跨帳戶共用資源

本指導教學可能會產生成本。使用「成本估算器」根據您的預計用量生成成本估算。

本指導教學將逐步引導您瞭解如何在帳戶之間共用雲端型資源的不同選項。

網際網路上提供了不可計數的服務數目。您可能在許多服務提供者擁有帳戶。若要使用這些服務，您通常會使用使用者身分 (ID) 與密碼的組合，或提供某種形式的 API 金鑰或存取記號 (通常與其他鑑別層次 (因素) 結合) 來存取它們。使用微服務型架構建置雲端原生應用程式時，個別元件可以使用相同的技術來彼此存取以進行協同作業。理想情況下，可以自動化設定，並將存取權限定為必要下限，以提高安全。

聚焦於雲端服務時，它可能稱為 連接器、服務連結或 服務對服務授權。這類自動化服務連結提供更緊密的整合，且通常會將鑑別和授權結合成單一自動化設定。一般而言，服務連結需要服務位於相同的雲端帳戶中。該分組是合理的，並簡化了開發和作業。但有時，組織，特別是安全與合規相關的需求，可能意味著將部分服務分開，並將它們保留在中央帳戶中。因此，應用程式必須跨帳戶共用資源。共用可以在 IBM Cloud 企業環境中的帳戶之間進行，也可以在沒有正式企業組織的情況下進行。

本指導教學會逐步引導您完成在帳戶之間共用雲端資源的一般使用案例及好處。您將瞭解如何使用 Terraform 手動或完全自動化來實作那些共用實務範例。

通常，安全是在公司層次進行管理，並已制定全公司的規則。因此，執法亦由中央管理。當工作負載移至雲端環境時仍然如此。資源共享是集中管理安全以及評估和強制執行合規性的基礎。

上圖顯示下列實務範例:

帳戶 A 和 科目 B 中 Object Storage 和 Databases for MongoDB 的實例會利用 Key Protect中 主要科目 所管理的加密金鑰。
主要帳戶 中的 Security and Compliance Center 控管所有三個帳戶中的資源 (請參閱上方的黑行)。
帳戶 A 和帳戶 B 中的IBM Cloud Activity Tracker Event Routing實例將審核日誌定向到主帳戶中的IBM Cloud Logs （請參閱上面的藍色線）。 IBM Cloud Logs配置為保留審核日誌以滿足分析和公司要求。

共用可以在 IBM Cloud Enterprise 環境中的帳戶之間進行，也可以在沒有正式企業組織的情況下進行。

如簡介中所述，通常會存取一個 (雲端) 帳戶以外的服務。視整合層次而定，有不同的方式來授權服務存取權及實作鑑別。下面將討論這些可用的選項。

存取另一個服務的更緊密整合方法是建立服務對服務授權(s2s 授權)。您建立 IBM Cloud Identity and Access Management (IAM) 原則，以授權來源服務存取目標服務。因為鑑別是透過識別要求存取權的來源服務來完成，所以不需要密碼或 API 金鑰形式的認證。因為已建立 IAM 原則，所以會自動處理鑑別及授權。

IAM 支援在另一個 IBM Cloud 帳戶中的來源服務與現行帳戶中的目標之間建立服務對服務授權。因此，它容許透過建立 IAM 授權原則在帳戶之間共用資源。您可以利用 CLI 或執行 Terraform 程式碼，以多種方式建立這類原則，包括在瀏覽器主控台中 (如下所示)。

在下列範例中，來源帳戶中的特定 Object Storage 實例獲授與現行帳戶中所識別 Key Protect 實例的讀者角色。

下列顯示用於建立具有相同 IAM 授權原則的資源的 Terraform 程式碼:

resource "ibm_iam_authorization_policy" "cross_account_policy" {
  source_service_account      = data.ibm_iam_account_settings.account_a_settings.account_id
  source_service_name         = "cloud-object-storage"
  source_resource_instance_id = data.ibm_resource_instance.cos_resource_instance.guid

  target_service_name         = "kms"
  target_resource_instance_id = data.ibm_resource_instance.kms_resource_instance.guid

  roles                       = ["Reader"]
  description                 = "read access on Key Protect in Main Account for Account A"
}

