 값은 다음 정의를 사용하여 해석되어야 합니다.

apikey

IAM API 키입니다.

iam_apikey_description

IAM API 키에 대한 설명입니다.

iam_apikey_name

IAM API 키의 ID입니다.

iam_role_crn

IAM API 키가 가진 IAM 역할입니다.

iam_serviceid_crn

서비스 ID의 CRN입니다.

url

IBM Cloudant 서비스 URL입니다.

username

내부 IBM Cloudant 계정 이름입니다.

레거시 인증 정보 및 IAM을 둘 다 사용을 선택하는 경우 생성되는 서비스 인증 정보에 IAM과 레거시 인증 정보가 둘 다 포함되며 다음 예에 나오는 값과 유사합니다.

{
  "apikey": "MxVp86XHkU82Wc97tdvDF8qM8B0Xdit2RqR1mGfVXPWz",
  "host": "76838001-b883-444d-90d0-46f89e942a15-bluemix.cloudant.com",
  "iam_apikey_description": "Auto generated apikey during resource-key [...]",
  "iam_apikey_name": "auto-generated-apikey-050d21b5-5f[...]",
  "iam_role_crn": "crn:v1:bluemix:public:iam::::serviceRole:Manager",
  "iam_serviceid_crn": "crn:v1:staging:public:iam-identity::[...]",
  "password": "8fb6a16b48903e87b769e7f4968521e85c2394ed8f0e69b2769e56dcb27d2e76",
  "port": 443,
  "url": "https://<username>:<password>@76838001-b883-444d-90d0-46f89e942a15-bluemix.cloudant.com",
  "username": "apikey-v2-58B528DF5397465BB6673E1B79482A8C"
}

이전 JSON 예의 각 값은 다음 정의를 사용하여 해석되어야 합니다.

apikey

IAM API 키입니다.

host

IBM Cloudant 서비스 호스트 이름.

iam_apikey_description

IAM API 키에 대한 설명입니다.

iam_apikey_name

IAM API 키의 ID입니다.

iam_role_crn

IAM API 키가 가진 IAM 역할입니다.

iam_serviceid_crn

서비스 ID의 CRN입니다.

password

IBM Cloudant 레거시 신임 정보 비밀번호입니다.

port

IBM Cloudant 서비스 포트.

url

임베디드 IBM Cloudant 레거시 신임 정보를 포함한 IBM Cloudant 서비스 URL.

username

IBM Cloudant 레거시 신임 정보 사용자 이름입니다.

포함된 username 및 password는 항상 IAM의 관리자 인증 정보와 동일합니다. 따라서 레거시 인증 정보와 IAM을 둘 다 사용을 Reader, Writer, Monitor 또는 Checkpointer IAM 역할과 함께 사용하는 것은 안전하지 않습니다.

두 액세스 제어 메커니즘의 장점 및 단점

전반적으로는 IBM Cloud IAM이 권장되는 인증 모델입니다. 그러나 기존 애플리케이션이 있거나 IBM Cloudant 지원 클라이언트 라이브러리를 사용할 수 없는 경우에는 이 접근법에 단점이 있습니다.

예제

소스 및 대상을 위한 IAM API 키 및 IBM Cloudant API 액세스를 위한 IAM API 키 생성

이 연습에서는 복제 프로세스 중에 두 인스턴스가 서로 통신할 수 있도록 처음 두 API 키가 생성됩니다. 세 번째 API 키는 IBM Cloudant API에 액세스하고, _replicator 데이터베이스를 작성하고, 여기에 복제 문서를 추가하는 사용자를 위한 키입니다.

다음 단계에 따라 IBM Cloudant를 위한 IAM API 키와 API 액세스를 생성하십시오. 예를 계속 진행하려면 다음 단계에서 요구되는 인증 정보를 기록해 두어야 합니다.

지정된 인스턴스(소스 또는 대상)를 선택했는지 확인하십시오.

1. cloud.ibm.com에 로그인하십시오.

2. 리소스 목록에서 서비스 및 소스 인스턴스를 선택하십시오.

   1. 서비스 인증 정보를 클릭하고 새 인증 정보를 클릭하십시오.

   2. 새 인증 정보의 이름을 replicator-source로 지정하고 관리자 역할을 선택하십시오.

   3. 추가를 클릭하고 조치 열의 인증 정보 보기에 있는 apikey를 기록해 두십시오.

3. 대상 인스턴스에 대해 2 - 2.c 단계를 반복하십시오.

   1. 관리자 역할을 포함하는 replicator-target이라는 인증 정보를 작성하십시오.

