Tipi di identità per utenti, servizi e carichi di lavoro
IBM Cloud supporta diversi tipi di identità, tra cui utenti federati, ID di servizio, profili affidabili e chiavi API per l'autenticazione sicura dei carichi di lavoro.
Il concetto di identità consiste in identità di utenti, identità di servizi e app, chiavi API per utenti e ID di servizi, profili affidabili e identità di risorse. Gli utenti sono identificati dai loro IBMid, SoftLayer ID, App ID ID utente o dagli attributi utente federati.
IBM Cloud IAM concede l'accesso a singole identità o a un gruppo di identità mediante l'uso di criteri. Le politiche consentono agli utenti di concedere l'accesso rispettando il principio del minimo privilegio, utilizzando ruoli e risorse con ambito. Ad eccezione dei proprietari degli account, le identità degli utenti non hanno alcuna concessione di accesso per impostazione predefinita. Ogni concessione di accesso è indipendente da altre concessioni di accesso e gli utenti con autorizzazione possono accedere alle risorse utilizzando la console e le API. Le azioni consentite possono riguardare una singola API o un gruppo di API, a seconda delle esigenze del cliente. L'accesso può essere concesso ad alto livello per un gruppo di risorse o limitato a una singola risorsa, a seconda delle esigenze del cliente.
La rimozione dell'accesso per le identità inattive può ridurre il rischio di accesso non autorizzato alla risorsa IBM Cloud e aiutarvi a gestire l'accesso in modo più efficiente. Per ulteriori informazioni, vedere Identificazione delle identità inattive.
Utenti
Gli ID utente sono utilizzati al meglio quando una persona ha bisogno di un'identità digitale in un account. Gli utenti sono invitati all'account e viene loro concesso l'accesso alle risorse nell'account. Gli utenti accedono utilizzando il proprio ID IBMid, ID SoftLayer, ID utente App ID o ID utente federato. Ogni utente è inoltre identificato da un ID generato chiamato ID IAM.
Gli ID IAM includono sempre un realm per identificare il provider dell'utente, come IBMid o un identity provider esterno. Nell'ID IAM, il regno è seguito da una serie di numeri che costituiscono un identificatore unico. Ad esempio, l'ID IAM
di un utente con IBMid è IBMid-20000AB1C.
Gli ID IAM sono più comunemente utilizzati quando si assegna l'accesso ad altri utilizzando l'API. Vengono utilizzati per identificare un utente, un ID di servizio, un profilo affidabile o una risorsa. L'ID IAM è incluso nel token quando viene utilizzato nella console, nella CLI o nell'API. I criteri di accesso sono definiti utilizzando gli ID IAM, poiché è l'identità che può essere verificata nel token IAM.
Per trovare il tuo ID IAM, vai a Gestisci > Accesso (IAM). L'ID IAM è visibile nella sezione I miei dettagli utente. Per visualizzare gli ID IAM di altri utenti, andare su Gestione > Accesso (IAM) > Utenti, quindi selezionare il nome di un utente dall'elenco e fare clic su Dettagli.
Chiavi API utente
IBM Cloud Le chiavi API sono credenziali associate all'identità di un utente. L'accesso assegnato all'utente può provenire dalle politiche di più account di cui l'utente è membro. Le credenziali della chiave API dell'utente possono essere utilizzate per effettuare chiamate API e CLI. La chiave API dell'utente può essere utilizzata direttamente o per generare un token.
Per ulteriori informazioni sull'utilizzo di una chiave API associata alla tua identità utente, consulta Gestione delle chiavi API utente.
Federare gli utenti per IBM Cloud
IBM Cloud offre due opzioni di federazione che consentono ai dipendenti di accedere a IBM Cloud con le proprie credenziali aziendali: federazione con IBMid o creazione di un'istanza del servizio IBM Cloud App ID. Per ulteriori informazioni, vedere Abilitazione dell'autenticazione da un provider di identità esterno.
Entrambe le opzioni richiedono che gli utenti siano membri dell'account o che abbiano accesso tramite un profilo di fiducia. Con la federazione IBMid, i proprietari degli account o gli amministratori devono invitare gli utenti, che diventano membri attivi dopo aver accettato. Con App ID, gli utenti sono automaticamente integrati senza inviti. In entrambi i casi, gli utenti federati possono accedere alle risorse abilitate IAM e all'infrastruttura classica in base all'accesso loro assegnato.
I profili di fiducia gestiscono gli utenti federati in modo diverso. Gli attributi SAML- basati su IdP degli utenti vengono valutati al momento dell'accesso e, se soddisfano le condizioni del profilo di fiducia, agli utenti viene richiesto di applicare uno o più profili. I profili di fiducia garantiscono un accesso limitato nel tempo (in genere da 1 a 4 ore) per attività specializzate, consentendo controlli di autenticazione frequenti per ridurre i rischi di sicurezza. Gli utenti vengono aggiunti automaticamente attraverso il rapporto fiduciario, senza necessità di onboarding. Quando un utente lascia l'azienda, l'eliminazione della sua identità aziendale nella directory revoca l'accesso a IBM Cloud.
