アクセスグループのテンプレートの作成

子アカウントを多数お持ちの場合、アカウント間で共通のアクセス要件がある場合、または厳格なセキュリティ要件がある場合は、アクセスグループテンプレートの使用をご検討ください。

アクセスグループのテンプレートを作成するには、以下の手順を実行してください

1. IBM Cloud コンソールの 「管理」>「アクセス (IAM)」>「テンプレート」 に移動します。

2. 「作成」 をクリックします。

3. 企業ユーザー向けのアクセスグループテンプレートの目的を説明する名前と説明を入力してください。

4. 子アカウントユーザー向けの企業管理アクセスグループの目的を説明する名称と説明を入力します。 アカウント内の既存のアクセスグループと重複しない、一意のアクセスグループ名を使用してください。

   アカウントに競合するアクセスグループ名が含まれている場合、テンプレートを割り当てるとエラーが発生します。

5. 「作成」 をクリックします。

テンプレートの詳細を更新する

テンプレートをコミットする前であれば、いつでもテンプレート名、アクセスグループ名、説明を更新することができます。 テンプレートの詳細を更新するには、以下の手順に従ってください：

1. IBM Cloud コンソールの 「管理」>「アクセス (IAM)」>「テンプレート」 に移動します。
2. 更新するアクセスグループテンプレートを選択します。
3. 詳細セクションの 編集 アイコン をクリックします。
4. テンプレート名、アクセスグループ名、説明文を更新します。
5. 保存 をクリックします。

テンプレートをコミットした後で更新が必要な場合は、新しいバージョンを作成してください。

アクセスグループテンプレートの確認

アクセスグループテンプレートを確認し、そのバージョンにこれ以上の変更が加えられないようにコミットします。 これにより、テンプレート割り当て管理者が、お客様が準備完了を確認したときにのみバージョンを割り当てていることを確実にすることができます。

1. IBM Cloud コンソールの 「管理」>「アクセス (IAM)」>「テンプレート」 に移動します。
2. 確認したいアクセスグループテンプレートを選択します。
3. **「レビュー」**をクリックします。
4. アクセスグループテンプレートが正しく設定されていることを確認してください。
5. バージョンを変更できないことを確認するために、チェックボックスをクリックします。
6. **「コミット」**をクリックします。

子アカウントへのアクセスグループテンプレートの割り当て

自社の子アカウントにアクセスグループテンプレートを割り当てます。

IAMテンプレートは、親アカウントではなく子アカウントに割り当てることはできます。

1. 「アカウントの割り当て 」をクリックします。

2. アクセスグループテンプレートを割り当てるアカウントおよびアカウントグループを選択します。

   テンプレートを割り当てる子アカウントごとに、企業管理のアクセスグループを作成します。 子アカウントのユーザーは、グループにエンタープライズ管理の タグが付いていることで、アクセスグループがエンタープライズ管理のIAMテンプレートから作成されたものであることを判断できます。

3. 割り当て をクリックします。

割り当てに失敗した場合は、 [再試行] をクリックします。

新しいバージョンを作成する

コミット済みまたは割り当て済みのアクセスグループテンプレートを変更する場合は、新しいバージョンを作成してください。 最新のバージョンを基に新しいバージョンを作成したり、別のバージョンを選択して作成したりすることができます。

アクセスグループテンプレートの新しいバージョンを作成するには、以下の手順に従います

1. IBM Cloud コンソールの 「管理」>「アクセス (IAM)」>「テンプレート」 に移動します。

2. アクセスグループのテンプレートを選択してください。

3. 新しいバージョンアイコンをクリックします。 。

4. 新しいバージョンのベースとして使用したいバージョンを選択します。

5. 新しいテンプレート名と説明を入力するか、現在使用中のものをそのまま使用します。

   新しいテンプレート名を入力すると、このバージョンとそれ以前のすべてのバージョンのテンプレート名が更新されます。 テンプレートの説明は、バージョンごとに個別に保存されます。

