Criação de autorização para criptografia gerenciada pelo cliente no console

1. No console IBM Cloud, faça login na conta em que o Key Management Service (KMS) e a Customer Root Key (CRK) estão localizados.
2. Vá para Gerenciar > Acesso (IAM).
3. No painel lateral, selecione Autorizações.
4. Na página Gerenciar autorizações, clique em Criar.
5. No Fonte seção, selecione o Conta de origem. Essa conta é onde o CRK deve ser usado para criar um compartilhamento de arquivos com criptografia gerenciada pelo cliente.
   • Para permitir o uso de CRKs dessa conta para criptografar compartilhamentos de arquivos em outra conta, selecione Specific account (Conta específica ) e digite o ID da conta de 32 caracteres da conta do serviço File (Arquivo). Em seguida, clique em Avançar.
   • Caso contrário, selecione Esta conta. Em seguida, clique em Avançar.
6. Para o serviço de origem, selecione VPC Infrastructure Services na lista. Clique em Avançar.
   1. Selecione o escopo clicando Recursos específicos.
   2. Clique em “Selecionar um atributo ”.
   3. Na lista, selecione Tipo de recurso.
   4. No próximo campo, selecione File Storage for VPC.
   5. Clique em Avançar.
7. Para o serviço de destino, selecione KeyProtect na lista. Clique em Avançar.
8. Selecione a função “ Reader ”.
9. Marque a caixa para permitir que a autorização seja delegada pelos serviços de origem e dependentes
10. Clique Análise e inspecione suas escolhas.
11. Clique em Autorizar.

Criação de autorização para replicação entre regiões no console

1. No console IBM Cloud, faça login na conta em que o compartilhamento de arquivos está localizado.
2. Vá para Gerenciar > Acesso (IAM).
3. No painel lateral, selecione Autorizações.
4. Na página Gerenciar autorizações, clique em Criar.
5. No Fonte seção, selecione o Conta de origem. Selecione “Esta conta ” e clique em “Avançar ”.
6. Para o serviço de origem, selecione VPC Infrastructure Services na lista. Clique em Avançar.
   1. Selecione o escopo clicando Recursos específicos.
   2. Clique em “Selecionar um atributo ”.
   3. Na lista, selecione Tipo de recurso.
   4. No próximo campo, selecione File Storage for VPC.
   5. Clique em Avançar.
7. Para o serviço de destino, selecione VPC Infrastructure Services na lista. Clique em Avançar.
   1. Selecione o escopo clicando Recursos específicos.
   2. Clique em “Selecionar um atributo ”.
   3. Na lista, selecione Tipo de recurso.
   4. No próximo campo, selecione File Storage for VPC.
   5. Clique em Avançar.
8. Selecione a função “ Editor ”.
9. Clique Análise e inspecione suas escolhas.
10. Clique em Autorizar.

Criação de autorização para replicação entre regiões para todas as contas secundárias em uma empresa

Os administradores de contas corporativas podem criar e atribuir modelos de políticas de autorização às contas secundárias para gerenciar as autorizações de forma centralizada. Para criar um modelo de política de autorização que possa ser usado para ativar a replicação entre regiões para todas as contas secundárias da Empresa, conclua as etapas a seguir:

1. Acesse Gerenciar > Acesso (IAM) > Modelos no console.
2. Selecione “Autorizações ” e clique em “Criar ”.
3. Digite um nome e uma descrição para o modelo de autorização que descreva sua finalidade para os usuários corporativos.
4. Insira uma descrição para a política de autorização gerenciada pela empresa que descreva sua finalidade para usuários de contas secundárias.
5. Clique em Criar.

Em seguida, conclua as etapas a seguir para criar as regras de autorização:

1. Vá para Authorization (Autorização ) para especificar os detalhes da política de autorização.
2. Selecione Assigned account(s) (Contas atribuídas ). Quando você atribui o modelo de autorização a uma conta secundária, a conta de origem é preenchida com o mesmo número de conta que a conta secundária, que detém o recurso acessado.
3. Em seguida, você seleciona o serviço e os recursos de origem.
   1. Selecione “Serviços de infraestrutura da VPC ” na lista. Clique em Avançar.
   2. Selecione o escopo clicando Recursos específicos.
   3. Clique em “Selecionar um atributo ”.
   4. Na lista, selecione Tipo de recurso.
   5. No próximo campo, selecione File Storage for VPC.
   6. Clique em Avançar.
4. Para o serviço de destino, selecione VPC Infrastructure Services na lista. Clique em Avançar.
   1. Selecione o escopo clicando Recursos específicos.
   2. Clique em “Selecionar um atributo ”.
   3. Na lista, selecione Tipo de recurso.
   4. No próximo campo, selecione File Storage for VPC.
   5. Clique em Avançar.
5. Selecione a função “ Editor ”.
6. Clique em “Revisar ” e “Salvar ”.
7. O modelo agora está pronto para ser confirmado e atribuído a contas secundárias.

