예

다음 표에는 동적 규칙 또는 신뢰할 수 있는 프로파일 조건에 대한 각 필드의 값이 포함되어 있습니다. 이 예에서는 페더레이션된 IdP 내에서 관리자로 식별되는 사용자가 관리자에게만 특정 액세스 권한이 설정된 IBM Cloud 액세스 그룹 또는 신뢰할 수 있는 프로필에 매핑됩니다.

Kubernetes 및 Red Hat OpenShift 속성 이름

Virtual Server for VPC 속성 이름

신뢰할 수 있는 프로파일을 Kubernetes 클러스터에 연결

신뢰할 수 있는 프로파일 Test을(를) 계정 444aebb0657c7f0f3aae8e7bdc78709a, 그리고 네임스페이스 my-namespace의 서비스 계정 my-service-account에 있는 Kubernetes 클러스터 c0pigdctkkc07fs7pm06에 연결하려면 다음 명령을 지정하십시오.

ibmcloud iam trusted-profile-link-create Test --name NewLink4IKS --cr-type IKS_SA \
               --link-crn 
crn:v1:bluemix:public:containers-kubernetes:us-east:a/444aebb0657c7f0f3aae8e7bdc78709a:c0pigdctkkc07fs7pm06:: \
              --link-namespace "my-namespace" \
              --link-name "my-service-account"

Kubernetes에 대한 신뢰할 수 있는 프로파일 조건 작성

ID가 Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c인 신뢰할 수 있는 프로파일을 계정 444aebb0657c7f0f3aae8e7bdc78709a 및 서비스 계정 네임스페이스 my-namespace에 있는 Kubernetes 클러스터 c0pigdctkkc07fs7pm06의 모든 서비스 계정에 연결하려면 다음 명령을 지정하십시오.

ibmcloud iam trusted-profile-rule-create Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c \
              --name NewRule4IKS --type Profile-CR --cr-type IKS_SA \
               --conditions "claim:service_instance,operator:EQUALS,vlaue:c0pigdctkkc07fs7pm06" \
               --conditions "claim:namespace,operator:EQUALS,value:my-namespace"

VPC에 대한 신뢰할 수 있는 프로파일 조건 작성

ID가 Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c인 신뢰할 수 있는 프로파일을 계정 444aebb0657c7f0f3aae8e7bdc78709a에 있는 한 VPC r206-1db73eed-b0fb-b04f-bb57-4d3a3c2dff9d의 모든 가상 서버에 연결하려면 다음 명령을 지정하십시오.

ibmcloud iam trusted-profile-rule-create Profile-b2f13064-2b8c-4e4b-9181-c1973a408e3c \
              --name NewRule4VSI --type Profile-CR --cr-type VSI \
               --conditions "claim:vpc_id,operator:EQUALS,value:r206-1db73eed-b0fb-b04f-bb57-4d3a3c2dff9d"

예: dayOfWeekAnyOf, timeGreaterThanOrEquals, 및 timeLessThanOrEquals

이 예제에서 지정된 요일은 월요일, 화요일, 수요일, 목요일로 매핑됩니다. timeGreaterThanOrEquals 값은 시간대 UTC-5 의 오전 9시에 액세스 권한 부여가 시작됨을 나타냅니다. timeLessThanOrEquals 값은 이 조건이 시간대 UTC-5 의 오후 5시에 액세스를 종료한다는 것을 나타냅니다.environment.attributes.current_time 및 environment.attributes.day_of_week 은 반복되는 시간 기반 조건임을 나타냅니다. 항상 dayOfWeek 조건과 함께 time 조건을 포함하세요.

"conditions": [
			{
				"key": "{{environment.attributes.day_of_week}}",
				"operator": "dayOfWeekAnyOf",
				"value": [
					1,
					2,
					3,
					4
				]
			},
			{
				"key": "{{environment.attributes.current_time}}",
				"operator": "timeGreaterThanOrEquals",
				"value": "09:00:00-05:00"
			},
			{
				"key": "{{environment.attributes.current_time}}",
				"operator": "timeLessThanOrEquals",
				"value": "17:00:00-05:00"
			}
		]

예시: dayOfWeekEquals

이 예에서 요일은 value 문자열에서 3 로 표시되며, 이는 수요일에 매핑됩니다. 동일한 문자열에서 +6:00 는 시간대 UTC+6:00 를 나타냅니다. 조건은 하나뿐이므로 "rule" 아래에 중첩됩니다.

