Gestione dell'accesso con restrizioni basate sul contesto
Le restrizioni basate sul contesto offrono ai proprietari e agli amministratori degli account la possibilità di definire e applicare restrizioni di accesso per IBM Cloud® risorse in base al contesto delle richieste di accesso. L'accesso alle risorse di IBM Cloud Event Notifications può essere controllato con restrizioni basate sul contesto e con politiche di gestione dell'identità e dell'accesso.
Queste restrizioni funzionano con i tradizionali criteri IAM, che si basano sull'identità, per fornire un ulteriore livello di protezione. A differenza delle politiche IAM, le restrizioni basate sul contesto non assegnano l'accesso. Le limitazioni basate sui contesti verificano che una richiesta di accesso provenga da un contesto consentito configurato. Poiché sia l'accesso IAM che le restrizioni basate sul contesto impongono l'accesso, le restrizioni basate sul contesto offrono protezione anche in caso di credenziali compromesse o mal gestite.
Dopo aver configurato l'istanza del servizio Event Notifications, è possibile gestire l'accesso utilizzando le restrizioni basate sul contesto(CBR).
Gli eventi di audit log generati provengono dal servizio di restrizione basato sul contesto e non da IBM Cloud Event Notifications. Per ulteriori informazioni, vedere Monitoraggio delle restrizioni basate sul contesto.
Come il servizio IBM Cloud Event Notifications si integra con le restrizioni basate sul contesto
Con restrizioni basate sul contesto, puoi definire e applicare le restrizioni di accesso utente e servizio alle risorse Event Notifications in base al criterio specificato. Queste risorse includono indirizzi IP ( Internet Protocol ) collegati alla tua istanza Event Notifications.
Per limitare l'accesso, devi essere il proprietario dell'account o avere una politica di accesso con il ruolo di amministratore su tutti i servizi di gestione dell'account.
È possibile creare restrizioni basate sul contesto (CBR) per le risorse del servizio IBM Cloud Event Notifications o per specifiche API. Con le restrizioni basate sul contesto, puoi proteggere le seguenti risorse.
Proteggere le risorse del servizio IBM Cloud Event Notifications
Limitare l'accesso a gruppi di risorse, regioni o istanze.
Proteggere API specifiche
Limitare l'accesso alle risorse di Event Notifications applicando CBR sulle API del piano di controllo o limitando l'accesso alla connessione dell'interfaccia SMTP.
Protezione delle risorse del cluster
È possibile creare regole CBR su gruppi di risorse, regioni, istanze o tipi specifici di risorse. È possibile utilizzare i seguenti parametri per definire l'ambito di applicazione di una regola CBR.
Gruppo di risorse:
Protegge le risorse del servizio IBM Cloud Event Notifications in un gruppo di risorse specifico.
Se si utilizza la CLI, è possibile specificare l'opzione --resource-group-id RESOURCE-GROUP-ID per proteggere le risorse di un determinato gruppo di risorse.
Se utilizzi l'API, puoi specificare "name": "resourceGroupId","value": "RESOURCE-GROUP-ID" campo negli attributi della risorsa.
Regione:
Protegge le risorse del servizio IBM Cloud Event Notifications in una regione specifica. Se selezioni una regione nella regola CBR, solo il traffico proveniente dalle risorse nelle zone di rete associate alla regola potrà interagire con le risorse in quella regione.
Se utilizzi la CLI, puoi specificare il file --region REGION opzione per proteggere le risorse in una regione specifica.
Se utilizzi l'API, puoi specificare "name": "region","value": "REGION" campo negli attributi della risorsa.
Istanza del servizio:
Protegge istanze specifiche del servizio IBM Cloud Event Notifications.
Se si utilizza la CLI, è possibile specificare l'opzione --service-instance INSTANCE-ID per proteggere un'istanza specifica.
Se utilizzi l'API, puoi specificare "name": "serviceInstance","value": "INSTANCE-ID" campo negli attributi della risorsa.
Ambiente:
Limita l'applicazione della regola CBR a uno specifico ambiente di distribuzione del servizio " Event Notifications ".
Se utilizzi l'API, puoi specificare "name": "environment","value": "ENVIRONMENT" campo negli attributi della risorsa.
