Schutz von Code Engine mit kontextbezogenen Einschränkungen

Kontextbasierte Einschränkungen ermöglichen es Kontoinhabern und Administratoren, Zugriffsbeschränkungen für Ressourcen der IBM Cloud® basierend auf dem Kontext von Zugriffsanfragen zu definieren und durchzusetzen. Der Zugriff auf Ressourcen von „ IBM Cloud® Code Engine “ kann mithilfe kontextbasierter Einschränkungen sowie Richtlinien zur Identitäts- und Zugriffsverwaltung gesteuert werden.

Diese Einschränkungen können mit herkömmlichen, auf der Identität basierenden IAM-Richtlinien kombiniert werden und so eine zusätzliche Schutzebene bieten. Im Gegensatz zu IAM-Richtlinien weisen kontextbasierte Einschränkungen keine Zugriffsberechtigung zu. Bei kontextbasierten Einschränkungen wird geprüft, ob eine Zugriffsanforderung aus einem zulässigen Kontext stammt, der von Ihnen konfiguriert wird. Da sowohl der IAM-Zugriff als auch kontextbasierte Einschränkungen den Zugriff regeln, bieten kontextbasierte Einschränkungen Schutz selbst dann, wenn Zugangsdaten kompromittiert oder unsachgemäß verwaltet werden. Weitere Informationen finden Sie unter „ Mehrschichtige Sicherheit mit kontextbasierten Einschränkungen “.

Um Regeln zu erstellen, zu aktualisieren oder zu löschen, müssen Sie die Rolle " Administrator für einen Dienst haben. Außerdem müssen Sie entweder die Rolle " Editor oder " Administrator haben, um Netzwerkzonen zu erstellen, zu aktualisieren oder zu löschen.

Wenn Sie „ Code Engine “-Ressourcen mit kontextbasierten Einschränkungen und privaten Endpunkten sichern, können Sie nicht nur festlegen, wer Ihre „ Code Engine “-Ressource verwalten darf – beispielsweise durch das Bereitstellen oder Aktualisieren von Anwendungen und Geheimnissen –, sondern auch den eingehenden Datenverkehr einschränken, der eine Verbindung zu Ihrer Anwendung oder Ihren Funktionen herstellt.

Alle IBM Cloud Activity Tracker oder Audit-Log-Ereignisse, die erzeugt werden, stammen vom kontextbasierten Beschränkungsdienst und nicht von Code Engine. Weitere Informationen finden Sie unter Überwachung kontextbezogener Einschränkungen.

Wie Sie Ihre Code Engine mit kontextbasierten Einschränkungen schützen können, erfahren Sie unter Erstellen kontextbasierter Einschränkungen.

Kontextbasierte Einschränkungen für Code Engine können auf ein einzelnes Projekt, eine gesamte Ressourcengruppe oder einen Standort (eine Region) beschränkt werden. Sie können auch einschränken, auf welche Ihrer Dienste von Code Engine aus zugegriffen werden kann.

Wenn eine kontextbasierte Einschränkungsregel für eine Ressourcengruppe oder einen Standort (eine Region) gilt, gelten die Einschränkungen für bestehende Projekte. Wenn Sie ein neues Projekt am selben Speicherort oder in derselben Ressourcengruppe erstellen, gelten die Einschränkungen automatisch auch für das neue Projekt. Es kann einige Zeit dauern, bis das neue Projekt mit den Einschränkungen verknüpft ist.