IAM 访问权的工作方式

在帐户中设置和组织资源组之后，您可以利用以下几个策略来简化访问管理过程:

访问组

您可以通过授予对访问组中所有身份的相同访问权 (而不是针对单个用户，服务标识或可信概要文件多次分配相同的访问权) 来最小限度地管理分配的策略数。 必须先邀请用户加入您的帐户，然后才能将其添加到访问组。 如果用户有资格使用作为访问组成员的可信概要文件，那么您不需要邀请他们加入您的帐户。

可信概要文件

如果您的组织具有企业目录，那么可信概要文件可以减少管理访问权的时间和工作量。 它简化了企业中联合用户的 IBM Cloud 帐户的登录过程。 您可以通过创建可信概要文件自动授予联合用户或计算资源对帐户的访问权。 对于联合用户，根据 SAML 属性添加条件以定义哪些联合用户可以应用概要文件。 对于计算资源，请指定特定资源，或者根据资源属性添加条件以定义哪些计算资源可以应用概要文件。 对于这两种实体类型，授予的访问级别由每个可信概要文件中指定的访问策略或可信概要文件所属的访问组确定。 但是，可信概要文件不需要邀请联合用户加入帐户，只有由外部身份提供者 (IdP) 联合的用户才能应用可信概要文件。

当您是多个访问组的成员时，当您访问帐户时，将同时应用所有策略。 作为联合用户，您可以选择应用不同的可信概要文件，但在登录时仅选择一个要应用的概要文件。 例如，如果要完成与开发者相关的任务，请在登录时选择 Developer 概要文件。 如果要完成与管理员相关的任务，请选择具有特权许可权的 Admin 概要文件。 这样，您就可以减少错误地执行特权操作的风险。

策略由主体、目标和角色组成。 这里的主体是访问组或受信任的配置文件。 目标是指希望主体访问的内容，如资源组中的一组资源、服务实例、账户中的所有服务或服务的所有实例。 角色定义了授予的访问权限级别。

有关平台和服务角色如何在 Key Protect中工作的更多信息，请查看 平台角色和服务角色。

平台角色和服务角色

在此部分中，“对象”一词用作诸如密钥或密钥环或服务实例或帐户之类的广义术语。

如前所述，角色在平台 (帐户) 和服务级别都存在。 如果您不确定平台或服务角色允许用户执行什么操作，请记住平台角色主要与 IBM Cloud 服务 (例如 资源控制器 或 Cloud Identity and Access Management) 进行交互。 另一方面，服务内部的角色主要与相关 API 进行交互，在本例中是 Key Protect API。 因此，正如您所看到的那样，平台角色在服务实例中的使用范围有限 (对于 管理员 角色)，无法为特定对象 (例如密钥环) 创建访问策略。

平台角色

• 管理员: 具有对特定对象及其“子”对象 (例如，键是实例的子对象) 的全部权限，包括邀请新用户并对该对象分配角色的权限 (只有管理员才能分配角色)。 请注意，缺省情况下，管理员没有服务角色。 但是，他们可以将角色分配给自己。
• 编辑器: 可以在帐户级别查看，创建和删除实例，但不能邀请新用户。 对服务实例中的对象 (例如密钥) 的使用有限，无法查看这些对象。
• 操作员: 可以在帐户级别查看实例，但无法对其进行编辑。 对服务实例中的对象 (例如密钥) 的使用有限，无法查看这些对象。
• 查看者: 可以在帐户级别查看实例，但无法对其进行编辑。 对服务实例中的对象 (例如密钥) 的使用有限，无法查看这些对象。

将在整个帐户上，特定服务实例上或服务实例内的对象中分配平台角色。

列出适用于Key Protect的平台管理角色。

操作	查看者	编辑者	运算符	管理员
查看 Key Protect 实例
创建 Key Protect 实例
删除 Key Protect 实例
邀请新用户并管理访问策略

缺省情况下，当帐户级别角色授予用户对服务实例的特定许可权时，还可以在特定服务实例上分配角色。 例如，帐户 编辑者 (具有查看，创建和删除实例的能力，但不具有分配角色的能力) 可以成为特定服务实例的 管理员，从而允许他们在该服务实例中分配角色。

服务角色可以应用于服务实例中的三个第一类对象: 实例 整体，特定 密钥和 密钥环。 正如缺省情况下帐户角色具有对实例的许可权一样，缺省情况下实例管理员也具有对密钥和密钥环的许可权。 但是，如果需要，可以更细粒度地分配这些许可权，例如，仅向用户授予对特定密钥或密钥环的 管理者 角色，以及对整个实例的一些较低级别的许可权。

