Création d'un modèle de politique d'autorisation dans la console

Pour créer un modèle de politique d'autorisation, procédez comme suit :

1. Dans la console, accédez à « Gérer » > « Accès (IAM) » > « Modèles ».
2. Sélectionnez Autorisations et cliquez sur Créer.
3. Saisissez un nom et une description pour le modèle d'autorisation qui décrivent son objectif pour les utilisateurs de l'entreprise.
4. Saisissez une description de la politique d'autorisation gérée par l'entreprise qui décrit son objectif pour les utilisateurs de comptes enfants.
5. Cliquez sur Créer.

Ensuite, procédez comme suit pour créer les règles d'autorisation :

1. Allez dans Autorisation pour spécifier les détails de la politique d'autorisation.

2. Sélectionnez le compte à partir duquel le service source demande l'accès à un autre service. Pour cet exemple, sélectionnez Compte(s) affecté(s), mais il y a quelques options à prendre en compte :

   1. Ce compte: Le compte d'entreprise racine unique
   2. Compte(s) affecté(s): lorsque vous affectez le modèle d'autorisation à un compte enfant, le compte source est renseigné avec le même compte que le compte enfant cible, qui détient la ressource à laquelle on accède.
   3. Compte spécifique: Un compte spécifique unique au sein de l'entreprise.

   La cible se trouve toujours dans le compte enfant auquel le modèle est affecté. La source peut être le même compte enfant que la cible (Compte affecté), le compte racine de l'entreprise (Ce compte) ou un compte spécifique de l'entreprise (Compte spécifique).

3. Ensuite, vous sélectionnez le service et les ressources sources. Pour cet exemple, sélectionnez VPC Infrastructure Services dans la liste. Cliquez sur Suivant.

   1. Sélectionnez le périmètre en cliquant sur Ressources spécifiques.
   2. Cliquez sur « Sélectionner un attribut ».
   3. Dans la liste, sélectionnez Type de ressource.
   4. Dans le champ suivant, sélectionnez File Storage for VPC.
   5. Cliquez sur Suivant.

4. Pour le service cible, sélectionnez Services d'infrastructure VPC dans la liste. Cliquez sur Suivant.

   1. Sélectionnez le périmètre en cliquant sur Ressources spécifiques.
   2. Cliquez sur « Sélectionner un attribut ».
   3. Dans la liste, sélectionnez Type de ressource.
   4. Dans le champ suivant, sélectionnez File Storage for VPC.
   5. Cliquez sur Suivant.

5. Sélectionnez le rôle « Editor ».

6. Cliquez sur « Vérifier » puis sur « Enregistrer ».

7. Le modèle est maintenant prêt à être validé et attribué aux comptes enfants.

Cet exemple crée des politiques d'autorisation qui permettent la réplication des données dans divers comptes enfants auxquels le modèle est attribué.

Les modèles ne sont utiles que s'ils sont suffisamment génériques pour s'appliquer à plusieurs comptes. L'exemple précédent spécifie « File Storage for VPC » à la fois pour la source et la cible, mais n'inclut pas d'identifiants d'instance spécifiques, car ceux-ci dépendent des ressources de chaque compte enfant.

Supprimer un modèle de politique d'autorisation dans la console

La suppression d'un modèle de stratégie d'autorisation entraîne la suppression de toutes les versions du modèle. Vous pouvez supprimer un modèle de stratégie d'autorisation référencé dans un état Brouillon ou Validé. Vous ne pouvez pas supprimer les modèles de stratégie d'autorisation qui sont à l'état Affecté, vous devez d'abord les désaffecter.

Pour supprimer un modèle de stratégie dans la console, procédez comme suit :

1. Accédez à « Gérer > Accès (IAM) > Modèles » dans l' IBM Cloud.
2. Cliquez sur Autorisations.
3. Cliquez sur l'icône Actions > Supprimer le modèle.
4. Confirmez que vous souhaitez supprimer le modèle.

