Exemple

Le tableau suivant comporte les valeurs pour chacune des zones d'une règle dynamique ou d'une condition de profil digne de confiance. Dans cet exemple, les utilisateurs identifiés comme gestionnaires dans le site fédéré IdP sont associés à un groupe d'accès IBM Cloud ou à un profil de confiance dont l'accès est réservé aux gestionnaires.

Noms d'attribut Kubernetes et Red Hat OpenShift

Serveur virtuel pour les noms d'attribut VPC

Liaison d'un profil sécurisé à un cluster Kubernetes

Pour lier le profil sécurisé Test au cluster Kubernetes c0pigdctkkc07fs7pm06 dans le compte 444aebb0657c7f0f3aae8e7bdc78709a et le compte de service my-service-account dans l'espace de nom my-namespace, indiquez la commande suivante :

ibmcloud iam trusted-profile-link-create Test --name NewLink4IKS --cr-type IKS_SA \
               --link-crn 
crn:v1:bluemix:public:containers-kubernetes:us-east:a/444aebb0657c7f0f3aae8e7bdc78709a:c0pigdctkkc07fs7pm06:: \
              --link-namespace "my-namespace" \
              --link-name "my-service-account"

Création de conditions de profil sécurisé pour Kubernetes

Pour connecter le profil sécurisé avec l'ID Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c à tous les comptes de service du cluster Kubernetes c0pigdctkkc07fs7pm06 dans le compte 444aebb0657c7f0f3aae8e7bdc78709a et l'espace de nom du compte de service my-namespace, indiquez la commande suivante :

ibmcloud iam trusted-profile-rule-create Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c \
              --name NewRule4IKS --type Profile-CR --cr-type IKS_SA \
               --conditions "claim:service_instance,operator:EQUALS,vlaue:c0pigdctkkc07fs7pm06" \
               --conditions "claim:namespace,operator:EQUALS,value:my-namespace"

Création de conditions de profil sécurisé pour VPC

Pour connecter le profil sécurisé avec l'ID Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c à tous les serveurs virtuels d'un VPC r206-1db73eed-b0fb-b04f-bb57-4d3a3c2dff9d dans le compte 444aebb0657c7f0f3aae8e7bdc78709a, indiquez la commande suivante :

ibmcloud iam trusted-profile-rule-create Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c \
              --name NewRule4VSI --type Profile-CR --cr-type VSI \
               --conditions "claim:vpc_id,operator:EQUALS,value:r206-1db73eed-b0fb-b04f-bb57-4d3a3c2dff9d"

Exemple : dayOfWeekAnyOf, timeGreaterThanOrEquals, et timeLessThanOrEquals

Les jours de la semaine spécifiés dans cet exemple correspondent à lundi, mardi, mercredi et jeudi. La valeur timeGreaterThanOrEquals indique que la condition commence à accorder l'accès à 9 heures du matin dans le fuseau horaire UTC-5. La valeur timeLessThanOrEquals indique que la condition met fin à l'accès à 17 heures dans le fuseau horaire UTC-5.environment.attributes.current_time et environment.attributes.day_of_week indiquent qu'il s'agit d'une condition récurrente basée sur le temps. Les conditions time doivent toujours être accompagnées d'une condition dayOfWeek.

"conditions": [
			{
				"key": "{{environment.attributes.day_of_week}}",
				"operator": "dayOfWeekAnyOf",
				"value": [
					1,
					2,
					3,
					4
				]
			},
			{
				"key": "{{environment.attributes.current_time}}",
				"operator": "timeGreaterThanOrEquals",
				"value": "09:00:00-05:00"
			},
			{
				"key": "{{environment.attributes.current_time}}",
				"operator": "timeLessThanOrEquals",
				"value": "17:00:00-05:00"
			}
		]

Exemple : dayOfWeekEquals

Dans cet exemple, le jour de la semaine est représenté par 3 dans la chaîne value, ce qui correspond à mercredi. Dans cette même chaîne, +6:00 représente le fuseau horaire UTC+6:00. Il n'y a qu'une seule condition, elle est donc imbriquée sous "rule".

"rule": {
		"key": "{{environment.attributes.day_of_week}}",
		"operator": "dayOfWeekEquals",
		"value": "3+06:00"
},

Exemple : dateTimeGreaterThanOrEquals et dateTimeLessThanOrEquals

Dans cet exemple, la valeur dateTimeGreaterThanOrEquals indique que la condition commence à accorder l'accès le 26 décembre 2022 à 9 heures dans le fuseau horaire UTC-5. La valeur dateTimeLessThanOrEquals indique que la condition met fin à l'accès le 27 décembre 2022 à 17 heures dans le fuseau horaire UTC-5. environment.attributes.current_date_time indique qu'il s'agit d'une condition temporaire basée sur le temps.

