Concessione dell'accesso alle chiavi

Puoi abilitare livelli differenti di accesso alle risorse IBM® Key Protect nel tuo account IBM Cloud creando e modificando le politiche di accesso IBM Cloud IAM.

Gli amministratori degli account devono determinare un tipo di criterio di accesso per gli utenti, gli ID servizio e i gruppi di accessoUn insieme di utenti e ID servizio organizzati in un gruppo che viene utilizzato come oggetto di una politica di accesso per l'assegnazione dello stesso accesso a tutti i membri del gruppo. in base ai requisiti interni di controllo degli accessi. Questi controlli di accesso possono essere assegnati a più livelli, dalle istanze fino alle singole chiavi. Ad esempio, se si desidera concedere a un utente l'accesso a Key Protect al livello di granularità più basso disponibile, è possibile assegnare l'accesso a una singola chiave all'interno di un'istanza.

Concessione dell'accesso a tutte le chiavi in un'istanza

Riesamina ruoli e autorizzazioni per scoprire come si mappano i ruoli IBM Cloud IAM alle azioni Key Protect.

Per concedere l'accesso alle chiavi all'interno di un'istanza Key Protect utilizzando la console IBM Cloud:

  1. Dalla barra dei menu, fare clic su Gestisci > Accesso (IAM), quindi selezionare Utenti per visualizzare gli utenti presenti nel proprio account.

  2. Seleziona una riga di tabella e fai clic sull'icona ⋯ per aprire un elenco di opzioni per tale utente.

  3. Dal menu delle opzioni, fai clic su Assegna accesso.

  4. Fai clic su Assegna accesso.

  5. Scegliere se assegnare l'accesso a un gruppo (facendo clic su Gruppo di accesso) o a un individuo (facendo clic su Politiche di accesso). I gruppi di accesso si trovano cliccando su Gruppi di accesso nella sezione Gestione degli accessi della navigazione a sinistra.

  6. Dall'elenco dei servizi, selezionare Key Protect e fare clic su Next per aprire la sezione Resources.

  7. Nella sezione Risorse, utilizzare i pulsanti di opzione per selezionare se assegnare l'accesso a tutte le risorse o solo a risorse specifiche. Se si seleziona Risorse specifiche, viene richiesto di fornire un tipo di attributo (ad esempio, un Identificativo della ghiera, dove la stringa corrisponde all'ID). La casella Aggiungi una condizione consente di aggiungere altri attributi al criterio creato nel passaggio successivo. Quando si è pronti, fare clic su Avanti per creare il criterio. È possibile fare clic su Modifica per tornare all'elenco dei servizi.

  8. Nella sezione Ruoli e accesso è possibile assegnare l'accesso alle risorse selezionate. Per ulteriori informazioni sulla differenza tra i ruoli accesso ai servizi e accesso alla piattaforma, consultare ruoli della piattaforma e ruoli dei servizi. Il riquadro a destra delle opzioni di selezione si aggiorna dinamicamente per fornire un riepilogo degli accessi assegnati se si mantengono le opzioni selezionate. Esaminare attentamente l'elenco degli accessi fornito. Si noti che una versione JSON del criterio può essere visualizzata (e copiata) facendo clic su JSON nella scheda contrassegnata da [UI|JSON] a destra dell'intestazione Crea criterio.

  9. Quando sei soddisfatto della tua polizza, clicca su “Aggiungi ”. Questo crea il criterio selezionato sulle risorse selezionate. La colonna Riepilogo accesso mostra il criterio creato. In caso di errore, è possibile Rimuovere o Modificare l'accesso in questa sezione.

Concessione dell'accesso a una singola chiave in un'istanza

La chiamata all'API list keys non restituirà le chiavi a cui è stato assegnato un accesso individuale (a cui solo voi potete accedere, in altre parole, anche se avete l'accesso a quelle chiavi e siete voi a effettuare la chiamata). Chiamando questa API, tuttavia, si otterranno le chiavi dei portachiavi a cui si ha accesso.

Se è necessario assegnare l'accesso oltre il livello di istanza, si può scegliere di assegnare l'accesso a un tasto particolare o a un anello di tasti.

Per creare un criterio di accesso per una particolare chiave, è necessario:

  1. Recuperare l'ID della chiave.
  2. Creare una politica di accesso.

Passo 1. Recuperare l'ID della chiave

Recupera l'identificatore univoco associato alla chiave alla quale desideri concedere l'accesso a qualcuno.

Per ottenere l'ID per una chiave specifica, puoi:

Passo 2. Crea una politica di accesso

È possibile creare un criterio di accesso per una chiave, indirizzando l'istanza e la chiave da:

  1. Dalla barra dei menu, fare clic su Gestisci > Accesso (IAM), quindi selezionare Utenti per visualizzare gli utenti presenti nel proprio account.

