Fonctions IAM IBM Cloud

Les fonctions IAM suivantes sont implémentées pour le service géré Db2 on Cloud avec deux types d'identités prises en charge :

Rôles et actions

Chaque utilisateur qui accède au service Db2 on Cloud dans votre compte doit se voir attribuer une règle d'accès avec un rôle IAM. La règle d'accès que vous attribuez aux utilisateurs de votre compte détermine les actions qu'un utilisateur peut effectuer dans le contexte du service ou de l'instance spécifique que vous sélectionnez. Les actions autorisées sont personnalisées et définies par Db2 on Cloud en tant qu'opérations pouvant être réalisées sur le service. Chaque action est associée à une plateforme IAM ou à un rôle de service que vous pouvez attribuer à un utilisateur. Si un rôle spécifique et ses actions ne correspondent pas au cas d'utilisation que vous recherchez, vous pouvez créer un rôle personnalisé et sélectionner les actions à inclure.

Pour plus d'informations sur les actions exactes mappées à chaque rôle, voir Rôles et actions IAM et Db2.

Prérequis

• Db2 Client V11.1 FP3 ou version ultérieure.
• Vous devez utiliser des connexions SSL via le port 50001.
• Configuration de votre client Db2.
• Cataloguez votre base de données. Voir Connexion à votre base de données: étape 2.

Connexions client et connexions utilisateur

Les méthodes suivantes peuvent être utilisées pour l'authentification IAM :

curl -k -X POST \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --header "Accept: application/json" \
  --data-urlencode "grant_type=urn:ibm:params:oauth:grant-type:apikey" \
  --data-urlencode "apikey=<apikey>" \
  "https://iam.cloud.ibm.com/identity/token"

Interfaces prises en charge

Les interfaces client de base de données suivantes sont prises en charge :

• ODBC
• CLP
• CLPPLUS
• JDBC

db2cli writecfg add -dsn <dsn_alias> -database <database_name> -host <host_name_or_IP_address> -port 50001 -parameter "Authentication=GSSPLUGIN;SecurityTransportMode=SSL"

<?xml version="1.0" encoding="UTF-8" standalone="no" ?>
<configuration>
        <dsncollection>
        <dsn alias="<data_source_name>" name="bludb" host="<host_name_or_IP_address>" port="50001">
            <parameter name="Authentication" value="GSSPLUGIN"/>
            <parameter name="SecurityTransportMode" value="SSL"/>
        </dsn>
        </dsncollection>
        <databases>
            <database name="bludb" host="<host_name_or_IP_address>" port="50001"/>
        </databases>
</configuration>

Expérience utilisateur de la console

La page de connexion de la console de service a la possibilité de se connecter avec votre IBMid et votre mot de passe. Après avoir cliqué sur le bouton Se connecter avec un IBMid, l'utilisateur est dirigé vers la page de connexion IAM, sur laquelle le mot de passe est entré. Une fois l'authentification terminée, l'utilisateur est redirigé vers la console. Avant qu'une telle connexion puisse être réussie, l'utilisateur IBMid doit être ajouté à chaque instance de service de base de données par l'administrateur de base de données via la console ou l'API REST. Comme pour tout utilisateur ne disposant pas d'un IBMid, il est nécessaire de saisir un ID utilisateur pour l'instance de service de base de données lors de l'ajout de l'utilisateur doté d'un IBMid. L'ID utilisateur doit être unique dans l'instance du service de base de données. Il s'agit également de l'ID d'autorisation (AUTH) au sein de la base de données.

Pour ajouter un utilisateur avec un IBMid ou un ID de service à l'aide de la console Web, procédez comme suit :

1. Connectez-vous en tant qu'utilisateur disposant des privilèges d'administrateur.

2. Dans le menu déroulant de droite, sélectionnez Gérer des utilisateurs.

   

3. Sur l'onglet Utilisateurs sélectionné, cliquez sur Ajouter.

   

4. Sélectionnez Ajouter un utilisateur IBMid.

   

5. Entrez un ID utilisateur et un IBMid dans les zones fournies. Cliquez sur Créer.

   La zone IBMid peut être utilisée pour indiquer un IBMid ou un ID de service pour l'utilisateur.

Expérience de l'API REST

L'API REST Db2 on Cloud a été améliorée afin d'accepter également un jeton d'accès IAM pour les fonctions qui, auparavant, acceptaient un jeton d'accès généré par un service de base de données.