可以为每个实例分配服务角色，也可以为帐户中的所有实例分配服务角色。

服务实例角色

请注意，角色中包含的许可权为 加法。 例如，_管理者_具有 读者 具有的所有许可权以及更多许可权。 例外情况是 KeyPurge 角色，该角色包含不属于任何其他角色的 kms.secrets.purge 操作，因此必须显式设置。

• 管理器: 具有对特定对象的完整权限范围 (例如，密钥的管理器能够打包，解包和删除密钥，以及读取和更新 Key Protect 策略 (例如 dualAuthDelete，allowedNetwork 和 allowedIP 等) 的独占权限。
• 写程序: 在使用对象 (包括检索密钥及其元数据的能力) 时，管理者具有大部分相同的权限，但通常无法删除或禁用该对象。
• 读者: 可以使用对象 (例如，密钥阅读器可以合并和解包密钥)，但不能创建，删除或修改对象。
• ReaderPlus：拥有与阅读器相同的权限，还能检索标准密钥的有效载荷。
• KeyPurge（钥匙清除）：具有 在四小时后清除钥匙的 功能。
• KmipAdapterManager：拥有管理访问通过 KMIP 协议 管理的资源所需的所有权限

下表显示了服务访问角色与 Key Protect 权限的映射关系。

列出适用于Key Protect关键资源的服务访问角色

操作	读者	ReaderPlus	写入者	管理者	KeyPurge	KmipAdapterManager
创建密钥
导入密钥
检索密钥
检索密钥元数据
检索密钥总计
列出密钥
列出密钥版本
打包密钥
解包密钥
重新打包密钥
轮换密钥
禁用密钥
启用密钥
密钥的调度删除
取消删除密钥
删除密钥
复原密钥
修补密钥
同步密钥
4 小时后清除密钥

列出适用于Key Protect钥匙圈资源的服务访问角色

操作	读者	ReaderPlus	写入者	管理者	KeyPurge	KmipAdapterManager
创建密钥环
列出密钥环
删除密钥环

列出适用于Key Protect策略资源的服务访问角色

操作	读者	ReaderPlus	写入者	管理者	KeyPurge	KmipAdapterManager
设置关键策略
列出关键策略
设置实例策略
列出实例策略

列出适用于导入令牌资源的服务访问角色

操作	读者	ReaderPlus	写入者	管理者	KeyPurge	KmipAdapterManager
创建导入令牌
检索导入令牌

列出适用于Key Protect注册资源的服务访问角色

操作	读者	ReaderPlus	写入者	管理者	KeyPurge	KmipAdapterManager
创建注册[^services-1]
列出密钥的注册
列出任何密钥的注册
更新注册[^services-2]
替换注册[^services-3]
删除注册[^services-4]

KeyPurge 角色仅授予清除密钥的能力，应视为可添加到其他服务访问角色 (例如 Manager)。

列出适用于Key Protect关键资源的服务访问角色

操作	读者	ReaderPlus	写入者	管理者	KeyPurge	KmipAdapterManager
列出 KMIP 适配程序
创建 KMIP 适配器
检索 KMIP 适配器
删除 KMIP 适配器
列出 KMIP 适配器的 KMIP 对象
从 KMIP 适配器读取 KMIP 对象
从 KMIP 适配器删除 KMIP 对象
列出 KMIP 适配器的客户证书
为 KMIP 适配器添加客户证书
从 KMIP 适配器读取客户证书
从 KMIP 适配器中删除客户证书

写入器、阅读器和 ReaderPlus 角色无法访问 KMIP 协议。

"resources": [
    {
        "attributes": [
            {
                "name": "accountId",
                "value": "$ACCOUNT_ID",
            },
            {
                "name": "serviceName",
                "value": "kms",
            },
            {
                "name": "resourceType",
                "value": "key",
            },
            {
                "name": "resource",
                "value": "$KEY_ID",
            },
            {
                "name": "keyRing",
                "value": "$KEY_RING_ID",
            }
        ]
    }
]

下一步

帐户所有者和管理员可以邀请用户并设置对应于用户可以执行的 Key Protect 操作的服务策略。

• 有关在 IBM Cloud UI 中分配用户角色的更多信息，请参阅 管理 IAM 访问。