Benutzer in die Konsole einladen

Führen Sie die folgenden Schritte aus, um Benutzer einzuladen:

1. Klicken Sie in der IBM Cloud-Konsole auf Verwalten > Zugriff (IAM) und wählen Sie Benutzer aus.

2. Klicken Sie auf Benutzer einladen.

3. Geben Sie die E-Mail-Adressen der Benutzer an. Wenn Sie mehrere Benutzer mit einer einzigen Einladung einladen, wird diesen Benutzern die gleiche Zugriffsberechtigung erteilt. Sie können die Mitgliedschaft auf Ihr Konto basierend auf der Domäne der eingeladenen Benutzer beschränken. Auf diese Weise können nur Benutzer aus einer bestimmten Domäne zum Konto eingeladen werden.

   Weitere Informationen finden Sie unter Benutzerdomänen für Kontoeinladungen beschränken.

4. Fügen Sie eine oder mehrere der von Ihnen verwalteten Zugriffsoptionen hinzu. Sie müssen mindestens eine Zugriffsoption zuweisen. Bei allen nicht hinzugefügten und nicht konfigurierten Zugriffsoptionen wird der Standardwert Kein Zugriff zugewiesen. Abhängig von den Optionen, zu deren Verwaltung Sie berechtigt sind, können Sie folgende Zugriffstypen zuweisen:

   • Benutzer zu Zugriffsgruppen hinzufügen. Klicken Sie bei jeder Zugriffsgruppe, zu der die Benutzer gehören sollen, auf Hinzufügen.
   • Benutzern manuell Zugriffsberechtigungen zuweisen. Erweitern Sie den Abschnitt, um individuelle IAM-Zugriffsrichtlinien oder klassische Infrastrukturberechtigungen zuzuweisen.
     • Wählen Sie Klassische Infrastruktur aus und wählen Sie anschließend eines der drei Berechtigungssets aus.
     • Wählen Sie eine Gruppe von Diensten, z. B. Alle Identitäts- und Zugriffsdienste, Alle Kontoverwaltungsdienste und Alle IAM-Kontoverwaltungsdienste, oder einen bestimmten Dienst. Als Nächstes können Sie als Gültigkeitsbereich des Zugriffs das gesamte Konto oder nur eine Ressourcengruppe festlegen. Wählen Sie anschließend alle entsprechenden Rollen aus. Um anzuzeigen, welche Aktionen den einzelnen Rollen zugeordnet sind, können Sie auf die Nummern klicken, die neben den einzelnen Rollen aufgelistet sind. Einige Services unterstützen die Verwendung erweiterter Operatoren für die Erteilung des Zugriffs auf Ressourcen, die bestimmte Namenskonventionen erfüllen. Weitere Informationen finden Sie in Zugriffsberechtigungen mithilfe von Platzhalterrichtlinien zuweisen.
     • Wählen Sie Kontoverwaltung aus und wählen Sie anschließend eine Möglichkeit in der Option "Alle Kontoverwaltungsservices" aus oder wählen Sie einen bestimmten Service aus. Wählen Sie anschließend alle entsprechenden Rollen aus.

5. Wählen Sie Hinzufügen aus, um die Zugriffszuweisung mit der Einladung zu speichern.

6. Klicken Sie nach dem Hinzufügen aller erforderlichen Zugriffszuweisungen auf Einladen.

Sie können eine Einladung für alle Benutzer stornieren, die in der Spalte "Status" der Seite Benutzer als in Bearbeitung oder in der Warteschlange stehend angezeigt werden. Wenn ein eingeladener Benutzer keine Einladung empfangen hat, können Sie die Einladung an jeden Benutzer mit dem Status "Anstehend" erneut senden. Sie können weitere Richtlinien und Berechtigungen erst hinzufügen, sobald ein Benutzer die Einladung akzeptiert hat.

Benutzer mit Status 'Nur VPN' hinzufügen

Jeder Benutzer, der über die nachfolgend aufgeführten Berechtigungen verfügt, kann einen Benutzer mit dem Status 'Nur VPN' hinzufügen:

• Für die klassische Infrastruktur benötigen Sie die Berechtigung 'Benutzer verwalten' für das Konto.
• Für den IAM-Zugriff benötigen Sie die Rolle eines Administrators oder Bearbeiters für den Benutzer- und Kontoverwaltungsservice.

