跨帐户授权

IAM 支持在另一个 IBM Cloud 帐户中的源服务与当前帐户中的目标之间建立服务到服务的权限。 因此，它允许通过创建 IAM 授权策略跨帐户共享资源。 可以通过多种方式创建此类策略，包括 在浏览器控制台中，如下所示，使用 CLI 或通过执行 Terraform 代码。

在以下示例中，将向源帐户中的特定 Object Storage 实例授予当前帐户中标识的 Key Protect 实例的 读者 角色。

以下显示了用于创建具有相同 IAM 授权策略的 资源的 Terraform 代码:

resource "ibm_iam_authorization_policy" "cross_account_policy" {
  source_service_account      = data.ibm_iam_account_settings.account_a_settings.account_id
  source_service_name         = "cloud-object-storage"
  source_resource_instance_id = data.ibm_resource_instance.cos_resource_instance.guid

  target_service_name         = "kms"
  target_resource_instance_id = data.ibm_resource_instance.kms_resource_instance.guid

  roles                       = ["Reader"]
  description                 = "read access on Key Protect in Main Account for Account A"
}

可以使用 IBM Cloud CLI 和 iam service-policy-create 命令 来创建相同的授权策略:

ibmcloud iam authorization-policy-create cloud-object-storage kms Reader --source-service-account source_account_id --source-service-instance-id cos_instance_id --target-service-instance-id kms_instance_id

控制台，Terraform 提供程序和 CLI 都使用 IAM 策略管理 API 来创建策略。

下一步是，在授权策略到位后，可以创建使用 Key Protect 根密钥的加密存储区。 下面显示了利用资源 ibm_cos_bucket的 Terraform 代码。 属性 key_protect 保存根密钥的 CRN。

resource "ibm_cos_bucket" "cos_bucket" {
  bucket_name          = "cos-bucket"
  resource_instance_id = data.ibm_resource_instance.cos_resource_instance.id
  region_location      = var.region
  key_protect          = data.ibm_kms_key.central_kms_root_key.id
  storage_class        = "smart"
}

您可以在 GitHub 存储库 cross-account-resource-sharing中找到更多示例。

典型的服务到服务授权

对密钥管理服务 (KMS) (例如 Key Protect 和 Hyper Protect Crypto Services ) 的依赖关系是基于云的解决方案的典型依赖关系。 KMS 实例保存客户管理的加密的根密钥。 大多数服务支持客户控制的加密密钥。 在上面的示例中，许多其他服务可以使用跨帐户共享的 KMS 实例，而不是 cloud-object-storage (Object Storage)。

用于服务到服务授权的其他典型 (目标) 服务以及用于资源共享的候选项包括:

• Object Storage: 多个服务需要或能够将数据和日志文件存储在存储区中。 这包括访问日志和监视数据的归档。 其他服务需要访问存储区以执行数据分析。 还有另一类服务需要访问权来订阅更改通知以触发操作的执行。
• Event Notifications: 要向订户推送有关事件的信息，服务实例需要访问 Event Notifications 实例。
• Secrets Manager: 此服务存储并提供给其他服务 IAM API 密钥，SSL/TLS 证书和其他私钥。 因此，从属 (源) 服务需要访问 Secrets Manager。
• Cloud Internet Services (CIS): 它管理域名和其他网络数据，因此可用于例如证书验证。
• IBM Cloud Logs Routing and IBM Cloud Activity Tracker Event Routing: needs service access to targets like IBM Cloud Logs.

请注意，以上列表不完整。