Proteção dos serviços de IAM com restrições baseadas em contexto

As restrições baseadas em contexto permitem que os proprietários e administradores de contas definam e apliquem restrições de acesso aos recursos do site IBM Cloud® com base no contexto das solicitações de acesso. O acesso aos recursos do IAM pode ser controlado com restrições baseadas em contexto e políticas de gerenciamento de identidade e acesso (IAM). Uma vez que o acesso do IAM e as restrições baseadas no contexto impõem o acesso, as restrições baseadas no contexto oferecem proteção mesmo em face de credenciais comprometidas ou mal gerenciadas. Para obter mais informações, consulte Quais são as restrições baseadas em contexto.

Essas restrições funcionam com as políticas tradicionais de IAM, que são baseadas em identidade, para fornecer outra camada de proteção. Ao contrário das políticas do IAM, as restrições baseadas no contexto não atribuem acesso. As restrições baseadas no contexto verificam se uma solicitação de acesso vem de um contexto permitido que você configura.

Um usuário deve ter a função de Administrador no serviço IAM específico que você deseja direcionar para criar, atualizar ou excluir regras. Um usuário também deve ter pelo menos a função Viewer no serviço de restrições baseadas em contexto para visualizar e adicionar zonas de rede a uma regra. As funções Editor ou Administrador no serviço de restrições baseadas em contexto concedem aos usuários acesso para criar, atualizar ou excluir zonas de rede.

Todos os eventos de registro de auditoria ou IBM Cloud Activity Tracker gerados são provenientes do serviço de restrições baseadas em contexto, não do serviço IAM. Para obter mais informações, consulte Monitoramento de restrições baseadas em contexto.

Para começar a proteger seus recursos do IAM com restrições baseadas em contexto, consulte o tutorial Aproveitamento de restrições baseadas em contexto para proteger seus recursos.

Como o IAM se integra às restrições baseadas em contexto

Para proteger um serviço de IAM específico ou o grupo de todos os serviços de gerenciamento de contas do IAM, conclua as etapas a seguir:

No console IBM Cloud, clique em Manage > Context-based restrictions (Gerenciar > Restrições baseadas em contexto ) e selecione Rules (Regras ).
Clique em Criar.
Selecione um serviço de IAM individual ou o agrupamento de todos os serviços de gerenciamento de contas de IAM.
Em seguida, clique em Avançar.
Para proteger todo o serviço ou grupo de serviços, defina o escopo da restrição como Todos os recursos.
Para proteger apenas um conjunto específico de ações, defina o escopo da restrição para Recursos específicos.
1. Selecione um atributo e selecione ou digite um valor. Para saber mais sobre como restringir um conjunto específico de ações, revise a seção do serviço que você segmentou na etapa 3.
Clique em Revisão > Continuar.
Adicione um ou mais contextos. Selecione tipos de endpoints e zonas de rede e clique em Incluir. Para obter mais informações, consulte Criação de regras.
Clique em Continuar.
Forneça uma descrição exclusiva.
Selecione como você deseja aplicar a regra. Você pode decidir como deseja aplicar uma regra na criação e atualizar a aplicação da regra a qualquer momento. Para obter mais informações, consulte Aplicação de regras.

Digamos que você crie uma regra que tenha como alvo o serviço IAM Access Groups. Para concluir qualquer ação do serviço IAM Access Groups, um usuário deve ser atribuído à função correta com uma política de acesso do IAM e deve satisfazer a regra de restrições baseadas em contexto. Por exemplo, um usuário com a função Viewer no serviço IAM Access Groups pode concluir a ação iam-groups.members.read se enviar a solicitação da zona de rede correta e atender à regra. Se o mesmo usuário com a função Viewer tentar adicionar um membro ao grupo (iam-groups.members.add), ele não poderá concluir essa solicitação, mesmo que satisfaça a regra, pois não é um Editor ou Administrador.

Para visualizar as ações associadas a um serviço, acesse a página Roles(Funções ) no console IBM Cloud®.

