信頼できるプロファイルを使用した、アーキテクチャーをデプロイするためのプロジェクトの許可

サービスによっては、信頼されたプロファイルを使用しても、アーキテクチャを完全に構成して展開することはできない。 詳しくは、 プロジェクトの既知の問題と制限 を参照してください。

デプロイ可能アーキテクチャーを構成するときに、認証方式を選択する必要があります。 プロジェクトは、 トラステッド・プロファイル を適用できます。これにより、トラステッド・プロファイルが存在するアカウントにアーキテクチャーをデプロイするためのアクセス権限がプロジェクトに付与されます。 このようにして、鍵のローテーションを必要とせずに、アーキテクチャーを安全にデプロイすることができます。

プロジェクトは、トラステッド・プロファイルを使用して、トラステッド・プロファイルと同じアクセス権を持つサービス ID を作成し、そのサービス ID の新しい API キーを使用して各デプロイメントを許可します。 一時 API キーは操作の存続期間中のみ存在するため、誤用が難しいため、セキュリティーが向上します。 トラステッド・プロファイルには、サービス ID を作成するためのアクセス権限、サービス ID の API キーを作成および削除するためのアクセス権限、およびデプロイ可能なアーキテクチャーをデプロイするためのアクセス権限が必要です。

アカウントまたは別のアカウントでのアーキテクチャーのデプロイ

トラステッド・プロファイルを使用して、アーキテクチャーを自分のアカウントにデプロイすることも、ターゲット・アカウントとも呼ばれる別のアカウントにデプロイすることもできます。

組織によっては、アーキテクチャーをデプロイする際に、信頼できるプロファイルを使用し、複数のアカウントの管理者と調整することにより、別のアカウントへのアクセスが必要になる場合があります。 別のアカウントの IBM Cloud プロジェクト・サービスが、アーキテクチャーをデプロイするために自分のアカウントにアクセスする必要がある場合は、信頼できるプロファイルとサービス ID を使用して、アカウント内のデプロイメントを許可します。

開始前に

アーキテクチャーをデプロイするアカウントにトラステッド・プロファイルが作成されていることを確認してください。 以下のアクセス権限がある場合は、トラステッド・プロファイルを作成できます。

  • アカウント所有者
  • すべてのアカウント管理サービスに対する管理者役割
  • IAM Identity サービスに対する管理者役割。 詳しくは、IAM Identity サービスを参照してください。

すべてのユーザーには、そのユーザーがメンバーとなっているアカウント内にサービス ID を作成するための権限があります。

信頼済みプロファイルのアクセスグループの作成

アクセスグループを使用すると、アクセス割り当てプロセスを合理化できるため、アカウントで管理できるポリシーの数が少なくなり、パフォーマンスが向上します。 信頼済みプロファイルは、アクセスグループに割り当てたアクセスポリシーを継承します。 詳しくは Access groupsを ご覧ください。

まだ持っていない場合は、信頼できるプロフィールに以下のことができるアクセスグループを作成してください：

  • サービス ID を作成します
  • サービスIDのAPIキーの作成と削除
  • デプロイ可能なアーキテクチャーのデプロイ

  1. 「管理」 > **「アクセス (IAM)」をクリックし、「アクセス・グループ」**を選択します。

  2. 「作成」 をクリックします。

  3. アクセスグループの名前と説明を入力します。

  4. 「作成」 をクリックします。

  5. アクセスグループ内で、［ アクセス ］をクリックします。

  6. 「アクセス権限の割り当て」 をクリックします。

  7. サービスIDの作成とサービスID APIキーの管理へのアクセスを許可するポリシーを作成します：

    1. IAM Identity Service を選択し、 「次へ」 をクリックします。
    2. 「すべてのリソース」 を選択し、 「次へ」 をクリックします。
    3. サービスID作成者ロール、ユーザーAPIキー作成者ロール、および管理者ロールを選択し、[ 次へ] をクリックします。
    4. 追加 をクリックします。

    これにより、プロジェクトはデプロイメントごとに固有の一時 API キーを生成できるため、API キーを手動でローテートする必要がなくなります。 詳しくは、 サービス ID の API キーを管理するために必要なアクセス権限 を参照してください。

