Creazione di un modello di policy di autorizzazione nella console

Per creare un modello di politica di autorizzazione, procedere come segue:

1. Vai a Gestisci > Accesso (IAM) > Modelli nella console.
2. Selezionare " Autorizzazioni " e fare clic su " Crea ".
3. Immettere un nome e una descrizione per il modello di autorizzazione che ne descrive lo scopo per gli utenti aziendali.
4. Inserisci una descrizione per la politica di autorizzazione gestita dall'azienda che ne descriva lo scopo per gli utenti di account figlio.
5. Fai clic su Crea.

Successivamente, completare i seguenti passaggi per creare le regole di autorizzazione:

1. Vai a Autorizzazione per specificare i dettagli della politica di autorizzazione.

2. Selezionare l'account dal quale il servizio sorgente richiede l'accesso a un altro servizio. Per questo esempio selezionare Account assegnati, ma ci sono alcune opzioni da considerare:

   1. Questo account: l'account aziendale singolo e principale
   2. Account assegnati: quando si assegna il modello di autorizzazione a un account figlio, l'account di origine viene popolato nello stesso account dell'account figlio di destinazione, che contiene la risorsa a cui si accede.
   3. Conto specifico: un singolo conto specifico all'interno dell'azienda.

   L'obiettivo è sempre nell'account figlio a cui è assegnato il modello. La fonte può essere lo stesso account figlio dell'obiettivo (Account assegnato), l'account aziendale principale (Questo account) o un account specifico nell'azienda (Account specifico).

3. Successivamente si selezionano il servizio e le risorse di origine. Per questo esempio, selezionare Servizi infrastruttura VPC dall'elenco. Fai clic su Next.

   1. Selezionare l'ambito facendo clic su Risorse specifiche.
   2. Fai clic su " Seleziona un attributo ".
   3. Dall'elenco, selezionare Tipo di risorsa.
   4. Nel campo successivo, selezionare File Storage for VPC.
   5. Fai clic su Next.

4. Per il servizio di destinazione, selezionare Servizi infrastrutturali VPC dall'elenco. Fai clic su Next.

   1. Selezionare l'ambito facendo clic su Risorse specifiche.
   2. Fai clic su " Seleziona un attributo ".
   3. Dall'elenco, selezionare Tipo di risorsa.
   4. Nel campo successivo, selezionare File Storage for VPC.
   5. Fai clic su Next.

5. Seleziona il ruolo “ Editor ”.

6. Fai clic su " Rivedi " e poi su " Salva".

7. Il modello è ora pronto per essere confermato e assegnato agli account figlio.

Questo esempio crea criteri di autorizzazione che consentono la replica dei dati in vari account secondari a cui è assegnato il modello.

I modelli sono utili solo se sono abbastanza generici da poter essere applicati a più account. L'esempio precedente specifica File Storage for VPC sia per l'origine che per la destinazione, ma non include ID di istanza specifici poiché questi sono propri delle risorse presenti in ciascun account secondario.

Eliminazione di un modello di criteri di autorizzazione nella console

L'eliminazione di un modello di criteri di autorizzazione comporta l'eliminazione di tutte le versioni del modello. È possibile eliminare un modello di criteri di autorizzazione a cui si fa riferimento in uno stato Bozza o Commesso. Non è possibile eliminare i modelli di criteri di autorizzazione che sono nello stato Assegnato, è necessario prima annullare l'assegnazione.

Per eliminare un modello di policy nella console, completare i seguenti passaggi:

1. Vai a Gestione > Accesso (IAM) > Modelli nell' IBM Cloud.
2. Fare clic su Autorizzazioni.
3. Fare clic sull'icona Azioni > Elimina modello.
4. Conferma che desideri eliminare il modello.

Eliminazione di una versione del modello di criteri di autorizzazione nella console

Per eliminare solo una versione specifica, completare i seguenti passaggi:

1. Vai a Gestione > Accesso (IAM) > Modelli nell' IBM Cloud.
2. Fare clic su Autorizzazioni.
3. Fare clic sull'icona > Elimina versione.
4. Conferma che desideri eliminare la versione.

Creare un modello di policy di autorizzazione utilizzando la CLI

Per creare un modello di policy di autorizzazione, completare i seguenti passaggi nella CLI:

1. Creare un file JSON che configuri la definizione del modello di policy di autorizzazione. Per ulteriori informazioni sugli attributi che è possibile utilizzare nel file JSON, consultare l'API di gestione delle politiche IAM.

   Il seguente file JSON di esempio specifica l' name e e l' description e del modello e l' account_id e dell'account aziendale. Quindi, viene definita la definizione dell' authorization policy. Questo modello di autorizzazione assegna il ruolo di "Editor" su tutti i siti File Storage for VPC presenti negli account assegnati.

       {
         "name": "VPC_REGIONAL_REPLICATOR",
         "description": "Grant Editor Role between VPC File Storage to enable regional replication",
         "account_id": "ENTERPRISE_ROOT_ACCOUNT_ID",
         "policy": {
           "type": "authorization",
           "description": "Grant Editor on VPC File Storage",
           "control": {
               "grant": {
               "roles": [
                 {
                   "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
                 }
               ]
             }
           },
           "subject":
             {
               "attributes": [
                 {
                   "key": "serviceName",
                   "operator": "stringEquals",
                   "value": "is"
                 },
                 {
                   "key": "resourceType",
                   "operator": "stringEquals",
                   "value": "share"
                 }
               ]
             }
           ,
           "resource":
             {
               "attributes": [
                 {
                   "key": "serviceName",
                   "operator": "stringEquals",
                   "value": "is"
                 },
                 {
                   "key": "resourceType",
                   "operator": "stringEquals",
                   "value": "share"
                 }
               ]
             }
         }
   }
   

2. Utilizzare il comando " authorization-policy-template-create " come mostrato nella seguente richiesta di esempio:

 ibmcloud iam authorization-policy-template-create --file /path/to/vpc-share-authorization-template.json

Aggiornamento di un modello di politica di autorizzazione utilizzando la CLI

È possibile aggiornare i ruoli, la destinazione, l'origine, il nome e la descrizione di un modello di autorizzazione in qualsiasi momento prima di confermarlo.