Führen Sie die folgenden Schritte aus, um einen Benutzer mit dem Status 'Nur VPN' hinzuzufügen:

1. Klicken Sie auf der Seite "Benutzer" auf Benutzer mit Status 'Nur VPN' hinzufügen.
2. Geben Sie die personenbezogenen Daten des Benutzers ein.
3. Klicken Sie auf Speichern.

Benutzer über die Befehlszeilenschnittstelle (CLI) einladen

Führen Sie zum Einladen von Benutzern über die Befehlszeilenschnittstelle den folgenden Befehl aus:

ibmcloud account user-invite USER_EMAIL [-o ORG [--org-role ORG_ROLE] [-s SPACE, --space-role SPACE_ROLE]]

Wenn Sie die CLI verwenden, können Sie den Zugang nicht zuweisen und die Zuweisung zu einem späteren Zeitpunkt vornehmen. Weitere Informationen zu den Befehlsparametern finden Sie in ibmcloud account user-invite.

Benutzer über die API einladen

Sie können die API verwenden, um mehrere Benutzer gleichzeitig einzuladen. Allen Benutzern, die in eine einzelne Einladung einbezogen sind, werden dieselben Zugriffsberechtigungen zugewiesen. Wenn Sie Benutzer über die API einladen, geben Sie die E-Mail-Adressen in einer durch Kommas unterteilten Auflistung ein. Setzen Sie die einzelnen Einträge in Anführungszeichen. In diesem Beispiel wird der Zugriff durch Hinzufügen des Benutzers zu einer Zugriffsgruppe zugewiesen.

curl -X POST https://user-management.cloud.ibm.com/v2/accounts/987d4cfd77b04e9b9e1a6asdcc861234/users -H 'Authorization: Bearer <IAM_TOKEN>'
  -H 'Content-Type: application/json' -d '{
      "users": [
      {
        "email": "cloud_api_example_member@ibm.com",
        "account_role": "Member"
      }],
      "iam_policy": [{
        "type": "access",
        "roles": [{
          "role_id": "crn:v1:bluemix:public:iam::::role:Viewer"
        }],
        "resources": [{
          "attributes": [{
              "name": "accountId",
              "value": "987d4cfd77b04e9b9e1a6asdcc861234"
            },
            {
              "name": "resourceType",
              "value": "resource-group"
            },
            {
              "name": "resource",
              "value": "2c7449dd871049c29ec3a53853ce123e"
            }
          ]
        }]
      }],
      "access_groups":[
        "AccessGroupId-******-0f54-4d4f-89c2-e5fdc0b9a28c",
        "AccessGroupId-******-3087-4395-a382-a8e8ff9ccc23"
      ]
    }'

InviteUser inviteUserModel = new InviteUser.Builder()
        .email(memberEmail)
        .accountRole("Member")
        .build();
Role roleModel = new Role.Builder()
        .roleId(viewerRoleId)
        .build();
Attribute attributeModel = new Attribute.Builder()
        .name("accountId")
        .value(accountId)
        .build();
Attribute attributeModel2 = new Attribute.Builder()
        .name("resourceGroupId")
        .value("*")
        .build();
Resource resourceModel = new Resource.Builder()
        .addAttributes(attributeModel)
        .addAttributes(attributeModel2)
        .build();
InviteUserIamPolicy inviteUserIamPolicyModel = new InviteUserIamPolicy.Builder()
        .type("access")
        .addRoles(roleModel)
        .addResources(resourceModel)
        .build();
InviteUsersOptions inviteUsersOptions = new InviteUsersOptions.Builder()
        .accountId(accountId)
        .addUsers(inviteUserModel)
        .addIamPolicy(inviteUserIamPolicyModel)
        .addAccessGroups(accessGroupId)
        .build();
Response<InvitedUserList> response = adminService.inviteUsers(inviteUsersOptions).execute();
InvitedUserList invitedUserList = response.getResult();
System.out.println(invitedUserList);

const inviteUserModel = {
  email: memberEmail,
  account_role: 'Member',
};
const roleModel = {
  role_id: viewerRoleId,
};
const attributeModel = {
  name: 'accountId',
  value: accountId,
};
const attributeModel2 = {
  name: 'resourceGroupId',
  value: '*',
};
const resourceModel = {
  attributes: [attributeModel, attributeModel2],
};
const inviteUserIamPolicyModel = {
  type: 'access',
  roles: [roleModel],
  resources: [resourceModel],
};
const params = {
  accountId: accountId,
  users: [inviteUserModel],
  iamPolicy: [inviteUserIamPolicyModel],
  accessGroups: [accessGroupId],
};
userManagementAdminService.inviteUsers(params)
  .then(res => {
    deleteUserId = res.result.resources[0].id;
    console.log(JSON.stringify(res.result, null, 2));
  })
  .catch(err => {
    console.warn(err)
  });

