許可

IAMの機能の多くは、 IBM Cloud リソースに対するユーザーおよびアプリケーションのアクセスを管理・適用することに重点が置かれています。 しかし、あるサービスに別のサービス内のユーザーのリソースへのアクセス権限を提供する必要があるような他のシナリオが発生する場合もあります。 このタイプのアクセスは、許可と呼ばれます。

サービス間 S2S 認証の場合：

• ソース・サービスは、ターゲット・サービスへのアクセス権限を付与されるサービスです。
• 選択した役割によって、ソース・サービスのアクセス・レベルが定義されます。
• ターゲット・サービスとは、割り当てる役割に基づいて、ソース・サービスがアクセスする許可を付与するサービスです。
• ソース・サービスは、許可が作成されたのと同じアカウントに含めることも、別のアカウントに含めることもできます。
• ターゲット・サービスは常に、許可が作成されたアカウント内にあります。

IBM Cloud® コンソールの「 承認 」ページで、特定の承認に関する「 アカウント 」列を確認することで、ソースサービスが現在のアカウントにあるか、 アカウントにあるかを確認できます。

詳しくは、許可を使用した、サービス間のアクセス権限の付与を参照してください。

サービス間の許可

次の表は IBM Cloud Activity Tracker Event Routingを使用する際に設定できる異なる S2S 認証をまとめたものです

サービス間での認証は、以下の使用例でサポートされています

• IBM Cloud Activity Tracker Event Routing と対象サービスは同じアカウント内にあります。
• IBM Cloud Activity Tracker Event Routing と対象サービスは異なるアカウントにあります。

承認を管理する権限

サービス間の認証を管理するには、対象のサービスへのアクセス権が必要です。

別のアカウントのサービスと現在のアカウントのターゲット・サービスの間に許可を作成する場合は、ターゲット・リソースへのアクセス権限のみが必要です。 アカウントについては、 アカウントが必要です。

IBM Cloud Activity Tracker Event Routingに対して定義する承認には、 S2Sを作成する際に使用するIDが以下のプラットフォームロールを持っている必要があります

認可を管理するために必要な対象サービス上のアクション

アクション	管理者	オペレーター	エディター	ビューアー
アカウントで設定されているすべての権限を表示する
権限を作成する
権限を削除する

ユーザーは、アカウントで設定した権限のみを確認できます。

IBM Cloud Activity Tracker Event Routingに対して定義する承認では、 S2Sを作成する際に使用するIDが、承認の種類ごとに以下のサービスロールを持つ必要があります

許可の作成

S2S の認証を作成するには、以下のオプションから1つを選択してください：

• バケットへのデータの書き込みを許可する。
• IBM® Event Streams for IBM Cloud®での作業を許可する。
• IBM® Cloud Logsでの作業を許可する。
• {{site.data.keyword.apprapp_full}} サービスの利用を承認してください。

許可の削除

S2Sを削除するには、以下のオプションからいずれかを選択してください

• UIから S2Sを削除する
• CLIを使用して S2Sを削除する
• APIを使用して S2Sを削除する
• terraform を使用して S2S 認証を削除する

アカウントからソース・サービスが削除されると、そのサービスによってその依存サービスに対して作成されたポリシーはすべて自動的に削除されます。 同様に、依存サービスがアカウントから削除されると、そのサービスに委任されたアクセス・ポリシーも削除されます。