Tipo di risorsa:
Limita l'applicazione della regola CBR a un tipo specifico di risorsa all'interno di Event Notifications.
Se utilizzi l'API, puoi specificare "name": "resourceType","value": "RESOURCE-TYPE" campo negli attributi della risorsa.
Fonte:
Limita l'applicazione della regola CBR a una risorsa specifica all'interno di Event Notifications.
Se utilizzi l'API, puoi specificare "name": "resource","value": "RESOURCE-ID" campo negli attributi della risorsa.
ID abbonamento:
Limita l'applicazione della regola CBR a una specifica sottoscrizione all'interno di Event Notifications.
Se utilizzi l'API, puoi specificare "name": "subscriptionId","value": "SUBSCRIPTION-ID" campo negli attributi della risorsa.
ID argomento:
Limita l'applicazione della regola CBR a un argomento specifico all'interno di Event Notifications.
Se utilizzi l'API, puoi specificare "name": "topicId","value": "TOPIC-ID" campo negli attributi della risorsa.
ID configurazione SMTP:
Limita l'applicazione della regola CBR a una specifica configurazione SMTP all'interno di Event Notifications.
Se utilizzi l'API, puoi specificare "name": "smtpConfigId","value": "SMTP-CONFIG-ID" campo negli attributi della risorsa.
Protezione di API specifiche
È possibile creare regole CBR per proteggere i seguenti tipi di API per IBM Cloud Event Notifications.
API del piano di controllo
Protegge l'accesso alle API del servizio, quali quelle che consentono di eseguire operazioni CRUD su tutte le entità disponibili in Event Notifications, tra cui sorgenti, argomenti, sottoscrizioni, configurazioni SMTP e altro ancora. Inoltre, protegge l'accesso durante l'invio delle notifiche e delle API Push Destinations. L'elenco completo delle API è riportato qui.
Se selezioni le API del piano di controllo del cluster nella regola CBR, solo il traffico proveniente dalle risorse nelle zone di rete associate a tale regola potrà interagire con le API del piano di controllo del cluster. Tutte le altre richieste vengono bloccate.
Se utilizzi la CLI, puoi specificare il file --api-types opzione e il crn:v1:bluemix:public:context-based-restrictions::::api-type:control-plane tipo.
Se utilizzi l'API, puoi specificare "api_type_id": "crn:v1:bluemix:public:context-based-restrictions::::api-type:control-plane" nel "operations" spec.
Configurazione SMTP
Protegge l'accesso al Interfaccia SMTP. Se selezioni la configurazione SMTP nella regola CBR, solo il traffico proveniente dalle risorse nelle zone di rete associate a tale regola potrà interagire con la configurazione SMTP. Tutte le altre richieste vengono bloccate. Poiché l'interfaccia SMTP funziona in base alla coppia nome utente-password sulla connettività diretta al cluster, l'impostazione della regola CBR è obbligatoria per questa funzionalità.
Se utilizzi la CLI, puoi specificare il file --api-types opzione e il crn:v1:bluemix:public:event-notifications-dev::::api-type:smtp-configuration tipo.
Se utilizzi l'API, puoi specificare "api_type_id": "crn:v1:bluemix:public:event-notifications-dev::::api-type:smtp-configuration" nel "operations" spec.
Panoramica
Per limitare l'accesso, devi creare zone e regole.
Per prima cosa, creare una zona con i dettagli appropriati per le definizioni di rete o di risorsa. Quindi, collegare tale zona alla risorsa specificata per limitare l'accesso. È possibile creare zone e regole utilizzando un' API RESTful o con restrizioni basate sul contesto. Dopo aver creato o aggiornato una zona o una regola, potrebbero essere necessari alcuni minuti per rendere effettiva la modifica.
Le regole CBR non si applicano ai processi di provisioning o di deprovisioning.
Informazioni sulle zone di rete
Creando zone di rete, è possibile definire un elenco consentito di ubicazioni di rete in cui hanno origine le richieste di accesso, per determinare quando è possibile applicare una regola. L'elenco di ubicazioni di rete può essere specificato utilizzando gli indirizzi IP, come indirizzi singoli, intervalli o sottoreti e ID VPC (Virtual Private Cloud).
