Características de IAM de IBM Cloud

Las siguientes características de IAM están implementadas en el servicio gestionado de Db2 on Cloud con dos tipos de identidades admitidas:

Roles y acciones

A cada usuario que acceda al servicio Db2 on Cloud en la cuenta se le debe asignar una política de acceso con un rol de IAM. La política de acceso que asigne a los usuarios de la cuenta determina las acciones que un usuario puede realizar en el contexto del servicio o la instancia específica que seleccione. Las acciones permitidas se personalizan y definen mediante Db2 on Cloud como operaciones que se permiten realizar en el servicio. Cada acción se correlaciona con una plataforma de IAM o un rol de servicio que puede asignar a un usuario. Si un rol específico y sus acciones no se ajustan al caso práctico que desea abordar, puede crear un rol personalizado y seleccionar las acciones que desea incluir.

Para obtener información sobre las acciones exactas correlacionadas con cada rol, consulte Roles y acciones de IAM y Db2.

Requisitos previos

• Cliente Db2 V11.1 FP3 o posterior.
• Debe utilizar conexiones SSL a través del puerto 50001.
• Configurar el cliente de Db2.
• Catalogue la base de datos. Consulte Conexión a la base de datos: paso 2.

Conexiones de cliente e inicios de sesión de usuario

Es posible utilizar los métodos siguientes para la autenticación de IAM:

curl -k -X POST \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --header "Accept: application/json" \
  --data-urlencode "grant_type=urn:ibm:params:oauth:grant-type:apikey" \
  --data-urlencode "apikey=<apikey>" \
  "https://iam.cloud.ibm.com/identity/token"

Interfaces soportadas

Se ofrece soporte a las interfaces de cliente de base de datos siguientes:

• ODBC
• CLP
• CLPPLUS
• JDBC

db2cli writecfg add -dsn <dsn_alias> -database <database_name> -host <host_name_or_IP_address> -port 50001 -parameter "Authentication=GSSPLUGIN;SecurityTransportMode=SSL"

<?xml version="1.0" encoding="UTF-8" standalone="no" ?>
<configuration>
        <dsncollection>
        <dsn alias="<data_source_name>" name="bludb" host="<host_name_or_IP_address>" port="50001">
            <parameter name="Authentication" value="GSSPLUGIN"/>
            <parameter name="SecurityTransportMode" value="SSL"/>
        </dsn>
        </dsncollection>
        <databases>
            <database name="bludb" host="<host_name_or_IP_address>" port="50001"/>
        </databases>
</configuration>

Experiencia del usuario de consola

La página de inicio de sesión de la consola de servicio ofrece la opción de iniciar sesión con el IBMid y la contraseña. Después de pulsar el botón Iniciar sesión mediante IBMid, el usuario se dirige a la página de inicio de sesión de IAM en la que especifica la contraseña. Cuando se haya completado la autenticación, el usuario se redirigirá de nuevo a la consola. Para que el inicio de sesión se realice correctamente, el administrador de la base de datos debe añadir al usuario IBMid a cada instancia de servicio de base de datos mediante la consola o la API REST. Al igual que para los usuarios sin IBMid, debe introducirse un ID de usuario para la instancia de servicio de base de datos al mismo tiempo que se agrega el usuario IBMid. El ID de usuario debe ser exclusivo en la instancia de servicio de base de datos. Este ID de usuario también es el ID de autorización (AUTH) en la base de datos.

Para añadir un usuario con un IBMid o un ID de servicio mediante la consola web, realice los pasos siguientes:

1. Inicie la sesión como usuario con privilegios de administrador.

2. En el menú desplegable de la derecha, seleccione Gestionar usuarios.

   

3. Con el separador Usuarios seleccionado, pulse Añadir.

   

4. Seleccione Añadir usuario IBMid.

   

5. Especifique un ID de usuario y un IBMid en los campos que se proporcionan. Pulse Crear.

   El campo IBMid se puede utilizar para especificar un IBMid o un ID de servicio para el usuario.

Experiencia de API REST

La API REST de Db2 on Cloud se ha mejorado para admitir también una señal de acceso de IAM para las funciones que han aceptado previamente una señal de acceso generada por servicio de base de datos.

