Création d'un modèle de groupe d'accès

Envisagez d'utiliser des modèles de groupes d'accès lorsque vous avez de nombreux comptes enfants, des exigences d'accès communes à tous les comptes ou des exigences de sécurité strictes.

Pour créer un modèle de groupe d'accès, procédez comme suit :

1. Accédez à « Gérer > Accès (IAM) > Modèles » dans la console d' IBM Cloud.

2. Cliquez sur Créer.

3. Saisissez un nom et une description pour le modèle de groupe d'accès qui décrivent son objectif pour les utilisateurs de l'entreprise.

4. Saisissez un nom et une description pour le groupe d'accès géré par l'entreprise qui décrivent son objectif pour les utilisateurs de comptes enfants. Utilisez un nom de groupe d'accès unique qui n'entre pas en conflit avec les groupes d'accès existants dans les comptes enfants.

   Une erreur se produit lors de l'attribution du modèle si un compte contient un nom de groupe d'accès en conflit.

5. Cliquez sur Créer.

Mise à jour des détails du modèle

Vous pouvez mettre à jour le nom du modèle, le nom du groupe d'accès et les descriptions à tout moment avant de valider le modèle. Pour mettre à jour les informations relatives au modèle, procédez comme suit :

1. Accédez à « Gérer > Accès (IAM) > Modèles » dans la console d' IBM Cloud.
2. Sélectionnez le modèle de groupe d'accès que vous souhaitez mettre à jour.
3. Cliquez sur l'icône dans la section Détails.
4. Effectuez les mises à jour nécessaires au nom du modèle, au nom du groupe d'accès et aux descriptions.
5. Cliquez sur Sauvegarder.

Si vous avez besoin d'effectuer des mises à jour après avoir validé le modèle, créez une nouvelle version.

Vérification de votre modèle de groupe d'accès

Passez en revue le modèle de groupe d'accès et validez-le afin qu'aucune modification ne puisse être apportée à la version. De cette façon, l'administrateur de l'attribution des modèles peut être sûr qu'il n'attribue la version que lorsque vous avez confirmé qu'elle est prête.

1. Accédez à « Gérer > Accès (IAM) > Modèles » dans la console d' IBM Cloud.
2. Sélectionnez le modèle de groupe d'accès que vous souhaitez examiner.
3. Cliquez sur Vérifier.
4. Vérifiez que le modèle de groupe d'accès est correctement configuré.
5. Cochez la case pour confirmer que vous ne pouvez pas apporter de modifications à la version.
6. Cliquez sur Valider.

Attribution d'un modèle de groupe d'accès aux comptes enfants

Attribuez le modèle de groupe d'accès aux comptes enfants de votre entreprise.

Vous ne pouvez pas attribuer de modèle IAM au compte Entreprise, mais uniquement aux comptes enfants.

1. Cliquez sur Affecter des comptes.

2. Sélectionnez les comptes et les groupes de comptes auxquels vous souhaitez attribuer le modèle de groupe d'accès.

   Dans chacun des comptes enfants auxquels vous affectez le modèle, vous créez un groupe d'accès géré par l'entreprise. Les utilisateurs du compte enfant peuvent déterminer qu'un groupe d'accès provient d'un modèle IAM géré par l'entreprise grâce à la balise d'{: tag-cyan}, [gérée par l'entreprise], sur le groupe.

3. Cliquez sur Affecter.

Si une affectation échoue, cliquez sur Réessayer.

Création d'une nouvelle version

Si vous souhaitez modifier un modèle de groupe d'accès validé ou attribué, créez une nouvelle version. Vous pouvez créer une nouvelle version basée sur votre dernière version, ou une version différente que vous sélectionnez.

Pour créer une nouvelle version d'un modèle de groupe d'accès, procédez comme suit :

1. Accédez à « Gérer > Accès (IAM) > Modèles » dans la console d' IBM Cloud.

2. Sélectionnez votre modèle de groupe d'accès.

3. Cliquez sur l'icône Nouvelle version .

4. Sélectionnez la version que vous souhaitez utiliser comme base pour votre nouvelle version.

5. Saisissez un nouveau nom et une nouvelle description pour le modèle ou conservez ceux que vous utilisez déjà.

   La saisie d'un nouveau nom de modèle met à jour le nom du modèle pour cette version et toutes les versions précédentes. La description du modèle est stockée séparément pour chaque version.

6. Saisissez un nouveau nom et une nouvelle description pour le groupe d'accès ou conservez ceux que vous utilisez déjà.

   La saisie d'un nouveau nom de groupe d'accès remplace le nom de groupe d'accès précédent affiché dans les comptes enfant une fois que vous avez affecté la nouvelle version.

