액세스 그룹

하나 이상의 정책을 사용하여 그룹 내 모든 구성원에 동일한 액세스 권한을 지정할 수 있도록 사용자 및 서비스 ID의 그룹을 구성할 수 있습니다. 액세스 그룹을 사용하면 액세스 할당 프로세스를 간소화하여 더 적은 수의 정책을 관리하고 계정의 정책 수를 줄일 수 있으므로 성능이 향상됩니다. 액세스 그룹을 사용하면 액세스 그룹의 사용자 또는 서비스 ID를 단순히 추가하거나 제거하여 액세스 권한을 부여하고 취소할 수 있습니다. 그룹이 설정되고 나면 액세스 그룹을 정책의 주체로 선택하여 정책 지정을 시작할 수 있습니다. 자세한 정보는 액세스 그룹 설정을 참조하십시오.

신뢰할 수 있는 프로파일

신뢰 프로파일을 사용하여 사용자의 회사 디렉토리 내에서 사용자의 ID를 관리합니다. 그리고 각 계정의 각 엔티티에 대한 액세스 정책을 구성할 필요 없이 연합 사용자의 여러 IBM Cloud 계정 및 자산에 대한 액세스 라이프사이클을 중앙에서 관리할 수 있습니다. IBM Cloud 리소스에 액세스할 수 있도록 계정에 사용자를 초대할 필요가 없습니다.

또한 서비스 ID를 작성하거나 애플리케이션의 API 키 라이프사이클을 관리하지 않고 컴퓨팅 리소스에서 실행 중인 모든 애플리케이션에 대해 세분화된 권한을 정의할 수 있습니다. 조직의 신뢰할 수 있는 프로필 만들기를 시작하려면 신뢰할 수 있는 프로필 만들기를 참조하세요.

자원

계정 리소스는 카탈로그에서 선택한 서비스 인스턴스 또는 서비스 인스턴스 내의 세분화된 리소스(예: IBM Cloud® Object Storage 버킷)입니다. IAM 사용 리소스는 카탈로그로부터 작성될 때 리소스 그룹에 추가됩니다.

IAM 액세스 관리를 사용하면 세분화된 액세스가 가능하므로 리소스 그룹의 모든 리소스, 예를 들어 계정의 특정 서비스 인스턴스, 심지어 특정 인스턴스 내의 IBM Cloud Object Storage 버킷과 같은 리소스 유형에 대해 광범위하게 정책을 설정할 수 있습니다.

액세스 정책

액세스 정책은 계정의 사용자, 서비스 ID, 액세스 그룹 및 신뢰 프로파일에 계정 리소스에 대한 액세스 및 조치 수행 권한이 부여되는 방법입니다. 정책에는 제목, 대상 및 역할이 포함됩니다. 주체(Subject)는 액세스를 제공하는 사용자, 서비스 ID 또는 액세스 그룹입니다. 정책의 대상은 액세스가 제공될 리소스입니다. 그리고 IAM 역할은 정책의 대상에 대해 허용되는 조치 또는 액세스 레벨을 정의합니다.

정책은 액세스 레벨을 정의하는 하나 이상의 역할과 정책이 액세스를 허용할 대상을 정의하는 하나 이상의 속성을 주체에 지정합니다. 정책은 인스턴스 레벨의 단일 서비스에 대한 액세스를 리소스 그룹에서 함께 구성된 리소스 세트 또는 속성 세트(예: 위치 또는 리소스 유형)로 정의될 수 있는 리소스 세트에 제공할 수 있습니다. 정책은 계정 관리 서비스에 대한 액세스 권한을 제공할 수도 있습니다. 지정된 IAM 역할에 따라, 주체에는 API 호출을 완료하거나 콘솔을 사용하여 서비스에 액세스하거나 서비스 인스턴스에 대한 작업을 수행하거나 계정 관리 태스크를 완료하기 위한 다양한 레벨의 액세스가 허용됩니다.

사용자 및 서비스 ID의 계정 리소스에 대한 액세스를 허용하는 다양한 종류의 정책이 있습니다(리소스 그룹 정책, 리소스 인스턴스 정책, 모든 IAM 사용 서비스 또는 지정된 서비스의 모든 인스턴스에 액세스하기 위한 계정 전체 정책, 하나 또는 모든 계정 관리에 대한 정책). 선택사항에 따라, 사용자 정의 구성 옵션(예: 특정 위치에 있는 리소스에 대한 액세스 정의 또는 인스턴스 내 서비스 특정 리소스의 상세 레벨에 대한 액세스 정의)이 사용 가능할 수 있습니다.