   2. 조치 열의 인증 정보 보기에 있는 해당 IAM API 키를 기록해 두십시오.

4. 소스 인스턴스를 선택하고 서비스 인증 정보 및 새 인증 정보를 클릭하십시오.

   1. 새 인증 정보의 이름을 apiaccess로 지정하고 관리자 역할을 선택하십시오.

   2. 조치 열의 인증 정보 보기에 있는 실제 IAM API 키를 기록해 두십시오.

5. 소스 및 대상 인스턴스 URL을 기록해 두십시오.

워크플로우에 따라, ‘API 키 생성’에 설명된 대로 서비스 수준 자격 증명을 생성하는 단계(4단계) 대신 개인용 IAM API 키를 사용할 수 있습니다.

IBM Cloud CLI 도구 체인을 사용하여 명령줄에서도 이 단계를 수행할 수 있습니다.

IBM Cloudant API에 인증하기 위한 Bearer 토큰 생성

4.b단계에서 apiaccess 키를 기록했습니다. 지금 해당 키를 사용하십시오.

curl -k -X POST \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --header "Accept: application/json" \
  --data-urlencode "grant_type=urn:ibm:params:oauth:grant-type:apikey" \
  --data-urlencode "apikey=aSCsx4...2lN97h_2Ts" \
  "https://iam.cloud.ibm.com/identity/token"

apiaccess 키는 다음 정보(축약됨)를 리턴합니다.

{
   "access_token": "eyJraWQiOiIyMDE5MD...tIwkCO9A",
   "refresh_token": "ReVbNrHo3UA38...mq67g",
   "token_type": "Bearer",
   "expires_in": 3600,
   "expiration": 1566313064,
   "scope": "ibm openid"
}

응답 데이터에 있는 access_token 키의 값을 사용하여, 입력하는 수고를 덜어 줄 환경 변수를 작성하십시오.

export TOK="Bearer eyJraWQiOiIyMDE5MD...tIwkCO9A"

소스 측에서 _replicator 데이터베이스 작성

URL은 이전에 4.b단계에서 작성한 소스 인스턴스 URL입니다.

curl -k -X PUT \
     -H"Content-type: application/json" \
     -H'Authorization: '"$TOK"'' \
     'https://d43caf1b-e2c8-4d3e-9b85-1d04839fa68f-bluemix.cloudant.com/_replicator'

다음 예의 결과를 참조하십시오.

{"ok": "true"}

복제 작업 작성

다음 정보를 포함하는 data.json이라는 파일을 작성하십시오. 두 키는 처음에 작성된 소스 및 대상 API 키이며, URL은 데이터베이스 이름이 추가된 소스 및 대상 인스턴스 URL입니다.

{
  "source": {
    "url": "https://d43caf1b-e2c8-4d3e-9b85-1d04839fa68f-bluemix.cloudant.com/source",
    "auth": {
      "iam": {
        "api_key": "xju1...TxuS"
      }
    }
  },
  "target": {
    "url": "https://dbc68dd8-f69f-4083-97dd-bf0a3e1a467a-bluemix.cloudant.com/target",
    "auth": {
      "iam": {
        "api_key": "UElc7...QIaL01Bjn"
      }
    }
  },
  "create_target": true,
  "continuous": true
}

이제 소스 인스턴스의 source_dest 데이터베이스에 _replicator라는 복제 문서를 작성하십시오.

curl -k -X PUT \
     -H"Content-type: application/json" \
     -H'Authorization: '"$TOK"'' \
     'https://d43caf1b-e2c8-4d3e-9b85-1d04839fa68f-bluemix.cloudant.com/_replicator/source_dest' -d@data.json

다음 예의 결과를 참조하십시오.

{"ok":true,"id":"source_dest","rev":"1-89b01e42968acd5944ed657b87c49f0c"}

필수 클라이언트 라이브러리 버전

IAM 연결은 지원되는 모든 클라이언트 라이브러리의 최신 릴리스에서 사용 가능합니다. 자세한 정보는 클라이언트 라이브러리 를 참조하십시오.

HTTP 클라이언트를 사용한 액세스

IBM Cloud IAM은 리소스 또는 서비스에 대해 요청하기 전에 시간 제한 액세스 토큰을 위해 IAM API 키를 교환할 것을 요구합니다. 그 후 이 액세스 토큰은 서비스에 대한 Authorization HTTP 헤더에 포함됩니다. 이 액세스 토큰이 만료되는 경우 클라이언트는 IAM 토큰 서비스로부터 새 토큰을 가져오는 작업을 처리해야 합니다.