ID funzionali
Gli ID funzionali sono più comunemente utilizzati quando un'applicazione o un servizio necessita di un'identità digitale e dell'accesso alle risorse abilitate IAM o alle risorse dell'infrastruttura classica. Alcuni servizi richiedono un ID funzionale quando si creano istanze di servizio, ad esempio Kubernetes Service.
Un ID funzionale è un tipo di ID utente che esiste nella directory degli utenti dell'Identity Provider ( IdP ), ma non è legato a un utente specifico. Per creare un ID funzionale, è necessario creare un nuovo utente nella directory utenti e invitarlo all'account IBM Cloud.
L'ID funzionale viene utilizzato per creare istanze di servizio, come i cluster Kubernetes Service. In questo modo, le istanze non sono legate a una persona specifica che potrebbe lasciare l'azienda, lasciando l'istanza senza un proprietario. In generale, gli ID funzionali possono fare di più in IBM Cloud rispetto a un ID di servizio. Ad esempio, agli ID funzionali, come agli ID utente, può essere concesso l'accesso a servizi e applicazioni tramite politiche di accesso.
IBM Cloud Le chiavi API per gli utenti possono essere create e associate a un ID funzionale. Se un servizio richiede una chiave API utente per interagire con altri servizi o applicazioni, utilizzare la chiave API dell'ID funzionale. Utilizzando la chiave API associata all'ID funzionale, è possibile fornire solo l'accesso necessario per quel servizio.
Se si utilizza un ID funzionale come proprietario dell'account, considerare l'impostazione di un proprietario alternativo. È disponibile solo per gli account dell'infrastruttura classica.
ID servizio
Gli ID di servizio sono un altro tipo di identità utilizzata in un account. Gli ID servizio sono utilizzati per fornire un'identità separata per i servizi e le applicazioni. Gli ID servizio sono utilizzati al meglio quando un'applicazione o un servizio ha bisogno di un'identità digitale e deve accedere solo alle risorse abilitate allo IAM. È possibile creare un ID di servizio da utilizzare da un'applicazione che ha bisogno di accedere ai servizi di IBM Cloud, in modo da non dover utilizzare le credenziali dei singoli utenti.
Chiavi API dell'ID del servizio
È anche possibile creare chiavi API associate a ID di servizio per autenticare le applicazioni come un particolare ID di servizio. In questo modo, le applicazioni possono accedere alle risorse assegnate a quello specifico ID di servizio. Le credenziali della chiave API Service ID possono essere utilizzate per effettuare chiamate API e CLI. Per ulteriori informazioni sulla creazione di chiavi API associate a un ID servizio, consulta Gestione delle chiavi API di un ID servizio.
Profili attendibili
Analogamente ad altre identità all'interno di IAM, i profili di fiducia sono trattati come un soggetto a cui viene concesso l'accesso nelle politiche IAM.
Di solito, per eseguire un'azione su una risorsa all'interno di un account, l'identità di un utente deve essere aggiunta esplicitamente all'account. Con i profili di fiducia, un utente può completare le azioni senza essere invitato a un account. Invece, l'accesso alle risorse viene concesso automaticamente quando si applica l'identità del profilo di fiducia durante il login. Solo gli utenti federati da un IdP esterno possono essere mappati su profili affidabili durante il login, valutando gli attributi basati su SAML per determinare quali profili possono essere applicati alla loro identità.
Allo stesso modo, invece di creare un ID servizio, generare una chiave API e far sì che l'applicazione memorizzi e convalidi tale chiave, è possibile creare profili di fiducia per le risorse di calcolo per definire un'autorizzazione a grana fine per tutte le applicazioni in esecuzione in una risorsa di calcolo. Le risorse di calcolo diventano identità quando vengono utilizzate come parte di un profilo di fiducia. La fiducia nelle risorse di calcolo viene stabilita mediante condizioni basate sugli attributi della risorsa o creando un collegamento diretto a una risorsa specifica.
È inoltre possibile stabilire la fiducia con i servizi di IBM Cloud che devono eseguire un'operazione sul vostro conto. Oppure, utilizzare i profili di fiducia per consentire l'accesso al proprio account a un ID di servizio di un altro account.
Identità delle risorse
L'ultimo tassello del concetto di identità in IAM è rappresentato dalle risorse di IBM Cloud, che sono identificate dai loro nomi di risorse cloudUn identificativo univoco globale per una risorsa cloud specifica. Il valore è segmentato gerarchicamente per versione, istanza, tipo, posizione e ambito, separati da due punti. (CRN). Tutte le risorse create dal catalogo sono identificate dal loro CRN. Questi CRN sono utilizzati per le autorizzazioni da servizio a servizio in IAM. Inoltre, si utilizza un CRN per assegnare l'accesso a risorse specifiche quando si utilizza l'API. Per ulteriori informazioni, vedere Nomi delle risorse cloud e Uso delle autorizzazioni per garantire l'accesso tra i servizi.