Ejemplo

La tabla siguiente incluye valores para cada uno de los campos para una regla dinámica o una condición de perfil de confianza. En este ejemplo, los usuarios que se identifican como gestores dentro de la red federada IdP se asignan a un grupo de acceso IBM Cloud o a un perfil de confianza que tiene un acceso específico establecido sólo para gestores.

Nombres de atributos de Kubernetes y Red Hat OpenShift

Nombres de atributos de servidor virtual para VPC

Enlace de un perfil de confianza a un clúster de Kubernetes

Para enlazar el perfil de confianza Test al clúster de Kubernetes c0pigdctkkc07fs7pm06 en la cuenta 444aebb0657c7f0f3aae8e7bdc78709a y la cuenta de servicio my-service-account en el espacio de nombres my-namespace, especifique el mandato siguiente:

ibmcloud iam trusted-profile-link-create Test --name NewLink4IKS --cr-type IKS_SA \
               --link-crn 
crn:v1:bluemix:public:containers-kubernetes:us-east:a/444aebb0657c7f0f3aae8e7bdc78709a:c0pigdctkkc07fs7pm06:: \
              --link-namespace "my-namespace" \
              --link-name "my-service-account"

Creación de condiciones de perfil de confianza para Kubernetes

Para conectar el perfil de confianza con el ID Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c a todas las cuentas de servicio del clúster de Kubernetes c0pigdctkkc07fs7pm06 en la cuenta 444aebb0657c7f0f3aae8e7bdc78709a y el espacio de nombres de la cuenta de servicio my-namespace, especifique el mandato siguiente:

ibmcloud iam trusted-profile-rule-create Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c \
              --name NewRule4IKS --type Profile-CR --cr-type IKS_SA \
               --conditions "claim:service_instance,operator:EQUALS,vlaue:c0pigdctkkc07fs7pm06" \
               --conditions "claim:namespace,operator:EQUALS,value:my-namespace"

Creación de condiciones de perfil de confianza para VPC

Para conectar el perfil de confianza con el ID Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c a todos los servidores virtuales en una VPC r206-1db73eed-b0fb-b04f-bb57-4d3a3c2dff9d de la cuenta 444aebb0657c7f0f3aae8e7bdc78709a, especifique el mandato siguiente:

ibmcloud iam trusted-profile-rule-create Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c \
              --name NewRule4VSI --type Profile-CR --cr-type VSI \
               --conditions "claim:vpc_id,operator:EQUALS,value:r206-1db73eed-b0fb-b04f-bb57-4d3a3c2dff9d"

Ejemplo: dayOfWeekAnyOf, timeGreaterThanOrEquals, y timeLessThanOrEquals

Los días de la semana especificados en este ejemplo corresponden a lunes, martes, miércoles y jueves. El valor timeGreaterThanOrEquals indica que la condición comienza a conceder acceso a las 9 AM en la zona horaria UTC-5. El valor timeLessThanOrEquals indica que la condición termina el acceso a las 5 PM en la zona horaria UTC-5.environment.attributes.current_time y environment.attributes.day_of_week indican que se trata de una condición recurrente basada en el tiempo. Incluya siempre las condiciones time con una condición dayOfWeek.

"conditions": [
			{
				"key": "{{environment.attributes.day_of_week}}",
				"operator": "dayOfWeekAnyOf",
				"value": [
					1,
					2,
					3,
					4
				]
			},
			{
				"key": "{{environment.attributes.current_time}}",
				"operator": "timeGreaterThanOrEquals",
				"value": "09:00:00-05:00"
			},
			{
				"key": "{{environment.attributes.current_time}}",
				"operator": "timeLessThanOrEquals",
				"value": "17:00:00-05:00"
			}
		]

Ejemplo: dayOfWeekEquals

En este ejemplo, el día de la semana está representado por 3 en la cadena value, que corresponde a miércoles. En esa misma cadena, +6:00 representa la zona horaria UTC+6:00. Sólo hay una condición, así que está anidada bajo "rule".

"rule": {
		"key": "{{environment.attributes.day_of_week}}",
		"operator": "dayOfWeekEquals",
		"value": "3+06:00"
},

Ejemplo: dateTimeGreaterThanOrEquals y dateTimeLessThanOrEquals

En este ejemplo, el valor dateTimeGreaterThanOrEquals indica que la condición comienza a conceder acceso el 26 de diciembre de 2022 a las 9 AM en la zona horaria UTC-5. El valor dateTimeLessThanOrEquals indica que la condición finaliza el acceso el 27 de diciembre de 2022 a las 17 horas en la zona horaria UTC-5. environment.attributes.current_date_time indica que se trata de una condición temporal basada en el tiempo.