7. Sélectionnez les objets que vous souhaitez transférer vers votre nouvelle version.

   1. (Facultatif) Sélectionnez Membres.
   2. (Facultatif) Sélectionnez « Règles dynamiques ».
   3. (Facultatif) Sélectionnez Accéder.

8. Cliquez sur Créer.

9. Effectuez les autres modifications nécessaires à la configuration.

10. Cliquez sur Réviser et validez la nouvelle version. Pour plus d'informations, voir Révision de votre modèle de groupe d'accès.

Pour attribuer une nouvelle version d'un modèle de groupe d'accès, procédez comme suit :

1. Accédez à « Gérer > Accès (IAM) > Modèles » dans la console d' IBM Cloud.
2. Cliquez sur l'icône Développer le tableau sur le modèle avec lequel vous souhaitez travailler.
3. Sélectionnez la version actuellement attribuée aux comptes enfants.
4. Cliquez sur Affectations.
5. Cliquez sur Mettre à jour dans l'affectation de compte ou de groupe de comptes à laquelle vous souhaitez affecter une version différente.
6. Cliquez sur « Sélectionner une version ».
   1. Sélectionnez la version que vous souhaitez remplacer par la version actuelle.
7. Cliquez sur Mettre à jour.
8. Répétez ces étapes pour chaque compte ou groupe de comptes auquel vous souhaitez attribuer une version différente.

La nouvelle version du modèle que vous attribuez remplace l'ancienne version. En savoir plus sur l'attribution d'une nouvelle version.

Supprimer une affectation

Vous pouvez supprimer l'affectation d'un modèle à un ou plusieurs comptes auxquels le modèle est affecté. Vous pouvez le faire si le modèle ne fonctionne pas comme prévu. Lorsque vous supprimez l'affectation d'un modèle à un compte, la version précédente du modèle est rétablie par défaut. Si la cession que vous supprimez concerne la première ou la seule version d'un modèle, le groupe d'accès du compte enfant est supprimé.

Pour supprimer une affectation, procédez comme suit :

1. Accédez à « Gérer > Accès (IAM) > Modèles » dans la console d' IBM Cloud.
2. Sélectionnez votre modèle de groupe d'accès.
3. Cliquez sur Mettre à jour les affectations.
   1. Pour supprimer une affectation d'un ou de plusieurs comptes, désélectionnez les comptes pour lesquels vous souhaitez supprimer l'affectation du modèle.
   2. Pour supprimer une affectation de tous les comptes auxquels le modèle est affecté, cliquez sur Annuler toutes les affectations.

Création d'un modèle de groupe d'accès à l'aide de l'API

Pensez à utiliser des modèles de groupes d'accès lorsque vous avez de nombreux comptes enfants, des exigences d'accès communes à tous les comptes, des exigences de sécurité strictes ou lorsque vous devez apporter des modifications aux politiques d'accès.

Vous pouvez créer un modèle de groupe d'accès par programmation en appelant l'API IAM Access Groups, comme le montre l'exemple de requête ci-dessous. L'exemple crée un modèle de groupe d'accès pour les responsables qui ont besoin d'un accès administrateur à tous les services de gestion de compte IAM dans les comptes enfants afin de pouvoir gérer l'accès :

{
    curl -X POST --location
    --header "Authorization: Bearer {iam_token}"
    --header "Accept: application/json"   --header "Content-Type: application/json"
    --data "name": "IAM Admin Group template",
    "description": "This access group template allows admin access to all IAM platform services in the account.",
    "account_id": "06a2e9d0614447e295824de8c8df7b4f",
    "access_group": {
        "name": "IAM Admin Group",
        "description": "This enterprise-managed access group allows admin access to all IAM platform services in the account. Managers are dynamically added.",
        "members": {
            "users": [
                "IBMid-1234",
                "IBMid-2345"
            ],
            "services": [
                "iam-ServiceId-123",
                "iam-ServiceId-234"
            ],
            "action_controls": {
                "add": "true",
                "remove": "false"
            }
        },
        "assertions": {
            "rules": [
                {
                    "name": "Manager group rule",
                    "expiration": 12,
                    "realm_name": "https://idp.example.org/SAML2",
                    "conditions": [
                        {
                            "claim": "isManager",
                            "operator": "EQUALS",
                            "value": "true"
                        }
                    ],
                    "action_controls": {
                        "remove": "true",
                        "update": "false"
                    }
                }
            ],
            "action_controls": {
                "add": "false"
            }
        },
        "action_controls": {
            "access": {
                "add": true
            }
        }
    },
    "policy_template_references": [
        {
            "id": "policyTemplateId-123",
            "version": "1"
        },
        {
            "id": "policyTemplateId-234",
            "version": "1"
        }
    ],
    "externals": {
        "profile_template_ids": [
            "profileTemplateId-123",
            "profileTemplateId-234"
        ]
    }
}

Mise à jour des modèles de groupes d'accès à l'aide de l'API

Vous pouvez mettre à jour un modèle de groupe d'accès à tout moment avant qu'un modèle ne soit validé.

