액세스 그룹 템플릿 만들기

자식 계정이 많거나, 계정 간에 공통적인 접근 요구 사항이 있거나, 엄격한 보안 요구 사항이 있는 경우, 접근 그룹 템플릿을 사용하는 것을 고려해 보십시오.

액세스 그룹 템플릿을 만들려면 다음 단계를 따르십시오

1. IBM Cloud 콘솔에서 [ 관리] > [액세스(IAM)] > [템플릿] 으로 이동합니다.

2. 작성을 클릭하십시오.

3. 기업 사용자를 위한 액세스 그룹 템플릿의 목적과 설명을 입력합니다.

4. 자식 계정 사용자를 위한 기업 관리 액세스 그룹의 목적에 대한 설명과 이름을 입력합니다. 하위 계정에 있는 기존 액세스 그룹과 중복되지 않는 고유한 액세스 그룹 이름을 사용하십시오.

   계정에 충돌하는 액세스 그룹 이름이 포함되어 있는 경우 템플릿을 할당할 때 오류가 발생합니다.

5. 작성을 클릭하십시오.

템플릿 세부 사항 업데이트

템플릿을 적용하기 전에 언제든지 템플릿 이름, 액세스 그룹 이름, 설명을 업데이트할 수 있습니다. 템플릿 세부 정보를 업데이트하려면 다음 단계를 따르십시오:

1. IBM Cloud 콘솔에서 [ 관리] > [액세스(IAM)] > [템플릿] 으로 이동합니다.
2. 업데이트하려는 액세스 그룹 템플릿을 선택합니다.
3. 세부사항 섹션에서 " 편집 " 아이콘을 클릭하십시오.
4. 템플릿 이름, 액세스 그룹 이름, 설명을 필요한 대로 업데이트합니다.
5. 저장 을 클릭하십시오.

템플릿을 커밋한 후에 업데이트해야 하는 경우, 새로운 버전을 만드십시오.

액세스 그룹 템플릿 검토하기

액세스 그룹 템플릿을 검토하고 커밋하여 버전을 더 이상 변경할 수 없도록 합니다. 이렇게 하면 템플릿 할당 관리자가 준비가 완료되었다는 확인을 받은 후에만 버전을 할당할 수 있습니다.

1. IBM Cloud 콘솔에서 [ 관리] > [액세스(IAM)] > [템플릿] 으로 이동합니다.
2. 검토하려는 액세스 그룹 템플릿을 선택합니다.
3. 검토를 클릭하십시오.
4. 액세스 그룹 템플릿이 올바르게 구성되어 있는지 확인하십시오.
5. 버전을 변경할 수 없음을 확인하려면 체크박스를 클릭하십시오.
6. 커미트를 클릭하십시오.

하위 계정에 액세스 그룹 템플릿 할당

액세스 그룹 템플릿을 기업의 하위 계정에 할당하십시오.

기업 계정에는 IAM 템플릿을 할당할 수 없고, 하위 계정에만 할당할 수 있습니다.

1. 계정 할당을 클릭합니다.

2. 액세스 그룹 템플릿을 할당할 계정과 계정 그룹을 선택합니다.

   템플릿을 할당하는 각 하위 계정에서 기업 관리 액세스 그룹을 만듭니다. 자식 계정의 사용자는 액세스 그룹이 엔터프라이즈 관리 IAM 템플릿에서 온 것임을 [엔터프라이즈 관리] IAM 템플릿에서 확인할 수 있습니다.{: tag-cyan} 그룹에 태그를 붙이세요.

3. 지정을 클릭하십시오.

작업을 실패한 경우, 다시 시도를 클릭합니다.

새 버전 만들기

커밋되었거나 할당된 액세스 그룹 템플릿을 변경하려면 새 버전을 만드십시오. 최신 버전을 기반으로 새로운 버전을 만들거나, 선택한 다른 버전을 기반으로 새로운 버전을 만들 수 있습니다.

