Esempio

La tabella seguente include i valori per ciascun campo di una regola dinamica o di una condizione di un profilo attendibile. In questo esempio, gli utenti identificati come manager all'interno del sito federato IdP sono mappati su un gruppo di accesso IBM Cloud o su un profilo fidato con accesso specifico per i soli manager.

Kubernetes e Red Hat OpenShift nomi di attributi

Server virtuale per nomi di attributi VPC

Collegamento di un profilo attendibile a Kubernetes un cluster

Per collegare il profilo di fiducia Test al cluster Kubernetes c0pigdctkkc07fs7pm06 nell'account 444aebb0657c7f0f3aae8e7bdc78709a e all'account di servizio my-service-account nel namespace my-namespace, specificare il comando seguente:

ibmcloud iam trusted-profile-link-create Test --name NewLink4IKS --cr-type IKS_SA \
               --link-crn 
crn:v1:bluemix:public:containers-kubernetes:us-east:a/444aebb0657c7f0f3aae8e7bdc78709a:c0pigdctkkc07fs7pm06:: \
              --link-namespace "my-namespace" \
              --link-name "my-service-account"

Creazione di condizioni di profilo affidabili per Kubernetes

Per collegare il profilo attendibile con l'ID Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c a tutti gli account di servizio del cluster Kubernetes c0pigdctkkc07fs7pm06 nell'account 444aebb0657c7f0f3aae8e7bdc78709a e nello spazio dei nomi dell'account di servizio my-namespace, specificare il comando seguente:

ibmcloud iam trusted-profile-rule-create Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c \
              --name NewRule4IKS --type Profile-CR --cr-type IKS_SA \
               --conditions "claim:service_instance,operator:EQUALS,vlaue:c0pigdctkkc07fs7pm06" \
               --conditions "claim:namespace,operator:EQUALS,value:my-namespace"

Creazione di condizioni di profilo attendibili per VPC

Per collegare il profilo attendibile con l'ID Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c a tutti i server virtuali di una VPC r206-1db73eed-b0fb-b04f-bb57-4d3a3c2dff9d nell'account 444aebb0657c7f0f3aae8e7bdc78709a, specificare il comando seguente:

ibmcloud iam trusted-profile-rule-create Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c \
              --name NewRule4VSI --type Profile-CR --cr-type VSI \
               --conditions "claim:vpc_id,operator:EQUALS,value:r206-1db73eed-b0fb-b04f-bb57-4d3a3c2dff9d"

Esempio: dayOfWeekAnyOf, timeGreaterThanOrEquals, e timeLessThanOrEquals

I giorni della settimana specificati in questo esempio corrispondono a lunedì, martedì, mercoledì e giovedì. Il valore timeGreaterThanOrEquals indica che la condizione inizia a garantire l'accesso alle 9 del mattino nel fuso orario UTC-5. Il valore timeLessThanOrEquals indica che la condizione termina l'accesso alle 17:00 nel fuso orario UTC-5.environment.attributes.current_time e environment.attributes.day_of_week indicano che si tratta di una condizione ricorrente basata sul tempo. Includere sempre le condizioni time con una condizione dayOfWeek.

"conditions": [
			{
				"key": "{{environment.attributes.day_of_week}}",
				"operator": "dayOfWeekAnyOf",
				"value": [
					1,
					2,
					3,
					4
				]
			},
			{
				"key": "{{environment.attributes.current_time}}",
				"operator": "timeGreaterThanOrEquals",
				"value": "09:00:00-05:00"
			},
			{
				"key": "{{environment.attributes.current_time}}",
				"operator": "timeLessThanOrEquals",
				"value": "17:00:00-05:00"
			}
		]

Esempio: dayOfWeekEquals

In questo esempio, il giorno della settimana è rappresentato da 3 nella stringa value, che corrisponde a mercoledì. Nella stessa stringa, +6:00 rappresenta il fuso orario UTC+6:00. C'è solo una condizione, quindi è annidata sotto "rule".

"rule": {
		"key": "{{environment.attributes.day_of_week}}",
		"operator": "dayOfWeekEquals",
		"value": "3+06:00"
},

Esempio: dateTimeGreaterThanOrEquals e dateTimeLessThanOrEquals

In questo esempio, il valore dateTimeGreaterThanOrEquals indica che la condizione inizia a garantire l'accesso il 26 dicembre 2022 alle ore 9 del fuso orario UTC-5. Il valore dateTimeLessThanOrEquals indica che la condizione termina l'accesso il 27 dicembre 2022 alle 17:00 nel fuso orario UTC-5. environment.attributes.current_date_time indica che si tratta di una condizione temporanea basata sul tempo.

