Quali autorizzazioni di accesso sono richieste per configurare le operazioni di bind del servizio?

L'utente di questa pagina Integrazioni deve avere le seguenti politiche di accesso Cloud Identity and Access Management (IAM) assegnate al tuo account utente per configurare correttamente le operazioni di bind del servizio. Se non si dispone di autorizzazioni sufficienti per eseguire queste azioni, è possibile utilizzare questa pagina per comprendere le autorizzazioni richieste.

• Servizio: Tutti i servizi di identità e accesso abilitati
  • Risorse: Selezionare un gruppo di risorse, una regione o un tag per la gestione degli accessi.
  • Accesso al gruppo di risorse: Viewer
  • Ruoli e azioni: accesso alla piattaforma Administrator (nessun accesso al servizio richiesto)
• Servizio: Code Engine
  • Risorse: il gruppo di risorse di questo progetto Code Engine
  • Accesso al gruppo di risorse: Viewer
  • Ruoli e azioni: accesso al servizio Writer e accesso alla piattaforma Operator

Perché Code Engine generi automaticamente un ID servizio per operazioni di bind del servizio, Code Engine controlla e configura automaticamente un ID servizio con l'accesso alla piattaforma Operator e l'accesso al servizio Manager per tutti i servizi nel gruppo di risorse del progetto Code Engine. Code Engine usa questo ID servizio per accedere ai servizi IBM Cloud con i bind del servizio.

Se utilizzi il tuo ID servizio personalizzato, l'ID servizio personalizzato deve fornire l'accesso alla piattaforma Operator e l'accesso al servizio Manager per qualsiasi servizio o istanza del servizio IBM Cloud di cui vuoi eseguire il bind a Code Engine applicazioni o lavori.

Se questo ID servizio non esiste, Code Engine tenta di creare automaticamente questo ID servizio ogni volta che viene creato un bind del servizio. La creazione riuscita di questo ID servizio per le operazioni di bind del servizio dipende dal fatto che l'utente che ha eseguito l'accesso a Code Engine disponga di autorizzazioni sufficienti. Se il segreto dell'operatore non viene creato correttamente, qualsiasi tentativo di creare un bind del servizio ha esito negativo. Per ulteriori informazioni sui requisiti di accesso Code Engine per le operazioni di bind del servizio, vedi Configurazione dell'accesso per i bind del servizio.

Qual è la relazione tra l'ID servizio e il segreto operatore?

Quando configuri le operazioni di binding del servizio, puoi visualizzare i dettagli su ciò che Code Engine fa per te, incluse informazioni sull'ID servizio, la chiave API e il segreto.

In Code Engine, un bind del servizio è la relazione tra un'applicazione o un lavoro e un altro servizio IBM Cloud.

Code Engine utilizza un ID servizio per eseguire operazioni di bind per conto dell'utente, invece di utilizzare l'identità dell'utente che ha eseguito l'accesso. L'ID servizio crea le credenziali per una specifica istanza di servizio IBM Cloud. Queste credenziali del servizio vengono utilizzate dai tuoi lavori e applicazioni Code Engine associati per interagire con le istanze del servizio. La chiave API per l'ID servizio è memorizzata nel segreto operatore. Le politiche di accesso sono le autorizzazioni fornite all'ID servizio.

Il segreto operatore o ibmcloud-operator-secret è un segreto generato e gestito Code Engine che include l'ID servizio e una chiave API generata automaticamente per esso. Questo segreto viene utilizzato con le operazioni di binding del servizio e non agisce come account utente corrente. Se il segreto dell'operatore non esiste, viene creato automaticamente quando uno dei seguenti scenari è true.

• Quando viene creato il successivo bind del servizio per il progetto (dalla console o CLI).
• Quando configuri le operazioni di collegamento del servizio dalla pagina Integrazioni.
• Quando si esegue il comando project update.

Quando le operazioni di bind del servizio sono configurate, l' ID servizio e il segreto operatore si applicano al tuo specifico progetto.

Puoi configurare le operazioni di bind del servizio e consentire a Code Engine di generare automaticamente l'ID servizio oppure puoi configurare i bind del servizio con il tuo proprio ID servizio personalizzato.

Configurazione delle operazioni di bind del servizio con un ID servizio creato automaticamente Code Engine

È possibile configurare le operazioni di binding dei servizi in modo che tutti gli utenti del progetto possano creare e gestire i binding dei servizi a IBM Cloud nel gruppo di risorse selezionato dalla console Code Engine.