액세스 그룹 템플릿의 새로운 버전을 생성하려면 다음 단계를 완료하십시오

1. IBM Cloud 콘솔에서 [ 관리] > [액세스(IAM)] > [템플릿] 으로 이동합니다.

2. 액세스 그룹 템플릿을 선택하십시오.

3. 새 버전 아이콘을 클릭하십시오. .

4. 새 버전으로 만들 기본이 될 버전을 선택하세요.

5. 새로운 템플릿 이름과 설명을 입력하거나, 이미 사용 중인 것을 그대로 사용해도 됩니다.

   새로운 템플릿 이름을 입력하면 이 버전과 모든 이전 버전의 템플릿 이름이 업데이트됩니다. 템플릿 설명은 각 버전별로 별도로 저장됩니다.

6. 새로운 액세스 그룹 이름과 설명을 입력하거나, 이미 사용 중인 것을 그대로 사용하십시오.

   새 액세스 그룹 이름을 입력하면 새 버전을 지정한 후 하위 계정에 표시된 이전 액세스 그룹 이름이 바뀝니다.

7. 새 버전으로 옮기고 싶은 대상을 선택합니다.

   1. (선택 사항) 멤버를 선택합니다.
   2. (선택 사항) ‘동적 규칙’을 선택합니다.
   3. (선택 사항) 액세스를 선택합니다.

8. 작성을 클릭하십시오.

9. 구성에 필요한 다른 조정 사항을 적용하십시오.

10. 검토를 클릭하고 새 버전을 적용합니다. 자세한 내용은 액세스 그룹 템플릿 검토하기를 참고하세요.

액세스 그룹 템플릿의 새로운 버전을 할당하려면 다음 단계를 완료하십시오

1. IBM Cloud 콘솔에서 [ 관리] > [액세스(IAM)] > [템플릿] 으로 이동합니다.
2. 작업하려는 템플릿에서 " 표 펼치기 " 아이콘( )을 클릭합니다.
3. 현재 하위 계정에 할당된 버전을 선택합니다.
4. 할당을 클릭합니다.
5. 다른 버전을 할당하려는 계정 또는 계정 그룹 할당에서 업데이트를 클릭합니다.
6. “버전 선택”을 클릭하세요.
   1. 현재 버전을 대체할 버전을 선택합니다.
7. 업데이트 를 클릭하십시오.
8. 다른 버전을 할당하려는 각 계정 또는 계정 그룹에 대해 이 단계를 반복합니다.

새로 할당된 템플릿 버전이 이전 버전을 대체합니다. 새 버전 할당에 대해 자세히 알아보세요.

할당 제거

템플릿이 할당된 하나 이상의 계정에서 템플릿 할당을 제거할 수 있습니다. 템플릿이 의도한 대로 작동하지 않는 경우 그렇게 할 수 있습니다. 계정에서 템플릿 할당을 제거하면 기본적으로 템플릿의 이전 버전이 복원됩니다. 제거한 할당이 템플릿의 첫 번째 버전 또는 유일한 버전인 경우, 하위 계정의 액세스 그룹이 제거됩니다.

과제를 삭제하려면 다음 단계를 따르세요:

1. IBM Cloud 콘솔에서 [ 관리] > [액세스(IAM)] > [템플릿] 으로 이동합니다.
2. 액세스 그룹 템플릿을 선택하십시오.
3. 과제 업데이트를 클릭합니다.
   1. 하나 또는 몇 개의 계정에서 할당을 제거하려면, 템플릿 할당을 제거하려는 계정을 선택 해제하십시오.
   2. 템플릿이 할당된 모든 계정에서 할당을 제거하려면, 모두 할당 해제를 클릭합니다.

API를 사용하여 액세스 그룹 템플릿 만들기

하위 계정이 많거나 계정 간에 공통된 액세스 요구 사항이 있거나 엄격한 보안 요구 사항이 있거나 액세스 정책을 변경해야 하는 경우 액세스 그룹 템플릿을 사용하는 것이 좋습니다.

