Allgemeine Typen von Zugriffsrichtlinien

Sie können differenzierten Zugriff für Benutzer, Service-IDs oder Zugriffsgruppen bereitstellen, indem Sie die folgenden Typen von Zugriffsrichtlinien zuweisen:

• Alle Kontoverwaltungsservices
• Bestimmter Kontoverwaltungsservice
• Alle IAM Account Management-Services, die eine Untergruppe der Account Management-Services sind und IAM Identity, IAM Access Management, IAM User Management und IAM Groups umfassen
• Ein spezieller IAM-Dienst
• Alle Ressourcen im Konto
• Alle Ressourcen in allen Services, die einer einzelnen Ressourcengruppe angehören, mit der Möglichkeit, die Ressourcengruppe zu verwalten.
• Alle Ressourcen innerhalb eines einzelnen Service in einer Ressourcengruppe, mit der Möglichkeit, die Ressourcengruppe zu verwalten.
• Alle Ressourcen in einem einzelnen Service innerhalb des gesamten Kontos unabhängig von der Ressourcengruppe, der sie zugewiesen sind.
• Ressourcen in einer einzelnen Instanz.
• Ein einzelner Ressourcentyp in einer Instanz, z. B. ein Bucket in einer Object Storage-Instanz.

Wenn Sie einem Benutzer vollen Administratorzugriff gewähren möchten, um die Aufgaben der Kontoverwaltung zu erledigen, wie z. B. das Einladen und Entfernen von Benutzern, das Anzeigen von Rechnungen und Nutzung, das Verwalten von Service-IDs, das Verwalten von Zugriffsgruppen, das Verwalten des Benutzerzugriffs und den Zugriff auf alle Kontoressourcen, müssen Sie einem Benutzer den folgenden Zugriff zuweisen:

• Eine Richtlinie für alle identitäts- und zugriffsfähigen Dienste innerhalb des Kontos mit den zugewiesenen Rollen Administrator und Manager.
• Eine Richtlinie mit der zugewiesenen Administratorrolle für alle Kontoverwaltungsdienste.

IBM Cloud-Zugriffsrichtlinien zuordnen

Die nachfolgend beschriebenen Details zu Zugriffsrichtlinien und das dargestellte Beispiel veranschaulichen, wie in IBM Cloud Zugriffsberechtigungen anhand von Zugriffsrichtlinien zugewiesen werden, und stellen die Vorgehensweise anderen Cloud-Providern gegenüber, mit denen Sie möglicherweise vertraut sind.

IBM Cloud IAM-Richtlinien bestehen aus der Identität (Subjekt), die die Zugriffsberechtigung erhält, beispielsweise einem Benutzer oder einer Service-ID, aus den spezifischen Ressourcen oder Services (Ziel), auf die der Zugriff ermöglicht wird, und aus Rollen, die definieren, welche Aktionen im Kontext der ausgewählten Ressource oder des ausgewählten Service zulässig sind.

In IBM Cloud verfügen Benutzer, Service-IDs oder Mitglieder einer Zugriffsgruppe standardmäßig über keinerlei Zugriffsberechtigungen. Das Zugriffsmodell von IBM Cloud ist einfach, wenn es darum geht, zu verstehen, wie man die Durchführung bestimmter Aktionen erlaubt oder verweigert bekommt. Erst wenn ein Administrator eine Zugriffsrichtlinie mit einer spezifischen Zugriffsrolle zuweist, wird die Zugriffsberechtigung erteilt. Das IAM-System muss keine Zulassungs- und Ablehnungsrichtlinien auswerten, um festzustellen, welche Aktionen zulässig sind. Stattdessen ermittelt das System nur, für welche Ressourcen Richtlinien vorhanden sind und welche Zugriffsebenen durch die zugewiesenen Rollen zugelassen werden.

Um die Anzahl der Richtlinien im Konto zu reduzieren und nur das Minimum an Zugriffsrechten zu behalten, das für jeden Benutzer erforderlich ist, können Sie die selten verwendeten Zugriffsrichtlinien identifizieren und entfernen. Weitere Informationen finden Sie unter Verwalten inaktiver Richtlinien.

Da IBM Cloud attributbasiert ist, können Sie beim Angeben einer Ressource in einer Richtlinie eine breite Palette von Ressourcen angeben, für die ein Benutzer Zugriffsberechtigungen erhalten soll, beispielsweise alle Ressourcen in einer Ressourcengruppe. Oder Sie können den Zugriff des Benutzers auf eine bestimmte Instanz eines einzelnen Service oder sogar auf einen untergeordneten Ressourcentyp wie beispielsweise ein Object Storage-Bucket eingrenzen. IBM Cloud-IAM bietet ein hohes Maß an Flexibilität und Granularität, damit Sie nur die Art von Zugriff zuweisen können, die erforderlich ist. Im Folgenden sind einige Beispiele für die verschiedenen Zugriffsebenen aufgeführt, die Sie anhand von Attributen in einer Zugriffsrichtlinie zuweisen können:

• Alle Kontoverwaltungsservices
• Bestimmter Kontoverwaltungsservice
• Alle identitäts- und zugriffsfähigen Dienste innerhalb des Kontos, d. h. alle Katalogdienste, die IAM für die Zugriffsverwaltung verwenden
• Alle Ressourcen, die zu einer Ressourcengruppe gehören
• Alle Ressourcentypen eines einzelnen Service im gesamten Konto, unabhängig von der Zuweisung zu einer Ressourcengruppe
• Bestimmte Instanz eines Service im Konto
• Einzelner untergeordneter Ressourcentyp in einer Instanz, z. B. ein Bucket in einer Object Storage-Instanz

Wenn eine bestimmte vordefinierte Plattform- oder Servicerolle nicht dem entspricht, was Sie beim Zuweisen der Zugriffsebene benötigen, können Sie eine angepasste Rolle für einen spezifischen Service erstellen und dann eine oder mehrere der verfügbaren Aktionen auswählen, um die Rolle zu erhalten, die den Anforderungen Ihrer Organisation entspricht.

{
  "type": "access",
  "subjects": [
    {
      "attributes": [
        {
          "name": "iam_id",
          "value": "IBMid-3IAMISBEST1"
        }
      ]
    }
  ],
  "roles": [
    {
      "role_id": "crn:v1:bluemix:public:iam::::role:Viewer"
    }
  ],
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "7e522a19eb77477e88e96a600c44fb22"
        },
        {
          "name": "resourceGroupId",
          "value": "abcd2e6fg1h74i44j5kl467m701n5289"
        }
      ]
    }
  ]
}