Pour mettre à jour un modèle de groupe d'accès, appelez l'API de gestion des politiques IAM comme indiqué dans l'exemple de requête suivant :

curl -X PUT --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" --header "If-Match: {if_match}" --header "Content-Type: application/json" --data '{ "name": "IAM Admin Group template 2", "description": "This access group template allows admin access to all IAM platform services in the account.", "group": { "name": "IAM Admin Group 8", "description": "This access group template allows admin access to all IAM platform services in the account.", "members": { "users": [ "IBMid-665000T8WY" ], "services": [ "iam-ServiceId-e371b0e5-1c80-48e3-bf12-c6a8ef2b1a11" ], "action_controls": { "add": true, "remove": false } }, "assertions": { "rules": [ { "name": "Manager group rule", "expiration": 12, "realm_name": "https://idp.example.org/SAML2", "conditions": [ { "claim": "blueGroup", "operator": "CONTAINS", "value": "test-bluegroup-saml" } ], "action_controls": { "remove": false, "update": false } } ], "action_controls": { "add": false } }, "action_controls": { "access": { "add": false } } }, "policy_template_references": [ { "id": "policyTemplateId-123", "version": "1" }, { "id": "policyTemplateId-234", "version": "1" } ] }' "{base_url}/v1/group_templates/{template_id}/versions/{version_num}"

Révision et engagement de votre modèle de groupe d'accès à l'aide de l'API

Passez en revue le modèle de groupe d'accès et validez-le afin qu'aucune modification ne puisse être apportée à la version. De cette façon, l'administrateur de l'attribution des modèles peut être sûr qu'il n'attribue la version que lorsque vous avez confirmé qu'elle est prête.

1. Listez les modèles de groupes d'accès dans votre compte d'entreprise et notez l' id e du modèle que vous souhaitez examiner et valider.

   curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_templates?account_id=accountID-123&limit=50&offset=0&verbose=false"
   

2. Obtenez la version modèle et examinez la réponse.

   curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_templates/{template_id}/versions/{version_num}"
   

3. Valider la version du modèle.

   curl -X POST --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" --header "If-Match: {if_match}" "{base_url}/v1/group_templates/{template_id}/versions/{version_num}/commit"
   

Attribution d'un modèle de groupe d'accès aux comptes enfants à l'aide de l'API

Attribuez le modèle de groupe d'accès aux comptes enfants de votre entreprise.

Vous ne pouvez pas attribuer de modèle IAM au compte Entreprise, mais uniquement aux comptes enfants.

1. Listez les modèles de groupes d'accès dans votre compte d'entreprise et notez l' id e du modèle que vous souhaitez attribuer aux comptes enfants.

   curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_templates?account_id=accountID-123&limit=50&offset=0&verbose=false"
   

2. Assignez le modèle de groupe d'accès à un Account ou AccountGroup.

   curl -X POST --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" --header "Content-Type: application/json" --data '{ "template_id": "AccessGroupTemplateId-4be4", "template_version": "1", "target_type": "AccountGroup", "target": "0a45594d0f-123" }' "{base_url}/v1/group_assignments"
   

Création d'une nouvelle version à l'aide de l'API

Si vous souhaitez modifier un modèle de groupe d'accès validé ou attribué, créez une nouvelle version. La saisie d'un nouveau nom de modèle met à jour le nom du modèle pour cette version et toutes les versions précédentes.

1. Listez les modèles de groupes d'accès dans votre compte d'entreprise et notez l' id e du modèle pour lequel vous souhaitez créer une nouvelle version.

   curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_templates?account_id=accountID-123&limit=50&offset=0&verbose=false"
   

