Protezione dei servizi Schematics con restrizioni basate sul contesto
Le restrizioni basate sul contesto offrono ai proprietari degli account e agli amministratori la possibilità di definire e applicare le restrizioni di accesso alle risorse di IBM Cloud® in base al contesto delle richieste di accesso. L'accesso ai servizi di Schematics può essere controllato utilizzando le restrizioni basate sul contesto(CBR) e i criteri di Identity and Access Management (IAM).
Gestione delle impostazioni CBR
Con le restrizioni basate sul contesto, è possibile definire e applicare le restrizioni di accesso degli utenti e dei servizi a Schematics in base a criteri specifici, ad esempio l'indirizzo IP o le risorse o i servizi di IBM Cloud®.
Per limitare l'accesso, devi essere il proprietario dell'account o avere una politica di accesso con il ruolo di amministratore su tutti i servizi di gestione dell'account.
Panoramica
Per limitare l'accesso a Schematics, si creano zone di rete che contengono gli indirizzi IP e i servizi a cui si desidera concedere l'accesso. Quindi, applicarli utilizzando le regole.
Per prima cosa, crea una zona di rete contenente gli indirizzi IP, i VPC, le risorse o i servizi di rete che ti servono per accedere a Schematics. Collega quindi tale zona a Schematics per limitare l'accesso. Puoi creare zone e regole utilizzando un'API RESTful o con IU di restrizioni basate sul contesto. Dopo aver creato o aggiornato una zona o una regola, potrebbero essere necessari alcuni minuti per rendere effettiva la modifica.
Devi consentire l'elenco Schematics nelle regole CBR per altri servizi se devi Schematics per connetterti al servizio per eseguire la post - configurazione delle risorse del servizio, ad esempio IBM Cloud® PostgreSQL Database. Se configuri una regola CBR per un servizio, per esempio IBM Cloud Kubernetes Service, Schematics non può accedere a un cluster nel tuo account a meno che non includi Schematics nella CBR allowlist.
le regole CBR non si applicano alle richieste di provisioning di risorse e servizi, ma solo alla post - configurazione dei servizi di cui è stato eseguito il provisioning.
Attualmente, CBR è supportato dagli endpoint pubblici di Schematics in entrambe le regioni US e EU. Il supporto CBR con gli endpoint privati Schematics è limitato alla sola regione EU.
Se una regola CBR blocca l'accesso a Schematics, la pagina dello spazio di lavoro non può elencare alcuno spazio di lavoro. Altre operazioni come la creazione dello spazio di lavoro, la pianificazione e le richieste di applicazione che sono bloccate da CBR non sono riuscite a causa di errori di accesso negato.
Informazioni sulle zone di rete
Creando delle zone di rete, è possibile definire un elenco di posizioni di rete da cui provengono le richieste di accesso a Schematics, per determinare quando una regola può essere applicata. L'elenco delle posizioni di rete può essere specificato utilizzando gli indirizzi IP, come indirizzi individuali, intervalli o sottoreti, e gli ID di Virtual Private Cloud (VPC), o i servizi IBM Cloud®.
Dopo aver creato una zona di rete, è possibile aggiungerla a una regola.
Creazione di zone di rete utilizzando l'API CBR
L'API CBR supporta la definizione di zone di rete.
Utilizzare GET /v1/zones per elencare le zone. Utilizzando POST /v1/zones, è possibile creare una nuova zona con le informazioni appropriate. Per ulteriori informazioni sulla richiesta API, vedi Creazione delle zone di rete utilizzando l'API.
È possibile stabilire quali servizi sono disponibili per l'inclusione in una zona controllando le destinazioni di riferimento.
Dopo aver creato le zone, è possibile aggiornarle o eliminarle.
Creazione di zone di rete utilizzando la UI CBR
Una volta impostati i prerequisiti e i requisiti, è possibile creare zone nell'interfaccia utente. Per ulteriori informazioni sui passi da seguire, vedi Creazione di restrizioni basate sul contesto.
Dopo che hai creato le zone, possono anche essere aggiornate e eliminate.
Informazioni sulle regole di rete
Dopo aver creato le zone, è possibile applicarle a Schematics per controllare l'accesso mediante la creazione di regole. Quando si aggiungono zone a una regola, è possibile scegliere tra i tipi di endpoint disponibili quelli rilevanti per le modalità di accesso a Schematics.
Creare le regole di rete utilizzando l'API CBR
Puoi definire le regole di rete con l'API utilizzando le informazioni raccolte dalla creazione delle zone di rete.
Utilizzando GET /v1/rules con gli endpoint scelti, è possibile visualizzare un elenco di regole correnti. Utilizzare POST /v1/rules per creare nuove regole. Per ulteriori informazioni su un esempio di richiesta, vedi
Creazione di regole utilizzando l'API.
Dopo aver creato le regole, è possibile aggiornare e eliminarle.
Creazione di regole di rete utilizzando la UI CBR
Una volta completati i prerequisiti, è possibile creare zone nell'UI. Per ulteriori informazioni sui passi da seguire, vedi Creazione di restrizioni basate sul contesto.
È possibile utilizzare l'interfaccia utente CBR per aggiungere risorse e contesti alle regole di rete.
A differenza delle politiche IAM, le restrizioni basate sul contesto non assegnano l'accesso. Le limitazioni basate sui contesti verificano che una richiesta di accesso provenga da un contesto consentito configurato. Inoltre, le regole potrebbero non avere effetto immediatamente a causa della sincronizzazione e della disponibilità delle risorse.
Dopo aver creato le regole, è possibile aggiornare e eliminarle.
Passi successivi
Devi seguire la creazione o la modifica di zone o regole con test adeguati per garantire l'accesso e la disponibilità del servizio Schematics.