• Pour ajouter un nouvel utilisateur IBMid, exécutez l'exemple d'appel API suivant :

  curl --tlsv1.2 "https://<IPaddress>/dbapi/v3/users" -H "Authorization: Bearer <access_token>" -H "accept: application/json" -H "Content-Type: application/json" -d "{"id":"<userid>","ibmid":"<userid>@<email_address_domain>","role":"bluadmin","locked":"no","iam":true}"
  

  La valeur userid (ID utilisateur) de "id" ne peut pas correspondre à l'ID de messagerie électronique complet. Elle peut correspondre à la première partie de l'ID de messagerie électronique, mais ce n'est pas nécessaire. Les deux ID différents ne sont pas liés entre eux. Par exemple, si votre "ibmid" est abc@us.ibm.com, vous pouvez spécifier abc ou def comme ID, mais vous ne pouvez pas spécifier abc@us.ibm.com.

• Pour migrer un utilisateur de base de données sans IBMid existant (par exemple, abcuser) et en faire un utilisateur IBMid, commencez par supprimer l'ID utilisateur non IBMid en exécutant l'exemple d'appel API suivant :

  curl --tlsv1.2 -X DELETE "https://<IPaddress>/dbapi/v3/users/abcuser" -H "Authorization: Bearer <access_token>" -H "accept: application/json" -H "Content-Type: application/json"
  

  Ensuite, ajoutez de nouveau l'utilisateur doté d'un IBMid identique au précédent ID utilisateur (abcuser) en exécutant l'exemple d'appel API suivant :

  curl --tlsv1.2 "https://<IPaddress>/dbapi/v3/users" -H "Authorization: Bearer <access_token>" -H "accept: application/json" -H "Content-Type: application/json" -d "{"id":"abcuser","ibmid":"abcuser@<email_address_domain>","role":"bluadmin","locked":"no","iam":true}"
  

  Comme l'ID utilisateur (abcuser) reste le même pour le nouvel IBMid de cet utilisateur, les permissions accordées à l'utilisateur pour la base de données restent les mêmes. Si une liste d'utilisateurs de base de données non IBMid existants doit être migrée afin d'en faire des utilisateurs IBMid, vous devez exécuter la précédente paire d'appels API pour chaque utilisateur.

• Pour ajouter un grand nombre de nouveaux utilisateurs IBMid en une seule opération, créez un fichier de traitement par lots répertoriant les exemples d'appels API suivants, un pour chaque utilisateur :

  curl --tlsv1.2 "https://<IPaddress>/dbapi/v3/users" -H "Authorization: Bearer <access_token>" -H "accept: application/json" -H "Content-Type: application/json" -d "{"id":"<userid1>","ibmid":"<userid1>@<email_address_domain>","role":"bluadmin","locked":"no","iam":true}"
  curl --tlsv1.2 "https://<IPaddress>/dbapi/v3/users" -H "Authorization: Bearer <access_token>" -H "accept: application/json" -H "Content-Type: application/json" -d "{"id":"<userid2>","ibmid":"<userid2>@<email_address_domain>","role":"bluadmin","locked":"no","iam":true}"
  .
  .
  .
  

Pour plus de détails sur l'API de votre service, voir API REST Db2 on Cloud.

Fédération avec l'IBMid

Pour utiliser votre propre fournisseur d'identité tel que LDAP, vous devez d'abord fédérer votre serveur LDAP avec IBMid. Pour des instructions sur la fédération de votre serveur LDAP avec IBMid, voir IBMid Enterprise Federation-Guide d'adoption. Une fois que la fédération IBMid est terminée et que les utilisateurs autorisés ont été ajoutés à l'instance du service de base de données par l'administrateur de la base de données, ces utilisateurs peuvent se connecter à la console avec le nom utilisateur de leur entreprise et le mot de passe. Ces utilisateurs peuvent aussi utiliser un jeton d'accès ou une clé d'interface de programmation qui représente leur ID utilisateur pour se connecter à l'instance de service de base de données via l'une des interfaces client de base de données prises en charge.

Restrictions

Les restrictions suivantes s'appliquent à l'authentification IAM :

• L'authentification IAM pour un client Db2 qui se connecte à un serveur Db2 n'est prise en charge que par le biais d'une connexion SSL.
• La fédération IBMid est prise en charge pour permettre l'utilisation d'un portail ou d'un serveur de gestion des utilisateurs personnalisé pour l'authentification. Ce type de prise en charge n'inclut aucune fédération de groupe. Actuellement, la prise en charge d'AppID n'est pas fournie, mais cette prise en charge sera ajoutée à l'avenir.
• L'authentification IAM pour la fédération de base de données n'est pas pris en charge.
• L'exécution de commandes IDA et d'extensions définies par l'utilisateur (UDX) via CLPPlus n'est pas prise en charge.
• Le pilote JDBC Type 2 n'est pas pris en charge.