6. 新しいアクセスグループ名と説明を入力するか、現在使用中のものをそのまま使用します。

   新しいアクセス・グループ名を入力すると、新しいバージョンを割り当てた後に、子アカウントに表示されていた以前のアクセス・グループ名が置き換えられます。

7. 新しいバージョンに引き継ぎたいオブジェクトを選択します。

   1. （オプション） メンバー を選択します。
   2. （任意）「 動的ルール 」を選択します。
   3. （オプション ）「アクセス」 を選択します。

8. 「作成」 をクリックします。

9. 設定について、その他必要な調整を行ってください。

10. 「レビュー」 をクリックし、新しいバージョンをコミットします。 詳細は 、「アクセスグループテンプレートの確認 」を参照してください。

アクセスグループテンプレートの新しいバージョンを割り当てるには、以下の手順に従います

1. IBM Cloud コンソールの 「管理」>「アクセス (IAM)」>「テンプレート」 に移動します。
2. 作業するテンプレートの テーブルが拡張する アイコン をクリックします。
3. 現在子アカウントに割り当てられているバージョンを選択します。
4. 「割り当て」 をクリックします。
5. 別のバージョンを割り当てたいアカウントまたはアカウントグループの割り当てで 、「更新」 をクリックします。
6. 「 バージョンを選択 」をクリックしてください。
   1. 現在のバージョンを置き換えたいバージョンを選択します。
7. 更新 をクリックします。
8. 異なるバージョンを割り当てたい各アカウントまたはアカウントグループに対して、これらの手順を繰り返します。

割り当てた新しいテンプレートバージョンが古いバージョンに置き換わります。 新しいバージョンの割り当てについて、さらに詳しく知る。

割り当ての削除

テンプレートが割り当てられている1つ以上のアカウントから、テンプレート割り当てを削除することができます。 テンプレートが意図したように動作していない場合は、そうした方が良いでしょう。 アカウントからテンプレート割り当てを削除すると、デフォルトではテンプレートの以前のバージョンが復元されます。 削除した割り当てがテンプレートの最初のバージョンまたは唯一のバージョンの場合、子アカウントのアクセスグループも削除されます。

割り当てを削除するには、以下の手順に従ってください：

1. IBM Cloud コンソールの 「管理」>「アクセス (IAM)」>「テンプレート」 に移動します。
2. アクセスグループのテンプレートを選択してください。
3. 「更新 」をクリックします。
   1. 1つまたはいくつかのアカウントから割り当てを削除するには、テンプレート割り当てを削除したいアカウントの選択を解除します。
   2. テンプレートが割り当てられているすべてのアカウントから割り当てを解除するには 、「すべて解除」 をクリックします。

API を使用してアクセスグループテンプレートを作成する

多数のアカウントある場合、 アカウント間で共通のアクセス要件がある場合、厳格なセキュリティ要件がある場合、アクセスポリシーを変更する必要がある場合は、アクセスグループテンプレートの使用を検討してください。

次のリクエスト例に示すように、 IAM アクセスグループ API を呼び出すことで、プログラムでアクセスグループテンプレートを作成できます。 この例では、子アカウント内のすべてのIAMアカウント管理サービスへの管理者アクセス権限を必要とするマネージャー向けのアクセスグループテンプレートを作成し、アクセス管理を可能にします

{
    curl -X POST --location
    --header "Authorization: Bearer {iam_token}"
    --header "Accept: application/json"   --header "Content-Type: application/json"
    --data "name": "IAM Admin Group template",
    "description": "This access group template allows admin access to all IAM platform services in the account.",
    "account_id": "06a2e9d0614447e295824de8c8df7b4f",
    "access_group": {
        "name": "IAM Admin Group",
        "description": "This enterprise-managed access group allows admin access to all IAM platform services in the account. Managers are dynamically added.",
        "members": {
            "users": [
                "IBMid-1234",
                "IBMid-2345"
            ],
            "services": [
                "iam-ServiceId-123",
                "iam-ServiceId-234"
            ],
            "action_controls": {
                "add": "true",
                "remove": "false"
            }
        },
        "assertions": {
            "rules": [
                {
                    "name": "Manager group rule",
                    "expiration": 12,
                    "realm_name": "https://idp.example.org/SAML2",
                    "conditions": [
                        {
                            "claim": "isManager",
                            "operator": "EQUALS",
                            "value": "true"
                        }
                    ],
                    "action_controls": {
                        "remove": "true",
                        "update": "false"
                    }
                }
            ],
            "action_controls": {
                "add": "false"
            }
        },
        "action_controls": {
            "access": {
                "add": true
            }
        }
    },
    "policy_template_references": [
        {
            "id": "policyTemplateId-123",
            "version": "1"
        },
        {
            "id": "policyTemplateId-234",
            "version": "1"
        }
    ],
    "externals": {
        "profile_template_ids": [
            "profileTemplateId-123",
            "profileTemplateId-234"
        ]
    }
}

