Gestione dell'accesso per gli utenti federati tramite profili di fiducia

Questa esercitazione vi guida attraverso i passaggi per concedere automaticamente agli utenti federati l'accesso al vostro account in base alle specifiche del fornitore di identità esterno. Al termine di questa esercitazione, si apprende come creare un profilo di fiducia, stabilire la fiducia con gli utenti federati in base agli attributi definiti nella directory utenti aziendale e definire un criterio per assegnare l'accesso alle risorse.

Utilizzando i profili di fiducia, è possibile stabilire un modo flessibile e sicuro per gli utenti federati di accedere alle risorse di IBM Cloud® di cui hanno bisogno per svolgere il proprio lavoro. Tutti gli utenti federati che condividono determinati attributi definiti nella directory utenti aziendale sono mappati su un profilo comune e possono condividere l'accesso alle risorse di IBM Cloud. Questa identità comune permette di dare ai membri dell'organizzazione che condividono i requisiti di accesso l'accesso automatico alle risorse in un'unica soluzione, invece di dover aggiungere ogni utente a un account e poi concedergli l'accesso direttamente o utilizzando i gruppi di accesso.

Supponiamo che Marla sia il manager di un team di sviluppo di una compagnia aerea. Il team sta pianificando l'esecuzione di una nuova applicazione chatbot per il sito web delle risorse umane su un cluster IBM Cloud Kubernetes Service. Marla vuole che il team abbia accesso ai servizi abilitati IAM negli ambienti di test, in modo che gli sviluppatori possano svolgere il loro lavoro quotidiano. Marla vuole anche assicurarsi che il team non svolga involontariamente attività operative in ambienti di produzione. In questo caso, Marla creerebbe due profili affidabili: uno chiamato Chatbot Dev (test) e uno chiamato Chatbot Ops (prod). Marla gestisce molti sviluppatori e di solito le occorre molto tempo per assegnare l'accesso ai singoli membri del team. Con i profili di fiducia, Marla può concedere automaticamente agli utenti federati l'accesso alle risorse di cui hanno bisogno, senza doverli invitare a un account e assegnare l'accesso uno alla volta. Questa esercitazione utilizza attributi fittizi del provider di identità che potrebbero essere diversi da quelli della vostra directory utenti aziendale.

Prima di iniziare

Assicuratevi di essere assegnati al seguente accesso:
- Ruolo di amministratore nell'account per creare un profilo di fiducia
- Ruolo di amministratore sulle risorse specifiche a cui si sta assegnando l'accesso
Abilitare l'autenticazione da un provider di identità esterno. Per ulteriori informazioni, vedere Abilitazione dell'autenticazione da un provider di identità esterno.
Creare un'istanza dei seguenti servizi e aggiungerli a un gruppo di risorse per questa esercitazione.
- IBM Cloud Kubernetes Service
- IBM Watson® Tone Analyzer

Crea un profilo attendibile

Per prima cosa, Marla crea il profilo di fiducia per l'ambiente di test:

Andare su Gestione > Accesso (IAM) nella console IBM Cloud e selezionare Profili attendibili.
Fare clic su Crea profilo.
Assegnate un nome al profilo Chatbot Dev (test).
Nella descrizione, elencare il livello di accesso che si desidera assegnare al profilo. La descrizione aiuta il team a identificare rapidamente i diversi profili dall'elenco dei profili affidabili. In questo caso:
1. Piattaforma: Visualizzatore
2. Servizi: Lettore
Fai clic su Continue.

Stabilire la fiducia con gli utenti federati

Ora che Marla ha creato un profilo di fiducia, vuole stabilire i criteri per gli utenti federati che possono richiedere questo profilo. A tal fine, crea condizioni basate sugli attributi della directory aziendale degli utenti. Marla e metà dei membri del team risiedono in Irlanda e l'altra metà negli Stati Uniti.

Per il tipo di entità fidata, selezionare Utenti federati.
Per il metodo di autenticazione, selezionare Utenti federati da IBM Cloud App ID dall'elenco.

