例

以下の表に、動的ルールまたはトラステッド・プロファイル条件の各フィールドの値を示します。 この例では、フェデレートされた IdP 内でマネジャーとして識別されるユーザーは、 IBM Cloud アクセスグループまたはマネジャーのみに特定のアクセスが設定されている信頼されたプロファイルにマッピングされる。

Kubernetes および Red Hat OpenShift の属性名

Virtual Server for VPC の属性名

Kubernetes クラスターへのトラステッド・プロファイルのリンク

トラステッド・プロファイル Test を、名前空間 my-namespace 内のアカウント 444aebb0657c7f0f3aae8e7bdc78709a およびサービス・アカウント my-service-account 内の Kubernetes クラスター c0pigdctkkc07fs7pm06 にリンクするには、次のコマンドを指定します。

ibmcloud iam trusted-profile-link-create Test --name NewLink4IKS --cr-type IKS_SA \
               --link-crn 
crn:v1:bluemix:public:containers-kubernetes:us-east:a/444aebb0657c7f0f3aae8e7bdc78709a:c0pigdctkkc07fs7pm06:: \
              --link-namespace "my-namespace" \
              --link-name "my-service-account"

Kubernetes のトラステッド・プロファイル条件の作成

ID Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c のトラステッド・プロファイルを、アカウント 444aebb0657c7f0f3aae8e7bdc78709a およびサービス・アカウント名前空間 my-namespace の Kubernetes クラスター c0pigdctkkc07fs7pm06 内のすべてのサービス・アカウントに関連付けるには、次のコマンドを指定します。

ibmcloud iam trusted-profile-rule-create Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c \
              --name NewRule4IKS --type Profile-CR --cr-type IKS_SA \
               --conditions "claim:service_instance,operator:EQUALS,vlaue:c0pigdctkkc07fs7pm06" \
               --conditions "claim:namespace,operator:EQUALS,value:my-namespace"

VPC のトラステッド・プロファイル条件の作成

ID Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c のトラステッド・プロファイルを、アカウント 444aebb0657c7f0f3aae8e7bdc78709a の 1 つの VPC r206-1db73eed-b0fb-b04f-bb57-4d3a3c2dff9d 内のすべての仮想サーバーに関連付けるには、次のコマンドを指定します。

ibmcloud iam trusted-profile-rule-create Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c \
              --name NewRule4VSI --type Profile-CR --cr-type VSI \
               --conditions "claim:vpc_id,operator:EQUALS,value:r206-1db73eed-b0fb-b04f-bb57-4d3a3c2dff9d"

例： dayOfWeekAnyOf, timeGreaterThanOrEquals, timeLessThanOrEquals

この例で指定されている曜日は、月曜日、火曜日、水曜日、木曜日に対応する。 timeGreaterThanOrEquals の値は、タイムゾーン UTC-5 の午前9時にアクセス許可を開始することを示す。 timeLessThanOrEquals の値は、タイムゾーンの午後5時にアクセスが終了することを示す。 UTC-5。environment.attributes.current_time と environment.attributes.day_of_week は、 反復する時間ベースの条件 であることを示す。 常に dayOfWeek 条件に time 条件を含める。

"conditions": [
			{
				"key": "{{environment.attributes.day_of_week}}",
				"operator": "dayOfWeekAnyOf",
				"value": [
					1,
					2,
					3,
					4
				]
			},
			{
				"key": "{{environment.attributes.current_time}}",
				"operator": "timeGreaterThanOrEquals",
				"value": "09:00:00-05:00"
			},
			{
				"key": "{{environment.attributes.current_time}}",
				"operator": "timeLessThanOrEquals",
				"value": "17:00:00-05:00"
			}
		]

例 dayOfWeekEquals

この例の曜日は、 value の文字列の 3 で表されている。 同じ文字列の中で、 +6:00 はタイムゾーン UTC+6:00 を表している。 条件は1つだけなので、 "rule" の下にネストされている。

"rule": {
		"key": "{{environment.attributes.day_of_week}}",
		"operator": "dayOfWeekEquals",
		"value": "3+06:00"
},

例： dateTimeGreaterThanOrEquals dateTimeLessThanOrEquals

この例では、 dateTimeGreaterThanOrEquals の値は、 UTC-5 のタイムゾーンで2022年12月26日午前9時にアクセス許可を開始する条件であることを示す。 dateTimeLessThanOrEquals の値は、条件が2022年12月27日午後5時（ UTC-5 のタイムゾーン）にアクセスを終了することを示す。 environment.attributes.current_date_time は、それが 一時的な時間ベースの条件 であることを示す。