1. Andate alla pagina delle integrazioni.
   1. Seleziona il tuo progetto dalla pagina dei progetti nella Code Engine.
   2. Fare clic su Impostazioni progetto > Integrazioni.
2. Fare clic su Configura nel riquadro Bind del servizio per configurare le operazioni di bind del servizio per tutti gli utenti di questo progetto.
3. Nella pagina Configura operazioni di service binding, specificare il gruppo di risorse che si desidera utilizzare per le operazioni di service binding. Si può scegliere un gruppo di risorse IBM Cloud® che contiene il progetto Code Engine e lasciare che Code Engine crei le credenziali necessarie. In alternativa, è possibile scegliere di utilizzare un ID servizio personalizzato che utilizza le credenziali dell'ID servizio.
4. (facoltativo) Espandi la sezione What Code Engine for you per visualizzare le informazioni su ciò che Code Engine crea automaticamente quando configuri le operazioni di bind del servizio. Visualizza le informazioni sull'ID servizio e le politiche di accesso assegnate a questo ID servizio, la chiave API che Code Engine genera automaticamente per l'ID servizio e il segreto operatore utilizzato per i bind del servizio.
5. Fai clic su Configure.
6. (Facoltativo) Fare clic su Visualizza dettagli per visualizzare i dettagli della configurazione delle operazioni di bind del servizio. Da questa pagina, puoi visualizzare le informazioni sull'ID servizio, la chiave API e il segreto operatore utilizzati per operazioni di binding del servizio.

Ora che hai configurato le operazioni di bind del servizio per il gruppo di risorse specificato, ogni utente con accesso di scrittore o gestore a questo progetto Code Engine può creare ed eliminare i bind del servizio. Vedi Gestione dei bind del servizio per integrare i servizi IBM Cloud con Code Engine.

Quando si configurano le operazioni di binding dei servizi con un ID servizio autogenerato (e gestito) da Code Engine, non aggiornare o rimuovere manualmente l'ID servizio o la chiave API creata come parte della configurazione delle operazioni di binding dei servizi. Inoltre, non tentare di ruotare la chiave API associata all'ID servizio. Andare invece alla pagina Impostazioni progetto > Integrazioni nella console e rimuovere la configurazione per le operazioni di bind del servizio per il tuo progetto, quindi configurare nuovamente le operazioni di bind del servizio. Questa azione elimina il vecchio ID servizio e chiave API e crea un nuovo ID servizio e chiave API per operazioni di bind del servizio.

Configurazione delle operazioni di binding di servizi con ID servizio personalizzato

È possibile configurare le operazioni di binding dei servizi in modo che tutti gli utenti del progetto possano creare e gestire i binding dei servizi con un ID servizio personalizzato per IBM Cloud dalla console Code Engine.

Quando utilizzi un ID servizio personalizzato, le politiche IAM assegnate per l'ID servizio determinano i gruppi di risorse.

1. Andate alla pagina delle integrazioni.
   1. Seleziona il tuo progetto dalla pagina dei progetti nella Code Engine.
   2. Fare clic su Impostazioni progetto > Integrazioni.
2. Fare clic su Configura nel riquadro Bind servizio per configurare operazioni di bind servizio per tutti gli utenti di questo progetto con il proprio ID servizio personalizzato.
3. Nella pagina Configura operazioni di binding del servizio, selezionare Usa un ID servizio personalizzato.
4. Scegliere l'ID servizio personalizzato che si desidera utilizzare.
5. (facoltativo) Espandi la sezione What Code Engine for you per visualizzare le informazioni su ciò che Code Engine crea automaticamente quando configuri le operazioni di bind del servizio. Visualizza le informazioni sulla chiave API che Code Engine genera automaticamente per l'ID servizio e il segreto operatore utilizzati per operazioni di bind del servizio.
6. Fai clic su Configure. Dopo aver configurato le operazioni di bind del servizio, viene visualizzato l'ID servizio personalizzato per le operazioni di bind del servizio.
7. (Facoltativo) Fare clic su Visualizza dettagli per visualizzare i dettagli della configurazione delle operazioni di bind del servizio. Da questa pagina, puoi visualizzare le informazioni sull'ID servizio, la chiave API e il segreto operatore utilizzati per operazioni di binding del servizio.