Supprimer une version de modèle de politique d'autorisation dans la console

Pour supprimer uniquement une version spécifique, procédez comme suit :

1. Accédez à « Gérer > Accès (IAM) > Modèles » dans l' IBM Cloud.
2. Cliquez sur Autorisations.
3. Cliquez sur l'icône Actions > Supprimer la version.
4. Confirmez que vous souhaitez supprimer cette version.

Créer un modèle de politique d'autorisation à l'aide de l'interface de ligne de commande

Pour créer un modèle de stratégie d'autorisation, procédez comme suit dans l'interface de ligne de commande :

1. Créer un fichier JSON qui configure la définition du modèle de politique d'autorisation. Pour plus d'informations sur les attributs que vous pouvez utiliser dans votre fichier JSON, consultez l'API de gestion des politiques IAM.

   L'exemple de fichier JSON suivant spécifie les name s et description s du modèle et les account_id s du compte d'entreprise. Ensuite, la définition de l' authorization policy e est définie. Ce modèle d'autorisation attribue le rôle d'éditeur à tous les utilisateurs de File Storage for VPC dans les comptes attribués.

       {
         "name": "VPC_REGIONAL_REPLICATOR",
         "description": "Grant Editor Role between VPC File Storage to enable regional replication",
         "account_id": "ENTERPRISE_ROOT_ACCOUNT_ID",
         "policy": {
           "type": "authorization",
           "description": "Grant Editor on VPC File Storage",
           "control": {
               "grant": {
               "roles": [
                 {
                   "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
                 }
               ]
             }
           },
           "subject":
             {
               "attributes": [
                 {
                   "key": "serviceName",
                   "operator": "stringEquals",
                   "value": "is"
                 },
                 {
                   "key": "resourceType",
                   "operator": "stringEquals",
                   "value": "share"
                 }
               ]
             }
           ,
           "resource":
             {
               "attributes": [
                 {
                   "key": "serviceName",
                   "operator": "stringEquals",
                   "value": "is"
                 },
                 {
                   "key": "resourceType",
                   "operator": "stringEquals",
                   "value": "share"
                 }
               ]
             }
         }
   }
   

2. Utilisez la commande authorization-policy-template-create comme indiqué dans l'exemple de requête suivant :

 ibmcloud iam authorization-policy-template-create --file /path/to/vpc-share-authorization-template.json

Mise à jour d'un modèle de politique d'autorisation à l'aide de l'interface de ligne de commande

Vous pouvez mettre à jour les rôles, la cible, la source, le nom et la description d'un modèle d'autorisation à tout moment avant de le valider.

Pour mettre à jour un modèle d'autorisation à l'aide de l'interface de ligne de commande (CLI), procédez comme suit :

1. Mettez à jour votre fichier JSON avec la nouvelle définition du modèle d'autorisation. Pour plus d'informations sur les attributs que vous pouvez utiliser dans votre fichier JSON, consultez l'API de gestion des politiques IAM.

   Lorsque vous mettez à jour le nom du modèle, vous mettez à jour le nom de chaque version.

2. Utilisez la commande authorization-policy-template-version-update comme indiqué dans l'exemple de requête suivant :

    iam  authorization-policy-template-version-update VPC_REGIONAL_REPLICATOR 1 --file /path/to/vpc-share-authorization-template-updated.json
   

   Cela met à jour la version 1 du modèle d'autorisation VPC_REGIONAL_REPLICATOR en se référant au fichier JSON mis à jour.

   Lorsque vous mettez à jour un modèle existant, supprimez le « account_id »

Si vous avez besoin d'effectuer des mises à jour après avoir validé le modèle, créez une nouvelle version.

Engagement d'une version de modèle d'autorisation à l'aide de l'interface de ligne de commande

Passez en revue le modèle d'autorisation et validez-le afin qu'aucune modification ne puisse être apportée à la version. De cette façon, l'administrateur de l'attribution des modèles peut être sûr qu'il n'attribue la version que lorsque vous confirmez qu'elle est prête.

