IAM 认证

您可以使用 IAM 执行以下任务：

• 集中管理 IBM Cloud中的访问管理。
• 允许用户或服务使用同一套凭证（例如，相同的用户名和密码或 IAM API 密钥）访问许多不同的资源。
• 可以授予 IAM API 密钥对帐户管理功能（例如，创建新数据库）的访问权。

有关更多信息，请参阅 管理访问权 或 IAM概述。

认证

认证意味着证明您是谁。 通过提供用户凭证以进行验证来证明您的身份。

基本认证类似于在每次要输入时要检查的门上显示标识。 Cookie 认证类似于具有门的密钥，以便您可以随时随地让自己参与。 在 IBM Cloudant中，密钥是名为 AuthSession 的 cookie。

创建或使用性能关键型 IBM Cloudant 应用程序时，与基本认证相比，cookie 认证具有更多优势。 我们鼓励您尽可能使用 cookie 认证。

授权

认证后，下一个测试是决定是否允许您执行某些任务。 此决策称为授权。

向 IBM Cloudant 系统认证时，它会“知道”您的身份。 下一个问题是，您允许执行哪些任务?

您可以为 IBM Cloudant 系统的各个方面 (例如数据库或文档) 创建可执行的所有可能任务的完整列表。 这一方法虽然简单，但需要许多冗长的清单。 保持这些清单准确和完整是不切实际的。

更好的方法使用“角色”的想法。 可以将各种任务分组到某些通用角色的典型集合中。 例如，创建或删除数据库的任务是具有管理角色的人员的特征。 同样，创建或更新文档的任务是具有“编写”角色的人员的特征。

您将获得一个或多个角色，而不是明确列出您可以执行的每个任务。 如果您具有角色，那么可以执行与该角色关联的所有任务。

角色

以下部分仅适用于旧凭证。 有关将角色与 IAM 凭证配合使用的更多信息，请参阅 IBM Cloudant 角色。

IBM Cloudant 具有许多可用的角色。 可以将角色分配给用户帐户或 API 密钥。

下表定义了三个核心角色:

_reader 和 _writer 角色是互斥的。 如果用户具有 _writer 角色，那么他们无法读取自己创建的文档，除非他们 也 具有 _reader 角色。

您可能想要分配多个角色。 例如，用户可能需要对数据库中的文档进行读写操作，但不需要对数据库进行完全管理控制。 为满足此需求，将向用户的帐户授予 _reader 和 _writer 角色，但不授予 _admin 角色。

还提供了一些“重点突出”的角色。 这些端点提供特定 API 端点的许可权。 重点角色许可权类似于核心角色许可权，但 仅 应用于特定 API 端点。

下表定义了重点角色：

授予的访问权的性质取决于特定 API 端点。 例如， _design 角色提供允许用户或 API 密钥 创建，读取，修改或删除设计文档的访问权。 如果以此方式授予访问权，那么优点是无需分配更广泛适用的 _reader 或 _writer 角色。 此区分很有用，因为否则授权帐户可能会读取或写入数据库中的文档 (设计文档除外)。

用于登录到仪表板的凭证自动具有您创建的所有数据库的 _admin 角色。 必须为每个人和所有其他用户 (包括与您共享数据库的用户) 以及您创建的 API 密钥显式地授予角色以执行相应任务。

特殊 nobody 用户名适用于尝试执行任务但未向系统认证的任何人或任何应用程序。 换言之， nobody 用户名适用于所有未经认证的连接尝试。 例如，如果应用程序尝试从数据库中读取数据，但未标识自身，那么仅当 nobody 用户具有角色 _reader 时，该任务才能继续执行。

可以向 未认证的用户授予比向已认证的用户授予更强大的角色。 例如，如果有意授予 nobody 用户名 _admin， _reader 和 _writer 角色，但仅向已认证的用户帐户 (例如 alexone ) 授予 _reader 角色。 在这种情况下，未认证的用户可能比已认证的 alexone 用户具有更强大的角色。

了解 nobody 用户名 不是 提供一组缺省许可权的方法很重要。 而是使用 nobody 用户名来确定 未认证 用户的许可权。

API 密钥

以下部分仅适用于旧凭证。 有关将 API 密钥与 IAM 凭证配合使用的更多信息，请参阅 IAM API 密钥。

使用 API 密钥为人员或应用程序启用数据库访问，但不为该人员或应用程序创建新的 IBM Cloudant 帐户。 API 密钥是随机生成的用户名和密码。 该密钥将被授予数据库所需的访问许可权。