  8. アクセスグループを管理するためのアクセス権を付与するポリシーを作成します。 このポリシーは、信頼されたプロファイルと同じアクセスグループに一時的なサービスIDを割り当てるために必要です：

    1. IAM Access Groups Service］を選択し、［ Next］をクリックします。
    2. 「すべてのリソース」 を選択し、 「次へ」 をクリックします。
    3. 管理者ロールを選択し 、「次へ」 をクリックします。
    4. 追加 をクリックします。

  9. アーキテクチャを展開するためのアクセス権を付与するポリシーを作成する。 これらのポリシーは、展開可能なアーキテクチャによって異なる可能性がある。

    サービスIDに、アカウント内のデプロイメントを承認するためのアクセス権を付与するには、いくつかの方法から選択できます。 詳しくは、「 広範囲なアクセスを許可する 」、「 特定のアクセスを許可する 」、または「 既存のリソースに特定のアクセスを許可する 」を参照してください。

  10. 割り当て をクリックします。

広範囲のアクセス権限の付与

2 つのポリシーを割り当てることにより、アカウント内のすべてに対する管理者権限をトラステッド・プロファイルに付与します。 多数のデプロイ可能なアーキテクチャーを同じターゲット・アカウントにデプロイする予定の場合は、このオプションを検討してください。 通常、デプロイ可能なアーキテクチャーには、ターゲット・アカウントでの広範な特権が必要です。これらのアーキテクチャーでは、通常、広範なサービスおよび IAM ポリシーをそれらのサービスにデプロイして構成するためです。 プロジェクト間で異なるデプロイ可能アーキテクチャーに同じトラステッド・プロファイルを使用できるため、トラステッド・プロファイルのアクセス・ポリシーを継続的に更新する必要がなくなります。

プロファイルにはプラットフォーム・サービスのみが含まれており、ユーザーは含まれていないため、信頼できるプロファイルに幅広いアクセス権限を付与するのは安全で便利な方法です。 また、プロジェクトには、デプロイメント前の検証や必要な承認プロセスなど、多くの ガバナンス・チェック が既に実施されています。 ここで管理者権限を付与することにより、さまざまなレベルのアクセス権限を必要とする、使用する可能性のある複数のデプロイ可能アーキテクチャーのポリシーを更新する必要がなくなります。 これは、ターゲット・アカウント内の特権をユーザーに直接付与するよりも安全です。

広範囲のアクセスを許可するには、アクセスグループにさらに2つのポリシーを割り当てる。 以下のステップを実行します。

  1. 最初のポリシーを作成するには、 「すべての ID およびアクセス対応サービス」 を選択し、 「次へ」 をクリックします。
    1. 「すべてのリソース」 を選択し、 「次へ」 をクリックします。
    2. リソース・グループ・アクセス権限の場合は、管理者役割を選択し、 「次へ」 をクリックします。
    3. 「管理者」サービス役割と「管理者」プラットフォーム役割を選択します。
    4. 追加 をクリックします。
  2. 2 番目のポリシーについては、 「すべてのアカウント管理サービス」 を選択し、 「次へ」 をクリックします。
    1. 管理者ロールを選択し 、「次へ」 をクリックします。
    2. 追加 をクリックします。
  3. 割り当て をクリックします。

Deployable アーキテクチャーに基づく特定のアクセス権限の付与

デプロイする構成に必要な最小限のアクセス・ロールをトラステッド・プロファイルに付与します。 同じターゲット・アカウントにデプロイする予定の、同じアクセス要件を持つデプロイ可能なアーキテクチャーが 1 つ以上ある場合は、このオプションを選択します。

特定のデプロイ可能アーキテクチャーに必要な特定のアクセス・ロールのカタログ・ページを表示します。

  1. IBM Cloud コンソールで、 「カタログ」 をクリックします。

  2. デプロイするデプロイ可能アーキテクチャーを検索して選択します。

  3. 必要なアクセス・ロールを表示するには、［ アクセス許可］をクリックします。

    Permissionsタブを表示するには、 IBM Cloud にログインする必要があります。

  4. 続けて、前のステップで表示した必要なアクセス・ロールを割り当てます。

    信頼済みプロファイルが割り当てられているアクセスグループにポリシーを割り当てる。

  5. 割り当て をクリックします。

既存のリソースに対する特定のアクセス権限の付与

トラステッド・プロファイルを使用して プロジェクト内の既存のリソースを編成する 場合は、すべてのリソースではなく、特定のリソースへのアクセス権限をトラステッド・プロファイルに付与することができます。 プロジェクトが管理できる既存のリソースを制限する場合は、このオプションを選択します。