2. Créez une nouvelle version et incluez toutes les mises à jour que vous souhaitez effectuer.

   curl -X POST --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" --header "Content-Type: application/json" --data '{ "name": "IAM Admin Group template 2", "description": "This access group template allows admin access to all IAM platform services in the account.", "group": { "name": "IAM Admin Group 8", "description": "This access group template allows admin access to all IAM platform services in the account.", "members": { "users": [ "IBMid-123", "IBMid-234" ], "services": [ "iam-ServiceId-345" ], "action_controls": { "add": true, "remove": false } }, "assertions": { "rules": [ { "name": "Manager group rule", "expiration": 12, "realm_name": "https://idp.example.org/SAML2", "conditions": [ { "claim": "blueGroup", "operator": "CONTAINS", "value": "test-bluegroup-saml" } ], "guardrails": { "remove": false, "update": false } } ], "action_controls": { "add": false } }, "action_controls": { "access": { "add": false } } }, "policy_template_references": [ { "id": "policyTemplateId-123", "version": "1" }, { "id": "policyTemplateId-234", "version": "1" } ] }' "{base_url}/v1/group_templates/{template_id}/versions"
   

Une fois que vous avez créé et configuré une nouvelle version de votre modèle de groupe d'accès, révisez-la et affectez-la aux comptes enfants. Vous pouvez attribuer une nouvelle version aux comptes enfants qui contiennent une version précédente du modèle de groupe d'accès pour mettre à jour une attribution de manière transparente. Pour plus d'informations, voir Affectation d'un modèle de groupe d'accès à des comptes enfants à l'aide de l'API.

Suppression d'une affectation à l'aide de l'API

Vous pouvez supprimer l'affectation d'un modèle d'un compte ou d'un groupe de comptes auquel le modèle est affecté. Vous pouvez le faire si le modèle ne fonctionne pas comme prévu ou n'est plus nécessaire. Lorsque vous supprimez l'affectation d'un modèle à un compte, la version précédente du modèle est rétablie par défaut, le cas échéant. Si la cession que vous supprimez concerne la première ou la seule version d'un modèle, le groupe d'accès géré par l'entreprise dans les comptes enfants est supprimé.

Pour supprimer une affectation, procédez comme suit :

1. Énumérez les devoirs et notez l' AccessGroupAssignmentId e dans la réponse pour le devoir que vous souhaitez supprimer.

    curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_assignments?account_id=accountID-123&limit=50&offset=0"
   

2. Supprimez l'affectation.

   curl -X DELETE --location --header "Authorization: Bearer {iam_token}" "{base_url}/v1/group_assignments/{assignment_id}"
   

Suppression d'une version à l'aide de l'API

Avant de pouvoir supprimer une version de modèle de groupe d'accès, vous devez supprimer toutes les affectations de cette version du modèle. Supprimer une version spécifique en suivant les étapes suivantes :

1. Listez les modèles de groupes d'accès dans votre compte d'entreprise et notez l'ID d' AccessGroupTemplateId, ainsi que la version dans la réponse pour la version du modèle que vous souhaitez supprimer.

    curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_templates?account_id=accountID-123&limit=50&offset=0&verbose=true"
   

2. Supprimer la version.

   curl -X DELETE --location --header "Authorization: Bearer {iam_token}" "{base_url}/v1/group_templates/{template_id}/versions/{version_num}"
   

Création d'un modèle de groupe d'accès à l'aide de l'interface de ligne de commande (CLI)

Pensez à utiliser les modèles de groupes d'accès lorsque vous avez de nombreux comptes enfants, des exigences d'accès communes à tous les comptes, des exigences de sécurité strictes ou lorsque vous devez modifier les politiques d'accès dans votre entreprise.

Pour créer un modèle de groupe d'accès, procédez comme suit :

1. Créez un fichier JSON avec la définition de votre modèle de groupe d'accès. Pour plus d'informations sur les attributs que vous pouvez utiliser, consultez l'API des groupes d'accès IAM. L'exemple suivant crée un modèle de groupe d'accès pour les responsables qui ont besoin d'un accès administrateur à tous les services de gestion de compte IAM dans les comptes enfants afin de pouvoir gérer les accès :

   {
       "name": "IAM Admin Group template",
       "description": "This access group template allows admin access to all IAM platform services in the account.",
       "account_id": "06a2e9d0614447e295824de8c8df7b4f",
       "access_group": {
           "name": "IAM Admin Group",
           "description": "This enterprise-managed access group allows admin access to all IAM platform services in the account. Managers are dynamically added.",
           "members": {
               "users": [
                   "IBMid-1234",
                   "IBMid-2345"
               ],
               "services": [
                   "iam-ServiceId-123",
                   "iam-ServiceId-234"
               ],
               "action_controls": {
                   "add": "true",
                   "remove": "false"
               }
           },
           "assertions": {
               "rules": [
                   {
                       "name": "Manager group rule",
                       "expiration": 12,
                       "realm_name": "https://idp.example.org/SAML2",
                       "conditions": [
                           {
                               "claim": "isManager",
                               "operator": "EQUALS",
                               "value": "true"
                           }
                       ],
                       "action_controls": {
                           "remove": "true",
                           "update": "false"
                       }
                   }
               ],
               "action_controls": {
                   "add": "false"
               }
           },
           "action_controls": {
               "access": {
                   "add": true
               }
           }
       },
       "policy_template_references": [
           {
               "id": "policyTemplateId-123",
               "version": "1"
           },
           {
               "id": "policyTemplateId-234",
               "version": "1"
           }
       ],
       "externals": {
           "profile_template_ids": [
               "profileTemplateId-123",
               "profileTemplateId-234"
           ]
       }
   }
   