사용자 및 서비스 ID에 대한 액세스 정책 외에도, 특정 서비스 또는 기타 서비스에 대한 서비스 액세스의 인스턴스를 허용하는 정책 유형(권한이라고 함)이 있습니다. 권한 부여를 사용한 서비스 간 액세스 부여 문서에서 서비스 간 액세스 지정에 대해 알아볼 수 있습니다.

역할

IBM Cloud 액세스 역할은 조치 그룹입니다. 액세스 역할을 사용하면 사용자 및 서비스 ID가 정책에 정의된 대상 리소스의 컨텍스트 내에서 특정 태스크를 완료할 수 있습니다. 두 가지 유형의 사전 정의된 액세스 역할(플랫폼 관리 및 서비스 액세스)이 있습니다. 세 번째 유형의 액세스 역할은 조직의 요구를 충족시키도록 사용 가능한 조치 세트를 결합하기 위해 서비스에 대해 작성할 수 있는 사용자 정의 역할입니다.

플랫폼 관리 역할은 플랫폼 레벨에서 리소스를 관리하기 위해 허용되는 조치(예: 사용자 액세스 지정 및 서비스 인스턴스 작성)를 정의합니다. 플랫폼 역할은 사용자 초대 및 제거, 액세스 그룹 관리, 서비스 ID 및 비공개 카탈로그 제품 관리 등 계정 관리 서비스 컨텍스트 내에서 수행할 수 있는 작업에도 적용됩니다.

서비스 액세스 역할은 허용되는 조치(예: 서비스 API 호출 또는 서비스의 대시보드 액세스)를 정의합니다. 이러한 역할은 정책 내에서 선택된 서비스를 기반으로 사용자 정의됩니다.

역할 옆에 있는 콘솔 내에서 액세스 권한을 지정하는 경우 각 역할에 맵핑되는 조치 수를 확인하고 각 역할이 허용하는 항목을 정확하게 보기 위해 해당 목록으로 드릴 다운할 수 있습니다.

자세한 정보는 IAM 역할을 참조하십시오.

조치

조치는 사용자가 서로 다른 역할에 지정될 때 특정 태스크만 수행할 수 있도록 IBM Cloud IAM 역할에 맵핑됩니다. 경우에 따라 조치를 권한 또는 오퍼레이션이라고도 합니다. 각각의 서비스가 해당 역할이 서비스 사용으로 맵핑하는 방법을 정의하므로, 각 역할에 대해 허용되는 조치는 액세스 중인 서비스를 기반으로 변경됩니다. 자세한 정보는 IAM 역할 및 조치를 참조하십시오.

엔터프라이즈 관리 IAM 템플리트

기업에서 관리하는 IAM 템플릿은 기업클라우드 환경에서 중앙 집중화된 계정 및 비용 청구 관리가 포함된 계정의 계층 구조입니다. 전반의 액세스 관리 및 계정 보안 설정을 표준화하는 데 유용한 도구입니다. 템플릿을 사용하면 일반적으로 사용되는 액세스 그룹, 신뢰할 수 있는 프로필 및 보안 설정을 일관된 방식으로 정의하여 보안 정책이 기업 전체에 균일하게 적용되도록 할 수 있습니다. 이는 전체 또는 일부 계정에 걸쳐 특정 액세스 관리 및 보안 설정을 일관되게 구성해야 하는 조직 표준을 준수하는 데 특히 중요할 수 있습니다. IAM 템플릿을 사용하면 보안 정책 관리를 간소화하고, 잘못된 설정이나 인적 오류의 위험을 줄이며, 전반적인 보안 태세를 개선할 수 있습니다. 자세한 내용은 엔터프라이즈 관리형 IAM의 작동 방식을 참조하세요.

하위 계정의 엔터프라이즈 관리 IAM 리소스에는 엔터프라이즈 관리 태그가 있습니다.

액세스 관리 시스템

IBM Cloud IAM 제어 시스템은 지정된 액세스 정책을 기반으로 서비스의 컨텍스트 내에서 사용자 또는 서비스 ID에 의한 조치를 허용하거나 거부합니다. 기본적으로 모든 사용자 및 서비스 ID에는 액세스 권한이 없습니다. 추가되는 각 액세스 정책을 통해 사용자 또는 서비스 ID가 액세스 정책에 선택되는 지정된 대상 및 역할을 기반으로 하여 계정 내에서 조치를 수행할 수 있습니다. 사용자가 특정 조치를 완료하려고 시도할 때 제어 시스템은 정책에 정의된 속성을 사용하여 사용자에게 해당 태스크를 수행할 수 있는 권한이 있는지 여부를 판별합니다. 자세한 정보는 IBM Cloud IAM 작동 방법의 내용을 참조하십시오.