一般的なアクセス・ポリシーのタイプ

以下のタイプのアクセス・ポリシーを割り当てることによって、ユーザー、サービス ID、またはアクセス・グループ用に、微細化されたアクセス権限を提供できます。

• すべてのアカウント管理サービス
• 特定のアカウント管理サービス
• すべての IAM アカウント管理サービス。これらは、IAM ID、IAM アクセス管理、IAM ユーザー管理、および IAM グループを含むアカウント管理サービスのサブセットです。
• 特定の IAM サービス
• アカウント内のすべてのリソース
• 個別リソース・グループに属しているすべてのサービス内のすべてのリソースと、そのリソース・グループを管理する能力
• リソース・グループ内の単一サービス内のすべてのリソースと、そのリソース・グループを管理する能力
• リソースが割り当てられている先のリソース・グループに関係なく、アカウント全体での単一サービス内のすべてのリソース
• 個別インスタンス内のリソース
• インスタンス内の単一リソース・タイプ (例: Object Storage インスタンス内のバケット)

ユーザーに完全な管理者アクセス権限を与えて、ユーザーの招待や削除、請求や利用状況の確認、サービスIDの管理、アクセスグループの管理、ユーザーアクセスの管理、およびアカウントリソースへのアクセスなど、 アカウント管理タスク を実行できるようにしたい場合は、ユーザーに以下のアクセス権限を割り当てる必要があります

• アカウント内のすべてのアイデンティティおよびアクセスが有効なサービスを対象としたポリシーで、管理者およびマネージャーの役割が割り当てられている。
• 管理者ロールが割り当てられたポリシー 。すべてのアカウント管理サービス。

IBM Cloud アクセス・ポリシーの割り当て

IBM Cloud でアクセス・ポリシーを使用してアクセス権限を割り当てる方法について、使い慣れている他のクラウド・プロバイダーに照らして理解を深めるには、以下のアクセス・ポリシーの詳細と例を参照してください。

IBM Cloud IAM ポリシーは、ユーザーやサービス ID などのアクセス権限を付与する ID (サブジェクト)、アクセスが許可される特定のリソースまたはサービス (ターゲット)、および選択したリソースまたはサービスのコンテキスト内で許可されるアクションを定義する役割で構成されます。

IBM Cloud では、ユーザー、サービス ID、またはアクセス・グループのメンバーには、デフォルトでは何のアクセス権限も付与されません。 IBM Cloud のアクセスモデルは、特定のアクションの完了が許可されるか拒否されるかを理解する上でシンプルです。 管理者が、特定のアクセス役割を定めたアクセス・ポリシーを割り当てて初めて、アクセス権限は付与されます。 IAM システムでは、許可されたアクションを判別するために許可ポリシーと拒否ポリシーを評価する必要はなく、ポリシーの対象となるリソースと、割り当てられた役割によって許可されるアクセス・レベルのみを評価します。

アカウント内のポリシーの数を減らし、各ユーザーに必要な最低限のアクセスだけを維持するには、使用頻度の低いアクセスポリシーを特定して削除することができます。 詳しくは、 非アクティブ・ポリシーの管理 を参照してください。

IBM Cloud は属性ベースであるため、ポリシーでリソースを指定する際には、幅広いリソースのセット (例えば、リソース・グループ内のすべてのリソース) にユーザーがアクセスできるように指定できます。 あるいは、単一サービスの特定のインスタンス、またはサブリソース・タイプ ( Object Storage バケットなど) にユーザーのアクセス権限を絞り込むことができます。IBM Cloud IAM は、必要なタイプのアクセス権限のみを割り当てることができるように、高いレベルの柔軟性と細分性を備えています。 アクセス・ポリシーで属性を使用して割り当てることができるアクセス権限のレベルの例を以下に示します。

• すべてのアカウント管理サービス
• 特定のアカウント管理サービス
• アカウント内のすべての ID およびアクセス対応サービス (アクセス管理に IAM を使用するすべてのカタログ・サービスを含む)
• リソース・グループに属するすべてのリソース
• リソース・グループの割り当てに関係なく、アカウント全体にわたる単一サービスのすべてのリソース・タイプ
• アカウント内のサービスの特定のインスタンス
• インスタンス内の単一サブリソース・タイプ (例: Object Storage インスタンス内のバケット)

事前定義されたプラットフォームまたはサービスの特定の役割が、アクセス・レベルを割り当てる際に求めているものと合致しない場合は、特定のサービス用のカスタム役割を作成し、使用可能なアクションから選択して、組織のニーズに合った役割を作成することができます。

{
  "type": "access",
  "subjects": [
    {
      "attributes": [
        {
          "name": "iam_id",
          "value": "IBMid-3IAMISBEST1"
        }
      ]
    }
  ],
  "roles": [
    {
      "role_id": "crn:v1:bluemix:public:iam::::role:Viewer"
    }
  ],
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "7e522a19eb77477e88e96a600c44fb22"
        },
        {
          "name": "resourceGroupId",
          "value": "abcd2e6fg1h74i44j5kl467m701n5289"
        }
      ]
    }
  ]
}