"conditions": [
			{
				"key": "{{environment.attributes.current_date_time}}",
				"operator": "dateTimeGreaterThanOrEquals",
				"value": "2022-12-26T09:00:00-05:00"
			},
			{
				"key": "{{environment.attributes.current_date_time}}",
				"operator": "dateTimeLessThanOrEquals",
				"value": "2022-12-27T17:00:00-05:00"
			}
		]

Esempio: stringMatchAnyOf e stringEqualsAnyOf

In questo esempio, i valori stringMatchAnyOf per la variabile resource.attributes.path indicano che l'accesso è consentito quando il percorso dell'oggetto corrisponde e inizia con home/David/*, special/*, restricted/*, o temporary/test*spatial.?.log (ad esempio, temporary/test_spatial.1.log ). Il valore or indica che esiste una condizione alternativa che può garantire l'accesso.

Il valore stringEqualsAnyOf per la variabile resource.attributes.delimiter indica che l'accesso è consentito quando non c'è alcun indicatore di confine o quando è presente /. Inoltre, il prefisso stringEqualsAnyOf per la variabile resource.attributes.prefix indica che per garantire l'accesso devono esistere anche home/, o home/David/, o nessun prefisso. Il valore and indica che entrambi i valori resource.attributes.delimiter e resource.attributes.prefix devono essere soddisfatti per garantire l'accesso.

"pattern": "attribute-based-condition:resource:literal-and-wildcard",
"rule": {
    "operator": "or",
    "conditions": [
      {
        "key": "{{resource.attributes.path}}",
        "operator": "stringMatchAnyOf",
        "value": [
          "home/David/*",
          "special/*",
          "restricted/*",
          "temporary/test*spatial.?.log"
        ]
      },
      {
        "operator": "and",
        "conditions": [
          {
            "key": "{{resource.attributes.delimiter}}",
            "operator": "stringEqualsAnyOf",
            "value": [
              "",
              "/"
            ]
          },
          {
            "key": "{{resource.attributes.prefix}}",
            "operator": "stringEqualsAnyOf",
            "value": [
              "",
              "home/",
              "home/David/"
            ]
          }
        ]
      }
    ]
  }

Esempio stringExists, stringEquals, stringMatch

In questo esempio, stringEquals per iam_id, accountID, serviceName e resourceType indica che viene eseguita una corrispondenza di stringhe esatta. L'asterisco presente nel valore stringMatch per la variabile risorsa indica che l'accesso è consentito a tutte le risorse che iniziano con dev-bucket-. Il valore true stringExists per la variabile path e il valore false stringExists per le variabili prefix e delimiter indicano che deve esistere solo il path per garantire l'accesso.

{
    "type": "access",
    "subject": {
        "attributes": [
            {
                "key": "iam_id",
                "operator": "stringEquals",
                "value": "IBMid-1234"
            }
        ]
    },
    "control": {
        "grant": {
            "roles": [
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:ListFolderContent"
                },
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:ListFolder"
                },
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:AllFolderOperations"
                }
            ]
        }
    },
    "resource": {
        "attributes": [
            {
                "name": "accountId",
                "operator": "stringEquals",
                "value": "account-123"
            },
            {
                "key": "serviceName",
                "operator": "stringEquals",
                "value": "cloud-object-storage"
            },
            {
                "key": "serviceInstance",
                "operator": "stringEquals",
                "value": "cd329d97-c33d-4428-b39e-6170dc1c2a1e"
            },
            {
                "key": "resource",
                "operator": "stringMatch",
                "value": "dev-bucket-*"
            },
            {
                "key": "resourceType",
                "operator": "stringEquals",
                "value": "bucket"
            }
        ]
    },
    "rule": {
        "operator": "and",
        "conditions": [
            {
                "key": "{{resource.attributes.path}}",
                "operator": "stringExists",
                "value": true
            },
            {
                "key": "{{resource.attributes.prefix}}",
                "operator": "stringExists",
                "value": false
            },
            {
                "key": "{{resource.attributes.delimiter}}",
                "operator": "stringExists",
                "value": false
            }
        ]
    }
}