Informazioni sui profili affidabili per le identità delle risorse di calcolo

Si usano i profili di fiducia per le identità delle risorse di calcolo per assegnare un'identità Cloud Identity and Access Management a una singola risorsa di calcolo, come un server bare metal. Invece di creare un ID servizio, generare una chiave API, far memorizzare l'applicazione e convalidare tale chiave, è possibile assegnare l'identità IAM direttamente al server bare metal e acquisire un token di accesso all'identità del server bare metal.

Il servizio di identità delle risorse di calcolo crea il profilo attendibile, rispetto al quale si assegnano i diritti di accesso per consentire al server bare metal di chiamare i servizi abilitati IAM, come IBM Cloud Object Storage e IBM® Key Protect. Quando si effettua il provisioning di un server bare metal, si collega un profilo di fiducia. I profili affidabili definiscono l'autorizzazione per tutte le applicazioni in esecuzione sul server bare metal.

Il profilo di fiducia specificato al momento del provisioning del server bare metal diventa il profilo di fiducia predefinito. Si collega automaticamente al server bare metal quando si utilizza l'interfaccia utente. Dall'API, è possibile collegarlo nella stessa chiamata per creare il server bare metal.

Il server bare metal eredita i diritti di accesso definiti nel profilo di fiducia predefinito. VPC utilizza tale profilo attendibile per qualsiasi richiesta di identità del server bare metal per generare un token IAM da un token di accesso all'identità del server bare metal, laddove la richiesta di generazione del token non specifichi un profilo attendibile.

Prima di iniziare

1. Installare IBM Cloud CLI e il plug-in VPC CLI (vedere i prerequisiti CLI ).

2. Assicurarsi di aver creato un server bare metal utilizzando la CLI.

3. Configurare un IP flottante in modo da poter eseguire il ping dei server virtuali sull'indirizzo IP flottante e accedere a SSH.

4. Creare un profilo di fiducia. Per ulteriori informazioni, vedere Gestione dell'accesso per le app nelle risorse di calcolo.

Autorizzazioni IAM per il collegamento di profili affidabili

Per collegare un profilo affidabile a un server bare metal, è necessario disporre di un'autorizzazione sufficiente. Con le autorizzazioni IAM corrette, è possibile vedere tutti i profili affidabili collegati a un server bare metal nella console.

Verificare che le autorizzazioni di accesso siano assegnate come Amministratore o Editor per il sito IAM Identity Service:

Nella console,

1. Andate su Gestione > Accesso > Gestione identità > Utenti.
2. Fare clic su Utenti, selezionare il proprio nome per visualizzare i propri dati.
3. Fare clic su Accesso e scorrere fino a Criteri di accesso.

Per creare un collegamento a un profilo attendibile, sono necessari i seguenti ruoli di accesso IAM: iam-identity.profile.update e iam-identity.profile.linkToResource.

Per ulteriori informazioni, consultare la guida di riferimento dell'API IAM.

Utilizzo di profili affidabili per le identità delle risorse di calcolo

La procedura generale e il contesto di utilizzo dei profili di fiducia sono descritti nella Tabella 1.

È possibile semplificare il processo impostando regole dinamiche nella prima fase per collegare automaticamente il profilo di fiducia ai nuovi server bare metal.

Il token IAM si ottiene scambiando il token di accesso all'identità del server bare metal acquisito tramite il servizio di metadati con un token IAM.

Per ulteriori informazioni, consultare la documentazione IAM sull'impostazione dei profili di fiducia.

Procedura end-to-end per l'utilizzo di un profilo di fiducia per chiamare servizi abilitati IAM

I profili di fiducia predefiniti non possono essere modificati sui server bare metal esistenti. Un profilo di fiducia predefinito può essere specificato solo durante il provisioning di un server bare metal.

1. Creare un profilo di fiducia per il nuovo server bare metal.

2. Creare il server bare metal e specificare un profilo attendibile predefinito durante il provisioning del server bare metal. Con l'API VPC, impostare la proprietà auto_link su true per collegare automaticamente il profilo di fiducia al server bare metal. Specificare l'ID del profilo attendibile o il CRN del profilo attendibile. Ad esempio,

   curl -X POST "$vpc_api_endpoint/v1/bare_metal_servers?version=2025-06-30&generation=2" -H "Authorization: Bearer $iam_token"
   -d '{
       "default_trusted_profile": {
          "auto_link": true,
          "target": {
             "crn": "crn:v1:bluemix:public:iam-identity::a/123456::profile:Profile-9fd84264-7de4-4627-94c4-8ecde51d5ac5
             }
          },
         .
         .
         .
       }'
   

   Per completare questo passaggio è necessario disporre delle autorizzazioni IAM di Amministratore o Editor. Per ulteriori informazioni, Autorizzazioni IAM per il collegamento di profili affidabili.

3. Ottenere un token di accesso all'identità del server bare metal e creare una variabile d'ambiente per esso:

   1. Accedi alla CLI di IBM Cloud.

   2. Andate su un server bare metal esistente. Usare ibmcloud is bare-metal-server per individuare un server bare metal funzionante in cui abilitare il servizio di metadati. Il server bare metal necessita di una VPC associata.

   3. Elencare le regole del gruppo di sicurezza in modo da poter eseguire il ping dei server virtuali sull'indirizzo IP flottante:

      ibmcloud is security-group-rules {id}
      

   4. SSH per ottenere una connessione al server bare metal per rilasciare le API per il servizio di metadati.

   5. Accedere al server bare metal. È possibile utilizzare un'immagine stock o un'immagine personalizzata. Il servizio di metadati è supportato su tutte le immagini stock e personalizzate e sui profili CPU. Quindi, viene assegnato l'IP flottante e vengono creati i gruppi di sicurezza. Ora si sta lavorando all'interno del server bare metal.

   6. Effettuare una richiesta API al servizio token dei metadati per recuperare un token di accesso all'identità del server bare metal. Specificare la durata di validità del token, ad esempio 3600 secondi (1 ora). In questo esempio, il comando viene eseguito attraverso il parser jq per formattare la risposta JSON. È possibile scegliere il parser che si preferisce.

      identity_token=`curl -X PUT "http://api.metadata.cloud.ibm.com /identity/v1/token?version=2025-06-30"\
        -H "Metadata-Flavor: ibm"\
        -H "Accept: application/json"\
        -d '{
             "expires_in": 3600
             }' | jq -r '(.identity_token)'`
      

      La risposta è il payload del token di accesso.

   7. A questo punto è possibile effettuare una richiesta al servizio di metadati. La prima chiamata è per ottenere le informazioni di inizializzazione:

      curl -X GET "http://api.metadata.cloud.ibm.com/metadata/v1/bare_metal_servers/{id}/initialization?version=2025-06-30"\
         -H "Accept: application/json"\
         -H "Authorization: Bearer $identity_token"
         | jq -r
      

      Le informazioni contenute nella risposta mostrano la chiave SSH e i dati utente specificati al momento del provisioning del server virtuale. Se sono state configurate delle password, vengono restituite anche queste informazioni.

4. Generare un token IAM dal token di accesso all'identità del server bare metal acquisito dal servizio di metadati.

5. Utilizzare il token IAM per effettuare chiamate ai servizi abilitati IAM.

Passi successivi

Effettuare chiamate al servizio di metadati del server bare metal per i server bare metal, le chiavi SSH e i dati dei gruppi di collocamento. Vedere Utilizzo del servizio metadati del server bare metal.