APIを使用してアクセスグループテンプレートを更新する

テンプレートがコミットされる前であれば、いつでもアクセスグループテンプレートを更新できます。

アクセスグループテンプレートを更新するには、次のサンプルリクエストに示されているように 、IAMポリシー管理APIを 呼び出します

curl -X PUT --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" --header "If-Match: {if_match}" --header "Content-Type: application/json" --data '{ "name": "IAM Admin Group template 2", "description": "This access group template allows admin access to all IAM platform services in the account.", "group": { "name": "IAM Admin Group 8", "description": "This access group template allows admin access to all IAM platform services in the account.", "members": { "users": [ "IBMid-665000T8WY" ], "services": [ "iam-ServiceId-e371b0e5-1c80-48e3-bf12-c6a8ef2b1a11" ], "action_controls": { "add": true, "remove": false } }, "assertions": { "rules": [ { "name": "Manager group rule", "expiration": 12, "realm_name": "https://idp.example.org/SAML2", "conditions": [ { "claim": "blueGroup", "operator": "CONTAINS", "value": "test-bluegroup-saml" } ], "action_controls": { "remove": false, "update": false } } ], "action_controls": { "add": false } }, "action_controls": { "access": { "add": false } } }, "policy_template_references": [ { "id": "policyTemplateId-123", "version": "1" }, { "id": "policyTemplateId-234", "version": "1" } ] }' "{base_url}/v1/group_templates/{template_id}/versions/{version_num}"

APIを使用してアクセスグループテンプレートをレビューし、コミットする

アクセスグループテンプレートを確認し、そのバージョンにこれ以上の変更が加えられないようにコミットします。 これにより、テンプレート割り当て管理者が、お客様が準備完了を確認したときにのみバージョンを割り当てていることを確実にすることができます。

1. 企業アカウント内のアクセスグループテンプレートをリストアップし、確認およびコミットするテンプレートの id をメモしてください。

   curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_templates?account_id=accountID-123&limit=50&offset=0&verbose=false"
   

2. テンプレートバージョンを取得し、応答を確認します。

   curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_templates/{template_id}/versions/{version_num}"
   

3. テンプレートのバージョンをコミットする。

   curl -X POST --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" --header "If-Match: {if_match}" "{base_url}/v1/group_templates/{template_id}/versions/{version_num}/commit"
   

APIを使用して子アカウントにアクセスグループテンプレートを割り当てる

自社の子アカウントにアクセスグループテンプレートを割り当てます。

IAMテンプレートは、親アカウントではなく子アカウントに割り当てることはできます。

1. 企業アカウント内のアクセスグループテンプレートをリストアップし、子アカウントに割り当てるテンプレートの id をメモしてください。

   curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_templates?account_id=accountID-123&limit=50&offset=0&verbose=false"
   

2. アクセスグループテンプレートを Account または AccountGroup に割り当てます。

   curl -X POST --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" --header "Content-Type: application/json" --data '{ "template_id": "AccessGroupTemplateId-4be4", "template_version": "1", "target_type": "AccountGroup", "target": "0a45594d0f-123" }' "{base_url}/v1/group_assignments"
   

API を使用して新しいバージョンを作成する

コミット済みまたは割り当て済みのアクセスグループテンプレートを変更する場合は、新しいバージョンを作成してください。 新しいテンプレート名を入力すると、このバージョンとそれ以前のすべてのバージョンのテンプレート名が更新されます。

1. 企業アカウント内のアクセスグループテンプレートをリストアップし、新しいバージョンを作成したいテンプレートの id をメモしてください。

   curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_templates?account_id=accountID-123&limit=50&offset=0&verbose=false"
   