  2. Seleziona una riga di tabella e fai clic sull'icona ⋯ per aprire un elenco di opzioni per tale utente.

  3. Dal menu delle opzioni, fai clic su Assegna accesso.

  4. Fare clic su " Assegna l'accesso agli utenti ".

  5. Dall'elenco dei servizi, selezionare Key Protect.

  6. Dall'elenco delle istanze di Key Protect, seleziona l'istanza Key Protect che contiene la chiave alla quale desideri concedere l'accesso.

  7. Seleziona le risorse in base agli attributi selezionati.

  8. Fare clic sulla casella Instance ID e selezionare l'istanza in cui risiede il portachiavi dall'elenco a discesa.

  9. Fare clic sulla casella Tipo di risorsa e inserire key.

  10. Fai clic sulla casella " ID risorsa " e inserisci l'ID assegnato alla tua chiave dal servizio Key Protect.

  11. Scegli una combinazione di ruoli di accesso alla piattaforma e al servizio per assegnare l'accesso per l'utente.

  12. Fai clic su Aggiungi.

  13. Continuare ad aggiungere ruoli di accesso alla piattaforma e ai servizi secondo le necessità. Una volta terminato, clicca su " Assegna".

L'immagine mostra un esempio di come concedere all'utente l'accesso a una chiave.
Mostra come concedere all'utente l'accesso a una chiave specifica.

Concessione dell'accesso ai portachiavi in un'istanza

Un portachiavi è un insieme di chiavi situate all'interno dell'istanza del servizio, a cui è possibile limitare l'accesso tramite i criteri di accesso IAM. Per informazioni sui portachiavi, vedere Raggruppamento di chiavi.

È possibile concedere l'accesso ai portachiavi all'interno di un'istanza Key Protect utilizzando la console IBM Cloud, IAM API o IAM CLI.

Riesamina ruoli e autorizzazioni per scoprire come si mappano i ruoli IBM Cloud IAM alle azioni Key Protect.

Concessione dell'accesso ai portachiavi di un'istanza tramite la console

Per assegnare l'accesso a un portachiavi tramite la console:

  1. Dalla barra dei menu, fare clic su Gestisci > Accesso (IAM), quindi selezionare Utenti per visualizzare gli utenti presenti nel proprio account.

  2. Seleziona una riga di tabella e fai clic sull'icona ⋯ per aprire un elenco di opzioni per tale utente.

  3. Dal menu delle opzioni, fai clic su Assegna accesso.

  4. Fare clic su " Assegna l'accesso agli utenti ".

  5. Fai clic sul tile Servizi IAM.

  6. Dall'elenco dei servizi, selezionare Key Protect.

  7. Seleziona le risorse in base agli attributi selezionati.

  8. Fare clic sulla casella Instance ID e selezionare l'istanza in cui risiede il portachiavi dall'elenco a discesa.

  9. Fare clic sulla casella Key Ring ID e inserire il nome del portachiavi. Si noti che l'ID del portachiavi è sensibile alle maiuscole e deve essere esatto.

  10. Scegliere la combinazione di ruoli di accesso alla piattaforma e ai servizi che si desidera assegnare a questo utente.

  11. Fai clic su Aggiungi.

  12. Continuate ad aggiungere i ruoli di accesso alla piattaforma e ai servizi secondo necessità e, al termine, fate clic su Assegna. Si noti che all'utente deve essere assegnato almeno l'accesso Reader all'intera istanza, affinché possa elencare, creare e cancellare anelli di chiavi all'interno dell'istanza.

L'immagine mostra un esempio di come concedere all'utente l'accesso a un portachiavi.
Mostra come concedere all'utente l'accesso a un portachiavi.

Concessione dell'accesso per funzioni specifiche

Per utilizzare la funzione Key Protect Key Purge, è necessario assegnare un ruolo specifico chiamato KeyPurge, poiché non è abilitato per impostazione predefinita, nemmeno per il proprietario dell'account. Dopo aver seguito i passaggi elencati nelle altre sezioni di questo argomento per concedere l'accesso a questa autorizzazione a tutte le chiavi o a una chiave specifica, scegliere il ruolo KeyPurge come mostrato nel grafico.

L'immagine mostra un esempio di come concedere l'autorizzazione all'uso della funzione di eliminazione delle chiavi.
Mostra come concedere l'autorizzazione all'uso della funzione di eliminazione delle chiavi.

Passi successivi

È possibile creare un criterio di accesso anche tramite il Key Protect API o il Key Protect plugin CLI.