다음 예제 요청과 같이 IAM 액세스 그룹 API를 호출하여 프로그래밍 방식으로 액세스 그룹 템플릿을 생성할 수 있습니다. 이 예는 하위 계정의 모든 IAM 계정 관리 서비스에 대한 관리자 액세스가 필요한 관리자를 위한 액세스 그룹 템플릿을 만들어서 그들이 액세스를 관리할 수 있도록 합니다:

{
    curl -X POST --location
    --header "Authorization: Bearer {iam_token}"
    --header "Accept: application/json"   --header "Content-Type: application/json"
    --data "name": "IAM Admin Group template",
    "description": "This access group template allows admin access to all IAM platform services in the account.",
    "account_id": "06a2e9d0614447e295824de8c8df7b4f",
    "access_group": {
        "name": "IAM Admin Group",
        "description": "This enterprise-managed access group allows admin access to all IAM platform services in the account. Managers are dynamically added.",
        "members": {
            "users": [
                "IBMid-1234",
                "IBMid-2345"
            ],
            "services": [
                "iam-ServiceId-123",
                "iam-ServiceId-234"
            ],
            "action_controls": {
                "add": "true",
                "remove": "false"
            }
        },
        "assertions": {
            "rules": [
                {
                    "name": "Manager group rule",
                    "expiration": 12,
                    "realm_name": "https://idp.example.org/SAML2",
                    "conditions": [
                        {
                            "claim": "isManager",
                            "operator": "EQUALS",
                            "value": "true"
                        }
                    ],
                    "action_controls": {
                        "remove": "true",
                        "update": "false"
                    }
                }
            ],
            "action_controls": {
                "add": "false"
            }
        },
        "action_controls": {
            "access": {
                "add": true
            }
        }
    },
    "policy_template_references": [
        {
            "id": "policyTemplateId-123",
            "version": "1"
        },
        {
            "id": "policyTemplateId-234",
            "version": "1"
        }
    ],
    "externals": {
        "profile_template_ids": [
            "profileTemplateId-123",
            "profileTemplateId-234"
        ]
    }
}

API를 사용하여 액세스 그룹 템플릿 업데이트하기

액세스 그룹 템플릿은 템플릿이 커밋되기 전에 언제든지 업데이트할 수 있습니다.

액세스 그룹 템플릿을 업데이트하려면 다음 샘플 요청에 나와 있는 것처럼 IAM 정책 관리 API를 호출하십시오

curl -X PUT --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" --header "If-Match: {if_match}" --header "Content-Type: application/json" --data '{ "name": "IAM Admin Group template 2", "description": "This access group template allows admin access to all IAM platform services in the account.", "group": { "name": "IAM Admin Group 8", "description": "This access group template allows admin access to all IAM platform services in the account.", "members": { "users": [ "IBMid-665000T8WY" ], "services": [ "iam-ServiceId-e371b0e5-1c80-48e3-bf12-c6a8ef2b1a11" ], "action_controls": { "add": true, "remove": false } }, "assertions": { "rules": [ { "name": "Manager group rule", "expiration": 12, "realm_name": "https://idp.example.org/SAML2", "conditions": [ { "claim": "blueGroup", "operator": "CONTAINS", "value": "test-bluegroup-saml" } ], "action_controls": { "remove": false, "update": false } } ], "action_controls": { "add": false } }, "action_controls": { "access": { "add": false } } }, "policy_template_references": [ { "id": "policyTemplateId-123", "version": "1" }, { "id": "policyTemplateId-234", "version": "1" } ] }' "{base_url}/v1/group_templates/{template_id}/versions/{version_num}"

API를 사용하여 액세스 그룹 템플릿 검토 및 커밋하기

액세스 그룹 템플릿을 검토하고 커밋하여 버전을 더 이상 변경할 수 없도록 합니다. 이렇게 하면 템플릿 할당 관리자가 준비가 완료되었다는 확인을 받은 후에만 버전을 할당할 수 있습니다.

