ユーザーの管理

API Connect を管理するプロバイダー組織を作成し、IBM Cloud IAMアクセスグループにマッピングして、各プロバイダー組織に含まれるカタログとスペースに対するユーザー権限を指定します。

API Connect Reservedでは、ユーザーはプロバイダー組織にグループ分けされる。 各プロバイダ組織は、API、製品、カタログ、スペース、および開発者ポータルを含む資産のセットを所有し、そのプロバイダ組織のメンバーであるユーザーは、これらの資産へのアクセスレベルを決定するロールに割り当てることができます。 ユーザーアクセスは IBM Cloud Identity and Access Management (IAM) サービスで管理されます。 ユーザーがReservedインスタンスにログインすると、そのパーミッションはIAM設定によって決定され、 API Connect UIで設定されたロール定義を上書きします。

そのため、API Connectでカスタム・ロールを作成した場合、各ユーザが次回ログインしたときに削除され、その権限はIAMサービスと同期されます。

各ユーザーがリソースにアクセスできるように、各ユーザーに定義済みのロールを割り当てる必要があります。 API Connectでは、リソースは以下の階層で管理されています：

caption-side=bottom"
リソース階層*
*リソース階層

特定のプロバイダ組織が所有するAPI Connectリソースへの権限をユーザーに付与するには、そのプロバイダ組織にユーザーを追加します。 プロバイダ組織のためにユーザーが割り当てられるロールは、その中のカタログおよび各カタログ内のスペースによって継承される。 ユーザーを別のロールに割り当てることで、下位レベルでこのアクセス権を上書きすることができる。 たとえば、ユーザーに特定のスペースの編集アクセス権だけを与えたい場合は、プロバイダ組織の読者ロールにユーザーを割り当て、選択したスペースの編集アクセス権を持つロールにユーザーを割り当てます。 そのユーザーは、そのスペースを所有するカタログ、同じカタログ内の他のすべてのスペース、およびプロバイダー組織が所有する他のカタログとスペースへのワイルドカードのアクセス権を、リーダー・アクセス権としてのみ持つことになる。 lプロバイダ組織が所有する他のカタログとスペースへのアクセス権を持つ。

最低でも、各ユーザには、Reserved インスタンス上および各プロバイダ組織上で、閲覧が許可される少なくとも「リーダー」ロールが割り当てられている必要があります。 次に、プロバイダー組織およびその中の各カタログとスペースに、それぞれどのような追加ロールを割り当てるべきかを決定することができる。

IBM Cloud アカウントのメンバーに、Reserved インスタンスのリソースへの適切なアクセス権を付与するために、以下のタスクを実行します。

プロバイダー組織の作成

単一のプロバイダー組織を作成することも、複数のプロバイダー組織を作成することもできます（たとえば、従業員が数人しかいない会社）。 一部のユーザーは複数のプロバイダー組織に属したり、それぞれが異なるレベルのアクセス権を受ける場合があります。

必要なプロバイダー組織数の判別

API Connect Reserved では、プロバイダー組織のすべてのメンバーに API Connect に対する同じレベルのアクセス権限が付与されます。 社内の IBM Cloud アカウントのメンバーと API Connect で誰が何を行えるかに関する説明を確認し、作成する必要があるプロバイダー組織の数を決定します。

API Connect でプロバイダー組織を作成する

API Connect 管理コンソールを使用して、プロバイダー組織を作成し、それを新しい IAM アクセス・グループにマップします。

  1. API Connect Reserved インスタンスの管理コンソールを開きます。

    a. ログインからIBM Cloudまで。

    b. ダッシュボードで、 「メニュー」アイコン をクリックし、 API Managementを選択します。

    c. ナビゲーション・リストで、**「API Connect」を展開し、「サービス」**をクリックします。

    d. サービス] ページで、Reservedインスタンスの名前をクリックして管理コンソールを開きます。

    サービス」 ページでは、リザーブド・インスタンスは「インフラストラクチャー」と表示されている。

  2. 管理コンソールのホーム・ページで、**「プロバイダー組織 (Provider organizations)」**タイルをクリックします。

  3. プロバイダー組織ページで、 プロバイダー組織の作成をクリックします。

  4. プロバイダ組織の作成] ページで、 タイトルを入力し、 リソースグループを選択し、[ 作成] をクリックします。

    プロバイダー組織の表示名がタイトルです。タイトルの小文字バージョンが、内部使用のためのプロバイダー組織名として自動生成されます。

追加するプロバイダー組織ごとにステップ 3 と 4 を繰り返します。 その後、IAM アクセス・グループを作成します。この IAM アクセス・グループは各プロバイダー組織にマップされ、ユーザー許可を定義するために使用します。

IAM アクセス・グループの作成

API Connect 内のプロバイダー組織を作成したら、IBM Cloud の ID およびアクセス管理 (IAM) サービスを使用して、その組織の許可を設定します。 API Connect で各プロバイダー組織内での許可を決定するポリシーを使用して IAM アクセス・グループを定義し、会社の IBM Cloud アカウントのメンバーを適切なアクセス・グループに追加できます。それにより、ユーザーがプロバイダー組織にマップされます。

