Quais permissões de acesso são necessárias para configurar operações de ligação de serviço?

O usuário dessa página Integrações deve ter as seguintes políticas de acesso do Cloud Identity and Access Management (IAM) designadas à sua conta do usuário para configurar com êxito operações de ligação de serviços. Se você não tiver permissões suficientes para executar essas ações, será possível usar essa página para ajudar a entender as permissões necessárias.

• Serviços: Todos os serviços habilitados para identidade e acesso
  • Recursos: Selecione a partir de tags de grupo de recursos, região ou gerenciamento de acesso.
  • Acesso ao grupo de recursos: Viewer
  • Funções e ações: Administrator acesso à plataforma (nenhum acesso de serviço necessário)
• Serviço: Code Engine
  • Recursos: o grupo de recursos deste projeto Code Engine
  • Acesso ao grupo de recursos: Viewer
  • Funções e ações: Writer acesso ao serviço e Operator acesso à plataforma

Para Code Engine para gerar automaticamente um ID de serviço para operações de ligação de serviços, o Code Engine verifica e configura automaticamente um ID de serviço com acesso à plataforma Operator e acesso ao serviço Manager para todos os serviços no grupo de recursos do projeto Code Engine. Code Engine usa esse ID de serviço para acessar serviços do IBM Cloud com ligações de serviço.

Se você usar seu próprio ID de serviço customizado, o ID de serviço customizado deverá fornecer acesso à plataforma Operator e acesso ao serviço Manager para quaisquer apps ou tarefas do IBM Cloud ou instâncias de serviço que você deseja ligar a Code Engine.

Se este ID de serviço não existir, Code Engine tentará criar automaticamente este ID de serviço sempre que uma ligação de serviços for criada. A criação bem-sucedida desse ID de serviço para operações de ligação de serviços depende se o usuário que efetuou login no Code Engine possui permissões suficientes. Se o segredo do operador não tiver sido criado com êxito, qualquer tentativa de criar uma ligação de serviços falhará Para obter mais informações sobre os requisitos de acesso do Code Engine para operações de ligação de serviços, consulte Configurando acesso para ligações de serviços.

Qual é o relacionamento entre o ID de serviço e o segredo do operador?.

Ao configurar operações de ligação de serviços, é possível visualizar detalhes sobre o que o Code Engine faz por você, incluindo informações sobre o ID do serviço, a chave de API e o segredo.

No Code Engine, uma ligação de serviços é o relacionamento entre um app ou tarefa e outro serviço IBM Cloud.

O Code Engine usa um ID de serviço para executar operações de ligação em nome do usuário, em vez de usar a identidade do usuário que efetuou login. O ID de serviço cria credenciais para uma instância específica do serviço IBM Cloud. Essas credenciais de serviço são usadas pelos apps e tarefas do Code Engine ligados para interagir com as instâncias de serviço. A chave API para o ID de serviço é armazenada no segredo do operador. As políticas de acesso são as permissões que são fornecidas ao ID de serviço.

O segredo do operador ou ibmcloud-operator-secret é um segredo gerado e gerenciado do Code Engine que inclui o ID do serviço e uma chave de API gerada automaticamente para ele... Esse segredo é usado com operações de ligação de serviços e não atua como a conta do usuário atual Se o segredo do operador não existir, ele será criado automaticamente quando qualquer um dos cenários a seguir for verdadeiro

• Quando a próxima ligação de serviços é criada para o projeto (a partir do console ou da CLI).
• Ao configurar operações de ligação de serviços na página Integrações.
• Quando você executa o comando project update.

Quando operações de ligação de serviços são configuradas, o ID de serviço e o segredo do operador se aplicam ao seu projeto específico.

É possível configurar operações de ligação de serviço e permitir Code Engine gerar automaticamente o ID de serviço ou configurar ligações de serviço com seu próprio ID de serviço customizado.