信頼済みプロファイルが割り当てられているアクセスグループに、以下のポリシーを割り当てる。

既存のリソースに特定のアクセスを許可するには、さらに2つのポリシーをアクセスグループに割り当てます。 以下のステップを実行します。

  1. 最初のポリシーを作成するには、 「すべての ID およびアクセス対応サービス」 を選択し、 「次へ」 をクリックします。
    1. 「特定のリソース」 を選択し、必要なリソースへのアクセス権限の範囲を指定して、 「次へ」 をクリックします。
    2. リソース・グループ・アクセス権限の場合は、管理者役割を選択し、 「次へ」 をクリックします。
    3. 「管理者」サービス役割と「管理者」プラットフォーム役割を選択します。
    4. 追加 をクリックします。
  2. 2つ目のポリシーで Identity and Access Management を選択し、[ 次へ] をクリックします。
    1. 「すべてのリソース」 を選択し、 「次へ」 をクリックします。
    2. 管理者ロールを選択し 、「次へ」 をクリックします。
    3. 追加 をクリックします。
  3. 割り当て をクリックします。

トラステッド・プロファイルの作成

アクセスグループを作成してポリシーを割り当てたら、信頼済みプロファイルを作成してアクセスグループに追加します。 信頼済みプロファイルは、アクセスグループに割り当てられているアクセスポリシーを継承します。

以下のステップを実行します。

  1. プロジェクト CRN を見つけます。 CRNは、ターゲットアカウントへの配備を承認するために使用される。

    • プロジェクト構成の編集 中にプロジェクト CRN を見つけるには、 trusted_profile_id フィールドのツールチップ・アイコンをクリックして CRN をコピーします。
    • それ以外の場合、 メニュー に進みます 。メニューアイコン > プロジェクトをクリックし、該当するプロジェクトをクリックします。 「管理」 > 「詳細」 をクリックし、CRN をコピーします。

  2. プロジェクトのデプロイ先のターゲット・アカウントで作業していることを確認します。

  3. IBM Cloud® コンソールで 「管理」 > 「アクセス (IAM)」 をクリックし、「トラステッド・プロファイル」 を選択します。

  4. 「作成」 をクリックします。

  5. 名前と説明を入力してどのようなプロファイルであるかを表し、「続行」 をクリックします。

    説明として、このトラステッド・プロファイルで実行可能なアクションのリストを記入してください。

  6. 「IBM Cloud サービス」 を選択します。

  7. ステップ 1 の CRN を入力します。

  8. 説明に、プロジェクト名と関連する注記を入力します。

  9. 「続行」 をクリックします。

  10. 信頼済みプロファイルが必要とするポリシーを含むアクセスグループを選択し、［ 追加 ］をクリックします。

  11. 「作成」 をクリックします。

サービス ID の作成

トラステッド・プロファイルを作成すると、サービス ID が自動生成されます。 サービス ID 名は iam-Profile で始まり、 platform-project-access で終わり、その間にトラステッド・プロファイルの ID が含まれます。 サービス ID が削除されたことがある場合は、次にトラステッド・プロファイルが使用されるときに再作成されます。

IBM Cloud プロジェクト・サービスに関する管理者との調整

アーキテクチャー構成を編集するプロジェクト・ユーザーは、許可を完了するために作成したトラステッド・プロファイルの識別情報を必要とします。 構成を編集するには、 IBM Cloud プロジェクト・サービスに対するオペレーター以上の役割が必要です。

トラステッド・プロファイル ID 値を取得するには、以下の手順を実行します。

信頼できるプロファイルIDの検索

  1. IBM Cloud コンソールで 「管理」 > 「アクセス (IAM)」 をクリックし、「トラステッド・プロファイル」 を選択します。
  2. デプロイ可能なアーキテクチャー許可用に作成したプロファイルを選択します。
  3. 詳細 をクリックします。
  4. Profile で始まるプロファイル ID をコピーします。
  5. この ID を関連するプロジェクト・ユーザーに付与します。