"conditions": [
			{
				"key": "{{environment.attributes.current_date_time}}",
				"operator": "dateTimeGreaterThanOrEquals",
				"value": "2022-12-26T09:00:00-05:00"
			},
			{
				"key": "{{environment.attributes.current_date_time}}",
				"operator": "dateTimeLessThanOrEquals",
				"value": "2022-12-27T17:00:00-05:00"
			}
		]

例： stringMatchAnyOf stringEqualsAnyOf

この例では、 resource.attributes.path 変数の stringMatchAnyOf 値は、オブジェクトパスが一致し、 home/David/*、 special/*、 restricted/*、 temporary/test*spatial.?.log のいずれかで始まるとき（たとえば temporary/test_spatial.1.log ）、アクセスが許可されることを示している。 or 、アクセスを許可する代替条件があることを示す。

変数 resource.attributes.delimiter に対する stringEqualsAnyOf の値は、境界インジケータがない場合、または / が存在する場合にアクセスが許可されることを示す。 さらに、 resource.attributes.prefix 変数の stringEqualsAnyOf は、アクセスを許可するためには、 home/、または home/David/、あるいは接頭辞なしも存在しなければならないことを示す。 and の値は、アクセスを許可するには resource.attributes.delimiter と resource.attributes.prefix の両方が満たされていなければならないことを知らせている。

"pattern": "attribute-based-condition:resource:literal-and-wildcard",
"rule": {
    "operator": "or",
    "conditions": [
      {
        "key": "{{resource.attributes.path}}",
        "operator": "stringMatchAnyOf",
        "value": [
          "home/David/*",
          "special/*",
          "restricted/*",
          "temporary/test*spatial.?.log"
        ]
      },
      {
        "operator": "and",
        "conditions": [
          {
            "key": "{{resource.attributes.delimiter}}",
            "operator": "stringEqualsAnyOf",
            "value": [
              "",
              "/"
            ]
          },
          {
            "key": "{{resource.attributes.prefix}}",
            "operator": "stringEqualsAnyOf",
            "value": [
              "",
              "home/",
              "home/David/"
            ]
          }
        ]
      }
    ]
  }

例： stringExists, stringEquals, stringMatch

この例では、 iam_id、 accountID、 serviceName、 resourceType の stringEquals は、文字列の完全一致が実行されることを示す。 リソース変数 stringMatch の値に含まれるアスタリスクは、 dev-bucket- で始まるすべてのリソースへのアクセスが許可されていることを示す。 パス変数に真の値（ stringExists ）、プレフィックス変数とデリミター変数に false stringExists を指定すると、アクセスを許可するためにはパスだけが存在しなければならないことを示す。

{
    "type": "access",
    "subject": {
        "attributes": [
            {
                "key": "iam_id",
                "operator": "stringEquals",
                "value": "IBMid-1234"
            }
        ]
    },
    "control": {
        "grant": {
            "roles": [
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:ListFolderContent"
                },
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:ListFolder"
                },
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:AllFolderOperations"
                }
            ]
        }
    },
    "resource": {
        "attributes": [
            {
                "name": "accountId",
                "operator": "stringEquals",
                "value": "account-123"
            },
            {
                "key": "serviceName",
                "operator": "stringEquals",
                "value": "cloud-object-storage"
            },
            {
                "key": "serviceInstance",
                "operator": "stringEquals",
                "value": "cd329d97-c33d-4428-b39e-6170dc1c2a1e"
            },
            {
                "key": "resource",
                "operator": "stringMatch",
                "value": "dev-bucket-*"
            },
            {
                "key": "resourceType",
                "operator": "stringEquals",
                "value": "bucket"
            }
        ]
    },
    "rule": {
        "operator": "and",
        "conditions": [
            {
                "key": "{{resource.attributes.path}}",
                "operator": "stringExists",
                "value": true
            },
            {
                "key": "{{resource.attributes.prefix}}",
                "operator": "stringExists",
                "value": false
            },
            {
                "key": "{{resource.attributes.delimiter}}",
                "operator": "stringExists",
                "value": false
            }
        ]
    }
}