Beispiel

Die folgende Tabelle enthält Werte für jedes Feld für eine dynamische Regel oder eine vertrauenswürdige Profilbedingung. In diesem Beispiel werden Benutzer, die als Manager innerhalb des Verbundnetzes IdP identifiziert werden, einer IBM Cloud Zugriffsgruppe oder einem vertrauenswürdigen Profil zugeordnet, für das ein spezifischer Zugriff nur für Manager festgelegt wurde.

Attributnamen für Kubernetes und Red Hat OpenShift

Attributnamen für den virtuellen Server für VPC

Vertrauenswürdiges Profil mit einem Kubernetes-Cluster verknüpfen

Geben Sie den folgenden Befehl ein, um das vertrauenswürdige Profil Test mit dem Kubernetes-Cluster c0pigdctkkc07fs7pm06 im Konto 444aebb0657c7f0f3aae8e7bdc78709a und Servicekonto my-service-account im Namensbereich my-namespace zu verknüpfen:

ibmcloud iam trusted-profile-link-create Test --name NewLink4IKS --cr-type IKS_SA \
               --link-crn 
crn:v1:bluemix:public:containers-kubernetes:us-east:a/444aebb0657c7f0f3aae8e7bdc78709a:c0pigdctkkc07fs7pm06:: \
              --link-namespace "my-namespace" \
              --link-name "my-service-account"

Bedingungen für vertrauenswürdige Profile für Kubernetes erstellen

Geben Sie den folgenden Befehl ein, um das vertrauenswürdige Profil mit der ID Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c mit allen Servicekonten im Kubernetes-Cluster c0pigdctkkc07fs7pm06 im Konto 444aebb0657c7f0f3aae8e7bdc78709a und dem Namensbereich my-namespace des Servicekontos zu verbinden:

ibmcloud iam trusted-profile-rule-create Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c \
              --name NewRule4IKS --type Profile-CR --cr-type IKS_SA \
               --conditions "claim:service_instance,operator:EQUALS,vlaue:c0pigdctkkc07fs7pm06" \
               --conditions "claim:namespace,operator:EQUALS,value:my-namespace"

Bedingungen für vertrauenswürdige Profile für VPC erstellen

Geben Sie den folgenden Befehl ein, um das vertrauenswürdige Profil mit der ID Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c mit allen virtuellen Servern in einer VPC r206-1db73eed-b0fb-b04f-bb57-4d3a3c2dff9d im Konto 444aebb0657c7f0f3aae8e7bdc78709a zu verbinden:

ibmcloud iam trusted-profile-rule-create Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c \
              --name NewRule4VSI --type Profile-CR --cr-type VSI \
               --conditions "claim:vpc_id,operator:EQUALS,value:r206-1db73eed-b0fb-b04f-bb57-4d3a3c2dff9d"

Beispiel: dayOfWeekAnyOf, timeGreaterThanOrEquals, und timeLessThanOrEquals

Die Wochentage, die in diesem Beispiel angegeben werden, entsprechen Montag, Dienstag, Mittwoch und Donnerstag. Der Wert timeGreaterThanOrEquals gibt an, dass die Bedingung um 9 Uhr morgens in der Zeitzone UTC-5 beginnt, Zugang zu gewähren. Der Wert timeLessThanOrEquals zeigt an, dass die Bedingung den Zugriff um 17 Uhr in der Zeitzone UTC-5 beendet.environment.attributes.current_time und environment.attributes.day_of_week zeigen an, dass es sich um eine wiederkehrende zeitbasierte Bedingung handelt. Fügen Sie immer time Bedingungen mit einer dayOfWeek Bedingung ein.

"conditions": [
			{
				"key": "{{environment.attributes.day_of_week}}",
				"operator": "dayOfWeekAnyOf",
				"value": [
					1,
					2,
					3,
					4
				]
			},
			{
				"key": "{{environment.attributes.current_time}}",
				"operator": "timeGreaterThanOrEquals",
				"value": "09:00:00-05:00"
			},
			{
				"key": "{{environment.attributes.current_time}}",
				"operator": "timeLessThanOrEquals",
				"value": "17:00:00-05:00"
			}
		]

Beispiel: dayOfWeekEquals

Der Wochentag wird in diesem Beispiel durch 3 in der Zeichenkette value repräsentiert, was dem Mittwoch entspricht. In der gleichen Zeichenfolge steht +6:00 für die Zeitzone UTC+6:00. Es gibt nur eine Bedingung, daher ist sie unter "rule" verschachtelt.