Ora che hai configurato le operazioni di bind del servizio con un ID servizio personalizzato con le autorizzazioni IAM richieste, ogni utente con accesso di scrittore o gestore a questo progetto Code Engine può creare ed eliminare i bind del servizio. Vedi Gestione dei bind del servizio per integrare i servizi IBM Cloud con Code Engine.

Rimozione delle operazioni di binding dei servizi configurati

Se le operazioni di bind del servizio sono configurate, è anche possibile utilizzare la pagina Integrazioni per rimuovere la possibilità per tutti gli utenti del progetto di creare o eliminare bind del servizio. Questa azione rimuove il segreto operatore per le operazioni di collegamento del servizio.

1. Andate alla pagina delle integrazioni.
   1. Seleziona il tuo progetto dalla pagina dei progetti nella Code Engine.
   2. Fare clic su Impostazioni progetto > Integrazioni.
2. Se lo stato delle operazioni di bind del servizio è Configurato, fare clic su Rimuovi configurazione per rimuovere il segreto operatore. Viene richiesto di confermare che si desidera eliminare il segreto operatore.

Quando si riceve un messaggio che indica che le operazioni di bind del servizio vengono rimosse, lo stato per le operazioni di bind del servizio è Non configurato.

Se si rimuovono le operazioni di bind del servizio configurate dalla pagina Integrazioni, tutti i bind del servizio esistenti rimangono. Ciò significa che per i bind del servizio esistenti, quando si eseguono le applicazioni, si eseguono nuove revisioni dell'applicazione o si eseguono i lavori, l'applicazione o il lavoro collegato utilizza i bind del servizio esistenti e le relative credenziali. Tuttavia, non è possibile creare nuovi bind del servizio senza autorizzazioni sufficienti e non è possibile eliminare i bind esistenti.

Se il segreto dell'operatore non esiste, viene creato automaticamente quando uno dei seguenti scenari è true.

• Quando viene creato il successivo bind del servizio per il progetto (dalla console o CLI).
• Quando configuri le operazioni di collegamento del servizio dalla pagina Integrazioni.
• Quando si esegue il comando project update.

Quali autorizzazioni di accesso sono richieste per l'accesso gestito di Code Engine a IBM Cloud Container Registry?

L'utente di questa pagina Integrazioni deve avere le seguenti politiche di accesso IBM Cloud® Identity and Access Management (IAM) assegnate all'account utente per configurare correttamente l'accesso al registro per tutti gli utenti del progetto. Se non si dispone di autorizzazioni sufficienti per eseguire queste azioni, è possibile utilizzare questa pagina per comprendere le autorizzazioni e le azioni richieste.

• Servizio: Container Registry
  • Risorse: Selezionare un gruppo di risorse, una regione o un tag per la gestione degli accessi.
  • Accesso al gruppo di risorse: Viewer
  • Ruoli e azioni: accesso alla piattaforma Administrator e accesso al servizio Reader, Writer e Manager
• Servizio: Code Engine
  • Risorse: il gruppo di risorse di questo progetto Code Engine
  • Accesso al gruppo di risorse: Viewer
  • Ruoli e azioni: accesso alla piattaforma Operator e accesso al servizio Writer

Per Code Engine per generare automaticamente un ID servizio per accedere alle immagini in Container Registry in una posizione specifica, Code Engine configura questo ID servizio con il ruolo Administrator per il servizio IAM Identity che è nell'ambito di questo ID servizio. Inoltre, Code Engine concede il ruolo Manager per il servizio IBM Cloud Container Registry che è nell'ambito dell'ubicazione (regione) specificata. Questi ruoli e permessi sono necessari affinché Code Engine possa usare questo ID di servizio per accedere a Container Registry per conto dell'utente del progetto Code Engine.

Quando Code Engine configura questo ID servizio con l'accesso alla piattaforma Administrator e l'accesso al servizio Manager a IBM Cloud Container Registry, l'accesso è limitato a questo ID servizio.

Per ulteriori informazioni sui requisiti Code Engine per l'accesso alle immagini in un registro del contenitore, vedi Accesso ai registri del contenitore.

Qual è la relazione tra l'ID del servizio e il segreto del registro?

Quando configuri l'accesso al registro predefinito per una specifica ubicazione, puoi visualizzare i dettagli su ciò che Code Engine fa per te, incluse le informazioni sull'ID servizio e le sue politiche di accesso, la chiave API e il segreto del registro.

