IBM Cloud Logs Routing に対する IAM アクセスの管理

アカウント内のユーザーの IBM® Cloud Logs Routing サービス・インスタンスへのアクセス権限は、IBM Cloud® Identity and Access Management (IAM) によって制御されます。 アカウント内の IBM Cloud Logs Routing サービスにアクセスするユーザーごとに、IAM 役割を持つアクセス・ポリシーを割り当てる必要があります。 IBM Cloud Logs Routing へのアクセス権限を割り当てる最適な方法を決定するために、以下の役割、アクションなどを確認してください。

アカウント内のユーザーに割り当てるアクセスポリシーによって、選択したサービスまたは特定のインスタンスのコンテキスト内でユーザーが実行できる操作が決定されます。 許容される動作は、 IBM Cloud Logs Routing によってカスタマイズされ、サービス上で許可される操作として定義されます。 各アクションは、IAM プラットフォーム、またはユーザーに割り当てることのできるサービス役割にマップされます。 IAM アクセス・ポリシーによって、さまざまなレベルでアクセス権限を付与できます。

ロールを割り当てる場合は、IBM Cloud Logs Routing内で実行する必要があるアクションに基づいて、適切なIAMロールを選択します。 詳細は タスク別IAMアクション を参照のこと。

IBM Cloud CLI を使用してロールを割り当てる方法については、CLIを使用してIAM権限を付与する を参照してください。

ポリシーと権限を作成するIAM権限を持っている場合、対象サービスのユーザーとして持っているレベルのアクセスのみを付与することができます。 例えば、対象サービスにビューアーアクセス権がある場合、ビューアーの役割のみを権限に割り当てることができます。 Administratorなどの上位の権限を割り当てようとすると、権限が付与されているように見えるかもしれませんが、対象のサービスに対して持っている最上位の権限（ビューア）しか割り当てられません。

特定のロールとそのアクションが、対応しようとしているユースケースのニーズを満たさない場合は、 カスタムロールを作成し、含めるアクションを選択することができます。

アクセス・グループを使用してアクセス権限の管理

アクセス・グループを作成して、ユーザー、サービス ID、およびトラステッド・プロファイルのセットを単一のエンティティーに編成し、アクセス権限の割り当てを容易にすることができます。 個々のユーザーまたはサービス ID に同じアクセス権限を複数回割り当てる代わりに、単一のポリシーをグループに割り当てることができます。

アクセス・グループには、そのグループのメンバーに役割と許可を付与するポリシーが割り当てられます。 アクセス・グループのメンバーには、複数の ID タイプ (ユーザー、サービス ID、およびトラステッド・プロファイルなど) を含めることができます。 メンバーは、アクセス・グループに割り当てられたポリシー、役割、および許可を継承し、個別に割り当てられた役割も保持します。

詳細については、アクセス・グループのセットアップを参照してください。

アクセスグループを使用してアクセスを管理したり、ユーザーに新しいアクセスを割り当てるには、ア カウント内のすべての Identity and Access 対応サービスのアカウント所有者、管理者、または編集者である 必要がある。 または、IAM Access Groupsサービスの管理者または編集者になることもできます。

以下のいずれかのアクションを選択して、IBM Cloud 内のアクセス・グループを管理します。

迅速なアクセス割り当てのためにアクセスグループを設定し、ユーザーをアカウントに招待し、そのアクセスを管理することで、IAM を素早く使い始めるには、アクセスグループを使ってリソースにアクセスを割り当てる を参照してください。

信頼できるプロファイルの設定

信頼されたプロファイルを使用することができます：

  • 異なるIBM Cloud®IDに、アカウント内のリソースへのアクセスを許可する
  • 企業ディレクトリーからの SAML 属性に基づく条件を使用して、フェデレーテッド・ユーザーにアカウントへのアクセス権限を自動的に付与します。
  • コンピュート・リソースで実行されるアプリケーションに対して、きめ細かな認可を設定する。 この方法では、計算リソースのサービス ID や API キーを作成する必要はありません。
  • 別のアカウントのIBM Cloud®サービスまたはサービスIDとの信頼関係を確立して、クロスアカウント・アクセスを許可する。

IBM Cloud で信頼されたプロファイルを管理するには、以下のいずれかの操作を選択します

認証にTrusted Profilesを使う場合、Compute Resource が正しい値で設定されていることが重要です。 必要に応じて、以下の手順に従って、Trusted Profileの「Compute Resource」を追加または更新してください：

コンピュートリソースの追加または更新：

  1. IBM Cloud コンソールに移動し、Manage > Access (IAM) をクリックします。

  2. メニューから信頼できるプロファイルを選択します。

  3. 信頼できるプロフィールを開き、Compute Resource セクションに進みます。 既存の条件を編集したり、新しい条件を作成したりできるリストが表示されます。

    • 適切なサービスタイプを選択してください。
    • ibm-observe に Namespace という条件を追加する。

    これらの条件値は、エージェントインストールのデフォルト設定と一致します。 エージェントのコンフィギュレーション値が変更された場合、または追加条件が必要な場合は、それに応じてコンフィギュレーション値を変更してください。