1. Vérifiez le modèle de politique d'autorisation avant de l'utiliser en utilisant la méthode authorization-policy-template-version pour afficher la version spécifique.

   ibmcloud iam authorization-policy-template-version VPC_REGIONAL_REPLICATOR 1
   

2. Pour valider un modèle d'autorisation à l'aide de l'interface de ligne de commande, utilisez la méthode authorization-policy-template-version-commit comme indiqué dans l'exemple de requête suivant :

   ibmcloud iam authorization-policy-template-version-commit  VPC_REGIONAL_REPLICATOR 1
   

Attribution d'un accès avec un modèle d'autorisation à l'aide de l'interface de ligne de commande

Attribuer un modèle d'autorisation à l'aide de l'interface de ligne de commande à un compte au sein de l'entreprise pour créer les politiques d'autorisation sous-jacentes dans ce compte.

1. Créer un modèle d'autorisation en utilisant la commande « authorization-policy-assignment-create » comme indiqué dans l'exemple de requête suivant :

    iam authorization-policy-assignment-create  VPC_REGIONAL_REPLICATOR 1  --target-type Account --target <<ACCOUNT_ID>>
   

2. Utilisez la commande « authorization-policy-assignment » pour voir ou actualiser le statut de l'affectation comme indiqué :

    iam authorization-policy-assignment <<POLICY_ASSIGNMENT_GUID>>
   

L'affectation peut prendre quelques secondes pour créer les ressources sous-jacentes et afficher le statut approprié.

Supprimer l'affectation d'un modèle d'autorisation à l'aide de l'interface de ligne de commande (CLI)

La suppression d'une affectation de politique d'autorisation supprime toutes les ressources sous-jacentes que l'affectation a créées dans les comptes enfants. Pour annuler l'affectation d'un modèle d'autorisation à l'aide de l'interface de ligne de commande, exécutez la commande suivante :

1. Utilisez la commande « authorization-policy-assignment-delete » pour exécuter une annulation d'affectation pour une affectation de politique d'autorisation particulière.

    iam authorization-policy-assignment-delete <<POLICY_ASSIGNMENT_GUID>>
   

Création d'une version d'un modèle de stratégie d'accès à l'aide de l'interface de ligne de commande

À mesure que les exigences d'accès évoluent pour les équipes de votre entreprise, vous devrez peut-être créer une autre version d'un modèle d'autorisation pour répondre à de nouveaux besoins. Pour créer une nouvelle version du modèle d'autorisation à l'aide de l'interface de ligne de commande, procédez comme suit :

1. Modifiez votre fichier JSON pour inclure toute mise à jour de la définition du modèle d'autorisation. Pour plus d'informations sur les attributs que vous pouvez utiliser dans votre fichier JSON, consultez l'API IAM Policy Management

2. Utilisez la commande authorization-policy-template-version-create comme indiqué dans l'exemple de requête suivant :

   ibmcloud iam authorization-policy-template-version-create VPC_REGIONAL_REPLICATOR --file /path/to/vpc-share-authorization-template-updated_v2.json
   

Supprimer une version d'un modèle de politique d'autorisation à l'aide de l'interface de ligne de commande

Vous pouvez supprimer une version particulière d'un modèle de stratégie d'autorisation référencé dans un état Brouillon ou Validé. Vous ne pouvez pas supprimer les modèles de stratégie d'autorisation qui sont à l'état Affecté, vous devez d'abord les désaffecter.

Pour supprimer une version d'un modèle de politique d'autorisation dans l'interface de ligne de commande, procédez comme suit :

1. Obtenez l'ID et la version du modèle de politique d'autorisation en utilisant la commande authorization-policy-template comme indiqué dans l'exemple de requête suivant :

   ibmcloud iam authorization-policy-templates
   

2. Supprimez la version en question à l'aide de la commande « authorization-policy-template-version-delete », comme indiqué dans l'exemple de requête suivant :

   ibmcloud iam authorization-policy-template-version-delete VPC_REGIONAL_REPLICATOR 2
   

Cet exemple supprime la version 2 du modèle de stratégie d' VPC_REGIONAL_REPLICATOR.