Per aggiornare un modello di autorizzazione tramite la CLI, procedere come segue:

1. Aggiorna il tuo file JSON con la nuova definizione del modello di autorizzazione. Per ulteriori informazioni sugli attributi che è possibile utilizzare nel file JSON, consultare l'API di gestione delle politiche IAM.

   Quando si aggiorna il nome del modello, si aggiorna il nome per ogni versione.

2. Utilizzare il comando " authorization-policy-template-version-update " come mostrato nella seguente richiesta di esempio:

    iam  authorization-policy-template-version-update VPC_REGIONAL_REPLICATOR 1 --file /path/to/vpc-share-authorization-template-updated.json
   

   Questo aggiorna la versione 1 del modello di autorizzazione VPC_REGIONAL_REPLICATOR facendo riferimento al file JSON aggiornato.

   Quando si aggiorna un modello esistente, rimuovere il "account_id"

Se è necessario effettuare aggiornamenti dopo aver confermato il modello, creare una nuova versione.

Impegnare una versione del modello di autorizzazione utilizzando la CLI

Rivedere il modello di autorizzazione e confermarlo in modo che non possano essere apportate ulteriori modifiche alla versione. In questo modo, l'amministratore dell'assegnazione dei modelli può essere sicuro di assegnare la versione solo quando si conferma che è pronta.

1. Rivedi il modello della politica di autorizzazione prima di impegnarti utilizzando il metodo authorization-policy-template-version per visualizzare la versione specifica.

   ibmcloud iam authorization-policy-template-version VPC_REGIONAL_REPLICATOR 1
   

2. Per eseguire un modello di autorizzazione utilizzando la CLI, utilizzare il metodo authorization-policy-template-version-commit come mostrato nella seguente richiesta di esempio:

   ibmcloud iam authorization-policy-template-version-commit  VPC_REGIONAL_REPLICATOR 1
   

Assegnazione dell'accesso con un modello di autorizzazione utilizzando la CLI

Assegnare un modello di autorizzazione utilizzando la CLI a un account all'interno dell'azienda per creare le politiche di autorizzazione sottostanti in quell'account.

1. Creare un modello di autorizzazione utilizzando il comando authorization-policy-assignment-create come mostrato nella seguente richiesta di esempio:

    iam authorization-policy-assignment-create  VPC_REGIONAL_REPLICATOR 1  --target-type Account --target <<ACCOUNT_ID>>
   

2. Utilizza il comando authorization-policy-assignment per visualizzare o aggiornare lo stato dell'assegnazione come mostrato:

    iam authorization-policy-assignment <<POLICY_ASSIGNMENT_GUID>>
   

Potrebbero essere necessari alcuni secondi prima che l'assegnazione crei le risorse sottostanti e visualizzi lo stato appropriato.

Annullamento dell'assegnazione di un modello di autorizzazione utilizzando la CLI

La rimozione di un'assegnazione di criteri di autorizzazione rimuove tutte le risorse sottostanti create dall'assegnazione all'interno degli account secondari. Per annullare l'assegnazione di un modello di autorizzazione utilizzando la CLI, completare il seguente comando:

1. Utilizzare il comando " authorization-policy-assignment-delete " per eseguire una rimozione di assegnazione rispetto a una particolare assegnazione di criteri di autorizzazione.

    iam authorization-policy-assignment-delete <<POLICY_ASSIGNMENT_GUID>>
   

Creazione di una versione di un modello di criteri di accesso utilizzando la CLI

Man mano che i requisiti di accesso per i team della tua azienda si evolvono, potrebbe essere necessario creare un'altra versione di un modello di autorizzazione per soddisfare le nuove esigenze. Per creare una nuova versione del modello di autorizzazione utilizzando la CLI, completare i seguenti passaggi:

1. Modifica il file JSON per includere eventuali aggiornamenti alla definizione del modello di autorizzazione. Per ulteriori informazioni sugli attributi che è possibile utilizzare nel file JSON, consultare l'API di gestione delle politiche IAM

2. Utilizzare il comando " authorization-policy-template-version-create " come mostrato nella seguente richiesta di esempio:

   ibmcloud iam authorization-policy-template-version-create VPC_REGIONAL_REPLICATOR --file /path/to/vpc-share-authorization-template-updated_v2.json
   

Eliminazione di una versione di un modello di criteri di autorizzazione utilizzando la CLI

È possibile eliminare una particolare versione di un modello di criteri di autorizzazione a cui si fa riferimento in uno stato Bozza o Commesso. Non è possibile eliminare i modelli di criteri di autorizzazione che sono nello stato Assegnato, è necessario prima annullare l'assegnazione.

Per eliminare una versione di un modello di criteri di autorizzazione nella CLI, completare i seguenti passaggi:

1. Ottenere l'ID e la versione del modello di policy di autorizzazione utilizzando il comando authorization-policy-template come mostrato nella seguente richiesta di esempio:

   ibmcloud iam authorization-policy-templates
   

2. Eliminare la versione specifica utilizzando il comando authorization-policy-template-version-delete come mostrato nella seguente richiesta di esempio:

   ibmcloud iam authorization-policy-template-version-delete VPC_REGIONAL_REPLICATOR 2
   

Questo esempio elimina la versione 2 del modello di criteri di VPC_REGIONAL_REPLICATOR.