"conditions": [
			{
				"key": "{{environment.attributes.current_date_time}}",
				"operator": "dateTimeGreaterThanOrEquals",
				"value": "2022-12-26T09:00:00-05:00"
			},
			{
				"key": "{{environment.attributes.current_date_time}}",
				"operator": "dateTimeLessThanOrEquals",
				"value": "2022-12-27T17:00:00-05:00"
			}
		]

Ejemplo: stringMatchAnyOf y stringEqualsAnyOf

En este ejemplo, los valores stringMatchAnyOf para la variable resource.attributes.path indican que el acceso se concede cuando la ruta del objeto coincide y comienza por home/David/*, special/*, restricted/* o temporary/test*spatial.?.log (por ejemplo, temporary/test_spatial.1.log ). El valor or indica que existe una condición alternativa que puede conceder el acceso.

El valor stringEqualsAnyOf para la variable resource.attributes.delimiter indica que el acceso se concede cuando no hay indicador de límite o cuando / está presente. Además, el prefijo stringEqualsAnyOf para la variable resource.attributes.prefix indica que también debe existir home/, o home/David/, o ningún prefijo para conceder el acceso. El valor and nos indica que tanto resource.attributes.delimiter como resource.attributes.prefix deben cumplirse para conceder el acceso.

"pattern": "attribute-based-condition:resource:literal-and-wildcard",
"rule": {
    "operator": "or",
    "conditions": [
      {
        "key": "{{resource.attributes.path}}",
        "operator": "stringMatchAnyOf",
        "value": [
          "home/David/*",
          "special/*",
          "restricted/*",
          "temporary/test*spatial.?.log"
        ]
      },
      {
        "operator": "and",
        "conditions": [
          {
            "key": "{{resource.attributes.delimiter}}",
            "operator": "stringEqualsAnyOf",
            "value": [
              "",
              "/"
            ]
          },
          {
            "key": "{{resource.attributes.prefix}}",
            "operator": "stringEqualsAnyOf",
            "value": [
              "",
              "home/",
              "home/David/"
            ]
          }
        ]
      }
    ]
  }

Ejemplo stringExists, stringEquals, stringMatch

En este ejemplo, stringEquals para iam_id, accountID, serviceName, y resourceType indica que se realiza una coincidencia de cadena exacta. El asterisco presente en el valor stringMatch para la variable de recurso indica que se concede acceso a todos los recursos que comienzan por dev-bucket-. El valor verdadero stringExists para la variable de ruta y el valor false stringExists para la variable de prefijo y delimitador indica que sólo debe existir la ruta para conceder el acceso.

{
    "type": "access",
    "subject": {
        "attributes": [
            {
                "key": "iam_id",
                "operator": "stringEquals",
                "value": "IBMid-1234"
            }
        ]
    },
    "control": {
        "grant": {
            "roles": [
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:ListFolderContent"
                },
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:ListFolder"
                },
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:AllFolderOperations"
                }
            ]
        }
    },
    "resource": {
        "attributes": [
            {
                "name": "accountId",
                "operator": "stringEquals",
                "value": "account-123"
            },
            {
                "key": "serviceName",
                "operator": "stringEquals",
                "value": "cloud-object-storage"
            },
            {
                "key": "serviceInstance",
                "operator": "stringEquals",
                "value": "cd329d97-c33d-4428-b39e-6170dc1c2a1e"
            },
            {
                "key": "resource",
                "operator": "stringMatch",
                "value": "dev-bucket-*"
            },
            {
                "key": "resourceType",
                "operator": "stringEquals",
                "value": "bucket"
            }
        ]
    },
    "rule": {
        "operator": "and",
        "conditions": [
            {
                "key": "{{resource.attributes.path}}",
                "operator": "stringExists",
                "value": true
            },
            {
                "key": "{{resource.attributes.prefix}}",
                "operator": "stringExists",
                "value": false
            },
            {
                "key": "{{resource.attributes.delimiter}}",
                "operator": "stringExists",
                "value": false
            }
        ]
    }
}