ユーザーのアクセス・ニーズを判別する

各プロバイダー組織に関して、IAM アクセス・グループを作成し、適切な許可を割り当てることが必要です。 各アクセス・グループ (プロバイダー組織) が必要とする許可のタイプを決定するには、表 1 を参照して、API Connect のジョブが IAM 内のアクセス役割にどのようにマップされているかを確認します。

各ユーザは、Reservedインスタンス上および各プロバイダ組織上で、閲覧が許可される少なくともReaderロールに割り当てられている必要があります。 ユーザーがプロバイダー組織を見ることができれば、その中のすべてのカタログとスペースも見ることができる。 ユーザーは、プロバイダ組織内のすべてのカタログとスペースを見ることができますが、そのリソースに必要なレベルの権限を提供するロールを割り当てない限り、変更を行うことはできません。

表1は、ユーザーが実行する典型的なAPI ConnectジョブのIAMロールを示している。 IAM ロールの完全なリストと、 API Connect V10 Reserved での使用方法については、「 アクセスの管理 」を参照してください。

API ConnectジョブのIAMロールへのマッピング
API Connect ジョブ この IAM 役割が必要 許可されるアクション
API 開発者 サービス: ライター API の作成、編集、発行
API 管理者 サービス: 管理者、プラットフォーム: エディター API の作成、編集、発行。サービス内のデータの完全な制御。サービス・インスタンスの変更
プロダクト・マネージャー プラットフォーム: オペレーター API の作成、編集、発行
管理者 プラットフォーム: 管理者 サービス・インスタンスの完全な制御

IAM サービスは、「プラットフォーム」（Reserved インスタンス自体）と「サービス」（Reserved インスタンスで提供される製品機能）の両方にロールを提供します。 API Connect 管理者と API 管理者は、プラットフォーム・ロールを使用するタスクを実行します。たとえば、サービス・インスタンスのプロビジョニングや、そのインスタンスへのユーザー・アクセスの管理などです。 他のユーザーは、API の作成やイベント分析の表示など、サービス役割を使用するタスクを実行します。

IAM でアクセス・グループを作成する

IAM では、アクセス・グループに、同じ IBM Cloud リソースに対する同じアクセス役割に割り当てられた一連のユーザーが含まれています。 目的上、各アクセス・グループはプロバイダ組織を表し、そのプロバイダ組織の適切なアクセス・ロールに割り当てる必要があります。

  1. ログインからIBM Cloudまで。

  2. IBM Cloud ダッシュボードで、「ユーザー・アクセス」タイルを見つけ**「ユーザーの管理」**をクリックします。

    IAM サービス・ダッシュボードが「アクセス (IAM)」ページに表示されます。

  3. アクセス（IAM）] ページで、ナビゲーションメニューから[ アクセスグループ] をクリックします。

  4. アクセスグループ ］ページで［ 作成 ］をクリックします。

  5. アクセスグループの作成」 ボックスで、新しいアクセスグループの名前と説明を入力し、「 作成 」をクリックします。

各アクセス・グループについてステップ 4 と 5 を繰り返します。

アクセス・グループにアクセス・ポリシーを割り当てる

IAM アクセス・ポリシーはアクセス・グループに役割を割り当てます (それぞれの役割は、許可の集合です)。 IAM で 1 つ以上の役割を各アクセス・グループに追加できます。また、1 つ以上のアクセス・グループをそれぞれの API Connect プロバイダー組織にマップできます。

  1. アクセスグループのページで、 「アクセス」 タブをクリックします。

  2. アクセス] タブで、[ アクセスの割り当て] をクリックします。

  3. アクセス権の割り当て] ページで、[ IAMサービス] を選択します。

    IAM 対応のサービスである API Connect へのアクセス権限のみを定義しています。

  4. **どのサービスに割り当てますか？ **API Connect を選択し、「 次へ 」をクリックします。

    プロバイダー組織を API Connect Reserved にのみ適用します。

  5. プロバイダー組織を選択する：

    a. どのサービスにアクセスを割り当てますか] では、[ 特定のリソース ]を選択します。

    b. Specific resourcesは Service Instanceを選択する：

    • 最初のリストで、**「ストリングが等しい」**を選択します。

    • 2番目の（サービスインスタンス）リストで、アクセスポリシーを適用するプロバイダ組織の名前を選択します。

    新しいアクセス・ポリシーは、指定されたプロバイダー組織のみに適用されます。 ポリシーをプロバイダー組織に直接マップすることにより、Reserved インスタンスに対する広範な許可を意図せずユーザーに付与するという事態を避けることができます。

    c. 次へ をクリックします。

  6. オプションで、プロバイダ組織が所有する1つ以上のカタログを選択する。

    プロバイダ組織内のすべてのカタログではなく、特定のカタログにのみアクセスを割り当てたい場合は、「 条件を追加する」をクリックします：

    • 最初のリストで「 リソース 」を選択する。

    • 番目のリストで、 文字列イコールまたは文字列マッチを選択する。 文字列(*)と数字(?)にワイルドカードを使用する場合は、 文字列のマッチを選択します。 そうでない場合は、 文字列イコールを選択する。