• Para añadir un nuevo usuario de IBMid, ejecute la siguiente llamada de API de ejemplo:

  curl --tlsv1.2 "https://<IPaddress>/dbapi/v3/users" -H "Authorization: Bearer <access_token>" -H "accept: application/json" -H "Content-Type: application/json" -d "{"id":"<userid>","ibmid":"<userid>@<email_address_domain>","role":"bluadmin","locked":"no","iam":true}"
  

  El valor de ID de usuario para "id" no puede coincidir con el ID de correo electrónico completo. Puede coincidir con la primera parte del ID de correo electrónico, pero no es necesario. Los dos identificadores distintos no están enlazados de ninguna manera. Por ejemplo, si "ibmid" es abc@us.ibm.com, podría especificar abc como el ID, o podría especificar def por ejemplo, pero no puede especificar abc@us.ibm.com.

• Para migrar un usuario de la base de datos que no sea IBMid (por ejemplo, abcuser) y transformarlo en un usuario IBMid, suprima primero el ID de usuario que no sea IBMid ejecutando la siguiente llamada API de ejemplo:

  curl --tlsv1.2 -X DELETE "https://<IPaddress>/dbapi/v3/users/abcuser" -H "Authorization: Bearer <access_token>" -H "accept: application/json" -H "Content-Type: application/json"
  

  A continuación, vuelva a añadir el usuario con un IBMid que sea el mismo que el ID de usuario anterior (abcuser) ejecutando la siguiente llamada de API de ejemplo:

  curl --tlsv1.2 "https://<IPaddress>/dbapi/v3/users" -H "Authorization: Bearer <access_token>" -H "accept: application/json" -H "Content-Type: application/json" -d "{"id":"abcuser","ibmid":"abcuser@<email_address_domain>","role":"bluadmin","locked":"no","iam":true}"
  

  Puesto que el ID de usuario (abcuser) sigue siendo el mismo para el nuevo IBMid para ese usuario, los permisos de base de datos otorgados al usuario permanecerán sin modificaciones. Si es necesario migrar una lista de usuarios de base de datos que no sean IBMid para convertirlos en usuarios IBMid, debe ejecutar las dos llamadas de API anteriores para cada usuario.

• Para añadir muchos usuarios IBMid nuevos de una vez, cree un archivo de proceso por lotes que liste las siguientes llamadas de API de ejemplo, una para cada usuario:

  curl --tlsv1.2 "https://<IPaddress>/dbapi/v3/users" -H "Authorization: Bearer <access_token>" -H "accept: application/json" -H "Content-Type: application/json" -d "{"id":"<userid1>","ibmid":"<userid1>@<email_address_domain>","role":"bluadmin","locked":"no","iam":true}"
  curl --tlsv1.2 "https://<IPaddress>/dbapi/v3/users" -H "Authorization: Bearer <access_token>" -H "accept: application/json" -H "Content-Type: application/json" -d "{"id":"<userid2>","ibmid":"<userid2>@<email_address_domain>","role":"bluadmin","locked":"no","iam":true}"
  .
  .
  .
  

Para obtener más detalles sobre la API del servicio, consulte: API REST de Db2 on Cloud.

Federación de IBMid

Para utilizar su propio proveedor de identidad como, por ejemplo, LDAP, primero debe federar el servidor LDAP con IBMid. Para obtener instrucciones sobre cómo federar el servidor LDAP con IBMid, consulte: Guía de adopción de IBMid Enterprise Federation. Una vez que se haya completado la federación de IBMid y que el administrador de base de datos haya añadido los usuarios con permiso a la instancia de servicio de la base de datos, los usuarios podrán iniciar sesión en la consola con el ID de usuario y la contraseña de su empresa. Como alternativa, estos usuarios pueden utilizar una señal de acceso o clave de API que represente su ID de usuario para conectarse a la instancia de servicio de base de datos a través de una de las interfaces de cliente de base de datos admitidas.

Restricciones

Las restricciones siguientes se refieren a la autenticación de IAM:

• La autenticación de IAM para un cliente Db2 que se está conectando a un servidor Db2 solo se admite a través de una conexión SSL.
• La federación de IBMid está soportada para permitir que el servidor o el portal de gestión de usuarios personalizado se utilicen en la autenticación. Este tipo de soporte no incluye ninguna federación de grupo. Actualmente, el soporte de AppID no se proporciona, aunque este soporte se añadirá en el futuro.
• La autenticación de IAM para la federación de base de datos no está soportada.
• La ejecución de mandatos de extensiones definidas por el usuario (UDX) e IDA mediante CLPPlus no está soportada.
• El controlador JDBC de tipo 2 no está soportado.