1. 기업 계정에 있는 액세스 그룹 템플릿을 나열하고 검토하고 커밋하려는 템플릿의 액세스 그룹 이름( id )을 기록해 두십시오.

   curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_templates?account_id=accountID-123&limit=50&offset=0&verbose=false"
   

2. 템플릿 버전을 받아 답변을 검토합니다.

   curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_templates/{template_id}/versions/{version_num}"
   

3. 템플릿 버전을 커밋합니다.

   curl -X POST --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" --header "If-Match: {if_match}" "{base_url}/v1/group_templates/{template_id}/versions/{version_num}/commit"
   

API를 사용하여 하위 계정에 액세스 그룹 템플릿 할당

액세스 그룹 템플릿을 기업의 하위 계정에 할당하십시오.

기업 계정에는 IAM 템플릿을 할당할 수 없고, 하위 계정에만 할당할 수 있습니다.

1. 기업 계정에 있는 액세스 그룹 템플릿을 나열하고, 하위 계정에 할당하려는 템플릿의 액세스 그룹 이름( id )을 기록해 둡니다.

   curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_templates?account_id=accountID-123&limit=50&offset=0&verbose=false"
   

2. Account 나 AccountGroup 에 액세스 그룹 템플릿을 할당합니다.

   curl -X POST --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" --header "Content-Type: application/json" --data '{ "template_id": "AccessGroupTemplateId-4be4", "template_version": "1", "target_type": "AccountGroup", "target": "0a45594d0f-123" }' "{base_url}/v1/group_assignments"
   

API를 사용하여 새 버전 생성하기

커밋되었거나 할당된 액세스 그룹 템플릿을 변경하려면 새 버전을 만드십시오. 새로운 템플릿 이름을 입력하면 이 버전과 모든 이전 버전의 템플릿 이름이 업데이트됩니다.

1. 기업 계정에 있는 액세스 그룹 템플릿을 나열하고 새 버전을 만들려는 템플릿의 액세스 그룹 이름( id )을 기록해 둡니다.

   curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_templates?account_id=accountID-123&limit=50&offset=0&verbose=false"
   

2. 새 버전을 만들고 업데이트를 포함시키세요.

   curl -X POST --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" --header "Content-Type: application/json" --data '{ "name": "IAM Admin Group template 2", "description": "This access group template allows admin access to all IAM platform services in the account.", "group": { "name": "IAM Admin Group 8", "description": "This access group template allows admin access to all IAM platform services in the account.", "members": { "users": [ "IBMid-123", "IBMid-234" ], "services": [ "iam-ServiceId-345" ], "action_controls": { "add": true, "remove": false } }, "assertions": { "rules": [ { "name": "Manager group rule", "expiration": 12, "realm_name": "https://idp.example.org/SAML2", "conditions": [ { "claim": "blueGroup", "operator": "CONTAINS", "value": "test-bluegroup-saml" } ], "guardrails": { "remove": false, "update": false } } ], "action_controls": { "add": false } }, "action_controls": { "access": { "add": false } } }, "policy_template_references": [ { "id": "policyTemplateId-123", "version": "1" }, { "id": "policyTemplateId-234", "version": "1" } ] }' "{base_url}/v1/group_templates/{template_id}/versions"
   

액세스 그룹 템플릿의 새로운 버전을 만들고 구성한 후, 그것을 검토하고 하위 계정에 할당하십시오. 이전 버전의 액세스 그룹 템플릿이 포함된 하위 계정에 새 버전을 할당하여 원활하게 할당을 업데이트할 수 있습니다. 자세한 내용은 API를 사용하여 하위 계정에 액세스 그룹 템플릿 할당을 참조하세요.

API를 사용하여 할당 사항 제거하기

템플릿이 할당된 계정이나 계정 그룹에서 템플릿 할당을 제거할 수 있습니다. 템플릿이 의도한 대로 작동하지 않거나 더 이상 필요하지 않은 경우 그렇게 할 수 있습니다. 계정에서 템플릿 할당을 제거하면 기본적으로 템플릿의 이전 버전이 존재하는 경우 복원됩니다. 제거하는 할당이 템플릿의 첫 번째 버전 또는 유일한 버전인 경우, 하위 계정의 기업 관리 액세스 그룹이 제거됩니다.

