アクセスの制御

コンソールでのスコープの作成

スコープとは、アプリケーション内のランタイムのアクションであり、それを遂行するのに必要な権限が付与されたユーザーが実行できます。 スコープは、アプリケーションを App ID に登録するときに作成されます。 アプリが既に登録されている場合、それを編集してスコープを含めることができます。

スコープ名の値は次の条件を満たす必要があります。

• 英数字であること
• 小文字であること
• appid または openid で始まらないこと
• ピリオド (.) または下線 (_) 以外の特殊文字を含まないこと
• 50 文字未満であること

スコープを作成するには、App ID UI を使用できます。

1. App ID ダッシュボードの**「アプリケーション」**に移動します。
2. **「アプリケーションの追加 (Add application)」をクリックして、構成画面を開きます。 使用する資格情報が既にある場合は、更新する行の「操作」メニューから「編集」**をクリックします。
3. アプリに名前を付け、使用するアプリケーションのタイプを選択します。
4. カスタム・スコープの値を入力し、正符号 (+) をクリックします。 スコープ値の例としては、read や write などがあります。
5. すべてのスコープをアプリに追加するまで、前述のステップを繰り返します。
6. 保存 をクリックします。

API でのスコープの作成

スコープとは、アプリケーション内のランタイムのアクションであり、それを遂行するのに必要な権限が付与されたユーザーが実行できます。 スコープは、アプリケーションを App ID に登録するときに作成されます。 アプリが既に登録されている場合、それを編集してスコープを含めることができます。

スコープ名の値は次の条件を満たす必要があります。

• 英数字であること
• 小文字であること
• appid または openid で始まらないこと
• ピリオド (.) または下線 (_) 以外の特殊文字を含まないこと
• 50 文字未満であること

スコープを作成するには、App ID UI を使用できます。

1. /scopes エンドポイントに次の要求を行ってスコープを作成します。

   curl -X PUT "https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/applications/<clientID>/scopes"
   -H "accept: application/json"
   -H "Content-Type: application/json"
   -d "{\ "scopes":\ [\ <scopesObject>}" ]}"
   

   変数	説明
   region	App ID のインスタンスがプロビジョンされているリージョン。 使用可能なリージョンについてはこちらを参照してください。
   tenantID	App ID のインスタンスの固有 ID。 この値は、サービス・ダッシュボードの**「アプリケーション」**タブにリストされている、アプリの資格情報で見つけることができます。
   clientID	アプリケーションの固有 ID。 この値は、サービス・ダッシュボードの**「アプリケーション」**にリストされている、アプリの資格情報で見つけることができます。
   scopesObject	ご使用のアプリケーション用に作成するすべてのスコープの JSON オブジェクト。
   {: caption=" /scopes エンドポイントを呼び出すために必要な変数" caption-side="top"}

2. オプション: スコープが作成されたことを確認します。

   curl -X GET "https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/applications/<clientID>/scopes"
   -H "accept: application/json"
   -H "Content-Type: application/json"
   

コンソールでのロールの作成

役割は、同一のユーザー・タイプに適用されるスコープのグループです。 例えば、管理者役割を作成する場合は、スコープ・セクションで、その役割に対して、読み取り、書き込み、または作成のアクションの実行を許可します。 一方、「viewer」という別の役割を作成した場合、その役割を割り当てられたユーザーは読み取り専用アクセス権限を持つことになります。 役割を作成するには、App ID UI を使用できます。

1. App ID ダッシュボードの**「プロファイルと役割 (Profiles and roles)」> 「役割」**に移動します。

2. **「役割の作成 (Create role)」**をクリックして構成画面を開きます。

3. 役割に名前と説明を付けます。

4. 前のセクションで作成したスコープを使用して、以下の形式でスコープを役割に割り当てます。 **「+」**をクリックしてスコープを追加します。

   <appName>/<scope>
   

   アプリケーションが 1 つしかない場合は、アプリ名を指定する必要はありません。 スコープのみを追加できます。

5. 前の手順を繰り返してさらにスコープを追加します。

6. 保存 をクリックします。

API での役割の作成

役割は、同一のユーザー・タイプに適用されるスコープのグループです。 例えば、管理者役割を作成する場合は、スコープ・セクションで、その役割に対して、読み取り、書き込み、または作成のアクションの実行を許可します。 一方、「viewer」という別の役割を作成する場合、その役割を割り当てられたユーザーは読み取り専用アクセス権限を持つことになります。 役割を作成するには、App ID API を使用できます。