Como o IAM se integra às restrições baseadas em contexto

Para proteger um serviço IAM específico ou o grupo de todos os serviços de gerenciamento de contas IAM, use os seguintes atributos para criar sua regra:

Pares de valores de nomes de atributos que identificam um serviço
Serviço	Nome	Valor
Serviço de grupos de acesso do IAM	`serviceName`	`iam-groups`
IAM Access Management Service	`serviceName`	`iam-access-management`
Serviço de identidade do IAM	`serviceName`	`iam-identity`
User Management Service	`serviceName`	`user-management`
Todos os serviços do IAM Account Management	`service_group_id`	`IAM`

Para proteger todas as ações associadas ao serviço, crie uma regra sem definir o escopo para recursos ou APIs específicos. Para obter mais informações, consulte Criação de regras. Para proteger apenas um conjunto específico de ações, examine as seções a seguir, que estão relacionadas na Tabela 1.

Proteção do serviço de grupos de acesso IAM

O serviço IAM Access Groups inclui a capacidade de criar, editar e excluir grupos de acesso. Os recursos se estendem à adição ou remoção de usuários de grupos, à atribuição de acesso ao grupo e ao gerenciamento de acesso para que outras pessoas trabalhem com grupos de acesso. Você pode proteger o serviço inteiro, o que inclui todas as ações associadas ao serviço.

Restringir a capacidade de gerenciar um grupo de acesso específico

Você pode proteger a capacidade de gerenciar um grupo de acesso específico definindo o escopo de uma regra para o atributo Resource ID. A criação de uma regra com escopo para o atributo Resource ID protege todas as ações associadas ao serviço para esse grupo de acesso específico.

Para configurar essa regra, direcione o serviço IAM Access Groups (Grupos de acesso ao IAM ), defina o escopo da regra para recursos específicos e selecione o atributo Resource ID. Em seguida, digite o ID do grupo de acesso que você deseja proteger. Para obter mais informações sobre as etapas de configuração de uma regra, consulte Como o IAM se integra às restrições baseadas em contexto.

Para localizar o ID do grupo de acesso, vá para Gerenciar > Acesso (IAM) > Grupos de acesso. Clique no grupo de acesso que você deseja proteger em sua regra. Em seguida, clique em Details (Detalhes ). O valor que você deseja começa com AccessGroupId.

Restringir a capacidade de gerenciar um grupo de acesso específico usando a API

Você pode proteger a capacidade de gerenciar um grupo de acesso específico definindo o escopo de uma regra para o atributo resource. A criação de uma regra com escopo para o atributo resource protege todas as ações associadas ao serviço para esse grupo de acesso específico.

O exemplo a seguir mostra uma regra no formato JSON que protege um grupo de acesso específico:

{
	"resources": [
		{
			"attributes": [
				{
					"name": "accountId",
					"value": "alphanumericAccoutnID"
				},
				{
					"name": "serviceName",
					"value": "iam-groups"
				},
				{
					"name": "resource",
					"value": "AccessGroupId1234",
					"operator": "stringEquals"
				}
			]
		}
	],
	"description": "",
	"contexts": [],
	"enforcement_mode": "enabled"
}

Para localizar o ID do grupo de acesso, use o método Listar grupos de acesso.

Proteção do serviço de gerenciamento de acesso IAM

O serviço IAM Access Management inclui a capacidade de gerenciar funções personalizadas, atribuir políticas de acesso, gerenciar configurações de IAM e muito mais. Você pode proteger todo o serviço ou restringir um conjunto específico de ações com base no contexto da solicitação.

Restringir a capacidade de gerenciar funções personalizadas no console

Você pode proteger a capacidade de gerenciar funções personalizadas definindo o escopo de uma regra para o tipo de recurso Role Management. A criação de uma regra com escopo para o tipo de recurso Role Management protege as seguintes ações:

iam-access-management.customRole.create
iam-access-management.customRole.update
iam-access-management.customRole.delete
iam-access-management.customRole.read

Para configurar essa regra, direcione o serviço IAM Access Management, defina o escopo da restrição para Recursos específicos > Tipo de recurso e selecione Gerenciamento de funções. Para obter mais informações sobre as etapas de configuração de uma regra, consulte Como o IAM se integra às restrições baseadas em contexto.