Configurando operações de ligação de serviços com um ID de serviço gerado automaticamente do Code Engine

É possível configurar operações de associação de serviços para que todos os usuários do projeto possam criar e gerenciar associações de serviços para os serviços IBM Cloud no grupo de recursos selecionado a partir do console Code Engine.

1. Vá para a página Integrações.
   1. Selecione seu projeto na página Projetos no console do Code Engine.
   2. Clique em Configurações do Projeto > Integrações
2. Clique em Configurar no ladrilho Ligações de serviço para configurar as operações de ligação de serviço para todos os usuários deste projeto
3. Na página Configurar operações de vinculação de serviços, especifique o grupo de recursos que você deseja usar para operações de vinculação de serviços. Você pode escolher um grupo de recursos IBM Cloud® que contenha o projeto Code Engine e permitir que Code Engine crie as credenciais necessárias. Ou você pode optar por usar um ID de serviço personalizado que use suas credenciais de ID de serviço.
4. (opcional) Expanda a seção O que o Code Engine faz para você para visualizar informações sobre o que o Code Engine cria automaticamente para você ao configurar operações de ligação de serviços. Visualize informações sobre o ID de serviço e as políticas de acesso designadas a esse ID de serviço, a chave de API que o Code Engine gera automaticamente para o ID de serviço e o segredo do operador que é usado para ligações de serviço.
5. Clique em Configurar.
6. (opcional) Clique em Visualizar detalhes para visualizar detalhes da configuração de operações de ligação de serviços... Nesta página, é possível visualizar informações sobre o ID de serviço, a chave de API e o segredo do operador que é usado para operações de ligação de serviços..

Agora que você configurou operações de ligação de serviços para o grupo de recursos especificado, cada usuário com acesso de gravador ou gerenciador a esse projeto Code Engine pode criar e excluir ligações de serviços. Consulte Trabalhando com ligações de serviços para integrar serviços do IBM Cloud com Code Engine.

Quando você configurar operações de vinculação de serviço com uma ID de serviço Code Engine gerada automaticamente (e gerenciada), não atualize nem remova manualmente a ID de serviço ou a chave de API criada como parte da configuração das operações de vinculação de serviço. Além disso, não tente girar a chave de API associada ao ID de serviço. Em vez disso, acesse a página Configurações do projeto > Integrações no console e remova a configuração para operações de ligação de serviço para seu projeto e, em seguida, configure as operações de ligação de serviços novamente Essa ação exclui o ID de serviço e a chave de API antigos e cria um novo ID de serviço e chave de API para operações de ligação de serviços.

Configurando operações de ligação de serviços com um ID de serviço customizado

É possível configurar as operações de associação de serviços de modo que todos os usuários do projeto possam criar e gerenciar associações de serviços com um ID de serviço personalizado para IBM Cloud serviços no console Code Engine.

Ao usar um ID de serviço customizado, as políticas do IAM designadas para o ID de serviço determinam os grupos de recursos.

1. Vá para a página Integrações.
   1. Selecione seu projeto na página Projetos no console do Code Engine.
   2. Clique em Configurações do Projeto > Integrações
2. Clique em Configurar no ladrilho Ligações de serviço para configurar operações de ligação de serviços para todos os usuários desse projeto com seu ID de serviço customizado.
3. Na página Configurar operações de vinculação de serviço, selecione Usar um ID de serviço personalizado.
4. Escolha o ID do serviço customizado que você deseja usar.
5. (opcional) Expanda a seção O que o Code Engine faz para você para visualizar informações sobre o que o Code Engine cria automaticamente para você ao configurar operações de ligação de serviços. Visualize informações sobre a chave API que o Code Engine gera automaticamente para o ID de serviço e o segredo do operador que é usado para operações de ligação de serviços.
6. Clique em Configurar. Após as operações de ligação de serviços serem configuradas, o ID de serviço customizado para operações de ligação de serviço é exibido.
7. (opcional) Clique em Visualizar detalhes para visualizar detalhes da configuração de operações de ligação de serviços... Nesta página, é possível visualizar informações sobre o ID de serviço, a chave de API e o segredo do operador que é usado para operações de ligação de serviços..