ユーザーやサービスIDに直接ポリシーを割り当ててアクセス管理

ユーザーのアクセス権限をリソースに割り当てるには、アカウント内のすべてのサービスの管理者であるか、特定のサービスまたはサービス・インスタンスのための割り当てられた管理者である必要があります。 サービス ID にアクセス権限を割り当てるには、ID サービスまたは特定のサービス ID の管理者でなければなりません。

IAMポリシーを使用してユーザーまたはサービスIDのアクセスを管理するには、次のいずれかのアクションを選択します：

サービスIDについて

ユーザー ID がユーザーを識別するのと同様の方法で、サービス ID はサービスまたはアプリケーションを識別します。 サービス ID は、IBM Cloud® の内部または外部のアプリケーションを IBM Cloud® サービスに接続するために使用されます。 サービス ID API キーは、特定のサービス ID に割り当てられているすべてのアクセス権限を継承します。

このサービス ID には、特定のサービスを使用するための許可を制限したり、さまざまなサービスにアクセスするための許可を結合したりする特定のアクセス・ポリシーを割り当てることができます。 サービスIDは特定のユーザーと結びついていないため、ユーザーが組織を離れてアカウントから削除されても、サービスIDは残ります。 こうすることで、アプリケーションやサービスは稼働し続けることができる。

詳しくは、サービス ID の作成と処理を参照してください。

  • サービスIDの作成.
  • サービスIDの更新.
  • サービスIDの削除.
  • サービスIDが削除され、お客様のサービスのユーザーにサービス停止や混乱が生じる事態を避けるために、サービスIDをロックするオプションがあります。 サービス ID をロックすることにより、ポリシーの変更、削除、割り当てを防止することもできます。 詳細については、サービスIDをロックする を参照してください。

タスク別のIAMアクション

利用可能なプラットフォームとサービスロールを確認し、各ロールに割り当てられているアクションを確認して、アクセス権の割り当てに役立ててください。

IBM® Cloud Logs RoutingのIAMプラットフォームのロール。
アクション IAM アクション 管理者 エディター オペレーター ビューアー
コンソールを見る logs-router.dashboard.view はい はい はい いいえ
IBM® Cloud Logs RoutingのIAMサービスロール。
アクション IAM アクション マネージャー ライター リーダー
プラットフォーム・ログの構成 logs-router.tenant.create はい いいえ いいえ
プラットフォームログの設定を削除する logs-router.tenant.delete はい いいえ いいえ
プラットフォームログの設定を編集（更新）する logs-router.tenant.update はい いいえ いいえ
プラットフォームのログ構成を見る logs-router.tenant.read いいえ いいえ はい
ログデータを送信先に送る logs-router.event.send いいえ はい いいえ

IBM Cloud プラットフォームの役割

以下の表は、プラットフォームの役割に割り当てられたアクションの詳細を示しています。

プラットフォーム役割により、ユーザーはプラットフォーム・レベルでサービス・リソースに対するタスクを実行できます。例えば、サービスに対するユーザー・アクセス権限の割り当て、インスタンスの作成または削除、アプリケーションへのインスタンスのバインドなどを実行できます。

アカウントで IBM Cloud Logs を構成する時に、各役割で実行できるタスクのタイプの概要をまとめた以下の表を確認してください。

次の表を使用して、xml-ph-0000@deepl.internalで付与できるアカウント管理プラットフォームの役割を特定し、 IBM Cloud Logs RoutingIBM Cloud で以下のプラットフォームのアクションを実行するために付与できるアカウント管理プラットフォームの役割を特定します

IBM Cloud Logs RoutingのIAMプラットフォームのロール。
プラットフォーム役割 アクションの説明
ビューアー ビューアーはサービス・インスタンスを閲覧できますが、変更はできません。
オペレーター オペレーターは、サービスのダッシュボードの表示など、サービス・インスタンスを構成および操作するために必要なプラットフォーム・アクションを実行できます。
エディター エディターは、アカウントの管理とアクセス・ポリシーの割り当てを除き、すべてのプラットフォーム・アクションを実行できます。
管理者 管理者として、役割が割り当てられているリソースに基づいて、他のユーザーへのアクセスポリシーの割り当てなど、プラットフォーム上のすべての操作を実行できます。
サービス構成リーダー サービス・コンフィギュレーション・リーダーとして、ガバナンス管理のためのサービス・コンフィギュレーションを読むことができる
Key Manager キー・マネージャーとして、リソース・キーを管理することができます。例えば、リソース・インスタンスに新しいリソース・キーを作成することができます

IBM Cloud サービス役割

次の表は、IBM Cloudで利用可能なサービス・ロールの一覧です。

IBM Cloud Logs RoutingのIAMサービスロール。
サービス役割 説明
マネージャー 管理者には、サービスで定義されている特権付きアクションを実行する、ライター役割を超える権限があります。 それに加え、サービス固有のリソースを作成および編集できます。
ライター ライターには、サービス固有のリソースの作成および編集を含め、リーダー役割を超える権限があります。
リーダー リーダーは、サービス固有のリソースの表示など、サービス内の読み取り専用アクションを実行できます。