2. 新しいバージョンを作成し、変更したい箇所をすべて更新します。

   curl -X POST --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" --header "Content-Type: application/json" --data '{ "name": "IAM Admin Group template 2", "description": "This access group template allows admin access to all IAM platform services in the account.", "group": { "name": "IAM Admin Group 8", "description": "This access group template allows admin access to all IAM platform services in the account.", "members": { "users": [ "IBMid-123", "IBMid-234" ], "services": [ "iam-ServiceId-345" ], "action_controls": { "add": true, "remove": false } }, "assertions": { "rules": [ { "name": "Manager group rule", "expiration": 12, "realm_name": "https://idp.example.org/SAML2", "conditions": [ { "claim": "blueGroup", "operator": "CONTAINS", "value": "test-bluegroup-saml" } ], "guardrails": { "remove": false, "update": false } } ], "action_controls": { "add": false } }, "action_controls": { "access": { "add": false } } }, "policy_template_references": [ { "id": "policyTemplateId-123", "version": "1" }, { "id": "policyTemplateId-234", "version": "1" } ] }' "{base_url}/v1/group_templates/{template_id}/versions"
   

アクセスグループテンプレートの新しいバージョンを作成し、設定したら、それを確認し、子アカウントに割り当てます。 以前のバージョンのアクセスグループテンプレートを含む子アカウントに新しいバージョンを割り当てると、シームレスに割り当てを更新することができます。 詳細については 、「APIを使用した子アカウントへのアクセスグループテンプレートの割り当て 」を参照してください。

API を使用して割り当てを削除する

テンプレートが割り当てられているアカウントまたはアカウントグループから、テンプレート割り当てを削除することができます。 テンプレートが意図したように機能していない場合や、もはや必要ない場合には、そうした方が良いでしょう。 アカウントからテンプレート割り当てを削除すると、デフォルトでは以前のバージョンのテンプレートが復元されます。 削除した割り当てがテンプレートの最初のバージョンまたは唯一のバージョンの場合、子アカウントの企業管理アクセスグループが削除されます。

割り当てを削除するには、以下の手順に従ってください：

1. 課題をリストアップし、削除したい課題の回答に AccessGroupAssignmentId と記載してください。

    curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_assignments?account_id=accountID-123&limit=50&offset=0"
   

2. 割り当てを削除します。

   curl -X DELETE --location --header "Authorization: Bearer {iam_token}" "{base_url}/v1/group_assignments/{assignment_id}"
   

API を使用してバージョンを削除する

アクセスグループテンプレートバージョンを削除する前に、そのバージョンのテンプレートに対するすべての割り当てを削除する必要があります。 特定のバージョンを削除するには、以下の手順に従ってください

1. 企業アカウントのアクセスグループテンプレートをリストアップし、削除したいテンプレートバージョンの応答に記載されている AccessGroupTemplateId IDとバージョンをメモします。

    curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_templates?account_id=accountID-123&limit=50&offset=0&verbose=true"
   

2. バージョンを削除する。

   curl -X DELETE --location --header "Authorization: Bearer {iam_token}" "{base_url}/v1/group_templates/{template_id}/versions/{version_num}"
   

CLI を使用してアクセスグループテンプレートを作成する

多数のアカウントある場合、 アカウント間で共通のアクセス要件がある場合、厳格なセキュリティ要件がある場合、または企業内のアクセスポリシーを変更する必要がある場合は、アクセスグループテンプレートの使用を検討してください。

以下の手順に従って、アクセスグループのテンプレートを作成できます

1. アクセスグループテンプレートの定義を記載したJSONファイルを作成します。 使用できる属性の詳細については 、IAM アクセスグループ API を 参照してください。 次の例では、子アカウントのすべてのIAMアカウント管理サービスへの管理者アクセス権限を必要とする管理者のためのアクセスグループテンプレートを作成します。これにより、アクセス管理が可能になります