2. Utilisez la méthode access-group-template-create comme indiqué dans l'exemple de requête suivant :

   ibmcloud iam access-group-template-create --output JSON --file /path/to/access_group_template.json
   

Mise à jour des modèles de groupes d'accès à l'aide de l'interface de ligne de commande

Vous pouvez mettre à jour un modèle de groupe d'accès à tout moment avant qu'un modèle ne soit validé.

Pour mettre à jour un modèle de groupe d'accès, procédez comme suit :

1. Mettez à jour votre fichier JSON avec la nouvelle définition de modèle de groupe d'accès. Pour plus d'informations sur les attributs que vous pouvez utiliser dans votre fichier JSON, consultez l'API Groupes d'accès IAM.

2. Utilisez la méthode access-group-template-version-update comme indiqué dans l'exemple de requête suivant :

   ibmcloud iam access-group-template-version-update example-template-name 1 --file /path/to/access_group_template.json
   

   Cet exemple de requête met à jour la version 1 d'un modèle example-template-name.

Révision et engagement de votre modèle de groupe d'accès à l'aide de l'interface de ligne de commande

Passez en revue le modèle de groupe d'accès et validez-le afin qu'aucune modification ne puisse être apportée à la version. De cette façon, l'administrateur de l'attribution des modèles peut être sûr qu'il n'attribue la version que lorsque vous avez confirmé qu'elle est prête.

1. Listez les modèles de groupes d'accès dans votre compte d'entreprise et notez l' id e du modèle que vous souhaitez examiner et valider.

    ibmcloud iam access-group-templates
   

2. Obtenez la version modèle et examinez la réponse.

   ibmcloud iam access-group-template example-template-name 1
   

3. Valider la version du modèle.

   ibmcloud iam access-group-template-version-commit example-template-name 1
   

Attribution d'un modèle de groupe d'accès aux comptes enfants à l'aide de l'interface de ligne de commande

Attribuez le modèle de groupe d'accès aux comptes enfants de votre entreprise.

Vous ne pouvez pas attribuer de modèle IAM au compte Entreprise, mais uniquement aux comptes enfants.

1. Listez les modèles de groupes d'accès dans votre compte d'entreprise et notez l' id e du modèle que vous souhaitez attribuer aux comptes enfants.

   ibmcloud iam access-group-templates
   

2. Assignez le modèle de groupe d'accès à un Account ou AccountGroup.

   ibmcloud iam access-group-assignment-create example-template-name 1 --target-type Account --target example-account-id
   

Création d'une nouvelle version à l'aide de l'interface de ligne de commande (CLI)

Si vous souhaitez modifier un modèle de groupe d'accès validé ou attribué, créez une nouvelle version. La saisie d'un nouveau nom de modèle met à jour le nom du modèle pour cette version et toutes les versions précédentes.

1. Listez les modèles de groupes d'accès dans votre compte d'entreprise et notez l' id e du modèle pour lequel vous souhaitez créer une nouvelle version.

   ibmcloud iam access-group-templates
   

2. Créez un fichier JSON qui inclut toutes les mises à jour que vous souhaitez effectuer. Pour plus d'informations sur les attributs que vous pouvez utiliser dans votre fichier JSON, consultez l'API Groupes d'accès IAM.

3. Créer une nouvelle version en utilisant la méthode « access-group-template-version-create » comme indiqué dans l'exemple de requête suivant :

   ibmcloud iam access-group-template-version-create example-template-id 1
   

Une fois que vous avez créé et configuré une nouvelle version de votre modèle de groupe d'accès, validez-la et affectez-la aux comptes enfants. Vous pouvez attribuer une nouvelle version aux comptes enfants qui contiennent une version précédente du modèle de groupe d'accès. La nouvelle version du modèle remplace alors l'ancienne version. Pour plus d'informations, consultez la section Affectation d'un modèle de groupe d'accès à des comptes enfants à l'aide de l'interface de ligne de commande.