    • 3番目のリストで、アクセスポリシーを適用するカタログ名を選択または入力します。 ワイルドカードは文字列(*)と数字(?)に使用できます。例えば、"catalog-1"の後に任意の文字（catalog-1a、catalog-1bのように）が続くすべてのカタログにアクセスを適用するには、"catalog-1*"と入力します。

    表示タイトルではなく、カタログ名を指定する。

  7. オプションで、指定したカタログ内の1つまたは複数のスペースを選択する。

    選択したカタログ内の特定のスペースだけにアクセスを割り当てたい場合は、カタログ名に「/」とスペース名を追加する。 タイトルを表示するのではなく、スペース名を指定する。 文字と数字にはワイルドカードを使用できます。

    例えば、前のステップでcatalog-1aを指定し、そのカタログにspace-1aだけを含めたい場合、リソース名を"catalog-1a/space-1a"に更新します。

  8. このアクセス・グループのメンバーに割り当てる役割を選択します。

    各役割の横にある番号をクリックし、その役割で利用できる許可の詳細なリストを表示します。

  9. **「追加」**を選択して、選択した役割をアクセス・グループに追加します。

  10. アクセス・サマリー」セクションを確認し、「 割り当て 」をクリックしてアクセス・グループとアクセス・ポリシーを保存します。

次に、構成したばかりの許可をユーザーに割り当てることができるように、ユーザーをアクセス・グループに追加します。

アクセス・グループにユーザーを追加する

アクセス・グループにユーザーを追加すると、そのアクセス・グループに関連付けられているプロバイダー組織にユーザーはマップされ、対象のプロバイダー組織にログインするときの API Connect におけるユーザー許可が決まります。

  1. アクセス・グループのページで、**「ユーザー」**タブをクリックします。

  2. ユーザー] タブで、[ ユーザーの追加] をクリックします。

    会社の IBM Cloud アカウントに属するすべてのユーザーの名前が表示されます。

  3. アクセス・グループに追加するユーザーを選択します。

    表の先頭にある**「ユーザー」**の横にあるチェック・ボックスをクリックすると、リストのすべてのユーザーを迅速に追加できます。

  4. 表の先頭で、**「グループに追加」**をクリックします。

プロバイダー組織が使用可能であることをユーザーに通知する

ユーザーの IAM アクセス権限をセットアップする場合、自動的に通知されることはありません。 プロバイダー組織のアクセス権限の構成が完了したら、API Connect での作業を開始できるように、そのメンバーに通知する必要があります。 例えば、E メールを送信したり、ユーザーに表示されるメッセージを投稿したりできます。 以下の情報をユーザーに通知する必要があります。

  • Reserved インスタンスの名前 (特に複数をプロビジョンした場合)
  • ユーザーが割り当てられているプロバイダー組織の名前
  • ドキュメントはどこにあるか： https://cloud.ibm.com/docs/apiconnect

各ユーザーは、IBM Cloud からログアウトし、権限の変更を有効にするために再度ログインする必要があります。

IBM Cloud ログアウト ログアウト
IBM Cloud

プロバイダー組織の管理

IAM を使用して、ユーザーを追加および削除し、ユーザーのアクセス許可を管理します。

API Connect V10 Reservedでプロバイダ組織の削除を要求しても、プロバイダ組織はシステムからすぐには削除されません。 この遅延はリソースの再利用プロセスの一部であり、プロバイダー組織をすぐに再作成できない可能性がある。 削除後すぐにプロバイダー組織を再作成する必要がある場合は、 リソース再利用の使用 で説明したように、削除されたプロバイダー組織を早期に強制的に再利用することで、処理を高速化できます。 さらに、削除されたプロバイダー組織を復元することを決定した場合、リソースの再生成プロセスにより、限られた時間内にリソースを復元することができます。

プロバイダー組織の所有権の割り当て

すべてのプロバイダー組織を自分で管理する代わりに、他のユーザーを所有者として指定して、適切なアクセス許可を与えることができます。 所有者レベルのアクセス権限をプロバイダー組織に割り当てるには、プロバイダー組織への管理アクセス権限を持つ IAM アクセス・グループを作成し、そのアクセス・グループにユーザーを追加します。

ユーザー許可を管理する

API Connect でユーザーの許可を変更するには、そのユーザーを含む IAM アクセス・グループに割り当てられている役割を変更するか、別のアクセス・グループにユーザーを移動します。

プロバイダー組織からユーザーを削除する

プロバイダー組織からユーザーを削除するには、そのユーザーを IAM 内の対応するアクセス役割から削除します。 そのユーザーがプロバイダー組織に再度ログインしようとしても、ログインは許可されません。

API Connect にすでにログインしているユーザーをアクセス・グループから削除すると、ログイン状態が保たれ、引き続きプロバイダー組織の資産にアクセスできます。 ユーザーによる資産の操作を直ちに停止するには、Reserved インスタンス内のすべてのカタログおよびスペース・メンバーシップからユーザーを削除します。