invite_user_model = {
  'email': member_email,
  'account_role': 'Member'
}
role_model = {'role_id': viewer_role_id}
attribute_model = {'name': 'accountId', 'value': account_id}
attribute_model2 = {'name': 'resourceGroupId', 'value': '*'}
resource_model = {'attributes': [attribute_model, attribute_model2]}
invite_user_iam_policy_model = {
  'type': 'access',
  'roles': [role_model],
  'resources': [resource_model]
}
invite_user_response = user_management_admin_service.invite_users(
  account_id=account_id,
  users=[invite_user_model],
  iam_policy=[invite_user_iam_policy_model],
  access_groups=[access_group_id]
).get_result()
print(json.dumps(invite_user_response, indent=2))

inviteUserModel := &usermanagementv1.InviteUser{
  Email:       &memberEmail,
  AccountRole: core.StringPtr("Member"),
}
roleModel := &usermanagementv1.Role{
  RoleID: &viewerRoleID,
}
attributeModel := &usermanagementv1.Attribute{
  Name:  core.StringPtr("accountId"),
  Value: &accountID,
}
attributeModel2 := &usermanagementv1.Attribute{
  Name:  core.StringPtr("resourceGroupId"),
  Value: core.StringPtr("*"),
}
resourceModel := &usermanagementv1.Resource{
  Attributes: []usermanagementv1.Attribute{*attributeModel, *attributeModel2},
}
inviteUserIamPolicyModel := &usermanagementv1.InviteUserIamPolicy{
  Type:      core.StringPtr("access"),
  Roles:     []usermanagementv1.Role{*roleModel},
  Resources: []usermanagementv1.Resource{*resourceModel},
}
inviteUsersOptions := &usermanagementv1.InviteUsersOptions{
  AccountID:    &accountID,
  Users:        []usermanagementv1.InviteUser{*inviteUserModel},
  IamPolicy:    []usermanagementv1.InviteUserIamPolicy{*inviteUserIamPolicyModel},
  AccessGroups: []string{accessGroupID},
}
invitedUserList, response, err := userManagementAdminService.InviteUsers(inviteUsersOptions)
if err != nil {
  panic(err)
}
b, _ := json.MarshalIndent(invitedUserList, "", "  ")
fmt.Println(string(b))

Sie können den Zugang zu einer Gruppe von Diensten zuweisen. Um den Zugang zu allen identitäts- und zugriffsfähigen Diensten zuzuweisen, geben Sie " serviceType für das Attribut " name an und verwenden Sie " value " service. Um den Zugang zu allen Kontoverwaltungsdiensten zu gewähren, geben Sie " serviceType für das Attribut " name an und verwenden Sie " value und " platform_service. Um den Zugriff auf die Untergruppe der Kontoverwaltungsdienste Alle IAM-Kontoverwaltungsdienste zuzuweisen, geben Sie " service_group_id für das Attribut " name an und verwenden Sie " value " IAM.

Benutzer mittels Terraform einladen

Sie können Benutzer mithilfe von Terraform zu Ihrem IBM Cloud-Konto einladen.

1. Erstellen Sie ein Argument in Ihrer Datei " main.tf. Das folgende Beispiel lädt Benutzer mithilfe der Ressource ibm_iam_user_invite ein, wobei users die Liste der einzuladenden E-Mail-IDs der Benutzer ist.

   resource "ibm_iam_user_invite" "invite_user" {
    users = ["test@in.ibm.com"]
   }
   

   Weitere Informationen finden Sie in den Argumentreferenzdetails auf der Terraform-Seite Identity and Access Management(IAM ).
2. Bereitstellung der Ressourcen aus der Datei " main.tf. Weitere Informationen finden Sie unter Bereitstellung der Infrastruktur mit Terraform.
   1. Führen Sie ' terraform plan aus, um einen Terraform-Ausführungsplan zu erstellen, der eine Vorschau auf die vorgeschlagenen Aktionen enthält.

      terraform plan
      

   2. Führen Sie ' terraform apply aus, um die im Plan definierten Ressourcen zu erstellen.

      terraform apply
      

Anstehende Einladungen stornieren oder erneut senden

Nachdem Sie neue Benutzer eingeladen haben, Ihrem Konto beizutreten, macht IBM Cloud es mit Ausnahme von reinen VPN-Benutzern für alle Benutzer erforderlich, dass sie die Einladung akzeptieren, damit sie zu einem aktiven Benutzer in Ihrem Konto werden.

