示例

下表包含动态规则或可信概要文件条件的每个字段的值。 在此示例中，在联合 IdP 中标识为经理的用户被映射到 IBM Cloud 访问组或可信配置文件，该访问组或可信配置文件仅对经理设置了特定的访问权限。

Kubernetes 和 Red Hat OpenShift 属性名称

VPC 属性名称的虚拟服务器

将可信概要文件链接到集群的 Kubernetes

要将可信概要文件 Test 链接到帐户 444aebb0657c7f0f3aae8e7bdc78709a 中的 Kubernetes 集群 c0pigdctkkc07fs7pm06 以及名称空间 my-namespace 中的服务帐户 my-service-account，请指定以下命令:

ibmcloud iam trusted-profile-link-create Test --name NewLink4IKS --cr-type IKS_SA \
               --link-crn 
crn:v1:bluemix:public:containers-kubernetes:us-east:a/444aebb0657c7f0f3aae8e7bdc78709a:c0pigdctkkc07fs7pm06:: \
              --link-namespace "my-namespace" \
              --link-name "my-service-account"

为 Kubernetes 创建可信概要文件条件

要将标识为 Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c 的可信概要文件连接到帐户 444aebb0657c7f0f3aae8e7bdc78709a 和服务帐户名称空间 my-namespace 中的 Kubernetes 集群 c0pigdctkkc07fs7pm06 中的所有服务帐户，请指定以下命令:

ibmcloud iam trusted-profile-rule-create Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c \
              --name NewRule4IKS --type Profile-CR --cr-type IKS_SA \
               --conditions "claim:service_instance,operator:EQUALS,vlaue:c0pigdctkkc07fs7pm06" \
               --conditions "claim:namespace,operator:EQUALS,value:my-namespace"

为 VPC 创建可信概要文件条件

要将标识为 Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c 的可信概要文件连接到帐户 444aebb0657c7f0f3aae8e7bdc78709a 中的一个 VPC r206-1db73eed-b0fb-b04f-bb57-4d3a3c2dff9d 中的所有虚拟服务器，请指定以下命令:

ibmcloud iam trusted-profile-rule-create Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c \
              --name NewRule4VSI --type Profile-CR --cr-type VSI \
               --conditions "claim:vpc_id,operator:EQUALS,value:r206-1db73eed-b0fb-b04f-bb57-4d3a3c2dff9d"

示例：dayOfWeekAnyOf, timeGreaterThanOrEquals,和timeLessThanOrEquals

此示例中指定的星期几映射到星期一，星期二，星期三和星期四。 timeGreaterThanOrEquals 值指示该条件在时区 UTC-5中的 9 AM 开始授予访问权。 timeLessThanOrEquals 值指示条件在时区 UTC-5中的 5 PM 终止访问。environment.attributes.current_time 和 environment.attributes.day_of_week 指示它是 基于重现时间的条件。 始终包含具有 dayOfWeek 条件的 time 条件。

"conditions": [
			{
				"key": "{{environment.attributes.day_of_week}}",
				"operator": "dayOfWeekAnyOf",
				"value": [
					1,
					2,
					3,
					4
				]
			},
			{
				"key": "{{environment.attributes.current_time}}",
				"operator": "timeGreaterThanOrEquals",
				"value": "09:00:00-05:00"
			},
			{
				"key": "{{environment.attributes.current_time}}",
				"operator": "timeLessThanOrEquals",
				"value": "17:00:00-05:00"
			}
		]

示例：dayOfWeekEquals

此示例中的星期几由映射到星期三的 value 字符串中的 3 表示。 在同一字符串中，+6:00 表示时区 UTC+6:00。 只有一个条件，因此它嵌套在 "rule" 下。

"rule": {
		"key": "{{environment.attributes.day_of_week}}",
		"operator": "dayOfWeekEquals",
		"value": "3+06:00"
},

示例：dateTimeGreaterThanOrEquals和dateTimeLessThanOrEquals

在此示例中，dateTimeGreaterThanOrEquals 值指示条件从 2022 年 12 月 26 日 UTC-5 时区的 9 AM 开始授予访问权。 dateTimeLessThanOrEquals 值指示条件在 2022 年 12 月 27 日 UTC-5 时区的 5 PM 终止访问。environment.attributes.current_date_time 指示它是 基于临时时间的条件。