"rule": {
		"key": "{{environment.attributes.day_of_week}}",
		"operator": "dayOfWeekEquals",
		"value": "3+06:00"
},

Beispiel: dateTimeGreaterThanOrEquals und dateTimeLessThanOrEquals

In diesem Beispiel gibt der Wert dateTimeGreaterThanOrEquals an, dass die Bedingung am 26. Dezember 2022 um 9 Uhr morgens in der Zeitzone UTC-5 beginnt, Zugang zu gewähren. Der Wert dateTimeLessThanOrEquals zeigt an, dass die Bedingung den Zugriff am 27. Dezember 2022 um 17 Uhr in der Zeitzone UTC-5 beendet. environment.attributes.current_date_time zeigt an, dass es sich um eine zeitlich begrenzte Bedingung handelt.

"conditions": [
			{
				"key": "{{environment.attributes.current_date_time}}",
				"operator": "dateTimeGreaterThanOrEquals",
				"value": "2022-12-26T09:00:00-05:00"
			},
			{
				"key": "{{environment.attributes.current_date_time}}",
				"operator": "dateTimeLessThanOrEquals",
				"value": "2022-12-27T17:00:00-05:00"
			}
		]

Beispiel: stringMatchAnyOf und stringEqualsAnyOf

In diesem Beispiel bedeutet der Wert stringMatchAnyOf für die Variable resource.attributes.path, dass der Zugriff gewährt wird, wenn der Objektpfad entweder mit home/David/*, special/*, restricted/* oder temporary/test*spatial.?.log (z. B. temporary/test_spatial.1.log ) beginnt. Der Wert or zeigt an, dass es eine alternative Bedingung gibt, die den Zugang gewähren kann.

Der Wert stringEqualsAnyOf für die Variable resource.attributes.delimiter zeigt an, dass der Zugang gewährt wird, wenn kein Begrenzungsindikator vorhanden ist oder wenn / vorhanden ist. Außerdem zeigt stringEqualsAnyOf für die Variable resource.attributes.prefix an, dass auch home/ oder home/David/ oder kein Präfix vorhanden sein muss, um den Zugriff zu gewähren. Der Wert and gibt an, dass sowohl resource.attributes.delimiter als auch resource.attributes.prefix erfüllt sein müssen, um den Zugang zu gewähren.

"pattern": "attribute-based-condition:resource:literal-and-wildcard",
"rule": {
    "operator": "or",
    "conditions": [
      {
        "key": "{{resource.attributes.path}}",
        "operator": "stringMatchAnyOf",
        "value": [
          "home/David/*",
          "special/*",
          "restricted/*",
          "temporary/test*spatial.?.log"
        ]
      },
      {
        "operator": "and",
        "conditions": [
          {
            "key": "{{resource.attributes.delimiter}}",
            "operator": "stringEqualsAnyOf",
            "value": [
              "",
              "/"
            ]
          },
          {
            "key": "{{resource.attributes.prefix}}",
            "operator": "stringEqualsAnyOf",
            "value": [
              "",
              "home/",
              "home/David/"
            ]
          }
        ]
      }
    ]
  }

Beispiel stringExists, stringEquals, stringMatch

In diesem Beispiel zeigt stringEquals für iam_id, accountID, serviceName und resourceType an, dass eine exakte Zeichenfolgenübereinstimmung durchgeführt wird. Das Sternchen im Wert stringMatch für die Ressourcenvariable bedeutet, dass der Zugriff auf alle Ressourcen gewährt wird, die mit dev-bucket- beginnen. Der Wert true stringExists für die Pfadvariable und der Wert false stringExists für die Präfix- und Delimiter-Variable zeigen an, dass nur der Pfad existieren muss, um Zugang zu gewähren.

{
    "type": "access",
    "subject": {
        "attributes": [
            {
                "key": "iam_id",
                "operator": "stringEquals",
                "value": "IBMid-1234"
            }
        ]
    },
    "control": {
        "grant": {
            "roles": [
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:ListFolderContent"
                },
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:ListFolder"
                },
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:AllFolderOperations"
                }
            ]
        }
    },
    "resource": {
        "attributes": [
            {
                "name": "accountId",
                "operator": "stringEquals",
                "value": "account-123"
            },
            {
                "key": "serviceName",
                "operator": "stringEquals",
                "value": "cloud-object-storage"
            },
            {
                "key": "serviceInstance",
                "operator": "stringEquals",
                "value": "cd329d97-c33d-4428-b39e-6170dc1c2a1e"
            },
            {
                "key": "resource",
                "operator": "stringMatch",
                "value": "dev-bucket-*"
            },
            {
                "key": "resourceType",
                "operator": "stringEquals",
                "value": "bucket"
            }
        ]
    },
    "rule": {
        "operator": "and",
        "conditions": [
            {
                "key": "{{resource.attributes.path}}",
                "operator": "stringExists",
                "value": true
            },
            {
                "key": "{{resource.attributes.prefix}}",
                "operator": "stringExists",
                "value": false
            },
            {
                "key": "{{resource.attributes.delimiter}}",
                "operator": "stringExists",
                "value": false
            }
        ]
    }
}