Aplicación de las normas

Puede decidir cómo desea aplicar una regla en el momento de su creación y actualizar la aplicación de la regla en cualquier momento.

Habilitada

Haga cumplir la norma. Dependiendo del servicio que seleccione, podría estar disponible la supervisión de los intentos de acceso denegados a través de Activity Tracker Event Routing. Revise la documentación de cada servicio para saber cómo se integran con las restricciones basadas en el contexto.

Inhabilitado

No se aplican restricciones a los recursos de su cuenta. Seleccione esta opción si no está preparado para activar la regla.

Solo informes

Dependiendo del servicio que seleccione, puede supervisar cómo afecta una regla al acceso sin aplicarla. Con el modo de sólo informe, todos los intentos de acceder a los recursos de la cuenta se registran en Activity Tracker Event Routing. Si está disponible, se recomienda realizar un seguimiento durante 30 días antes de aplicar una norma.

El modo de sólo informe no está disponible para todos los servicios, así que revise la documentación de cada servicio para saber cómo se integran con las restricciones basadas en el contexto.

Puede supervisar el impacto de sus reglas habilitadas y sólo para informes. Para obtener más información, consulte Supervisión de las restricciones basadas en el contexto.

Definir el ámbito de aplicación de una norma

Defina las API que desea proteger para limitar el alcance de las restricciones de una regla. De este modo, puede especificar protecciones granulares para diferentes API que tengan requisitos de acceso distintos.

Por ejemplo, puede crear una regla que se dirija a una API de plano de datos para que sólo sea accesible desde un clúster Kubernetes, o dondequiera que exista su infraestructura informática. A continuación, puede crear una regla dirigida a la API del plano de control y a todas las API de la plataforma para proteger las interacciones con la consola en la nube, de modo que sólo sea accesible desde detrás de la VPN de su organización.

Sólo algunos servicios admiten la posibilidad de delimitar una regla por API.

Con algunos servicios, puede restringir las acciones de todas las API de servicio en sus recursos de forma predeterminada, lo que incluye todas las API actuales y futuras que el servicio pueda admitir. O seleccione API específicas. Por ejemplo, Kubernetes dispone de API de servicio personalizadas a las que puede restringir el acceso en función del contexto de la solicitud. Revise la documentación de cada servicio para obtener más información sobre cómo se integran con las restricciones basadas en el contexto.

Determinados servicios admiten la capacidad de delimitar una regla para proteger todas las API de plataforma, lo que incluye todas las API de plataforma actuales y futuras que un servicio pueda admitir. La adición de API de plataforma al ámbito de una regla garantiza que las operaciones de plataforma, como el aprovisionamiento de recursos, la gestión de credenciales de servicio y la fijación de etiquetas, sólo sean accesibles desde las ubicaciones que usted defina.

Las restricciones basadas en el contexto protegen por defecto todas las API de servicios y plataformas que admite el servicio de destino.

Zona de red

Una zona de red representa una lista de elementos permitidos de direcciones IP donde se crea una solicitud de acceso. Define un conjunto de una o varias ubicaciones de red que se especifican mediante los siguientes atributos:

• Direcciones IP, que incluyen direcciones individuales, rangos o subredes.
• VPC
• Referencias de servicio, que permiten el acceso desde otros servicios de IBM Cloud®.

Tipos de variable

Un tipo de punto final representa la conexión a través de la que se recibe una solicitud de acceso. Corresponde al punto final que recibe la conexión. Puede permitir el acceso desde todos los tipos de punto final soportados por el servicio o desde tipos de punto final de servicio específicos.

Los tres tipos de puntos finales comunes son los siguientes:

• Los puntos finales públicos pueden aceptar solicitudes desde cualquier lugar.
• Los puntos finales privados están disponibles para la mayoría de las solicitudes que se originan en IBM Cloud®.
• Los endpoints directos se utilizan en escenarios Bring-Your-Own-IP, generalmente para peticiones que se originan desde recursos dentro de VPCs.

Es posible que algunos tipos de punto final no estén soportados por el servicio seleccionado.

Para acceder a los endpoints privados virtuales, los usuarios de la CLI deben iniciar sesión mediante el comando ibmcloud login -a private.cloud.ibm.com --vpc. Para obtener más información, consulte Creación de una puerta de enlace de endpoint privado(necesaria para el uso de VPC).

Autenticación de multifactores

La autenticación multifactor (MFA) requiere que las identidades se autentiquen utilizando otro factor de autenticación además de un ID y una contraseña. Estableciendo un requisito de nivel MFA menos estricto, permite autenticarse a los usuarios que cumplen o superan ese nivel. Por ejemplo, si su regla requiere que los usuarios se autentiquen con MFA LEVEL1, los usuarios que tengan MFA LEVEL2 siguen cumpliendo la regla ya que LEVEL2 supera los criterios de seguridad de LEVEL1. En los siguientes niveles AMF se nombra el factor AMF mínimo para cada nivel. Para obtener más información, consulte IBM Cloud multifactor authentication.

• LEVEL1: AMF por correo electrónico
• LEVEL2: TOTP MFA
• LEVEL3: Clave de seguridad MFA

Además de LEVEL1, LEVEL2, y LEVEL3 MFA, la regla de restricciones basadas en contexto también admite el valor IAM_ACCOUNT_SETTING, lo que significa que el valor MFA de la regla coincide con lo que usted defina como requisito MFA para su cuenta. De esta forma, cualquier cambio en la configuración MFA de tu cuenta se aplica automáticamente a la regla. Para más información, consulte Opciones MFA.

Si se selecciona una opción de la sección MFA para usuarios con IBMid en la configuración de autenticación de IAM, el valor MFA de IAM se asigna a LEVEL2 MFA en las restricciones basadas en contexto. MFA se aplica tanto a usuarios federados como no federados, incluso si se selecciona Usuario no federado.

Sólo algunos servicios admiten la posibilidad de especificar MFA en una regla.

Funciones y acciones de restricción basadas en el contexto

Para gestionar zonas de red, debe tener asignada una política IAM con una función específica para el servicio de gestión de cuentas de restricciones basadas en contexto. La siguiente tabla muestra los posibles roles de acceso y acciones para la gestión de cuentas.

Para obtener más información, consulte Acciones y roles para servicios de gestión de cuentas.

También puede utilizar zonas de red para restringir el acceso a nivel de cuenta. Para establecer restricciones a nivel de cuenta mediante el uso de zonas de red, vaya a Gestionar > IAM > Configuración en la consola IBM Cloud e introduzca el nombre de su zona de red.

Funciones y acciones de los servicios destinatarios

Para gestionar reglas, debe tener asignada una política IAM con el rol de Administrador para el servicio contra el que está creando la regla. La siguiente tabla muestra los posibles roles y acciones de acceso para los servicios.

Coherencia final

Las restricciones basadas en el contexto siguen un patrón finalmente coherente que es común a muchos servicios nativos de la nube. Como resultado, las restricciones basadas en contexto siguen estando altamente disponibles con alto rendimiento en varias regiones globales. Los cambios realizados en las reglas de restricciones basadas en contexto y en las zonas de red se registran y se propagan en todo el mundo. Es posible que los cambios de acceso no entren en vigor hasta que se complete el proceso de propagación, que suele durar unos pocos minutos.