Agora que você configurou operações de ligação de serviços com um ID de serviço customizado com permissões do IAM necessárias, cada usuário com acesso de gravador ou gerenciador a esse projeto Code Engine pode criar e excluir ligações de serviço. Consulte Trabalhando com ligações de serviços para integrar serviços do IBM Cloud com Code Engine.

Remoção de operações de vinculação de serviço configuradas

Se as operações de ligação de serviços forem configuradas, também será possível utilizar a página Integrações para remover a capacidade de todos os usuários do projeto de criar ou excluir ligações de serviços Esta ação remove o segredo do operador para operações de ligação de serviço

1. Vá para a página Integrações.
   1. Selecione seu projeto na página Projetos no console do Code Engine.
   2. Clique em Configurações do Projeto > Integrações
2. Se o status de operações de ligação de serviço for Configurado, clique em Remover configuração para remover o segredo do operador Será solicitado que você confirme que deseja excluir o segredo do operador.

Quando você receber uma mensagem de que as operações de ligação de serviços foram removidas, o status para as operações de ligação de serviços será Não configurado

Se você remover operações de ligação de serviços configuradas da página Integrações, quaisquer ligações de serviços existentes permanecerão. Isso significa que, para ligações de serviço existentes, quando você executa aplicativos, executa novas revisões de aplicativo ou executa tarefas, o aplicativo ou a tarefa ligada usa as ligações de serviço existentes e suas credenciais No entanto, as novas ligações de serviço não podem ser criadas sem permissões suficientes e as ligações existentes não podem ser excluídas

Se o segredo do operador não existir, ele será criado automaticamente quando qualquer um dos cenários a seguir for verdadeiro

• Quando a próxima ligação de serviços é criada para o projeto (a partir do console ou da CLI).
• Ao configurar operações de ligação de serviços na página Integrações.
• Quando você executa o comando project update.

Quais permissões de acesso são necessárias para o acesso gerenciado do Code Engine ao IBM Cloud Container Registry?

O usuário dessa página Integrações deve ter as seguintes políticas de acesso IBM Cloud® Identity and Access Management (IAM) designadas à sua conta do usuário para configurar com êxito o acesso de registro para todos os usuários do projeto. Se você não tiver permissões suficientes para executar essas ações, poderá usar essa página para ajudá-lo a entender as permissões e ações necessárias que você pode executar.

• Serviço: Container Registry
  • Recursos: Selecione a partir de tags de grupo de recursos, região ou gerenciamento de acesso.
  • Acesso ao grupo de recursos: Viewer
  • Funções e ações: Administrator acesso à plataforma e Reader, Writer e Manager acesso ao serviço
• Serviço: Code Engine
  • Recursos: o grupo de recursos deste projeto Code Engine
  • Acesso ao grupo de recursos: Viewer
  • Funções e ações: acesso à plataforma Operator e acesso ao serviço Writer

Para Code Engine gerar automaticamente um ID de serviço para acessar imagens no Container Registry em um local específico, o Code Engine configura esse ID de serviço com a função Administrator para o serviço de Identidade do IAM que tem escopo definido para esse ID de serviço. Além disso, Code Engine concede a função Manager para o serviço IBM Cloud Container Registry que tem o escopo definido para o local (região) especificado. Essas funções e permissões são necessárias para que o Code Engine possa usar esse ID de serviço para acessar o Container Registry em nome do usuário do projeto Code Engine.

Quando Code Engine configura esse ID de serviço com o acesso à plataforma Administrator e o acesso ao serviço Manager para IBM Cloud Container Registry, o acesso é limitado apenas a esse ID de serviço.

Para obter mais informações sobre os requisitos do Code Engine para acessar imagens em um registro de contêiner, consulte Acessando registros de contêiner.

Qual é o relacionamento entre o ID de serviço e o segredo do registro?.

Ao configurar o acesso de registro padrão para um local específico, é possível visualizar detalhes sobre o que o Code Engine faz por você, incluindo informações sobre o ID de serviço e suas políticas de acesso, chave de API e segredo de registro.

