Dynamische Regeln für Zugriffsgruppen erstellen

Regeln in der Konsole festlegen

Dynamische Regeln werden erstellt, indem Bedingungen festgelegt werden. Diese Bedingungen müssen von den Daten erfüllt werden, die im Identitätsprovider konfiguriert sind und während der Anmeldung mit der föderierten ID eines Benutzers übergeben werden. Sie können mehr als eine Bedingung für eine Regel hinzufügen. Alle in der Regel festgelegten Bedingungen müssen erfüllt sein, damit ein Benutzer zu einer Zugriffsgruppe hinzugefügt wird.

Führen Sie die folgenden Schritte aus, um eine Regel zu erstellen:

1. Klicken Sie in der IBM Cloud-Konsole auf Verwalten > Zugriff (IAM) und wählen Sie Zugriffsgruppen aus.
2. Wählen Sie den Namen der Zugriffsgruppe aus, für die eine Regel erstellt werden soll. Mit dieser Aktion wird die Seite Details für die Gruppe geöffnet.
3. Wählen Sie Dynamische Regeln aus.
4. Klicken Sie auf Regel hinzufügen.
5. Geben Sie die Informationen von Ihrem IdP ein, die Ihnen auf der Seite "Regel hinzufügen" dynamisch bereitgestellt werden. Die folgende Liste enthält Details zu jedem erforderlichen Feld.

Eine Zugriffsgruppenregel ist mit einem Schlüssel/Wert-Paar vergleichbar. Der Schlüssel ist die Eingabe, die Sie im Feld Add users when hinzufügen, und der Wert ist die Eingabe im Feld Values.

Weitere Informationen zu den Feldern, die zum Erstellen dynamischer Regeln verwendet werden, finden Sie unter Eigenschaften von IAM-Bedingungen.

Einrichten von Regeln mithilfe von Terraform

Bevor Sie mit Terraform Regeln aufstellen können, müssen Sie folgende Schritte durchführen:

• Installieren Sie die Terraform CLI und konfigurieren Sie das IBM Cloud Provider Plug-in für Terraform. Weitere Informationen finden Sie in der Anleitung zu den ersten Schritten mit Terraform auf IBM Cloud®. Das Plug-in abstrahiert die IBM Cloud APIs, die zur Erfüllung dieses Tasks verwendet werden.
• Erstellen Sie eine Terraform-Konfigurationsdatei mit dem Namen main.tf. In dieser Datei definieren Sie die Ressourcen mit Hilfe der HashiCorp Configuration Language. Weitere Informationen finden Sie in der Terraform-Dokumentation.

Dynamische Regeln werden erstellt, indem Bedingungen festgelegt werden. Diese Bedingungen müssen von den Daten erfüllt werden, die im Identitätsprovider konfiguriert sind und während der Anmeldung mit der föderierten ID eines Benutzers übergeben werden. Sie können mehr als eine Bedingung für eine Regel hinzufügen. Alle in der Regel festgelegten Bedingungen müssen erfüllt sein, damit ein Benutzer zu einer Zugriffsgruppe hinzugefügt wird.

Führen Sie die folgenden Schritte aus, um eine Regel mithilfe von Terraform zu erstellen:

1. Erstellen Sie ein Argument in Ihrer main.tf Datei. Im folgenden Beispiel wird eine neue dynamische Regel für eine Zugriffsgruppe mithilfe der Ressource ibm_iam_access_group_dynamic_rule erzeugt, wobei name ein eindeutiger Name zur Identifizierung der dynamischen Regel ist.

    resource "ibm_iam_access_group_dynamic_rule" "rule1" {
      name              = "newrule"
      access_group_id   = "AccessGroupId-dsnd4bvsaf"
      expiration        = 4
      identity_provider = "test-idp.com"
      conditions {
        claim    = "blueGroups"
        operator = "CONTAINS"
        value    = "\"test-bluegroup-saml\""
      }
    }
   

   Weitere Informationen finden Sie in den Details der Argumentreferenz auf der Seite der Terraform-Dokumentation.

Automatisieren Sie die dynamische Mitgliedschaft mit dem IAM Access Groups-Modul für die föderierte Benutzerverwaltung. Erfahren Sie mehr über Terraform IBM Module.

Das folgende Beispiel demonstriert die Verwendung der Terraform IBM Module (TIM), um eine Zugangsgruppe mit dynamischen Regeln zu erstellen:

module "access_group" {
  source  = "terraform-ibm-modules/iam-access-group/ibm"
  version = "X.X.X" # Replace with the latest version

  access_group_name        = "federated-managers"
  access_group_description = "Access group for federated managers"

  dynamic_rules = [
    {
      name              = "manager-rule"
      expiration        = 12
      identity_provider = "https://idp.example.org/SAML2"
      conditions = [
        {
          claim    = "isManager"
          operator = "EQUALS"
          value    = "true"
        }
      ]
    }
  ]
}

Weitere Konfigurationsoptionen und Beispiele finden Sie in der Dokumentation zum Modul IAM Access Groups.

1. Nachdem Sie Ihre Konfigurationsdatei erstellt haben, initialisieren Sie die Terraform CLI. Weitere Informationen finden Sie unter Initialisierung von Arbeitsverzeichnissen.

   terraform init
   

2. Bereitstellung der Ressourcen aus der Datei main.tf. Weitere Informationen finden Sie unter Bereitstellung der Infrastruktur mit Terraform.

   1. Führen Sie terraform plan aus, um einen Terraform-Ausführungsplan zu erstellen und eine Vorschau der vorgeschlagenen Aktionen zu erhalten.

      terraform plan
      

   2. Führen Sie terraform apply aus, um die im Plan definierten Ressourcen zu erstellen.

      terraform apply
      

Weitere Informationen zu den Feldern, die zum Erstellen dynamischer Regeln verwendet werden, finden Sie unter Eigenschaften von IAM-Bedingungen.

Dynamische Mitglieder von Zugriffsgruppen anzeigen

Sie können Benutzer anzeigen, die mithilfe von dynamischen Regeln zu einer Zugriffsgruppe hinzugefügt wurden. Um eine Liste der dynamischen Mitglieder in einer Zugriffsgruppe anzuzeigen, rufen Sie Verwalten > Zugriff (IAM) > Zugriffsgruppen in der IBM Cloud-Konsole auf. Wählen Sie eine Zugriffsgruppe aus und klicken Sie auf Benutzer. Dynamisch hinzugefügte Benutzer werden durch den Typ Dynamic angegeben.

Die folgenden Benutzer werden nicht in der Tabelle angezeigt:

• Dynamisch hinzugefügte Benutzer, die noch nicht eingeloggt sind.
• Dynamisch hinzugefügte Benutzer, deren Sitzung abgelaufen ist.

Dynamische Benutzer, die abgemeldet sind, deren Sitzungen jedoch noch gültig sind, werden weiterhin in der Tabelle angezeigt, bis ihre Sitzungen ablaufen.

Ein dynamischer Benutzer kann nicht manuell entfernt werden. Um einen dynamischen Benutzer zu entfernen, müssen Sie die dynamischen Regeln anpassen.