"conditions": [
			{
				"key": "{{environment.attributes.current_date_time}}",
				"operator": "dateTimeGreaterThanOrEquals",
				"value": "2022-12-26T09:00:00-05:00"
			},
			{
				"key": "{{environment.attributes.current_date_time}}",
				"operator": "dateTimeLessThanOrEquals",
				"value": "2022-12-27T17:00:00-05:00"
			}
		]

示例：stringMatchAnyOf和stringEqualsAnyOf

在此示例中，resource.attributes.path 变量的 stringMatchAnyOf 值指示在对象路径匹配且以 home/David/*，special/*，restricted/* 或 temporary/test*spatial.?.log 开头时授予访问权 (例如 temporary/test_spatial.1.log)。 or 值指示存在可授予访问权的备用条件。

resource.attributes.delimiter 变量的 stringEqualsAnyOf 值指示在没有边界指示符或 / 存在时授予访问权。 此外，resource.attributes.prefix 变量的 stringEqualsAnyOf 指示 home/ 或 home/David/，或者必须不存在任何前缀才能授予访问权。 and 值让我们知道必须同时满足 resource.attributes.delimiter 和 resource.attributes.prefix 才能授予访问权。

"pattern": "attribute-based-condition:resource:literal-and-wildcard",
"rule": {
    "operator": "or",
    "conditions": [
      {
        "key": "{{resource.attributes.path}}",
        "operator": "stringMatchAnyOf",
        "value": [
          "home/David/*",
          "special/*",
          "restricted/*",
          "temporary/test*spatial.?.log"
        ]
      },
      {
        "operator": "and",
        "conditions": [
          {
            "key": "{{resource.attributes.delimiter}}",
            "operator": "stringEqualsAnyOf",
            "value": [
              "",
              "/"
            ]
          },
          {
            "key": "{{resource.attributes.prefix}}",
            "operator": "stringEqualsAnyOf",
            "value": [
              "",
              "home/",
              "home/David/"
            ]
          }
        ]
      }
    ]
  }

例如："stringExists,""stringEquals,""stringMatch

在此示例中，iam_id，accountID，serviceName 和 resourceType 的 stringEquals 指示执行精确字符串匹配。 资源变量的 stringMatch 值中存在的星号指示已授予对以 dev-bucket- 开头的所有资源的访问权。 路径变量的 true stringExists 值和前缀和定界符变量的 false stringExists 值指示只有路径才能授予访问权。

{
    "type": "access",
    "subject": {
        "attributes": [
            {
                "key": "iam_id",
                "operator": "stringEquals",
                "value": "IBMid-1234"
            }
        ]
    },
    "control": {
        "grant": {
            "roles": [
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:ListFolderContent"
                },
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:ListFolder"
                },
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:AllFolderOperations"
                }
            ]
        }
    },
    "resource": {
        "attributes": [
            {
                "name": "accountId",
                "operator": "stringEquals",
                "value": "account-123"
            },
            {
                "key": "serviceName",
                "operator": "stringEquals",
                "value": "cloud-object-storage"
            },
            {
                "key": "serviceInstance",
                "operator": "stringEquals",
                "value": "cd329d97-c33d-4428-b39e-6170dc1c2a1e"
            },
            {
                "key": "resource",
                "operator": "stringMatch",
                "value": "dev-bucket-*"
            },
            {
                "key": "resourceType",
                "operator": "stringEquals",
                "value": "bucket"
            }
        ]
    },
    "rule": {
        "operator": "and",
        "conditions": [
            {
                "key": "{{resource.attributes.path}}",
                "operator": "stringExists",
                "value": true
            },
            {
                "key": "{{resource.attributes.prefix}}",
                "operator": "stringExists",
                "value": false
            },
            {
                "key": "{{resource.attributes.delimiter}}",
                "operator": "stringExists",
                "value": false
            }
        ]
    }
}