Die Einladung läuft nach 30 Tagen ab. Neue IBM Cloud-Benutzer können eine Einladung nur mithilfe des Einladungslinks akzeptieren, den sie per E-Mail erhalten haben.

Sie können eine Einladung für alle Benutzer stornieren, die in der Spalte "Status" der Seite Benutzer als in Bearbeitung oder in der Warteschlange stehend angezeigt werden. Wenn ein eingeladener Benutzer keine Einladung empfangen hat, können Sie die Einladung an jeden Benutzer mit dem Status "Anstehend" erneut senden.

1. Gehen Sie zur Seite Benutzer.
2. Suchen Sie die Zeile für den Benutzer im Status Processing oder Pending.
3. Klicken Sie auf das Symbol Aktionen und wählen Sie dann Einladung erneut senden oder Einladung abbrechen.

Einladungen in der Konsole akzeptieren

Wenn der eingeladene Benutzer bereits Mitglied von IBM Cloud ist, empfängt er in seinen Benachrichtigungen und per E-Mail einen Einladungslink. Auf der Seite "Benachrichtigungen" können Benutzer das Suchfeld verwenden, um eine Einladung zu finden oder nach dem Benachrichtigungstyp " account " zu filtern. Weitere Informationen finden Sie unter Verwalten von Einladungsbenachrichtigungen und Anzeigen von Benachrichtigungen.

Einladungen über die Befehlszeilenschnittstelle akzeptieren

Wenn der eingeladene Benutzer bereits Mitglied von IBM Cloud ist, kann er Einladungen über die Befehlszeilenschnittstelle annehmen. Im folgenden ibmcloud login Befehl ist die ACCOUNT_ID die ID des Zielgruppenaccounts, zu dem der Benutzer eingeladen wird.

ibmcloud login -c ACCOUNT_ID --accept

Einladungen über die API akzeptieren

Wenn der eingeladene Benutzer bereits Mitglied von IBM Cloud ist, kann er Einladungen über die API annehmen. Im folgenden Beispiel ist ACCOUNT_ID die ID des Zielkontos, zu dem der Benutzer eingeladen werden soll, und das Element IAM_TOKEN gehört zum Eingeladenen.

curl -X POST \
  'https://iam.cloud.ibm.com/v2/users/accept' \
  --header 'Authorization: Bearer <IAM_TOKEN>' \
  --header 'Content-Type: application/json' \
  --data-raw '{
    "account_id": "<ACCOUNT ID>"
  }

Entfernen eines Benutzers aus einem Konto mithilfe der Konsole

Wenn Sie einen Benutzer aus einem Konto entfernen, kann dieser Benutzer sich nicht mehr an der Konsole anmelden, zu Ihrem Konto wechseln oder auf Kontoressourcen zugreifen. Wenn ein Benutzer aus einem Konto entfernt wird, bedeutet das nicht, dass die IBMid für diesen Benutzer gelöscht wird.

Führen Sie die folgenden Schritte aus, um einen Benutzer aus einem Konto zu entfernen:

1. Klicken Sie in der IBM Cloud®-Konsole auf Verwalten > Zugriff (IAM) und wählen Sie Benutzer aus.
2. Klicken Sie in der Zeile des Benutzers, den Sie entfernen wollen, auf das Symbol Aktionen > Benutzer entfernen.

Alle von diesem Benutzer erstellten Ressourcen verbleiben im Konto, vom Benutzer erstellte IBM Cloud-API-Schlüssel werden jedoch entfernt. Der Benutzer verfügt nicht mehr über die Zugriffsberechtigung zum Arbeiten mit den von ihm erstellten Ressourcen. Der Kontoeigner oder Administrator für den Service oder die Serviceinstanz kann andere Benutzer zur Bearbeitung der Ressourcen zuweisen oder sie aus dem Konto löschen.

Wenn Sie eine Fehlernachricht erhalten, die angibt, dass ein Benutzer der klassischen Infrastruktur nicht entfernt werden kann, stellen Sie sicher, dass allen Nachkommen dieses Benutzers in der Benutzerhierarchie ein neues übergeordnetes Element zugewiesen ist, dass sie im Konto inaktiviert sind oder dass sie gelöscht sind. Wiederholen Sie anschließend den Vorgang.

