コンテキスト・ベースの制限によるCode Engineリソースの保護

コンテキストに基づく制限により、 アカウント所有者や管理者は、アクセス要求のコンテキストに基づいて、 IBM Cloud® リソースへのアクセス制限を定義し、適用することができます。 IBM Cloud® Code Engine のリソースへのアクセスは、コンテキストに基づく制限や、IDおよびアクセス管理ポリシーによって制御できます。

これらの制限は、ID に基づく従来の IAM ポリシーと連携して、追加の保護レイヤーを提供します。 IAM ポリシーとは異なり、コンテキスト・ベースの制限はアクセス権限を割り当てません。 コンテキスト・ベースの制限は、アクセス要求が、構成された許可されるコンテキストからのものであるかどうかを検査します。 IAMによるアクセス制御とコンテキストベースの制限はいずれもアクセスを制御するため、コンテキストベースの制限は、認証情報が侵害されたり、管理が不適切であったりする場合でも保護機能を発揮します。 詳細については、「 コンテキストに基づく制限による多層的なセキュリティ 」を参照してください。

ルールを作成、更新、または削除するには、サービスの「Administrator ロールが必要です。 さらに、ネットワークゾーンの作成、更新、削除を行うには、「Editor または「Administrator ロールが必要です。

Code Engine のリソースを、プライベートエンドポイントを使用したコンテキストベースの制限で保護する場合、アプリケーションやシークレットのデプロイや更新など、 Code Engine リソースを管理できるユーザーを制限できるだけでなく、 アプリケーションや関数に接続するインバウンドトラフィックも制限 することができます。

生成されたIBM Cloud Activity Tracker監査ログイベントは、Code Engine、コンテキストベースの制限サービスからのものです。 詳細については、コンテキスト・ベースの制限の監視 を参照のこと。

コンテキストベースの制限を使用してCode Engineリソースの保護を開始するには、コンテキストベースの制限を作成する を参照してください。

Code Engineのコンテキストベースの制限は、場所（地域）、プロジェクト、リソースグループにスコープすることができます。 また、Code Engineからアクセスできるサービスを制限することもできます。