Criação de autorização para acesso entre contas no console

Esta autorização se refere à criação de contas de acesso e ao compartilhamento de dados entre contas.

1. No console IBM Cloud, faça login na conta em que está o compartilhamento de arquivos.
2. Vá para Gerenciar > Acesso (IAM).
3. No painel lateral, selecione Autorizações.
4. Na página Gerenciar autorizações, clique em Criar.
5. No Fonte seção, selecione o Conta de origem.
   • Se você quiser permitir que outra conta acesse dados no seu compartilhamento de arquivos, selecione Conta específica e insira o ID da conta com 32 caracteres. Em seguida, clique em Avançar.
   • Se desejar criar compartilhamentos de acessador na mesma conta, selecione Esta conta. Em seguida, clique em Avançar.
6. Para o serviço de origem, selecione VPC Infrastructure Services na lista. Clique em Avançar.
   1. Selecione o escopo clicando Recursos específicos.
   2. Clique em “Selecionar um atributo ”.
   3. Na lista, selecione Tipo de recurso.
   4. No próximo campo, selecione File Storage for VPC.
   5. Clique em Avançar.
7. Para o serviço de destino, selecione VPC Infrastructure Services na lista. Clique em Avançar.
   1. Selecione o escopo clicando Recursos específicos.
   2. Clique em “Selecionar um atributo ”.
   3. Na lista, selecione Tipo de recurso.
   4. No próximo campo, selecione File Storage for VPC.
   5. Clique em Incluir uma condição.
   6. Clique Selecione um atributo e selecione ID de compartilhamento.
   7. Selecione o compartilhamento na lista.
   8. Clique em Avançar.
8. Selecione a função “ Share Broker ”.
9. Clique Análise e inspecione suas escolhas.
10. Clique em Autorizar.

Criação de autorização para Watson Studio no console

1. No console IBM Cloud, faça login na conta em que está o compartilhamento de arquivos.
2. Vá para Gerenciar > Acesso (IAM).
3. No painel lateral, selecione Autorizações.
4. Na página Gerenciar autorizações, clique em Criar.
5. Na página Conceder uma autorização de serviço, selecione Esta conta.
6. Para o serviço de origem, selecione Watson Studio da lista.
   1. Selecione o escopo clicando Recursos específicos.
   2. Clique em “Selecionar um atributo ”.
   3. Na lista, selecione “Instância do serviço de origem ”.
   4. No próximo campo, selecione todas as instâncias.
   5. Clique em Avançar.
7. Para o serviço de destino, selecione VPC Infrastructure Services na lista. Clique em Avançar.
   1. Selecione o escopo clicando Recursos específicos.
   2. Clique em “Selecionar um atributo ”.
   3. Na lista, selecione Tipo de recurso.
   4. No próximo campo, selecione File Storage for VPC.
   5. Clique em Incluir uma condição.
   6. Clique Selecione um atributo e selecione ID de compartilhamento.
   7. Deixe o campo string equals como está.
   8. No próximo campo, selecione o compartilhamento de origem na lista.
   9. Clique em Avançar.
8. Selecione a função “ Share Broker ”.
9. Marque a caixa para permitir que a autorização seja delegada pelos serviços de origem e dependentes
10. Clique Análise e inspecione suas escolhas.
11. Clique em Autorizar.