Para concluir qualquer ação do Role Management, um usuário deve ser atribuído à função correta com uma política de acesso do IAM e deve satisfazer a regra de restrições baseadas em contexto. Por exemplo, um usuário com a função Viewer no serviço IAM Access Management pode concluir a ação iam-access-management.customRole.read se enviar a solicitação da zona de rede correta e atender à regra. Se o mesmo usuário tentar criar uma função personalizada, ele não poderá concluir essa solicitação, mesmo que satisfaça a regra, porque não é um administrador.

Restringir a capacidade de gerenciar políticas no console

Você pode proteger a capacidade de gerenciar políticas de IAM definindo o escopo de uma regra para o tipo de recurso Policy Management. A criação de uma regra com escopo para o tipo de recurso Policy Management protege as seguintes ações:

iam.delegationPolicy.create
iam.delegationPolicy.update
iam.policy.read
iam.policy.create
iam.policy.update
iam.policy.delete

Para configurar essa regra, direcione o serviço IAM Access Management, defina o escopo da restrição para Recursos específicos > Tipo de recurso e selecione Gerenciamento de políticas. Para obter mais informações, consulte Criação de regras.

Para concluir qualquer ação do Policy Management, um usuário deve ser atribuído a uma função no serviço com uma política de acesso do IAM e deve satisfazer a regra de restrições baseadas em contexto. Por exemplo, um usuário com a função Viewer no serviço IAM Access Management pode concluir a ação iam.policy.read se enviar a solicitação da zona de rede correta e atender à regra. Se o mesmo usuário tentar criar uma política, ele não poderá concluir essa solicitação, mesmo que satisfaça a regra, porque não é um administrador.

Restringir a capacidade de visualizar insights no console

Você pode proteger a capacidade de visualizar insights, como os relatórios de identidades inativas e políticas inativas, definindo o escopo de uma regra para o tipo de recurso insights. A criação de uma regra com escopo para o tipo de recurso insights protege as seguintes ações:

iam-access-management.insight.get

Para configurar essa regra, direcione o serviço de gerenciamento de acesso do IAM, defina o escopo da restrição para Recursos específicos > Tipo de recurso e, em seguida, selecione Informações do AM. Para obter mais informações, consulte Criação de regras.

Para concluir qualquer ação de configuração, um usuário deve ser atribuído à função correta com uma política de acesso IAM e deve satisfazer a regra de restrições baseadas em contexto. Por exemplo, um usuário com a função Editor no serviço IAM Access Management pode concluir a ação iam-access-management.insight.get se enviar a solicitação da zona de rede correta e atender à regra. Um usuário com a função Viewer não pode concluir essa solicitação, mesmo que satisfaça a regra, porque não é um Editor ou Administrador.

Restringir a capacidade de gerenciar funções personalizadas usando a API

Você pode proteger a capacidade de gerenciar funções personalizadas definindo o escopo de uma regra para o tipo de recurso customRole. A criação de uma regra com escopo para o tipo de recurso customRole protege as seguintes ações:

iam-access-management.customRole.create
iam-access-management.customRole.update
iam-access-management.customRole.delete
iam-access-management.customRole.read

O exemplo a seguir mostra uma regra no formato JSON que protege ações de função personalizadas:

{
	"resources": [
		{
			"attributes": [
				{
					"name": "accountId",
					"value": "alphanumericAccoutnID"
				},
				{
					"name": "serviceName",
					"value": "iam-access-management"
				},
				{
					"name": "resourceType",
					"value": "customRole"
				}
			]
		}
	],
	"description": "",
	"contexts": [],
	"enforcement_mode": "enabled"
}

Restringir a capacidade de gerenciar políticas usando a API

Você pode proteger a capacidade de gerenciar políticas de IAM definindo o escopo de uma regra para o tipo de recurso policy. A criação de uma regra com escopo para o tipo de recurso Policy Management protege as seguintes ações:

iam.delegationPolicy.create
iam.delegationPolicy.update
iam.policy.read
iam.policy.create
iam.policy.update
iam.policy.delete
iam.service.read
iam.role.read
iam.role.assign

O exemplo a seguir mostra uma regra no formato JSON que protege as ações de política:

{
	"resources": [
		{
			"attributes": [
				{
					"name": "accountId",
					"value": "alphanumericAccoutnID"
				},
				{
					"name": "serviceName",
					"value": "iam-access-management"
				},
				{
					"name": "resourceType",
					"value": "policy"
				}
			]
		}
	],
	"description": "",
	"contexts": [],
	"enforcement_mode": "enabled"
}

Restringir a capacidade de visualizar insights usando a API

iam-access-management.insight.get

O exemplo a seguir mostra uma regra no formato JSON que protege as ações de política:

{
	"resources": [
		{
			"attributes": [
				{
					"name": "accountId",
					"value": "8293c49bc2724a07999910b1da94c4d6"
				},
				{
					"name": "serviceName",
					"value": "iam-access-management"
				},
				{
					"name": "resourceType",
					"value": "insight"
				}
			]
		}
	],
	"description": "",
	"contexts": [],
	"enforcement_mode": "enabled"
}

Proteção do serviço de identidade do IAM

O serviço de identidade do IAM inclui a capacidade de visualizar, atualizar e excluir IDs de serviço, chaves de API, provedores de identidade ( IdPs ) e perfis confiáveis. Você também pode atribuir acesso a IDs de serviço e perfis confiáveis. Todos os usuários podem criar IDs de serviço, portanto, as ações de serviço se aplicam a IDs de serviço, chaves de API e IdPs dentro da conta criada por outros usuários.

Você pode proteger todo o serviço ou restringir um conjunto específico de ações com base no contexto da solicitação. Para proteger apenas um conjunto específico de ações, examine as seções a seguir.

A API de token IAM não está sujeita a restrições baseadas em contexto. As regras direcionadas ao serviço IAM Identity não são aplicadas na API de token. A API de token usa um mecanismo diferente para definir restrições de endereço IP para usuários que fazem login em uma conta, durante a qual os usuários adquirem um token. Para obter mais informações, consulte Permissão de endereços IP específicos para uma conta.

Restringir a capacidade de gerenciar IDs de serviço e suas chaves de API no console

Você pode proteger a capacidade de gerenciar IDs de serviço e suas chaves de API definindo o escopo de uma regra para o tipo de recurso serviceid. A criação de uma regra com escopo para o tipo de recurso serviceid protege as seguintes ações:

iam-identity.serviceid.get
iam-identity.serviceid.update
iam-identity.serviceid.delete
iam-identity.apikey.manage
iam-identity.apikey.get
iam-identity.apikey.list
iam-identity.apikey.create
iam-identity.apikey.update
iam-identity.apikey.delete

Para configurar essa regra, direcione o serviço de identidade do IAM, defina o escopo da regra para recursos específicos e selecione o atributo Resource type. Em seguida, digite o valor serviceid. Para obter mais informações sobre as etapas de configuração de uma regra, consulte Como o IAM se integra às restrições baseadas em contexto.

Restringir a capacidade de gerenciar IDs de serviço e suas chaves de API usando a API

iam-identity.serviceid.get
iam-identity.serviceid.update
iam-identity.serviceid.delete
iam-identity.apikey.manage
iam-identity.apikey.get
iam-identity.apikey.list
iam-identity.apikey.create
iam-identity.apikey.update
iam-identity.apikey.delete

O exemplo a seguir mostra uma regra no formato JSON que protege as ações do tipo de recurso serviceid:

{
	"resources": [
		{
			"attributes": [
				{
					"name": "accountId",
					"value": "alphanumericAccoutnID"
				},
				{
					"name": "serviceName",
					"value": "iam-identity"
				},
				{
					"name": "resourceType",
					"value": "serviceid"
				}
			]
		}
	],
	"description": "",
	"contexts": [],
	"enforcement_mode": "enabled"
}

Restringir a capacidade de gerenciar chaves de API do usuário no console

Você pode proteger a capacidade de gerenciar as chaves de API do usuário definindo o escopo de uma regra para o tipo de recurso apikey. A criação de uma regra com escopo para o tipo de recurso apikey protege as seguintes ações:

iam-identity.apikey.manage
iam-identity.apikey.get
iam-identity.apikey.list
iam-identity.apikey.create
iam-identity.apikey.update
iam-identity.apikey.delete

Para configurar essa regra, direcione o serviço de identidade do IAM, defina o escopo da regra para recursos específicos e selecione o atributo Resource type. Em seguida, digite o valor apikey. Para obter mais informações sobre as etapas de configuração de uma regra, consulte Como o IAM se integra às restrições baseadas em contexto.