과제를 삭제하려면 다음 단계를 따르세요:

1. 할당을 나열하고 제거하려는 할당에 대한 응답에 " AccessGroupAssignmentId "를 기록합니다.

    curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_assignments?account_id=accountID-123&limit=50&offset=0"
   

2. 지정을 제거하십시오.

   curl -X DELETE --location --header "Authorization: Bearer {iam_token}" "{base_url}/v1/group_assignments/{assignment_id}"
   

API를 사용하여 버전 삭제하기

액세스 그룹 템플릿 버전을 삭제하기 전에, 해당 버전의 템플릿에 대한 모든 할당을 제거해야 합니다. 다음 단계를 완료하여 특정 버전을 삭제하십시오

1. 기업 계정에 있는 액세스 그룹 템플릿을 나열하고 삭제하려는 템플릿 버전에 대한 응답에서 AccessGroupTemplateId ID와 버전을 확인합니다.

    curl -X GET --location --header "Authorization: Bearer {iam_token}" --header "Accept: application/json" "{base_url}/v1/group_templates?account_id=accountID-123&limit=50&offset=0&verbose=true"
   

2. 버전을 삭제합니다.

   curl -X DELETE --location --header "Authorization: Bearer {iam_token}" "{base_url}/v1/group_templates/{template_id}/versions/{version_num}"
   

CLI를 사용하여 액세스 그룹 템플릿 만들기

하위 계정이 많거나 계정 간에 공통된 액세스 요구 사항이 있거나 보안 요구 사항이 엄격하거나 기업에서 액세스 정책을 변경해야 하는 경우 액세스 그룹 템플릿을 사용하는 것이 좋습니다.

다음 단계를 수행하여 액세스 그룹 템플릿을 생성할 수 있습니다

1. 액세스 그룹 템플릿 정의가 포함된 JSON 파일을 만듭니다. 사용할 수 있는 속성에 대한 자세한 정보는 IAM 액세스 그룹 API를 참조하십시오. 다음 예는 관리자가 하위 계정의 모든 IAM 계정 관리 서비스에 액세스할 수 있도록 관리자 액세스 권한이 필요한 관리자를 위한 액세스 그룹 템플릿을 만듭니다

   {
       "name": "IAM Admin Group template",
       "description": "This access group template allows admin access to all IAM platform services in the account.",
       "account_id": "06a2e9d0614447e295824de8c8df7b4f",
       "access_group": {
           "name": "IAM Admin Group",
           "description": "This enterprise-managed access group allows admin access to all IAM platform services in the account. Managers are dynamically added.",
           "members": {
               "users": [
                   "IBMid-1234",
                   "IBMid-2345"
               ],
               "services": [
                   "iam-ServiceId-123",
                   "iam-ServiceId-234"
               ],
               "action_controls": {
                   "add": "true",
                   "remove": "false"
               }
           },
           "assertions": {
               "rules": [
                   {
                       "name": "Manager group rule",
                       "expiration": 12,
                       "realm_name": "https://idp.example.org/SAML2",
                       "conditions": [
                           {
                               "claim": "isManager",
                               "operator": "EQUALS",
                               "value": "true"
                           }
                       ],
                       "action_controls": {
                           "remove": "true",
                           "update": "false"
                       }
                   }
               ],
               "action_controls": {
                   "add": "false"
               }
           },
           "action_controls": {
               "access": {
                   "add": true
               }
           }
       },
       "policy_template_references": [
           {
               "id": "policyTemplateId-123",
               "version": "1"
           },
           {
               "id": "policyTemplateId-234",
               "version": "1"
           }
       ],
       "externals": {
           "profile_template_ids": [
               "profileTemplateId-123",
               "profileTemplateId-234"
           ]
       }
   }
   

2. 다음 샘플 요청에 표시된 대로 access-group-template-create 메서드를 사용하십시오

   ibmcloud iam access-group-template-create --output JSON --file /path/to/access_group_template.json
   

CLI를 사용하여 액세스 그룹 템플릿 업데이트하기

액세스 그룹 템플릿은 템플릿이 커밋되기 전에 언제든지 업데이트할 수 있습니다.