Code Engine usa un ID servizio ** per consentire l'accesso al Registro di sistema a Container Registry, per conto dell'utente, invece di utilizzare l'identità dell'utente che ha eseguito l'accesso.

Il segreto di registro è un segreto di registro generato e gestito da Code Engine che include una chiave API generata automaticamente per esso. Questo segreto viene utilizzato per accedere alle immagini in Container Registry.

Quando l'accesso al Registro di sistema predefinito è configurato per un'ubicazione (regione), l' ID servizio e il segreto di registro si applicano al progetto specifico.

Configurazione dell'accesso Container Registry

È possibile configurare l'accesso al registro in modo che tutti gli utenti del progetto possano accedere e lavorare con le immagini in IBM Cloud Container Registry dalla console Code Engine.

1. Andate alla pagina delle integrazioni.
   1. Seleziona il tuo progetto dalla pagina dei progetti nella Code Engine.
   2. Fare clic su Impostazioni progetto > Integrazioni.
2. Nel riquadro Container Registry, fai clic sulla riga per l'ubicazione in cui vuoi configurare l'accesso al registro.
3. Dalla pagina Configura accesso predefinito al Registro di sistema, è possibile espandere la sezione Cosa fa Code Engine per visualizzare le informazioni su ciò che Code Engine crea automaticamente per l'utente quando si configura l'accesso predefinito al Registro di sistema in una posizione specifica. Visualizza le informazioni sull'ID servizio e sui criteri di accesso assegnati a questo ID servizio, la chiave API che Code Engine genera automaticamente per l'ID servizio e il segreto del registro utilizzato per l'accesso al registro.
4. Fare clic su Configura per configurare l'accesso al registro predefinito per una specifica ubicazione.
5. Dalla tabella, è possibile visualizzare lo stato della configurazione per ubicazione e il segreto del registro creato automaticamente.
6. (facoltativo) Per ulteriori dettagli, fare clic sull'icona Azioni > Visualizza dettagli. Puoi visualizzare le informazioni relative all'ID servizio e alle politiche di accesso assegnate a questo ID servizio, la chiave API che Code Engine genera automaticamente per l'ID servizio e il segreto del Registro di sistema configurato per accedere a Container Registry.

Ora che hai configurato l'accesso al Registro di sistema predefinito per un'ubicazione specifica per Container Registry, ogni utente con accesso di scrittore o gestore a questo progetto Code Engine può utilizzare questo segreto del Registro di sistema con le proprie app, lavori e build per accedere alle immagini in Container Registry.

Quando configuri l'accesso Container Registry a livello di progetto dalla pagina Integrazioni, Code Engine genera automaticamente un ID servizio per consentire l'accesso al registro a Container Registry.

Quando si lavora con un segreto di registro autogenerato (e gestito) da Code Engine, non eliminare manualmente il segreto di registro. Inoltre, non rimuovere manualmente l'ID del servizio o la chiave API associata per la regione Container Registry configurata. Non tentare di ruotare la chiave API associata a questo ID servizio. Invece, andare alla pagina Impostazioni progetto > Integrazioni nella console e rimuovere la configurazione per l'accesso a Container Registry desiderato per il progetto, quindi configurare nuovamente l'accesso al registro. Questa azione elimina il vecchio ID servizio e la chiave API e crea un nuovo ID servizio e una chiave API per l'accesso al registro per il progetto nella regione desiderata.

Rimozione dell'accesso gestito Code Engine a Container Registry

Quando si rimuove un segreto del registro gestito da Code Engine per una particolare regione, questo accesso al registro a livello di progetto viene eliminato. L'ID servizio, la chiave API e il segreto di registro associati vengono eliminati. È possibile continuare a usare i segreti di accesso al registro creati manualmente, oppure configurare nuovamente l'accesso a Container Registry a livello di progetto.

1. Andate alla pagina delle integrazioni.
   1. Seleziona il tuo progetto dalla pagina dei progetti nella Code Engine.
   2. Fare clic su Impostazioni progetto > Integrazioni.
2. Dalla riga dell'ubicazione (regione) in cui si desidera rimuovere l'accesso al registro, fare clic sull'icona Azioni > Rimuovi configurazione. Viene richiesto di confermare che si desidera eliminare l'accesso al Registro di sistema.

Quando ricevi un messaggio che indica che l'accesso al Registro di sistema viene rimosso, lo stato per l'accesso al Registro di sistema per una particolare ubicazione Container Registry è Non configurato.