Criação de autorização para criptografia gerenciada pelo cliente a partir da CLI

Efetue login na sua conta. Execute o comando ibmcloud iam authorization-policy-create para criar políticas de autorização para que o Serviço File Storage possa interagir com sua instância do Key Protect. O serviço de origem é is, com o endereço --source-resource-type share, e o serviço de destino é kms. A função que você precisa atribuir é “ Reader ”. O exemplo a seguir cria uma política de autorização entre o Serviço File Storage e Key Protect.

ibmcloud iam authorization-policy-create is kms Reader --source-resource-type share

Creating authorization policy under account a1234567 as test.user@ibm.com...
OK

Para listar as autorizações de serviço já em vigor para a conta, execute o comando ibmcloud iam authorization-policies. O exemplo a seguir mostra que os compartilhamentos de arquivos podem ser criptografados com uma CRK armazenada em Key Protect.

ibmcloud iam authorization-policies

Getting authorization policies under account a1234567 as test.user@ibm.com...
OK
ID:                        d2df60ea-5575-4bd1-9cd6-f35c52576577
Source service name:       is
Source service instance:   All instances
Source resource type:      share
Target service name:       kms
Target service instance:   All instances
Roles:                     Authorization Delegator, Reader

Para obter mais informações sobre todos os parâmetros disponíveis para esse comando, consulte ibmcloud iam authorization-policy-create.

Criação de autorização para criptografia entre contas a partir da CLI

Faça login na conta que hospeda a instância do Key Protect. Execute o comando ibmcloud iam authorization-policy-create para criar políticas de autorização para que o serviço de arquivo interaja com o KMS. O serviço de origem é is, com o endereço --source-resource-type share, e o serviço de destino é kms. A função que você precisa atribuir é “ Reader ”. O exemplo a seguir cria uma política de autorização entre o serviço de arquivos do KeyUserAccount e a instância Key Protect do KeyOwnerAccount.

1. Crie um arquivo JSON com as seguintes informações para as políticas de autorização em sua pasta local Documentos.

   '{
      "description":"Reader and Delegator role for KeyProtect service instance",
      "resources": [{"attributes": [
            {"name": "KeyOwnerAccountID","value": "a/a1234567","operator": "stringEquals"},
            {"name":"serviceName","operator":"stringEquals","value":"kms"}]}],
      "roles": [
         {"role_id":"crn:v1:bluemix:public:iam::::role:AuthorizationDelegator"},
         {"role_id":"crn:v1:bluemix:public:iam::::serviceRole:Reader"}],
      "subjects": [
         {"name": "serviceName","value": "is"},
            {"name": "resourceType","value": "share"},
            {"name": "KeyUserAccountID","value": "a/a7654321"}],
      "type":"authorization"
   }'
   

2. Em seguida, execute o seguinte comando CLI com o arquivo JSON para criar a política de autorização.

   ibmcloud iam authorization-policy-create --file ~/Documents/policy.json
   

   A autorização entre contas é unidirecional e específica para a chave e o serviço. Quando a Conta A autoriza que sua chave seja usada pelo serviço de arquivos da Conta B, a Conta B pode usar o CRK da Conta A para criptografar os compartilhamentos da Conta B. No entanto, a conta A não pode usar as chaves raiz da conta B para criptografar os compartilhamentos da conta A.

Criação de autorização para replicação entre regiões a partir da CLI

Execute o comando ibmcloud iam authorization-policy-create para autorizar os serviços de arquivo regionais a funcionarem juntos

ibmcloud iam authorization-policy-create is is Editor --source-resource-type share --target-resource-type share

Consulte o exemplo a seguir.

$ ibmcloud iam authorization-policy-create is is Editor --source-resource-type share --target-resource-type share
Creating authorization policy under account a1234567 as test.user@ibm.com...
OK
Authorization policy f311f255-d20e-49d0-aa94-316feaba981e was created.
ID:                        f311f255-d20e-49d0-aa94-316feaba981e
Source service name:       is
Source service instance:   All instances
Source resource type:      share
Target service name:       is
Target service instance:   All instances
Target resource type:      share
Roles:                     Editor

Para obter mais informações sobre todos os parâmetros disponíveis para esse comando, consulte ibmcloud iam authorization-policy-create.

Criação de autorização para replicação entre regiões para todas as contas secundárias de uma empresa

Os administradores de contas corporativas podem criar e atribuir modelos de políticas de autorização às contas secundárias para gerenciar as autorizações de forma centralizada. Para criar um modelo de política de autorização que possa ser usado para ativar a replicação entre regiões para todas as contas secundárias da Empresa, conclua as etapas a seguir.

1. Crie um arquivo JSON que forneça a definição do modelo de política de autorização. Para obter mais informações sobre os atributos que você pode usar em seu arquivo JSON, consulte a API de gerenciamento de políticas do IAM.