액세스 그룹 템플릿을 업데이트하려면 다음 단계를 따르십시오

1. 새로운 액세스 그룹 템플릿 정의로 JSON 파일을 업데이트하십시오. JSON 파일에서 사용할 수 있는 속성에 대한 자세한 정보는 IAM 액세스 그룹 API를 참조하십시오.

2. 다음의 샘플 요청에 나와 있는 것처럼 ' access-group-template-version-update ' 방법을 사용하십시오

   ibmcloud iam access-group-template-version-update example-template-name 1 --file /path/to/access_group_template.json
   

   이 예제 요청은 템플릿 example-template-name 의 버전 1 을 업데이트합니다.

CLI를 사용하여 액세스 그룹 템플릿을 검토하고 커밋하기

액세스 그룹 템플릿을 검토하고 커밋하여 버전을 더 이상 변경할 수 없도록 합니다. 이렇게 하면 템플릿 할당 관리자가 준비가 완료되었다는 확인을 받은 후에만 버전을 할당할 수 있습니다.

1. 기업 계정에 있는 액세스 그룹 템플릿을 나열하고 검토하고 커밋하려는 템플릿의 액세스 그룹 이름( id )을 기록해 두십시오.

    ibmcloud iam access-group-templates
   

2. 템플릿 버전을 받아 답변을 검토합니다.

   ibmcloud iam access-group-template example-template-name 1
   

3. 템플릿 버전을 커밋합니다.

   ibmcloud iam access-group-template-version-commit example-template-name 1
   

CLI를 사용하여 하위 계정에 액세스 그룹 템플릿 할당

액세스 그룹 템플릿을 기업의 하위 계정에 할당하십시오.

기업 계정에는 IAM 템플릿을 할당할 수 없고, 하위 계정에만 할당할 수 있습니다.

1. 기업 계정에 있는 액세스 그룹 템플릿을 나열하고, 하위 계정에 할당하려는 템플릿의 액세스 그룹 이름( id )을 기록해 둡니다.

   ibmcloud iam access-group-templates
   

2. Account 나 AccountGroup 에 액세스 그룹 템플릿을 할당합니다.

   ibmcloud iam access-group-assignment-create example-template-name 1 --target-type Account --target example-account-id
   

CLI를 사용하여 새 버전 생성하기

커밋되었거나 할당된 액세스 그룹 템플릿을 변경하려면 새 버전을 만드십시오. 새로운 템플릿 이름을 입력하면 이 버전과 모든 이전 버전의 템플릿 이름이 업데이트됩니다.

1. 기업 계정에 있는 액세스 그룹 템플릿을 나열하고 새 버전을 만들려는 템플릿의 액세스 그룹 이름( id )을 기록해 둡니다.

   ibmcloud iam access-group-templates
   

2. 업데이트를 포함하는 JSON 파일을 만듭니다. JSON 파일에서 사용할 수 있는 속성에 대한 자세한 정보는 IAM 액세스 그룹 API를 참조하십시오.

3. 다음 샘플 요청에 나와 있는 것처럼 ' access-group-template-version-create ' 방법을 사용하여 새 버전을 만듭니다

   ibmcloud iam access-group-template-version-create example-template-id 1
   

액세스 그룹 템플릿의 새로운 버전을 만들고 구성한 후, 그것을 커밋하고 하위 계정에 할당하십시오. 이전 버전의 액세스 그룹 템플릿이 포함된 하위 계정에 새 버전을 할당할 수 있습니다. 이 경우 새로운 템플릿 버전이 이전 버전을 대체합니다. 자세한 내용은 CLI를 사용하여 하위 계정에 액세스 그룹 템플릿 할당을 참조하십시오.