O Code Engine usa um ID de serviço para ativar o acesso de registro ao Container Registry, em nome do usuário, em vez de usar a identidade do usuário que efetuou login.

O segredo de registro é um segredo de registro gerado e gerenciado do Code Engine que inclui uma chave de API gerada automaticamente para ele. Esse segredo é usado para acessar imagens no Container Registry.

Quando o acesso de registro padrão é configurado para um local (região), o ID de serviço e o segredo de registro se aplicam ao seu projeto específico.

Configurando o acesso Container Registry

É possível configurar o acesso ao registro de modo que todos os usuários do projeto possam acessar e trabalhar com imagens em IBM Cloud Container Registry a partir do console Code Engine.

1. Vá para a página Integrações.
   1. Selecione seu projeto na página Projetos no console do Code Engine.
   2. Clique em Configurações do Projeto > Integrações
2. No bloco Container Registry, clique na linha para o local que você deseja configurar o acesso de registro.
3. Na página Configurar acesso padrão ao registro, você pode, opcionalmente, expandir a seção O que Code Engine faz por você para exibir informações sobre o que Code Engine cria automaticamente para você quando você configura o acesso padrão ao registro em um local específico. Visualize informações sobre o ID de serviço e as políticas de acesso atribuídas a esse ID de serviço, a chave de API que Code Engine gera automaticamente para o ID de serviço e o segredo do registro usado para esse acesso ao registro.
4. Clique em Configurar, para configurar o acesso de registro padrão para um local específico.
5. Na tabela, é possível visualizar o status de configuração por local e o segredo de registro gerado automaticamente.
6. (opcional) Para obter mais detalhes, clique no ícone Ações > Visualizar detalhes. É possível visualizar informações sobre o ID de serviço e as políticas de acesso designadas a esse ID de serviço, a chave de API que o Code Engine gera automaticamente para o ID de serviço e o segredo de registro que está configurado para acessar o Container Registry.

Agora que você configurou o acesso de registro padrão para um local específico para Container Registry, cada usuário com acesso de gravador ou gerenciador a esse projeto Code Engine pode usar esse segredo de registro com seus apps, tarefas e construções para acessar imagens no Container Registry.

Ao configurar o acesso do Container Registry em todo o projeto por meio da página Integrações, o Code Engine gera automaticamente um ID de serviço para ativar o acesso de registro para o Container Registry.

Quando estiver trabalhando com um segredo de registro Code Engine gerado automaticamente (e gerenciado), não exclua manualmente o segredo de registro. Além disso, não remova manualmente o ID do serviço ou a chave de API associada para a região configurada em Container Registry. Não tente girar a chave de API associada a esse ID de serviço. Em vez disso, acesse a página Configurações do projeto > Integrações no console e remova a configuração do acesso desejado ao Container Registry para o seu projeto e, em seguida, configure o acesso ao registro novamente. Esta ação exclui o ID de serviço antigo e a chave de API e cria um novo ID de serviço e chave de API para acesso de registro para o projeto na região desejada.

Removendo o acesso gerenciado do Code Engine ao Container Registry

Quando você remove um segredo de registro gerenciado pelo Code Engine para uma determinada região, esse acesso ao registro em todo o projeto é excluído. O ID de serviço associado, a chave de API e o segredo de registro são excluídos... Você pode continuar a usar segredos de acesso ao registro criados manualmente ou pode configurar novamente o acesso a Container Registry em todo o projeto.

1. Vá para a página Integrações.
   1. Selecione seu projeto na página Projetos no console do Code Engine.
   2. Clique em Configurações do Projeto > Integrações
2. Na linha do local (região) que você deseja remover o acesso de registro, clique no ícone Ações > Remover configuração.. Será solicitado que você confirme que deseja excluir o acesso ao registro.

Quando você recebe uma mensagem de que o acesso de registro foi removido, o status de acesso de registro para um local específico do Container Registry é Não configurado.