   {
       "name": "IAM Admin Group template",
       "description": "This access group template allows admin access to all IAM platform services in the account.",
       "account_id": "06a2e9d0614447e295824de8c8df7b4f",
       "access_group": {
           "name": "IAM Admin Group",
           "description": "This enterprise-managed access group allows admin access to all IAM platform services in the account. Managers are dynamically added.",
           "members": {
               "users": [
                   "IBMid-1234",
                   "IBMid-2345"
               ],
               "services": [
                   "iam-ServiceId-123",
                   "iam-ServiceId-234"
               ],
               "action_controls": {
                   "add": "true",
                   "remove": "false"
               }
           },
           "assertions": {
               "rules": [
                   {
                       "name": "Manager group rule",
                       "expiration": 12,
                       "realm_name": "https://idp.example.org/SAML2",
                       "conditions": [
                           {
                               "claim": "isManager",
                               "operator": "EQUALS",
                               "value": "true"
                           }
                       ],
                       "action_controls": {
                           "remove": "true",
                           "update": "false"
                       }
                   }
               ],
               "action_controls": {
                   "add": "false"
               }
           },
           "action_controls": {
               "access": {
                   "add": true
               }
           }
       },
       "policy_template_references": [
           {
               "id": "policyTemplateId-123",
               "version": "1"
           },
           {
               "id": "policyTemplateId-234",
               "version": "1"
           }
       ],
       "externals": {
           "profile_template_ids": [
               "profileTemplateId-123",
               "profileTemplateId-234"
           ]
       }
   }
   

2. 次のサンプルリクエストで示されているように 、access-group-template-createメソッド を使用します

   ibmcloud iam access-group-template-create --output JSON --file /path/to/access_group_template.json
   

CLI を使用してアクセスグループテンプレートを更新する

テンプレートがコミットされる前であれば、いつでもアクセスグループテンプレートを更新できます。

アクセスグループのテンプレートを更新するには、以下の手順を実行してください

1. 新しいアクセスグループテンプレートの定義をJSONファイルに追加します。 JSONファイルで使用できる属性の詳細については 、IAMアクセスグループAPI を参照してください。

2. 次のサンプルリクエストに示されているように、 access-group-template-version-update メソッドを使用してください

   ibmcloud iam access-group-template-version-update example-template-name 1 --file /path/to/access_group_template.json
   

   このリクエスト例は、テンプレート example-template-name のバージョン 1 を更新します。

CLI を使用してアクセスグループテンプレートをレビューし、コミットする

アクセスグループテンプレートを確認し、そのバージョンにこれ以上の変更が加えられないようにコミットします。 これにより、テンプレート割り当て管理者が、お客様が準備完了を確認したときにのみバージョンを割り当てていることを確実にすることができます。

1. 企業アカウント内のアクセスグループテンプレートをリストアップし、確認およびコミットするテンプレートの id をメモしてください。

    ibmcloud iam access-group-templates
   

2. テンプレートバージョンを取得し、応答を確認します。

   ibmcloud iam access-group-template example-template-name 1
   

3. テンプレートのバージョンをコミットする。

   ibmcloud iam access-group-template-version-commit example-template-name 1
   

CLI を使用して子アカウントにアクセスグループテンプレートを割り当てる

自社の子アカウントにアクセスグループテンプレートを割り当てます。

IAMテンプレートは、親アカウントではなく子アカウントに割り当てることはできます。

1. 企業アカウント内のアクセスグループテンプレートをリストアップし、子アカウントに割り当てるテンプレートの id をメモしてください。

   ibmcloud iam access-group-templates
   

2. アクセスグループテンプレートを Account または AccountGroup に割り当てます。

   ibmcloud iam access-group-assignment-create example-template-name 1 --target-type Account --target example-account-id
   

CLI を使用して新しいバージョンを作成する

コミット済みまたは割り当て済みのアクセスグループテンプレートを変更する場合は、新しいバージョンを作成してください。 新しいテンプレート名を入力すると、このバージョンとそれ以前のすべてのバージョンのテンプレート名が更新されます。

1. 企業アカウント内のアクセスグループテンプレートをリストアップし、新しいバージョンを作成したいテンプレートの id をメモしてください。

   ibmcloud iam access-group-templates
   

2. 変更を加えたい内容をすべて含んだJSONファイルを作成します。 JSONファイルで使用できる属性の詳細については 、IAMアクセスグループAPI を参照してください。

3. 次のサンプルリクエストに示されているように、 access-group-template-version-create メソッドを使用して新しいバージョンを作成します

   ibmcloud iam access-group-template-version-create example-template-id 1
   

アクセスグループテンプレートの新しいバージョンを作成し、設定したら、それをコミットし、子アカウントに割り当てます。 アクセスグループテンプレートの旧バージョンを含む子アカウントに、新しいバージョンを割り当てることができます。 その場合、新しいテンプレートバージョンが古いバージョンに置き換わります。 詳細については 、「CLI を使用した子アカウントへのアクセスグループテンプレートの割り当て 」を参照してください。