Dopo aver creato una zona di rete, è possibile aggiungerla a una regola.
Creazione di zone di rete utilizzando l'API CBR
L'API supporta la definizione di zone di rete collegandosi a endpoint pubblici (ad esempio, cbr.cloud.ibm.com) e privati (ad esempio, private.cbr.cloud.ibm.com).
Utilizzare GET /v1/zones per elencare le zone. Utilizzando POST /v1/zones, è possibile creare una nuova zona con le informazioni appropriate. Per ulteriori informazioni, incluso un esempio di corpo della richiesta,
vedi Creazione di zone di rete utilizzando l'API.
È possibile stabilire quali servizi sono disponibili controllando le destinazioni di riferimento.
Dopo aver creato le zone, è possibile aggiornarle o eliminarle.
Creazione di zone di rete utilizzando la UI CBR
Una volta impostati i prerequisiti e i requisiti, è possibile creare zone nell'interfaccia utente. Per ulteriori informazioni sui passi da seguire, vedi Creazione di restrizioni basate sul contesto.
Invece di creare una zona utilizzando gli input IU, puoi utilizzare il modulo di codice JSON per creare una zona facendo clic su Immetti come codice JSON.
Dopo aver creato le aree, puoi anche aggiornare e eliminarle.
Informazioni sulle regole di rete
Dopo aver creato le tue aree, puoi collegarle alle tue risorse di rete creando delle regole. Quando si aggiungono risorse a una regola, è possibile scegliere tra tipi di endpoint disponibili specifici per la topologia di rete.
Creare le regole di rete utilizzando l'API CBR
Puoi definire le regole di rete con l'API utilizzando le informazioni raccolte dalla creazione delle zone di rete.
Utilizzando GET /v1/rules con gli endpoint scelti, è possibile visualizzare un elenco di regole correnti. Utilizzare POST /v1/rules per creare nuove regole. Per ulteriori informazioni, incluso un esempio di corpo
della richiesta, vedi Creazione di regole utilizzando l'API.
Dopo aver creato le regole, è possibile aggiornare e eliminarle.
Creazione di regole di rete utilizzando la UI CBR
Una volta impostati i prerequisiti e i requisiti, è possibile creare zone nell'interfaccia utente. Per ulteriori informazioni sui passi da seguire, vedi Creazione di restrizioni basate sul contesto.
È possibile utilizzare l'interfaccia utente CBR per aggiungere risorse e contesti alle regole di rete. Tenere presenti le limitazioni.
Ad esempio, quando crei delle restrizioni basate sul contesto per il servizio IAM Access Groups, gli utenti che non soddisfano la regola non possono visualizzare alcun gruppo nell'account, incluso il gruppo di accesso pubblico.
A differenza delle politiche IAM, le restrizioni basate sul contesto non assegnano l'accesso. Le limitazioni basate sui contesti verificano che una richiesta di accesso provenga da un contesto consentito configurato. Inoltre, le regole potrebbero non avere effetto immediatamente a causa della sincronizzazione e della disponibilità delle risorse.
Dopo aver creato le regole, è possibile aggiornare e eliminarle.
Passi successivi
La creazione o la modifica di zone o regole deve essere seguita da test adeguati per garantire l'accesso e la disponibilità.
Gli utenti che tentano di accedere alle proprie risorse al di fuori delle zone definite ricevono HTTP error 403 quando non vengono stabilite le regole appropriate.
Il modulo Terraform IBM Modules (TIM) per Event Notifications supporta la creazione di regole CBR, consentendo di definire e applicare le restrizioni di accesso come parte della propria infrastruttura come codice. Questi moduli Terraform IBM(TIM) sono precostituiti, open-source e pronti per l'impresa e seguono le best practice di sicurezza IBM Cloud.
Inoltre, è possibile utilizzare i moduli Terraform IBM per CBR per creare zone CBR e regole CBR per qualsiasi servizio IBM Cloud, fornendo un approccio flessibile e riutilizzabile per gestire le restrizioni basate sul contesto nella vostra infrastruttura.