이전에 언급한 바와 같이 IBM Cloud IAM을 사용하는 경우에는 먼저 시간 제한 액세스 토큰에 대한 IBM API 키를 교환해야 합니다. 그런 다음 해당 토큰을 사용하여 IBM Cloudant API에 대해 인증합니다.

Python에서 이 예의 양식은 다음과 같을 수 있습니다.

import time
import requests
API_KEY = "MxVp86XHkU82Wc97tdvDF8qM8B0Xdit2RqR1mGfVXPWz"
ACCOUNT = "76838001-b883-444d-90d0-46f89e942a15-bluemix"
def get_access_token(api_key):
    """Retrieve an access token from the IAM token service."""
    token_response = requests.post(
        "https://iam.cloud.ibm.com/identity/token",
        data={
            "grant_type": "urn:ibm:params:oauth:grant-type:apikey",
            "response_type": "cloud_iam",
            "apikey": api_key
        },
        headers={
            "Accept": "application/json"
        }
    )
    if token_response.status_code == 200:
        print "Got access token from IAM"
        return token_response.json()['access_token']
    else:
        print token_response.status_code, token_response.json()
        return None
def main(api_key, account):
    access_token = None
    while True:
        if not access_token:
            access_token = get_access_token(api_key)
        if access_token:
            response = requests.get(
                "https://{0}.cloudant.com/_all_dbs".format(account),
                headers={
                    "Accept": "application/json",
                    "Authorization": "Bearer {0}".format(access_token)
                }
            )
            print "Got Cloudant response, status code", response.status_code
            if response.status_code == 401:
                print "Token has expired."
                access_token = None
        time.sleep(1)
if __name__ == "__main__":
    main(API_KEY, ACCOUNT)

네트워크 영역 작성

IBM Cloudant 을 IAM 액세스 목록에 추가하려면 먼저 IBM Cloudant 서비스를 포함하는 네트워크 구역 을 작성해야 합니다.

네트워크 구역을 작성하려면 다음 단계를 완료하십시오.

1. IBM Cloud 콘솔에서 ‘ 관리 ’ > ‘ 상황에 따른 제한 사항 ’을 클릭한 다음, ‘ 네트워크 영역 ’을 선택합니다.
2. 작성을 클릭하십시오.
3. 고유 이름 (예: cloudant-network) 을 입력하고 선택적으로 설명을 입력하십시오.
4. Reference a service 에서 서비스 유형 IAM Services 및 서비스 IBM Cloudant 를 선택하십시오. 추가 를 클릭하여 IBM Cloudant IP 주소를 네트워크 구역과 연관시키십시오.
5. 네트워크 구역을 검토하려면 다음을 클릭하십시오.
6. 작성을 클릭하십시오.

IAM IP 허용 목록에서 네트워크 구역 참조

위에서 작성된 cloudant-network 라는 네트워크 구역 은 이제 IAM IP 허용 목록에서 사용할 수 있습니다.

1. IBM Cloud 콘솔에서 [ 관리 ] >를 클릭합니다 Access(IAM) 로 이동하여 ‘설정’을 선택합니다.
2. '계정' 섹션에서 IP 주소 액세스 설정을 활성화하세요.
3. Allowed IP addresses 필드에서 위에서 작성한 네트워크 영역의 이름을 추가하십시오 (예: cloudant-network).
4. 저장 을 클릭하십시오.

IBM Cloudant 역할

다음 표에는 IBM Cloudant의 사용 가능한 IAM 서비스 역할과 각각에 대한 간략한 설명이 나열되어 있습니다.

관리자는 독자 및 작성자의 모든 조치를 포함하며 작성자는 독자의 모든 조치를 포함합니다.

IBM Cloudant 조치

다음 표에는 사용 가능한 IAM 조치 및 역할이 설명되어 있습니다. 세분화된 권한 부여를 위해 역할에는 Manager, Reader, Writer, Monitor 및 Checkpointer 역할을 사용할 수 있습니다.

Manager, Reader, Writer 또는 Monitor와 같은 Checkpointer 이외의 IAM 역할을 사용하는 경우에는 더 큰 액세스 권한을 포함하는 레거시 인증 정보를 사용자에게 제공하지 않도록 반드시 IAM만 사용을 사용해야 합니다.

계정에서 IAM이 사용으로 설정되어 있는지 확인

"인증 방법"은 IBM Cloudant 대시보드의 개요 부분에 있는 배치 세부사항에 나열되어 있습니다. 사용자의 사용 가능한 인증 방법은 여기에 나열되어 있습니다.