Allgemeine Typen von Zugriffsrichtlinien

Sie können differenzierten Zugriff für Benutzer, Service-IDs oder Zugriffsgruppen bereitstellen, indem Sie die folgenden Typen von Zugriffsrichtlinien zuweisen:

• Alle Kontoverwaltungsservices
• Bestimmter Kontoverwaltungsservice
• Alle IAM-Kontoverwaltungsservices, bei denen es sich um eine Untergruppe der Kontoverwaltungsservices handelt, einschließlich IAM-Identität, IAM-Zugriffsmanagement, IAM-Benutzerverwaltung und IAM-Gruppen
• Ein bestimmter IAM-Service
• Alle Ressourcen im Konto
• Alle Ressourcen in allen Services, die einer einzelnen Ressourcengruppe angehören, mit der Möglichkeit, die Ressourcengruppe zu verwalten.
• Alle Ressourcen innerhalb eines einzelnen Service in einer Ressourcengruppe, mit der Möglichkeit, die Ressourcengruppe zu verwalten.
• Alle Ressourcen in einem einzelnen Service innerhalb des gesamten Kontos unabhängig von der Ressourcengruppe, der sie zugewiesen sind.
• Ressourcen in einer einzelnen Instanz.
• Ein einzelner Ressourcentyp in einer Instanz, z. B. ein Bucket in einer Object Storage-Instanz.

Wenn Sie einem Benutzer vollständigen Administratorzugriff gewähren möchten, um die Aufgaben der Kontoverwaltung zu erledigen, wie z. B. das Einladen und Entfernen von Benutzern, das Anzeigen von Abrechnungen und Nutzung, das Verwalten von Service-IDs, das Verwalten von Zugriffsgruppen, das Verwalten des Benutzerzugriffs und den Zugriff auf alle Kontoressourcen, müssen Sie einem Benutzer den folgenden Zugriff zuweisen:

• Eine Richtlinie für alle Dienste mit aktivierter Identitäts- und Zugriffsfunktion innerhalb des Kontos mit zugewiesenen Administrator- und Managerrollen.
• Eine Richtlinie mit der zugewiesenen Administratorrolle für alle Account-Management-Dienste.

IBM Cloud-Zugriffsrichtlinien zuordnen

Die nachfolgend beschriebenen Details zu Zugriffsrichtlinien und das dargestellte Beispiel veranschaulichen, wie in IBM Cloud Zugriffsberechtigungen anhand von Zugriffsrichtlinien zugewiesen werden, und stellen die Vorgehensweise anderen Cloud-Providern gegenüber, mit denen Sie möglicherweise vertraut sind.

IBM Cloud IAM-Richtlinien bestehen aus der Identität (Subjekt), die die Zugriffsberechtigung erhält, beispielsweise einem Benutzer oder einer Service-ID, aus den spezifischen Ressourcen oder Services (Ziel), auf die der Zugriff ermöglicht wird, und aus Rollen, die definieren, welche Aktionen im Kontext der ausgewählten Ressource oder des ausgewählten Service zulässig sind.

In IBM Cloud verfügen Benutzer, Service-IDs oder Mitglieder einer Zugriffsgruppe standardmäßig über keinerlei Zugriffsberechtigungen. Das Zugriffsmodell von IBM Cloud ist einfach, wenn es darum geht zu verstehen, wie Sie bestimmte Aktionen ausführen dürfen oder nicht. Erst wenn ein Administrator eine Zugriffsrichtlinie mit einer spezifischen Zugriffsrolle zuweist, wird die Zugriffsberechtigung erteilt. Das IAM-System muss keine Zulassungs- und Ablehnungsrichtlinien auswerten, um festzustellen, welche Aktionen zulässig sind. Stattdessen ermittelt das System nur, für welche Ressourcen Richtlinien vorhanden sind und welche Zugriffsebenen durch die zugewiesenen Rollen zugelassen werden.

Um die Anzahl der Richtlinien im Konto zu reduzieren und nur den für jeden Benutzer erforderlichen Mindestzugriff beizubehalten, können Sie die selten verwendeten Zugriffsrichtlinien identifizieren und entfernen. Weitere Informationen finden Sie unter Inaktive Richtlinien verwalten.

Da IBM Cloud attributbasiert ist, können Sie beim Angeben einer Ressource in einer Richtlinie eine breite Palette von Ressourcen angeben, für die ein Benutzer Zugriffsberechtigungen erhalten soll, beispielsweise alle Ressourcen in einer Ressourcengruppe. Oder Sie können den Zugriff des Benutzers auf eine bestimmte Instanz eines einzelnen Service oder sogar auf einen untergeordneten Ressourcentyp wie beispielsweise ein Object Storage-Bucket eingrenzen. IBM Cloud-IAM bietet ein hohes Maß an Flexibilität und Granularität, damit Sie nur die Art von Zugriff zuweisen können, die erforderlich ist. Im Folgenden sind einige Beispiele für die verschiedenen Zugriffsebenen aufgeführt, die Sie anhand von Attributen in einer Zugriffsrichtlinie zuweisen können:

• Alle Kontoverwaltungsservices
• Bestimmter Kontoverwaltungsservice
• Alle Services mit aktiviertem Identity and Access Management im Konto, einschließlich aller Katalogservices, die IAM für das Zugriffsmanagement verwenden.
• Alle Ressourcen, die zu einer Ressourcengruppe gehören
• Alle Ressourcentypen eines einzelnen Service im gesamten Konto, unabhängig von der Zuweisung zu einer Ressourcengruppe
• Bestimmte Instanz eines Service im Konto
• Einzelner untergeordneter Ressourcentyp in einer Instanz, z. B. ein Bucket in einer Object Storage-Instanz

Wenn eine bestimmte vordefinierte Plattform- oder Servicerolle nicht dem entspricht, was Sie beim Zuweisen der Zugriffsebene benötigen, können Sie eine angepasste Rolle für einen spezifischen Service erstellen und dann eine oder mehrere der verfügbaren Aktionen auswählen, um die Rolle zu erhalten, die den Anforderungen Ihrer Organisation entspricht.

{
  "type": "access",
  "subjects": [
    {
      "attributes": [
        {
          "name": "iam_id",
          "value": "IBMid-3IAMISBEST1"
        }
      ]
    }
  ],
  "roles": [
    {
      "role_id": "crn:v1:bluemix:public:iam::::role:Viewer"
    }
  ],
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "7e522a19eb77477e88e96a600c44fb22"
        },
        {
          "name": "resourceGroupId",
          "value": "abcd2e6fg1h74i44j5kl467m701n5289"
        }
      ]
    }
  ]
}