コンテキスト・ベースの制限による Schematics サービスの保護
コンテキストに基づく制限により、 アカウント所有者や管理者は、アクセス要求のコンテキストに基づいて、 IBM Cloud® リソースへのアクセス制限を定義し、適用することができます。 Schematics サービスへのアクセスは、 コンテキストベースの制限（CBR ）と Identity and Access Management (IAM) ポリシーを使用して制御できる。
CBR 設定の管理
コンテキストベースの制限を 使用すると、指定された基準（IPアドレスや IBM Cloud® リソースやサービスなど）に基づいて、 Schematics に対するユーザーやサービスのアクセス制限を定義し、実施することができます。
アクセスを制限するには、 アカウント所有者であるか、すべてのアカウントにおいて管理者ロールを有するアクセスポリシーを持っている必要があります。
概要
Schematics へのアクセスを制限するには、アクセスを許可するIPアドレスとサービスを含む ネットワーク・ゾーンを 作成する。 次に、 規則 を使用してこれらを適用します。
最初に、 Schematicsにアクセスするために必要なネットワーク IP アドレス、VPC、リソース、またはサービスを含むネットワーク・ゾーンを作成します。 次に、そのゾーンを Schematics に紐付けて、アクセスを制限します。 ゾーンおよびルールは、RESTful API または コンテキスト・ベースの制限 UIを使用して作成できます。 ゾーンまたはルールを作成または更新した後、変更が有効になるまでに数分かかる場合があります。
サービス・リソース ( IBM Cloud® PostgreSQL データベースなど) の構成後を実行するために Schematics がサービスに接続する必要がある場合は、他のサービスの CBR ルールで Schematics を許可リストに登録する必要があります。 サービスの CBR ルール (例えば、 IBM Cloud Kubernetes Service) を構成した場合、 Schematics を含めない限り、 Schematics はアカウント内のクラスターにアクセスできません。
CBR ルールは、リソースおよびサービスのプロビジョニング要求には適用されず、プロビジョンされたサービスの事後構成にのみ適用されます。
現在、CBRは US と EU の両地域の Schematics 公開エンドポイントでサポートされている。 Schematics プライベート・エンドポイントでのCBRサポートは、 EU リージョンに限定される。
CBR ルールが Schematics へのアクセスをブロックしている場合、ワークスペース ページにワークスペースを 一覧表示することはできません。 CBR によってブロックされているワークスペース作成、計画、および適用要求などの他の操作は、アクセス拒否エラーとして失敗します。
ネットワーク・ゾーンについて
ネットワークゾーンを作成することで、 Schematics アクセス要求の発信元となるネットワークロケーションの許可リストを定義し、ルールを適用できるタイミングを決定することができます。 ネットワークロケーションのリストは、個々のアドレス、範囲、サブネットなどのIPアドレス、および仮想プライベートクラウド（VPC）ID、または IBM Cloud® サービスを使用して指定できます。
ネットワーク・ゾーンを作成したら、それをルールに追加できます。
CBR API を使用したネットワークゾーンの作成
CBR API は、 ネットワーク・ゾーン の定義をサポートします。
ゾーンをリストするには、 GET /v1/zones を使用します。 POST /v1/zones を使用すると、適切な情報を使用して新規ゾーンを作成できます。 API 要求について詳しくは、 API を使用したネットワーク・ゾーンの作成 を参照してください。
参照ターゲット をチェックすることにより、ゾーンに含めることができるサービスを判別できます。
CBR UI を使用したネットワークゾーンの作成
前提条件および要件を設定した後、UI でゾーンを作成できます。 実行するステップについて詳しくは、 コンテキスト・ベースの制限の作成 を参照してください。
ネットワーク・ルールについて
ゾーンを作成したら、 Schematics にゾーンを適用し、ルールを作成してアクセスを制御できます。 ルールにゾーンを追加する際、利用可能な エンドポイントのタイプから、 Schematics へのアクセス方法に関連するものを選択できます。
CBR API を使用してネットワークルールを作成する
ネットワーク・ゾーンの作成から収集した情報を使用して、API でネットワーク・ルールを定義できます。
選択したエンドポイントで GET /v1/rules を使用することで、現行規則のリストを表示できます。 POST /v1/rules を使用して、新規ルールを作成します。 要求の例について詳しくは、 API を使用したルールの作成 を参照してください。
CBR UI を使用したネットワークルールの作成
前提条件を満たした後、UI でゾーンを作成できます。 実行するステップについて詳しくは、 コンテキスト・ベースの制限の作成 を参照してください。
CBR UI を使用して、ネットワーク・ルールに リソースとコンテキストを追加 できます。
IAMポリシーとは異なり、コンテキストベースの制限ではアクセス権は付与されません。 コンテキスト・ベースの制限は、アクセス要求が、構成された許可されるコンテキストからのものであるかどうかを検査します。 また、同期処理やリソースの空き状況によっては、ルールがすぐに有効にならない場合があります。
次のステップ
ゾーンやルールの作成・変更後は、アクセスおよび Schematics サービスの可用性を確保するため、適切なテストを実施する必要があります。