"conditions": [
			{
				"key": "{{environment.attributes.current_date_time}}",
				"operator": "dateTimeGreaterThanOrEquals",
				"value": "2022-12-26T09:00:00-05:00"
			},
			{
				"key": "{{environment.attributes.current_date_time}}",
				"operator": "dateTimeLessThanOrEquals",
				"value": "2022-12-27T17:00:00-05:00"
			}
		]

Exemple : stringMatchAnyOf et stringEqualsAnyOf

Dans cet exemple, les valeurs stringMatchAnyOf pour la variable resource.attributes.path indiquent que l'accès est accordé lorsque le chemin d'accès à l'objet correspond et commence par home/David/*, special/*, restricted/* ou temporary/test*spatial.?.log (par exemple temporary/test_spatial.1.log ). La valeur or indique qu'il existe une autre condition permettant d'accorder l'accès.

La valeur stringEqualsAnyOf pour la variable resource.attributes.delimiter indique que l'accès est accordé en l'absence d'indicateur de délimitation ou en présence de /. En outre, la mention stringEqualsAnyOf pour la variable resource.attributes.prefix indique que home/, ou home/David/, ou aucun préfixe ne doit exister pour accorder l'accès. La valeur and nous indique que les conditions resource.attributes.delimiter et resource.attributes.prefix doivent être remplies pour que l'accès soit accordé.

"pattern": "attribute-based-condition:resource:literal-and-wildcard",
"rule": {
    "operator": "or",
    "conditions": [
      {
        "key": "{{resource.attributes.path}}",
        "operator": "stringMatchAnyOf",
        "value": [
          "home/David/*",
          "special/*",
          "restricted/*",
          "temporary/test*spatial.?.log"
        ]
      },
      {
        "operator": "and",
        "conditions": [
          {
            "key": "{{resource.attributes.delimiter}}",
            "operator": "stringEqualsAnyOf",
            "value": [
              "",
              "/"
            ]
          },
          {
            "key": "{{resource.attributes.prefix}}",
            "operator": "stringEqualsAnyOf",
            "value": [
              "",
              "home/",
              "home/David/"
            ]
          }
        ]
      }
    ]
  }

Exemple stringExists, stringEquals, stringMatch

Dans cet exemple, stringEquals pour iam_id, accountID, serviceName, et resourceType indique qu'une correspondance de chaîne exacte est effectuée. L'astérisque présent dans la valeur stringMatch de la variable ressource indique que l'accès est accordé à toutes les ressources commençant par dev-bucket-. La valeur true stringExists pour la variable path et la valeur false stringExists pour les variables prefix et delimiter indiquent que seul le path doit exister pour accorder l'accès.

{
    "type": "access",
    "subject": {
        "attributes": [
            {
                "key": "iam_id",
                "operator": "stringEquals",
                "value": "IBMid-1234"
            }
        ]
    },
    "control": {
        "grant": {
            "roles": [
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:ListFolderContent"
                },
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:ListFolder"
                },
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:AllFolderOperations"
                }
            ]
        }
    },
    "resource": {
        "attributes": [
            {
                "name": "accountId",
                "operator": "stringEquals",
                "value": "account-123"
            },
            {
                "key": "serviceName",
                "operator": "stringEquals",
                "value": "cloud-object-storage"
            },
            {
                "key": "serviceInstance",
                "operator": "stringEquals",
                "value": "cd329d97-c33d-4428-b39e-6170dc1c2a1e"
            },
            {
                "key": "resource",
                "operator": "stringMatch",
                "value": "dev-bucket-*"
            },
            {
                "key": "resourceType",
                "operator": "stringEquals",
                "value": "bucket"
            }
        ]
    },
    "rule": {
        "operator": "and",
        "conditions": [
            {
                "key": "{{resource.attributes.path}}",
                "operator": "stringExists",
                "value": true
            },
            {
                "key": "{{resource.attributes.prefix}}",
                "operator": "stringExists",
                "value": false
            },
            {
                "key": "{{resource.attributes.delimiter}}",
                "operator": "stringExists",
                "value": false
            }
        ]
    }
}