   O exemplo de arquivo JSON a seguir especifica name e description do modelo e account_id da conta corporativa. O modelo de autorização concede uma função de Editor entre todos os " File Storage for VPC " nas contas atribuídas.

       {
         "name": "VPC_REGIONAL_REPLICATOR",
         "description": "Grant Editor Role between VPC File Storage to enable regional replication",
         "account_id": "ENTERPRISE_ROOT_ACCOUNT_ID",
         "policy": {
           "type": "authorization",
           "description": "Grant Editor on VPC File Storage",
           "control": {
               "grant": {
               "roles": [
                 {
                   "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
                 }
               ]
             }
           },
           "subject":
             {
               "attributes": [
                 {
                   "key": "serviceName",
                   "operator": "stringEquals",
                   "value": "is"
                 },
                 {
                   "key": "resourceType",
                   "operator": "stringEquals",
                   "value": "share"
                 }
               ]
             }
           ,
           "resource":
             {
               "attributes": [
                 {
                   "key": "serviceName",
                   "operator": "stringEquals",
                   "value": "is"
                 },
                 {
                   "key": "resourceType",
                   "operator": "stringEquals",
                   "value": "share"
                 }
               ]
             }
         }
   }
   

2. Execute o comando authorization-policy-template-create com o arquivo JSON, conforme mostrado na solicitação de amostra a seguir:

ibmcloud iam authorization-policy-template-create --file /path/to/vpc-share-authorization-template.json

Para obter mais informações sobre todos os parâmetros disponíveis para esse comando, consulte Gerenciando o acesso ao IAM, chaves de API, perfis confiáveis, IDs de serviço e grupos de acesso(ibmcloud iam) Referência da CLI.

Criação de autorização para acesso entre contas a partir da CLI

Esta autorização se refere à criação de contas de acesso e ao compartilhamento de dados entre contas.

Como o proprietário do compartilhamento, crie um arquivo JSON e use-o com o comando ibmcloud iam authorization-policy-create para criar a autorização de serviço para serviço para o serviço File Storage for VPC da conta do proprietário do compartilhamento (origem) para acessar um compartilhamento na conta do acessador (destino).

1. Crie um arquivo JSON com o seguinte conteúdo. Neste exemplo, o arquivo é criado como policy.json na pasta Documentos.

   {
        "roles": [{"role_id": "crn:v1:bluemix:public:iam::::role:ShareBroker","display_name": "Share Broker",
                 "description": "As a share broker, you can create and delete share bindings"}],
        "resources": [{"attributes": [
            {"name": "accountId","value": "<origin share owner Account ID>","operator": "stringEquals"},
            {"name": "serviceName","value": "is","operator": "stringEquals"},
            {"name": "shareId","value": "<OriginShareId>","operator": "stringEquals"}]}],
        "type": "authorization",
        "description": "ShareBroker role for File Storage for VPC cross-account share access",
        "subjects": [{"attributes": [
            {"name": "serviceName","value": "is"},
            {"name": "resourceType","value": "share"},
            {"name": "accountId","value": "<accessor share Account ID>"}]}]
        }
   

2. Em seguida, execute o comando da CLI com o arquivo JSON para criar a política de autorização.

   ibmcloud iam authorization-policy-create --file ~/Documents/policy.json
   

Criação de autorização para criptografia gerenciada pelo cliente com a API

Para autorizar o serviço de arquivos a acessar sua instância do Serviço de Gerenciamento de Chaves, faça uma solicitação à API de Gerenciamento de Políticas do IAM para criar a autorização entre serviços.

• O exemplo a seguir mostra como é possível autorizar o serviço de Arquivo is.share (origem) a interagir com o Key Protect serviço kms (destino) com a função Leitor ..

  curl -X POST 'https://iam.cloud.ibm.com/v1/policies'\
    -H 'Authorization: Bearer $TOKEN'\
    -H 'Content-Type: application/json'\
    -d '{
       "type": "access",
       "description": "Reader role for the file service to interact with the KeyProtect service.",
       "subjects": [
         {"attributes": [
           {"name": "serviceName","value": "is"},
           {"name": "resourceType","value": "share"}]}],
    "roles":[
       {"role_id": "crn:v1:bluemix:public:iam::::role:Reader"}],
    "resources":[
       {"attributes": [
           {"name": "serviceName","value": "kms"}]}]
    }'
  

• Para criar uma política de autorização para Hyper Protect Crypto Services, substitua kms por hs-crypto no exemplo anterior.

