データ・アクセス・ルール

データアクセスルール機能を使用して、許可されたユーザーのみがデータにアクセスできるように制限することで、セキュリティおよび規制基準に準拠します。

データへのアクセスを許可および管理するためのデータアクセスルール、つまりポリシーを定義および実施し、許可された個人だけが役割と権限に基づいて情報を閲覧できるようにすることができます。

データ・アクセス・ルールを構成する場合、以下のタスクを完了する必要があります：

  • IBM Cloud® Identity and Access Managementで設定します。(IAM)ポリシーは、サービスを操作するためにユーザまたは信頼されたプロファイルに付与される権限と、それらのユーザが見ることを許可されるデータを決定するデータアクセスルールの権限を指定します。

    サービスの操作権限を付与するために、ユーザーごとに1つのIAMポリシーを定義する必要があります。 データ・アクセス・ルールに権限を付与するために、1つ以上のIAMポリシーを定義する必要がある。

  • IBM Cloud Logsで、どのデータを表示するかのポリシーを定義するデータ・アクセス・ルールを設定する。

各データ・アクセス・ルールを検証するのは、あなたの責任です。 データアクセスルールによってフィルタリングされたデータが、返したいデータのみを報告していることを確認する。

前提条件

  • IBM Cloud アカウント。
  • IBM Cloud Logs インスタンス。
  • ポリシーを設定するためにIBM Cloudでパーミッションを設定する。
  • IBM Cloud Logsでデータ・アクセス・ルールを設定するためのパーミッション。 logs.data-usage.manage アクションを含む Manager ロールが必要です。 詳細については、 IAMを始めるを 参照。

IBM Cloud Logsサービスにルールを作成する

以下のステップを実行します。

  1. IBM Cloud Logsインスタンスに移動します：Observability>Logging>Cloud Logs>Your Service Instance>Open Dashboard.

  2. ダッシュボードで、Data Pipeline>Data Access Rules をクリックします。

    サービス・インスタンス・ダッシュボード。
    サービスインスタンスのダッシュボード。

  3. 新しいルールを作成するには、「+ Create new rule」をクリックします。

    • 名前を入力します。

    • DataPrimeExpression Language (DPXL)を使用して、必要なログデータに一致するクエリを入力します。

      <v1> はバージョン識別子で、その後にリテラル、論理構文、比較構文、キーパス・アクセス、関数を含む実際のブーリアン式が続く。

      DPXLの詳細については、DataPrimeExpression Language(DPXL)リファレンス を参照。

      例えば、DataPrimeExpression Language (DPXL)の例: '<v1>$m.severity == ERROR を使用して、errorタイプの深刻度を持つログレコードをフィルタリングすることができます。

      DPXL式の基礎として使用できる'DPXLの例 を参照してください。

  4. 「作成」 をクリックします。

  5. 作成したルールのルールIDをコピーする。

    新しいルールを作成した。
    新しいルールを作成した。

サービスと連携するIAMポリシーを設定する

この手順は、ユーザーごと、アクセスグループごと、または信頼済みプロファイルごとに1回だけ必要です。

アクセスグループを通じてユーザーまたは信頼されたプロファイルに、サービスを使用するための権限を付与するには、次の手順を実行します：

  1. IBM Cloud コンソールで、 「管理 > アクセス（IAM） 」をクリックします。

  2. アクセスグループ］、［ユーザー］、または［信頼済みプロファイル］を選択します。

  3. アクセス］タブで［ アクセスを割り当てる ］をクリックします。

  4. Cloud Logs サービスを選択し、 Next をクリックする。

  5. Resourcesセクションで、選択したリソース属性に基づいて、特定のリソースにスコープを設定する。

    特定のリソースを選択します。

    Service Instance を選択する。

    データ・アクセス・ルールを適用するインスタンスを選択します。

    次へ をクリックします。

  6. Roles and Actionsセクションで、IBM Cloud内のサービスを操作する権限を定義するプラットフォーム・ロールと、サービスを操作する権限を定義するサービス・ロールを選択します。

    • プラットフォームのロール：ユーザが'Observability UIでインスタンスを確認し、ダッシュボードを起動できるように、付与しなければならない最小権限は Viewer です。

    • サービス・ロール：ユーザが選択したインスタンスのIBM Cloud LogsUIにアクセスし、提供されたビューやダッシュボードを通してデータを表示できるように、付与しなければならない最小権限は「リーダー」 です。選択したインスタンスのUIにアクセスし、提供されたビューやダッシュボードなどを通じてデータを表示できるようにするためです。

  7. 追加したアクセスをアクセスグループに割り当てるには、[ Review ] > [Assign] をクリックします。

  8. 「作成」 をクリックします。

データアクセスルールを割り当てるためにIAMポリシーを設定する

アクセスを許可する予定の IBM Cloud Logs インスタンスの各データアクセスルールに対して、データアクセスルールポリシーを定義する必要があります。

データ・アクセス・ルールによってフィルタリングされたデータにアクセス許可を与えるには、以下の手順を実行します：

  1. IBM Cloud コンソールで、 「管理 > アクセス（IAM） 」をクリックします。

  2. アクセスグループ］、［ユーザー］、または［信頼済みプロファイル］を選択します。

  3. アクセス］タブで［ アクセスを割り当てる ］をクリックします。

  4. Cloud Logs サービスを選択し、 Next をクリックする。

  5. Resourcesセクションで、選択したリソース属性に基づいて、特定のリソースにスコープを設定する。

    特定のリソースを選択します。

    Service Instance を選択する。 次に、データ・アクセス・ルールを適用するインスタンスを選択します。

    Data access rule を選択する。 次に、作成したルールの「Rule ID」をデータ・アクセス・ルールの条件に貼り付ける。 ルールIDは、IBM Cloud Logsから取得できます。UIからデータ・アクセス・ルール機能を開いて取得できます。

    特定のリソースへのアクセスをスコープする。
    特定のリソースへのアクセスをスコープする。

    次へ をクリックします。

  6. Roles and Actions」セクションで、サービス・ロールの「Data Access Reader」を選択します。

  7. 追加したアクセスをアクセスグループに割り当てるには、[ Review ] > [Assign] をクリックします。

  8. 「作成」 をクリックします。

データ・アクセス・ルールの検証

データ・アクセス・ルールが期待通りに機能しているかを確認するには、以下の手順を実行する：

  • データ・アクセス・ルールのデータ・スコープをマッピングするクエリーでビューを作成します。 そして、フィルタリングされたデータが、そのクエリで想定しているものであることを確認する。

  • データ・アクセス・ルールの条件のようにデータをフィルタリングするために作成したビューで、ユーザー、アクセス・グループのユーザー、または信頼できるプロファイルでログインしたユーザーに対して、そのユーザーが見たとおりのデータしか見ることができないことを検証します。