"rule": {
		"key": "{{environment.attributes.day_of_week}}",
		"operator": "dayOfWeekEquals",
		"value": "3+06:00"
},

예: dateTimeGreaterThanOrEquals 및 dateTimeLessThanOrEquals

이 예에서 dateTimeGreaterThanOrEquals 값은 조건이 2022년 12월 26일 오전 9시( UTC-5 표준 시간대)에 액세스 권한을 부여하기 시작함을 나타냅니다. dateTimeLessThanOrEquals 값은 조건이 2022년 12월 27일 오후 5시( UTC-5 시간대)에 접속을 종료한다는 것을 나타냅니다. environment.attributes.current_date_time 값은 일시적인 시간 기반 조건임을 나타냅니다.

"conditions": [
			{
				"key": "{{environment.attributes.current_date_time}}",
				"operator": "dateTimeGreaterThanOrEquals",
				"value": "2022-12-26T09:00:00-05:00"
			},
			{
				"key": "{{environment.attributes.current_date_time}}",
				"operator": "dateTimeLessThanOrEquals",
				"value": "2022-12-27T17:00:00-05:00"
			}
		]

예: stringMatchAnyOf 및 stringEqualsAnyOf

이 예에서 resource.attributes.path 변수의 stringMatchAnyOf 값은 개체 경로가 일치하고 home/David/*, special/*, restricted/* 또는 temporary/test*spatial.?.log (예: temporary/test_spatial.1.log )로 시작하는 경우 액세스가 허용됨을 나타냅니다. or 값은 액세스를 허용할 수 있는 대체 조건이 있음을 나타냅니다.

resource.attributes.delimiter 변수의 stringEqualsAnyOf 값은 경계 표시기가 없거나 / 가 있을 때 액세스가 허용됨을 나타냅니다. 또한 resource.attributes.prefix 변수에 대한 stringEqualsAnyOf 는 home/ 또는 home/David/ 또는 접두사가 없어야 액세스 권한을 부여할 수 있음을 나타냅니다. and 값은 resource.attributes.delimiter 및 resource.attributes.prefix 모두 충족해야 액세스 권한을 부여할 수 있음을 알려줍니다.

"pattern": "attribute-based-condition:resource:literal-and-wildcard",
"rule": {
    "operator": "or",
    "conditions": [
      {
        "key": "{{resource.attributes.path}}",
        "operator": "stringMatchAnyOf",
        "value": [
          "home/David/*",
          "special/*",
          "restricted/*",
          "temporary/test*spatial.?.log"
        ]
      },
      {
        "operator": "and",
        "conditions": [
          {
            "key": "{{resource.attributes.delimiter}}",
            "operator": "stringEqualsAnyOf",
            "value": [
              "",
              "/"
            ]
          },
          {
            "key": "{{resource.attributes.prefix}}",
            "operator": "stringEqualsAnyOf",
            "value": [
              "",
              "home/",
              "home/David/"
            ]
          }
        ]
      }
    ]
  }

예 stringExists, stringEquals, stringMatch

이 예에서 iam_id, accountID, serviceName, resourceType 에 대한 stringEquals 는 정확한 문자열 일치가 수행되었음을 나타냅니다. 리소스 변수의 stringMatch 값에 있는 별표는 dev-bucket- 으로 시작하는 모든 리소스에 대한 액세스 권한이 부여되었음을 나타냅니다. 경로 변수의 stringExists 값과 접두사 및 구분 기호 변수의 false stringExists 값은 액세스 권한을 부여하려면 경로만 존재해야 함을 나타냅니다.

{
    "type": "access",
    "subject": {
        "attributes": [
            {
                "key": "iam_id",
                "operator": "stringEquals",
                "value": "IBMid-1234"
            }
        ]
    },
    "control": {
        "grant": {
            "roles": [
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:ListFolderContent"
                },
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:ListFolder"
                },
                {
                    "role_id": "crn:v1:bluemix:public:cloud-object-storage::::role:AllFolderOperations"
                }
            ]
        }
    },
    "resource": {
        "attributes": [
            {
                "name": "accountId",
                "operator": "stringEquals",
                "value": "account-123"
            },
            {
                "key": "serviceName",
                "operator": "stringEquals",
                "value": "cloud-object-storage"
            },
            {
                "key": "serviceInstance",
                "operator": "stringEquals",
                "value": "cd329d97-c33d-4428-b39e-6170dc1c2a1e"
            },
            {
                "key": "resource",
                "operator": "stringMatch",
                "value": "dev-bucket-*"
            },
            {
                "key": "resourceType",
                "operator": "stringEquals",
                "value": "bucket"
            }
        ]
    },
    "rule": {
        "operator": "and",
        "conditions": [
            {
                "key": "{{resource.attributes.path}}",
                "operator": "stringExists",
                "value": true
            },
            {
                "key": "{{resource.attributes.prefix}}",
                "operator": "stringExists",
                "value": false
            },
            {
                "key": "{{resource.attributes.delimiter}}",
                "operator": "stringExists",
                "value": false
            }
        ]
    }
}