Applicazione delle regole

È possibile decidere come applicare una regola al momento della creazione e aggiornare l'applicazione della regola in qualsiasi momento.

Abilitato

Applicare la regola. A seconda del servizio selezionato, potrebbe essere disponibile il monitoraggio dei tentativi di accesso negati attraverso Activity Tracker Event Routing. Esaminate la documentazione di ciascun servizio per conoscere le modalità di integrazione con le restrizioni basate sul contesto.

Disabilitato

Non si applicano restrizioni alle risorse del vostro conto. Selezionare questa opzione se non si è pronti ad abilitare la regola.

Solo report

A seconda del servizio selezionato, è possibile monitorare l'impatto di una regola sull'accesso senza applicarla. Con la modalità solo rapporti, tutti i tentativi di accesso alle risorse dell'account vengono registrati in Activity Tracker Event Routing. Se disponibile, il monitoraggio è consigliato per 30 giorni prima di applicare una regola.

La modalità solo rapporti non è disponibile per tutti i servizi, pertanto è necessario consultare la documentazione di ciascun servizio per conoscere le modalità di integrazione con le restrizioni basate sul contesto.

È possibile monitorare l'impatto delle regole abilitate e di quelle relative ai soli rapporti. Per ulteriori informazioni, vedere Monitoraggio delle restrizioni basate sul contesto.

Definire l'ambito di applicazione di una regola

Definire le API che si desidera proteggere per restringere l'ambito delle restrizioni di una regola. In questo modo, è possibile specificare protezioni granulari per diverse API che hanno requisiti di accesso distinti.

Ad esempio, si può creare una regola che punta a un'API del piano dati in modo che sia accessibile solo da un cluster Kubernetes o da qualsiasi altro luogo in cui sia presente l'infrastruttura di calcolo. Quindi, è possibile creare una regola mirata all'API del piano di controllo e a tutte le API della piattaforma per proteggere le interazioni con la console cloud in modo che sia accessibile solo da dietro la VPN dell'organizzazione.

Solo alcuni servizi supportano la possibilità di eseguire lo scope di una regola tramite API.

Con alcuni servizi, è possibile limitare le azioni di tutte le API del servizio sulle risorse per impostazione predefinita, il che include tutte le API attuali e future che il servizio potrebbe supportare. Oppure, selezionare API specifiche. Ad esempio, Kubernetes ha API di servizio personalizzate a cui si può limitare l'accesso in base al contesto della richiesta. Esaminate la documentazione di ciascun servizio per saperne di più su come si integrano con le restrizioni basate sul contesto.

Alcuni servizi supportano la possibilità di estendere una regola per proteggere tutte le API della piattaforma, che comprendono tutte le API attuali e future della piattaforma che un servizio potrebbe supportare. L'aggiunta delle API della piattaforma all'ambito di una regola garantisce che le operazioni della piattaforma, come il provisioning delle risorse, la gestione delle credenziali dei servizi e l'aggiunta di tag, siano accessibili solo dalle posizioni definite dall'utente.

Le restrizioni basate sul contesto proteggono di default tutte le API del servizio e della piattaforma supportate dal servizio di destinazione.

Zona di rete

Una zona di rete rappresenta un elenco di indirizzi IP in cui viene creata una richiesta di accesso. Definisce un insieme di una o più posizioni di rete specificate dai seguenti attributi:

• Indirizzi IP, che comprendono singoli indirizzi, intervalli o sottoreti.
• VPC
• Riferimenti ai servizi, che consentono l'accesso da altri servizi di IBM Cloud®.

Tipi di endpoint

Un tipo di endpoint rappresenta la connessione su cui viene ricevuta una richiesta di accesso. Corrisponde all'endpoint che riceve la connessione. È possibile consentire l'accesso da tutti i tipi di endpoint supportati dal servizio o da tipi specifici di endpoint del servizio.

