建立存取群組的動態規則

使用主控台設定規則

動態規則是透過設定條件來建立，這些條件必須與 IdP 內設定的資料相匹配，並在登入時與使用者的聯合 ID 一起傳入。 您可以為一個規則新增多個條件。 規則中設定的所有條件都必須符合，使用者才會新增至存取群組。

若要建立規則，請遵循下列步驟：

1. 在 IBM Cloud 主控台中，按一下管理 > 存取 (IAM)，然後選擇存取群組。
2. 選取您要建立規則的存取群組名稱。 此動作會開啟群組詳細資料頁面。
3. 選取動態規則。
4. 按一下新增規則。
5. 輸入 IdP 中的資訊，這些資訊會在新增規則頁面上動態提供給您。 下列清單提供每個必要欄位的詳細資料。

您可以將存取群組規則視為一個 key:value 對。 關鍵是您在 Add users when 欄位中加入的內容，而值則是您在 Values 欄位中輸入的內容。

關於用於建立動態規則的欄位的詳細資訊，請參閱 IAM 條件屬性。

使用 Terraform 設定規則

在使用 Terraform 設定規則之前，請確認您已完成下列事項：

• 安裝 Terraform CLI 並為 Terraform 配置 IBM Cloud Provider 外掛程式。 如需詳細資訊，請參閱 IBM Cloud® 上的 Terraform 入門 教學。 外掛程式抽象出 IBM Cloud API，用來完成這項任務。
• 建立名為 main.tf 的 Terraform 配置檔案。 在此檔案中，您使用 HashiCorp Configuration Language 定義資源。 如需詳細資訊，請參閱 Terraform 文件。

動態規則是透過設定條件來建立，這些條件必須與 IdP 內設定的資料相匹配，並在登入時與使用者的聯合 ID 一起傳入。 您可以為一個規則新增多個條件。 規則中設定的所有條件都必須符合，使用者才會新增至存取群組。

若要使用 Terraform 建立規則，請遵循下列步驟：

1. 在 main.tf 檔案中建立一個參數。 以下範例使用 ibm_iam_access_group_dynamic_rule 資源為存取群組建立新的動態規則，其中 name 是識別動態規則的唯一名稱。

    resource "ibm_iam_access_group_dynamic_rule" "rule1" {
      name              = "newrule"
      access_group_id   = "AccessGroupId-dsnd4bvsaf"
      expiration        = 4
      identity_provider = "test-idp.com"
      conditions {
        claim    = "blueGroups"
        operator = "CONTAINS"
        value    = "\"test-bluegroup-saml\""
      }
    }
   

   如需詳細資訊，請參閱 Terraform 文件 頁面中的參數參考細節。

使用聯邦使用者管理的 IAM 存取群組模組，自動化動態會員資格。 瞭解 Terraform IBM 模組。

以下範例示範使用 Terraform IBM 模組 (TIM) 建立具有動態規則的存取群組：

module "access_group" {
  source  = "terraform-ibm-modules/iam-access-group/ibm"
  version = "X.X.X" # Replace with the latest version

  access_group_name        = "federated-managers"
  access_group_description = "Access group for federated managers"

  dynamic_rules = [
    {
      name              = "manager-rule"
      expiration        = 12
      identity_provider = "https://idp.example.org/SAML2"
      conditions = [
        {
          claim    = "isManager"
          operator = "EQUALS"
          value    = "true"
        }
      ]
    }
  ]
}

如需更多組態選項和範例，請參閱 IAM 存取群組模組文件。

1. 完成建立組態檔案後，初始化 Terraform CLI。 如需詳細資訊，請參閱 初始化工作目錄。

   terraform init
   

2. 從 main.tf 檔案提供資源。 如需詳細資訊，請參閱 使用 Terraform 佈建基礎結構。

   1. 執行 terraform plan 以產生 Terraform 執行計畫，預覽建議的動作。

      terraform plan
      

   2. 執行 terraform apply 以建立計劃中定義的資源。

      terraform apply
      

關於用於建立動態規則的欄位的詳細資訊，請參閱 IAM 條件屬性。

檢視存取群組的動態成員

您可以檢視使用動態規則加入存取群組的使用者。 若要檢視存取群組的動態成員，請移至 IBM Cloud 主控台中的管理 > 存取 (IAM) > 存取群組。 選取存取群組，然後按一下使用者。 動態新增的使用者會以類型 Dynamic 表示。

下列使用者將不會出現在表格中：

• 動態新增尚未登入的使用者。
• 動態新增會話過期的使用者。

已登出但會話仍然有效的動態使用者會繼續出現在表中，直到其會話過期為止。

您無法手動移除動態使用者。 若要移除動態使用者，請調整您的動態規則。