Création de règles dynamiques pour les groupes d'accès

Configuration des règles à l'aide de la console

Les règles dynamiques sont créées en définissant des conditions devant être respectées par les données configurées dans le fournisseur d'identité et transmises avec un ID fédéré d'utilisateur lors de la connexion. Vous pouvez ajouter plusieurs conditions pour une règle. Toutes les conditions définies dans la règle doivent être respectées pour qu'un utilisateur soit ajouté à un groupe d'accès.

Pour créer une règle, procédez comme suit :

1. Dans la console IBM Cloud, cliquez sur Gérer > Accès (IAM), puis sélectionnez Groupes d'accès.
2. Sélectionnez le nom du groupe d'accès pour lequel vous souhaitez créer une règle. Cette action ouvre la page Détails du groupe.
3. Sélectionnez Règles dynamiques.
4. Cliquez sur Ajouter une règle.
5. Entrez les informations de votre fournisseur d'identité automatiquement fournies dans la page Ajouter une règle. La liste suivante inclut les détails de chaque zone requise.

Vous pouvez considérer une règle de groupe d'accès comme une paire clé:valeur. La clé est ce que vous ajoutez dans la zone Add users when et la valeur est ce que vous entrez dans la zone Values.

Pour plus d'informations sur les zones utilisées pour créer des règles dynamiques, voir Propriétés de condition IAM.

Configuration des règles à l'aide de Terraform

Avant de pouvoir configurer des règles à l'aide de Terraform, assurez-vous d'avoir effectué les opérations suivantes :

• Installez le CLI Terraform et configurez le plug-in IBM Cloud Provider pour Terraform. Pour plus d'informations, voir le tutoriel Getting started with Terraform sur IBM Cloud®. Ce plug-in résume les API IBM Cloud utilisées pour effectuer cette tâche.
• Créez un fichier de configuration Terraform nommé main.tf. Dans ce fichier, vous définissez les ressources en utilisant le langage de configuration HashiCorp. Pour plus d'informations, voir la documentation de Terraform.

Les règles dynamiques sont créées en définissant des conditions devant être respectées par les données configurées dans le fournisseur d'identité et transmises avec un ID fédéré d'utilisateur lors de la connexion. Vous pouvez ajouter plusieurs conditions pour une règle. Toutes les conditions définies dans la règle doivent être respectées pour qu'un utilisateur soit ajouté à un groupe d'accès.

Pour créer une règle à l'aide de Terraform, procédez comme suit :

1. Créez un argument dans votre fichier main.tf. L'exemple ci-après crée une règle dynamique pour un groupe d'accès à l'aide de la ressource ibm_iam_access_group_dynamic_rule, name représentant un nom unique permettant d'identifier la règle dynamique.

    resource "ibm_iam_access_group_dynamic_rule" "rule1" {
      name              = "newrule"
      access_group_id   = "AccessGroupId-dsnd4bvsaf"
      expiration        = 4
      identity_provider = "test-idp.com"
      conditions {
        claim    = "blueGroups"
        operator = "CONTAINS"
        value    = "\"test-bluegroup-saml\""
      }
    }
   

   Pour plus d'informations, consultez les détails du guide de référence des arguments dans la page de la documentation Terraform.

Automatisez l'adhésion dynamique avec le module IAM Access Groups pour la gestion fédérée des utilisateurs. Découvrez les modules Terraform IBM.

L'exemple suivant montre comment utiliser les modules Terraform IBM (TIM) pour créer un groupe d'accès avec des règles dynamiques :

module "access_group" {
  source  = "terraform-ibm-modules/iam-access-group/ibm"
  version = "X.X.X" # Replace with the latest version

  access_group_name        = "federated-managers"
  access_group_description = "Access group for federated managers"

  dynamic_rules = [
    {
      name              = "manager-rule"
      expiration        = 12
      identity_provider = "https://idp.example.org/SAML2"
      conditions = [
        {
          claim    = "isManager"
          operator = "EQUALS"
          value    = "true"
        }
      ]
    }
  ]
}

Pour plus d'options de configuration et d'exemples, voir la documentation du module IAM Access Groups.

1. Une fois que vous avez fini de construire votre fichier de configuration, initialisez le CLI Terraform. Pour plus d'informations, voir Initialisation des répertoires de travail.

   terraform init
   

2. Fournir les ressources à partir du fichier main.tf. Pour plus d'informations, voir Provisionnement de l'infrastructure avec Terraform.

   1. Exécutez terraform plan pour générer un plan d'exécution Terraform afin de prévisualiser les actions proposées.

      terraform plan
      

   2. Exécutez le site terraform apply pour créer les ressources définies dans le plan.

      terraform apply
      

Pour plus d'informations sur les zones utilisées pour créer des règles dynamiques, voir Propriétés de condition IAM.

Affichage des membres dynamiques des groupes d'accès

Vous pouvez afficher les utilisateurs qui sont ajoutés à un groupe d'accès en utilisant des règles dynamiques. Pour afficher les membres dynamiques des groupes d'accès, accédez à Gérer > Accès (IAM) > Groupes d'accès dans la console IBM Cloud. Sélectionnez un groupe d'accès et cliquez sur Utilisateurs. Les utilisateurs ajoutés dynamiquement sont indiqués par le type Dynamic.

Les utilisateurs suivants n'apparaissent pas dans la table :

• Ajout dynamique d'utilisateurs qui ne sont pas encore connectés.
• Ajout dynamique d'utilisateurs dont la session a expiré.

Les utilisateurs dynamiques qui sont déconnectés mais dont les sessions sont toujours valides continuent à apparaître dans la table jusqu'à l'expiration de leurs sessions.

Vous ne pouvez pas supprimer un utilisateur dynamique manuellement. Pour supprimer un utilisateur dynamique, ajustez vos règles dynamiques.