Se gli utenti per i quali si sta creando un profilo di fiducia utilizzano IBM Cloud App ID, è necessario creare il profilo di fiducia come utente di App ID e lo stesso vale per IBMid. In questo modo, gli attributi di SAML possono dare un'idea di come strutturare le condizioni del profilo di fiducia. Altri utenti con lo stesso IdP possono avere attributi diversi di SAML e si dovrebbe usare il proprio solo come suggerimento. Per utilizzare gli attributi di una richiesta di risarcimento diversi dai propri, è necessario inserirli manualmente. {: tip}
Per il metodo di autenticazione, selezionare **Utenti federati da IBM Cloud SAML come metodo di autenticazione e inserire il provider di identità predefinito (**IdP ) abilitato al punto 1.
Selezionare il provider di identità predefinito ( IdP ) creato.
Fare clic su Visualizza i dati del provider di identità ( IdP ). Marla lo utilizza nei passi successivi per vedere quali attributi può usare per creare condizioni.
Fare clic su Aggiungi una condizione.
Fare clic su Filtro attributi e selezionare country.
- Questi sono gli attributi disponibili dai dati personali.
Impostare il qualificatore su Equals.
Per il valore, fare clic su Aggiungi manualmente e inserire us. In questo modo, Marla può inserire valori di attributi che non le sono stati assegnati nei dati del fornitore di identità personale.
Fare clic su Aggiungi una condizione e ripetere i passaggi 6-8. Invece di us, inserire ire.
Fare di nuovo clic su Aggiungi una condizione e fare clic su Aggiungi manualmente.
1. Supponiamo che nella directory utenti aziendale esista un attributo chiamato team che identifica il team di un dipendente in base al manager. Inserite la condizione team uguale a marla.
Fare di nuovo clic su Aggiungi una condizione e fare clic su Aggiungi manualmente.
1. Supponiamo che nella directory aziendale degli utenti ci sia un attributo chiamato job-role che identifica il ruolo lavorativo di un dipendente. Inserite la condizione job-role uguale a dev.
Impostare la durata della sessione a 8 ore.
Fai clic su Continue.

Per ulteriori informazioni sui campi utilizzati per creare condizioni per i profili affidabili, vedere Proprietà delle condizioni IAM.

Assegna accesso

Marla ha creato condizioni ristrette che autenticano solo gli sviluppatori del team che lavorano nell'ambiente di test del chatbot. Ora può creare un criterio per dare loro il servizio IBM Cloud e l'accesso alla piattaforma di cui hanno bisogno per il progetto.

Selezionare il criterio di accesso
Selezionare Kubernetes Service dall'elenco dei servizi. Fai clic su Next.
Dimensionare l'accesso a risorse specifiche in base agli attributi selezionati.
Selezionare il gruppo di risorse. Marla può selezionare o inserire il nome del gruppo di risorse creato per il progetto chatbot.
Selezionare i ruoli Viewer e Reader per definire l'ambito di accesso e fare clic su Review.
Fare clic su Aggiungi per aggiungere la configurazione del criterio al riepilogo dei criteri.
Selezionare IBM Watson® Tone Analyzer dall'elenco dei servizi.
Dimensionare l'accesso a risorse specifiche in base agli attributi selezionati.
Selezionare il gruppo di risorse. Marla può selezionare o inserire il nome del gruppo di risorse creato per il progetto chatbot.
Selezionare i ruoli Viewer e Reader per definire l'ambito di accesso e fare clic su Review.
Fare clic su Aggiungi per aggiungere la configurazione del criterio al riepilogo dei criteri.
Rivedere il riepilogo del profilo e fare clic su Crea.

Passi successivi

Dopo aver appreso le nozioni di base su come creare un profilo di fiducia, è possibile creare il profilo di fiducia Chatbot Ops (prod), che consente ai dipendenti che necessitano di privilegi più ampi di accedere. A tal fine, ripetere il passaggio 1. Nel passo 2.11.a, inserire la condizione job-role uguale a dev-lead. Assegnare a questo profilo l'accesso a Editor e Writer. Per ulteriori informazioni, vedere Creazione di profili affidabili.

È inoltre possibile utilizzare Activity Tracker per monitorare quali utenti federati e risorse di calcolo applicano un profilo di fiducia. Per ulteriori informazioni, vedere Monitoraggio delle sessioni di accesso per i profili affidabili.