I tre tipi di endpoint comuni sono i seguenti:

• Gli endpoint pubblici possono accettare richieste da qualsiasi luogo.
• Gli endpoint privati sono disponibili per la maggior parte delle richieste provenienti da IBM Cloud®.
• Gli endpoint diretti sono utilizzati negli scenari Bring-Your-Own-IP, generalmente per le richieste che provengono da risorse all'interno di VPC.

Alcuni tipi di endpoint potrebbero non essere supportati dal servizio selezionato.

Per accedere agli endpoint privati virtuali, gli utenti della CLI devono accedere utilizzando il comando ibmcloud login -a private.cloud.ibm.com --vpc. Per ulteriori informazioni, vedere Creazione di un gateway endpoint privato(necessario per l'uso di VPC).

Autenticazione a più fattori

L'autenticazione a più fattori (MFA) richiede che le identità si autentichino utilizzando un altro fattore di autenticazione oltre all'ID e alla password. Impostando un requisito di livello MFA meno severo, si consente agli utenti che soddisfano o superano tale livello di autenticarsi. Ad esempio, se la regola richiede agli utenti di autenticarsi con MFA LEVEL1, gli utenti che hanno MFA LEVEL2 sono ancora conformi poiché LEVEL2 supera i criteri di sicurezza per LEVEL1. I seguenti livelli di AMF indicano il fattore AMF minimo per ciascun livello. Per ulteriori informazioni, vedere IBM Cloud Autenticazione a più fattori.

• LEVEL1: MFA basato su e-mail
• LEVEL2: TOTP MFA
• LEVEL3: Chiave di sicurezza MFA

Oltre a LEVEL1, LEVEL2 e LEVEL3 MFA, la regola di restrizione basata sul contesto supporta anche il valore IAM_ACCOUNT_SETTING, il che significa che il valore MFA della regola corrisponde a qualsiasi requisito MFA definito dall'utente per l'account. In questo modo, qualsiasi modifica alle impostazioni MFA dell'account viene applicata automaticamente alla regola. Per ulteriori informazioni, vedere Opzioni MFA.

Se si seleziona un'opzione dalla sezione MFA per gli utenti con IBMid nelle impostazioni di autenticazione IAM, il valore MFA di IAM viene mappato a LEVEL2 MFA nelle restrizioni basate sul contesto. L'MFA viene applicato sia agli utenti federati che a quelli non federati, anche se è stato selezionato l'utente non federato.

Solo alcuni servizi supportano la possibilità di specificare l'MFA in una regola.

Ruoli e azioni di restrizione basati sul contesto

Per gestire le zone di rete, è necessario assegnare un criterio IAM con un ruolo specifico per il servizio di gestione degli account delle restrizioni basate sul contesto. La tabella seguente mostra i ruoli di accesso e le azioni possibili per la gestione degli account.

Per ulteriori informazioni, vedere Azioni e ruoli per i servizi di gestione degli account.

È inoltre possibile utilizzare le zone di rete per limitare l'accesso a livello di account. Per impostare le limitazioni a livello di account utilizzando le zone di rete, vai alla console Gestisci > IAM > Impostazioni nella console IBM Cloud e immetti il nome della tua zona di rete.

Ruoli e azioni del servizio target

Per gestire le regole, è necessario essere assegnati a un criterio IAM con il ruolo di amministratore per il servizio contro cui si sta creando la regola. La tabella seguente mostra i ruoli di accesso e le azioni possibili per i servizi.

Eventuale coerenza

Le restrizioni basate sul contesto seguono uno schema coerente, comune a molti servizi cloud-native. Di conseguenza, le restrizioni basate sul contesto rimangono altamente disponibili e performanti in più regioni globali. Le modifiche apportate alle regole di restrizione basate sul contesto e alle zone di rete vengono registrate e propagate in tutto il mondo. Le modifiche all'accesso potrebbero non avere effetto fino al completamento del processo di propagazione, di solito entro pochi minuti.