Restringir a capacidade de gerenciar chaves de API do usuário usando a API

iam-identity.apikey.manage
iam-identity.apikey.get
iam-identity.apikey.list
iam-identity.apikey.create
iam-identity.apikey.update
iam-identity.apikey.delete

O exemplo a seguir mostra uma regra no formato JSON que protege as ações do tipo de recurso apikey:

{
	"resources": [
		{
			"attributes": [
				{
					"name": "accountId",
					"value": "alphanumericAccoutnID"
				},
				{
					"name": "serviceName",
					"value": "iam-identity"
				},
				{
					"name": "resourceType",
					"value": "apikey"
				}
			]
		}
	],
	"description": "",
	"contexts": [],
	"enforcement_mode": "enabled"
}

Restringir a capacidade de gerenciar perfis confiáveis no console

Você pode proteger a capacidade de gerenciar perfis confiáveis definindo o escopo de uma regra para o tipo de recurso profile. A criação de uma regra com escopo para o tipo de recurso profile protege as seguintes ações:

iam-identity.profile.create
iam-identity.profile.update
iam-identity.profile.delete
iam-identity.profile.get
iam-identity.profile.get_session
iam-identity.profile.revoke_session
iam-identity.profile.linkToResource

Para configurar essa regra, direcione o serviço de identidade do IAM, defina o escopo da regra para recursos específicos e selecione o atributo Resource type. Em seguida, digite o valor profile. Para obter mais informações sobre as etapas de configuração de uma regra, consulte Como o IAM se integra às restrições baseadas em contexto.

Restringir a capacidade de gerenciar perfis confiáveis usando a API

iam-identity.profile.create
iam-identity.profile.update
iam-identity.profile.delete
iam-identity.profile.get
iam-identity.profile.get_session
iam-identity.profile.revoke_session
iam-identity.profile.linkToResource

O exemplo a seguir mostra uma regra no formato JSON que protege as ações do tipo de recurso profile:

{
	"resources": [
		{
			"attributes": [
				{
					"name": "accountId",
					"value": "alphanumericAccoutnID"
				},
				{
					"name": "serviceName",
					"value": "iam-identity"
				},
				{
					"name": "resourceType",
					"value": "profile"
				}
			]
		}
	],
	"description": "",
	"contexts": [],
	"enforcement_mode": "enabled"
}

Restringir a capacidade de gerenciar as configurações da conta no console

Você pode proteger a capacidade de gerenciar configurações de conta definindo o escopo de uma regra para o tipo de recurso settings. A criação de uma regra com escopo para o tipo de recurso settings protege as seguintes ações:

iam-identity.account.get
iam-identity.account.create
iam-identity.account.update
iam-identity.account.create
iam-identity.account.update
iam-identity.account.enable_idp
iam-identity.account.disable_idp
iam-identity.account.delete
iam-identity.session.manage

Para configurar essa regra, direcione o serviço de identidade do IAM, defina o escopo da regra para recursos específicos e selecione o atributo Resource type. Em seguida, digite o valor settings. Para obter mais informações sobre as etapas de configuração de uma regra, consulte Como o IAM se integra às restrições baseadas em contexto.

Restringir a capacidade de gerenciar as configurações da conta usando a API

iam-identity.account.get
iam-identity.account.create
iam-identity.account.update
iam-identity.account.create
iam-identity.account.update
iam-identity.account.enable_idp
iam-identity.account.disable_idp
iam-identity.account.delete
iam-identity.session.manage

O exemplo a seguir mostra uma regra no formato JSON que protege as ações do tipo de recurso settings:

{
	"resources": [
		{
			"attributes": [
				{
					"name": "accountId",
					"value": "alphanumericAccoutnID"
				},
				{
					"name": "serviceName",
					"value": "iam-identity"
				},
				{
					"name": "resourceType",
					"value": "settings"
				}
			]
		}
	],
	"description": "",
	"contexts": [],
	"enforcement_mode": "enabled"
}