Als Alternative zum Entfernen eines Benutzers aus Ihrem Konto können Sie ihm eine Zugriffsrichtlinie mit einer zeitlich begrenzten Bedingung zuweisen. Auf diese Weise kann sich der Benutzer bei der Konsole anmelden und das Konto in seiner Kontoliste anzeigen lassen, aber er kann nicht auf die Ressourcen des Kontos zugreifen, bevor die Richtlinie beginnt oder nachdem die Richtlinie abläuft. Weitere Informationen finden Sie unter Erstellen einer temporären zeitbasierten Bedingung.

Benutzer über die Befehlszeilenschnittstelle (CLI) aus einem Konto entfernen

Führen Sie den folgenden Befehl aus, um einen Benutzer aus einem Konto zu entfernen:

ibmcloud account user-remove USER_ID [-c ACCOUNT_ID] [-f, --force]

Weitere Informationen zu den Befehlsoptionen finden Sie unter CLI-Befehle zur Verwaltung von Konten und Benutzern.

Benutzer über die Anwendungsprogrammierschnittstelle (API) aus einem Konto entfernen

Sie können einen Benutzer aus einem Konto entfernen, indem Sie die Benutzerverwaltungs-API aufrufen, wie in der folgenden Beispielanforderung dargestellt.

Ersetzen Sie die Variablen durch die IAM-ID des Benutzers. Sie müssen ein Benutzertoken zur Autorisierung verwenden. Mit Service-IDs können keine Benutzer aus einem Konto entfernt werden.

curl -X DELETE https://user-management.cloud.ibm.com/v2/accounts/987d4cfd77b04e9b9e1a6asdcc861234/users/IBMid-1000000000 -H 'Authorization: Bearer <IAM_TOKEN>' -H 'Content-Type: application/json'

RemoveUserOptions removeUserOptions = new RemoveUserOptions.Builder()
  .accountId(accountId)
  .iamId(deleteUserId)
  .build();
service.removeUser(removeUserOptions).execute();

const params = {
  accountId: accountId,
  iamId: deleteUserId,
};
userManagementAdminService.removeUser(params)
  .then(res => {
    console.log(JSON.stringify(res.result, null, 2));
  })
  .catch(err => {
    console.warn(err)
  });

response = user_management_admin_service.remove_user(
  account_id=account_id,
  iam_id=delete_user_id,
).get_result()
print(json.dumps(response, indent=2))

removeUserOptions := userManagementService.NewRemoveUserOptions(
  accountID,
  deleteUserID,
)
response, err := userManagementAdminService.RemoveUser(removeUserOptions)
if err != nil {
  panic(err)
}

Sie können einen Benutzer auch nach seiner Benutzer-ID oder nach seiner E-Mail-Adresse und seinem Bereich entfernen. Entweder die Benutzer-ID oder die E-Mail und der Bereich sind erforderlich. Weitere Informationen finden Sie unter Benutzer nach Benutzer-ID oder E-Mail aus dem Konto entfernen.

curl -X DELETE https://user-management.cloud.ibm.com/v2/accounts/987d4cfd77b04e9b9e1a6asdcc861234/users?user_id=user%40ibm.com&email=user.email%40ibm.com&realm=ibmid -H 'Authorization: Bearer <IAM_TOKEN>' -H 'Content-Type: application/json'

Ändern der IBMid eines Benutzers über die Konsole

Als Kontoeigner können Sie die IBMid eines Benutzers aktualisieren. Die neue IBMid, durch die Sie die aktuelle IBMid ersetzen wollen, muss bereits vorhanden sein. Die IBMid, die Sie ersetzen, wird aus dem Konto entfernt. Wenn die vorhandene IBMid weiterhin Mitglied des Kontos bleiben muss, müssen Sie den Benutzer erneut einladen und seinen Zugriff erneut einrichten.

Kontoinhaber können ihre eigene IBMid nicht ändern.

Nachdem der Benutzer sichergestellt hat, dass die neue IBMid existiert, führen Sie die folgenden Schritte aus, um die IBMid des Benutzers zu ändern:

1. Rufen Sie Verwalten > Zugriff (IAM) > Benutzer in der IBM Cloud®-Konsole auf und wählen Sie den Benutzer aus, dessen IBMid Sie aktualisieren möchten.
2. Klicken Sie im Abschnitt Details auf IBMid.
3. Geben Sie die neue IBMid ein und klicken Sie auf Aktualisieren.

Der Benutzer kann sich jetzt mit der neuen IMBid bei ibm.com anmelden und die Arbeit im IBM Cloud-Konto mit der Zugriffsberechtigung fortsetzen, die der zuvor verwendeten IBMid zugewiesen war.