可以使用 IBM Cloud CLI 搭配 iam service-policy-create 指令來建立相同的授權原則:

ibmcloud iam authorization-policy-create cloud-object-storage kms Reader --source-service-account source_account_id --source-service-instance-id cos_instance_id --target-service-instance-id kms_instance_id

主控台、Terraform 提供者及 CLI 都使用 IAM 原則管理 API 來建立原則。

下一步，在授權原則就緒的情況下，可以建立使用 Key Protect 根金鑰的已加密儲存體儲存區。下列顯示使用資源 ibm_cos_bucket的 Terraform 程式碼。屬性 key_protect 會保留根金鑰的 CRN。

resource "ibm_cos_bucket" "cos_bucket" {
  bucket_name          = "cos-bucket"
  resource_instance_id = data.ibm_resource_instance.cos_resource_instance.id
  region_location      = var.region
  key_protect          = data.ibm_kms_key.central_kms_root_key.id
  storage_class        = "smart"
}

您可以在 GitHub 儲存庫跨帳戶資源共用中找到更多範例。

存取不同帳戶中的資源，即使共用資源也是常見的作法。有數個使用者受益於資源共用的使用案例。在概述中討論了這些問題。使用者身分和密碼的組合或用來存取資源的 API 金鑰通常會作為鑑別。存取權可以限定為一組專用權，例如，僅容許讀取權或一些其他受限動作。有時，存取資源 (如應用程式或計算環境 (「服務連結」)) 可以建立及管理這些類型的認證。不需要認證的更緊密整合是 IBM Cloud 服務對服務授權的概念。存取資源 (來源) 和存取資源 (目標) 由其內容 (鑑別) 來識別，並指派存取角色 (授權)。這種關係甚至可以跨越帳戶界限來建立。這可讓您簡單配置，但仍可安全地跨帳戶資源共用。

跨服務共用及重複使用功能的摘要
服務	功能
安全和觀察
Security and Compliance Center	掃描企業中的多個帳戶或帳戶群組
IBM Cloud Activity Tracker Event Routing	將您的IBM Cloud Activity Tracker Event Routing事件路由到另一個帳戶並整合事件數據
IBM Cloud Logs Routing	將日誌路由到目標，例如 IBM Cloud Logs 或 Event Streams
Key Protect	使用服務對服務授權來共用加密金鑰。組織金鑰環中的金鑰，以更簡單的管理及加強安全。
Hyper Protect Crypto Services	使用服務對服務授權來共用加密金鑰。組織金鑰環中的金鑰，以更簡單的管理及加強安全。
Hyper Protect Crypto Services，含 Unified Key Orchestrator	將 Hyper Protect Crypto Services 實例連接至 IBM Cloud 及協力廠商雲端中的金鑰儲存庫。
Secrets Manager	Secrets Manager
網路
Transit Gateway	使用 Transit Gateway跨帳戶連接
DNS Services	在 DNS Services
帳戶設定
型錄	利用專用型錄及限制公用型錄來限制帳戶中的可用服務
資料庫
IBM Cloudant	跨帳戶的資料抄寫
Cloud Databases	跨帳戶還原備份

您可以在 GitHub 儲存庫 cross-account-resource-sharing中找到如何為其中部分服務設定資源共用的程式碼範例。

跨帳戶共用資源

目標

資源共用概觀

分享安全資源

加密金鑰管理

Security and Compliance Center

IBM Cloud Logs

IBM Cloud Activity Tracker Event Routing

網路資源的共用

DNS Services

Transit Gateway

實作資源共用

使用密碼或 API 金鑰進行鑑別

服務至服務授權

跨帳戶授權

一般服務對服務授權

摘要

相關資源