当生成密钥并授予必需的访问许可权时，可以使用 API 密钥的方式与普通用户帐户相同。

但是，API 密钥与普通用户帐户不同。 API 密钥无权访问仪表板。

API 密钥主要用于使应用程序能够访问具有确定的访问控制级别的数据库。

从 IBM Cloud® Public Germany 区域部署的所有 IBM Cloudant 实例都部署在欧盟管理的环境中。 任意 IBM Cloudant账户或 在欧盟管理环境之外生成的 API 密钥无法获准访问欧盟管理的 {{ite.data.keyword.cloudant_short_notm}} 实例。 访问欧盟管理的IBM Cloudant实例。 有关IBM Cloudant的更多信息 在欧盟管理的环境中，请参阅 位置和租赁。

将 _users 数据库与 IBM Cloudant 配合使用

以下部分仅适用于旧凭证。

您可以使用 _users 数据库，用于管理 IBM Cloudant中的角色。

必须对存储在 _users 数据库中的用户文档进行结构化和填充，以符合 Apache CouchDB 需求。

您可以通过设置 couchdb_auth_only:true 参数来禁用 IBM Cloudant 授权检查。 要禁用 IBM Cloudant 安全性， PUT JSON 文档到数据库的 _security 端点。 例如， https://$ACCOUNT.cloudant.com/$DATABASE/_security。

请参阅以下使用 HTTP 提交修改请求的示例:

PUT /$DATABASE/_security HTTP/1.1
Content-Type: application/json

请参阅以下示例以提交修改请求:

curl -H "Authorization: Bearer $API_BEARER_TOKEN" -X PUT "$SERVICE_URL/products/_security" -H "Content-Type: application/json" --data '{"members": {"names": ["user1", "user2"], "roles": ["developers"]}}'

import com.ibm.cloud.cloudant.v1.Cloudant;
import com.ibm.cloud.cloudant.v1.model.Ok;
import com.ibm.cloud.cloudant.v1.model.PutSecurityOptions;
import com.ibm.cloud.cloudant.v1.model.SecurityObject;

import java.util.Arrays;

Cloudant service = Cloudant.newInstance();

SecurityObject members = new SecurityObject.Builder()
    .names(Arrays.asList("user1", "user2"))
    .roles(Arrays.asList("developers"))
    .build();

PutSecurityOptions securityOptions =
    new PutSecurityOptions.Builder()
        .db("products")
        .members(members)
        .build();

Ok response =
    service.putSecurity(securityOptions).execute()
        .getResult();

System.out.println(response);

const { CloudantV1 } = require('@ibm-cloud/cloudant');

const service = CloudantV1.newInstance({});

const members: CloudantV1.SecurityObject = {
  names: ['user1', 'user2'],
  roles: ['developers']
};

service.putSecurity({
  db: 'products',
  members: members
}).then(response => {
  console.log(response.result);
});

from ibmcloudant.cloudant_v1 import CloudantV1, SecurityObject

service = CloudantV1.new_instance()

members = SecurityObject(
  names=['user1', 'user2'],
  roles=['developers']
)

response = service.put_security(
  db='products',
  members=members
).get_result()

print(response)

putSecurityOptions := service.NewPutSecurityOptions(
  "products",
)
putSecurityOptions.SetMembers(&cloudantv1.SecurityObject{
  Names: []string{"user1", "user2"},
  Roles: []string{"developers"},
})

ok, response, err := service.PutSecurity(putSecurityOptions)
if err != nil {
  panic(err)
}

b, _ := json.MarshalIndent(ok, "", "  ")
fmt.Println(string(b))

先前的 Go 示例需要以下导入块:

import (
   "encoding/json"
   "fmt"
   "github.com/IBM/cloudant-go-sdk/cloudantv1"
)

所有 Go 示例都需要初始化 service 对象。 有关更多信息，请参阅 API 文档的 认证部分 以获取示例。

请参阅 JSON 格式的以下示例修改请求:

{
	"couchdb_auth_only": true,
	"members": {
		"names": ["member"],"roles":[]
	},
	"admins": {
		"names": ["admin"],"roles":[]
	}
}

请参阅来自修改请求的以下示例响应:

{
	"ok" : true
}