Restringir a capacidade de gerenciar provedores de identidade no console

Você pode proteger a capacidade de gerenciar provedores de identidade ( IdPs ) definindo o escopo de uma regra para o tipo de recurso idp. A criação de uma regra com escopo para o tipo de recurso ipd protege as seguintes ações:

iam-identity.idp.get
iam-identity.idp.list
iam-identity.idp.create
iam-identity.idp.update
iam-identity.idp.delete
iam-identity.idp.test
iam-identity.idp.metadata

Para configurar essa regra, direcione o serviço de identidade do IAM, defina o escopo da regra para recursos específicos e selecione o atributo Resource type. Em seguida, digite o valor idp. Para obter mais informações sobre as etapas de configuração de uma regra, consulte Como o IAM se integra às restrições baseadas em contexto.

Restringir a capacidade de gerenciar provedores de identidade usando a API

iam-identity.idp.get
iam-identity.idp.list
iam-identity.idp.create
iam-identity.idp.update
iam-identity.idp.delete
iam-identity.idp.test
iam-identity.idp.metadata

O exemplo a seguir mostra uma regra no formato JSON que protege as ações do tipo de recurso idp:

{
	"resources": [
		{
			"attributes": [
				{
					"name": "accountId",
					"value": "alphanumericAccoutnID"
				},
				{
					"name": "serviceName",
					"value": "iam-identity"
				},
				{
					"name": "resourceType",
					"value": "idp"
				}
			]
		}
	],
	"description": "",
	"contexts": [],
	"enforcement_mode": "enabled"
}

Proteção do serviço de gerenciamento de usuários

O serviço de gerenciamento de usuários inclui a capacidade de visualizar os usuários em uma conta, convidar e remover usuários e visualizar e atualizar as configurações de perfil do usuário. Você pode criar uma regra que proteja todas as ações associadas a esse serviço.

A função de visualizador no serviço de gerenciamento de usuários é normalmente atribuída a usuários aos quais foi atribuída uma função para visualizar ou gerenciar casos de suporte. Se um proprietário da conta restringir a visibilidade da lista de usuários nas configurações do IAM, os usuários não poderão ver casos de suporte que foram abertos por outros usuários na conta. No entanto, se eles forem designados com a função de visualizador para o serviço de gerenciamento de usuários, a configuração de visibilidade da lista de usuários não afetará a capacidade de visualizarem casos na conta.

Para configurar essa regra, direcione o serviço de Gerenciamento de usuários. Para obter mais informações sobre as etapas de configuração de uma regra no console, consulte Como o IAM se integra às restrições baseadas em contexto.

O exemplo a seguir mostra uma regra no formato JSON que protege todas as ações do site user-management:

{
{
	"resources": [
		{
			"attributes": [
				{
					"name": "accountId",
					"value": "alphanumericAccoutnID"
				},
				{
					"name": "serviceName",
					"value": "user-management"
				}
			]
		}
	],
	"description": "",
	"contexts": [],
	"enforcement_mode": "enabled"
}
}

Proteção de todos os serviços de gerenciamento de contas IAM

Todos os serviços de gerenciamento de contas de IAM são o agrupamento de um subconjunto de serviços de gerenciamento de contas, que inclui identidade de IAM, gerenciamento de acesso de IAM, gerenciamento de usuários de IAM e grupos de IAM. Você pode criar uma regra que proteja todas as ações associadas a esses serviços.

Para configurar essa regra, direcione os serviços All IAM Account Management. Para obter mais informações sobre as etapas de configuração de uma regra no console, consulte Como o IAM se integra às restrições baseadas em contexto.

O exemplo a seguir mostra uma regra no formato JSON que protege todas as ações associadas ao agrupamento de serviços IAM:

{
{
	"resources": [
		{
			"attributes": [
				{
					"name": "accountId",
					"value": "alphanumericAccoutnID"
				},
				{
					"name": "service_group_id",
					"value": "IAM"
				}
			]
		}
	],
	"description": "",
	"contexts": [],
	"enforcement_mode": "enabled"
}
}