1. /roles エンドポイントに、役割を作成する要求を行います。

   curl -X POST "https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/roles"
   -H "accept: application/json"
   -H "Content-Type: application/json"
   -d { \"name\": \"<roleName>\", \"description\": \"<roleDescription>\", \"access\": [ { \"application_id\": \"<applicationID>\", \"scopes\": [ \"<scopes>" ] } ]}"
   

   変数	説明
   region	App ID のインスタンスがプロビジョンされているリージョン。 使用可能なリージョンについてはこちらを参照してください。
   tenantID	App ID のインスタンスの固有 ID。 この値は、サービス・ダッシュボードの**「アプリケーション」**タブにリストされている、アプリの資格情報で見つけることができます。
   clientID	アプリケーションの固有 ID。 この値は、**「アプリケーション」**にリストされているアプリの資格情報で見つけることができます。
   roleName	役割に割り当てる名前。
   roleDescription	役割の目的を説明する短い句。
   applicationID	アプリケーションの固有 ID。 この値は、**「アプリケーション」**にリストされているアプリの資格情報で見つけることができます。
   scopes	役割に適用したいすべてのスコープの JSON オブジェクト。
   {: caption=" /scopes エンドポイントを呼び出すために必要な変数" caption-side="top"}

2. オプション: 役割が作成されたことを確認します。

   curl -X GET "https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/roles -H "accept: application/json"
   

   応答は次の例のようになります。

   {
      "roles": [
      {
         "id": "12345678-1234-1234-1234-123456789012",
         "name": "admin",
         "description": "Can perform administrative tasks.",
         "access": [
            {
            "application_id": "de33d272-f8a7-4406-8fe8-ab28fd457be5",
            "scopes": [
               "create",
               "update",
               "write",
               "read"
            ]
            }
         ]
      }
      {
         "id": "123454231-1234-1234-3334-12345687012",
         "name": "developer",
         "description": "Can perform administrative tasks.",
         "access": [
            {
            "application_id": "de33d272-f8a7-4406-8fe8-ab28fd457be5",
            "scopes": [
               "write",
               "read"
            ]
            }
         ]
      }
      ]
   }
   

コンソールでユーザーにロールを割り当てる

役割を作成したら、それをユーザーのプロファイルに割り当てることができます。 役割は、将来のユーザーを作成するときに割り当てることもできます。

1. App ID ダッシュボードの**「プロファイルと役割 (Profiles and roles)」 > 「ユーザー・プロファイル」**に移動します。
2. 役割を割り当てる特定ユーザーの行の「操作」メニューから**「役割の割り当て」**をクリックします。
3. 追加する 1 つ以上の役割を、使用可能な役割のリストから選択します。
4. オプション: 探している役割が見つからない場合は、**「役割の作成 (Create role)」**をクリックして別のオプションを追加するための情報を指定します。
5. 保存 をクリックします。

API を使用したユーザーへの役割の割り当て

役割を作成したら、それをユーザーのプロファイルに割り当てることができます。 役割は、将来のユーザーを作成するときに割り当てることもできます。

1. E メール・アドレスなどの識別照会を使って App ID ユーザーを検索し、そのユーザー ID を取得します。

   curl -X GET "https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/Users?query=<identifyingSearchQuery>" \
   -H "accept: application/json" \
   -H "authorization: Bearer <token>"
   

   例:

   curl -X GET https://us-south.appid.cloud.ibm.com/management/v4/e19a2778-3262-4986-8875-8khjafsdkhjsdafkjh/cloud_directory/Users?query=example@domain.com
   -H "accept: application/json"
   -H "authorization: Bearer eyJraWQiOiIyMDE3MTEyOSIsImFsZ...."
   

2. オプション: 役割 ID または役割名を取得します。 既に役割 ID または役割名を知っている場合は、スキップして次のステップに進みます。

   curl -X GET "https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/roles" \
   -H "accept: application/json" \
   -H "authorization: Bearer <token>"
   

3. 割り当てる役割の JSON オブジェクトが含まれている /roles エンドポイントに要求を行います。

   curl -X PUT "https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/users/<userID>/roles"
   -H "accept: application/json"
   -H "Content-Type: application/json"
   -d "{ \"roles\": { \"ids\": [ \"<roleIDs>\" ] }}"
   -H "authorization: Bearer <token>"
   

ユーザーから役割を削除するには、 PUT 要求を、その役割 ID を削除してもう一度行います。