Criação de autorização para criptografia entre contas com a API

Para autorizar o serviço de arquivos de outra conta a acessar sua instância do Serviço de Gerenciamento de Chaves, envie uma solicitação à API de Gerenciamento de Políticas do IAM para criar a autorização entre serviços. O exemplo a seguir mostra como criar uma autorização para que o serviço “ File Storage for VPC ” da conta de origem acesse o serviço de gerenciamento de chaves da sua conta (de destino) com a permissão “Reader”.

curl -X POST "https://iam.cloud.ibm.com/v1/policies" \
     -H "Authorization: <Auth Token>" \
     -H 'Content-Type: application/json' \
     -d '{
      "description":"Reader and Delegator role for KeyProtect service instance",
      "resources": [{"attributes": [
            {"name": "KeyOwnerAccountID","value": "a/a1234567","operator": "stringEquals"},
            {"name": "serviceName","operator":"stringEquals","value":"kms"}]}],
      "roles": [
         {"role_id": "crn:v1:bluemix:public:iam::::role:AuthorizationDelegator"},
         {"role_id": "crn:v1:bluemix:public:iam::::serviceRole:Reader"}],
      "subjects": [
         {"name": "serviceName","value": "is"},
            {"name": "resourceType","value": "share"},
            {"name": "KeyUserAccountID","value": "a/a7654321"}],
      "type":"authorization"
   }'

Criação de autorização para replicação entre regiões com a API

Faça uma solicitação à API do IAM Policy Management para criar a autorização de serviço para serviço para o serviço de arquivo regional do compartilhamento de origem para interagir com o serviço de arquivo regional do compartilhamento de replicação.

• Autorize is.share (origem) para interagir com is.share (destino) com a função Editor .

  curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H
  'Authorization: Bearer $TOKEN' -H
  'Content-Type: application/json' -d
  '{
    "type": "access",
    "description": "Editor role for the source share's regional file service to interact with replica share's regional file service.",
    "subjects": [
      {"attributes": [
        {"name": "serviceName","value": "is"},
        {"name": "resourceType","value": "share"}]}],
    "roles":[
        {"role_id": "crn:v1:bluemix:public:iam::::role:Editor"}],
    "resources":[
        {"attributes": [
         {"name": "serviceName","value": "is"},
         {"name": "resourceType","value": "share"}]}]
    }'
  

Para obter mais informações, consulte a especificação de api para o IAM Policy Management.

Criação de autorização para acesso entre contas com a API

Esta autorização se refere à criação de contas de acesso e ao compartilhamento de dados entre contas.

Como proprietário do compartilhamento, faça uma solicitação de API à API de gerenciamento de políticas do IAM para criar uma autorização que permita que a conta do acessante acesse o compartilhamento de origem. O exemplo a seguir mostra como criar a autorização de serviço para serviço entre a conta de compartilhamento de origem (fonte) e a conta do acessante (destino).

curl -X POST "https://iam.cloud.ibm.com/v1/policies" \
     -H "Authorization: <Auth Token>" \
     -H 'Content-Type: application/json' \
     -d '
       {"roles": [
          {"role_id": "crn:v1:bluemix:public:iam::::role:ShareBroker",
           "display_name": "Share Broker",
           "description": "As a share broker, you can create and delete share bindings"}
           ],
        "resources": [
            {"attributes": [
              {"name": "accountId","value": "<origin share owner Account ID>","operator": "stringEquals"},
              {"name": "serviceName","value": "is","operator": "stringEquals"},
              {"name": "shareId","value": "<OriginShareId>","operator": "stringEquals"}
              ]}],
        "type": "authorization",
        "description": "ShareBroker role for File Storage for VPC cross-account share access",
        "subjects": [{"attributes": [
            {"name": "serviceName","value": "is"},
            {"name": "resourceType","value": "share"},
            {"name": "accountId","value": "<accessor share Account ID>"}]}]
        }'

Criação de autorização para criptografia gerenciada pelo cliente com o Terraform

Crie uma política de autorização entre o serviço de arquivo e os serviços de gerenciamento de chave usando o argumento de recurso ibm_iam_authorization_policy em seu arquivo main.tf

O exemplo a seguir cria uma política de autorização entre o serviço de arquivo e Key Protect quando aplicado.

resource "ibm_iam_authorization_policy" "mypolicy4keyprotect" {
  source_service_name  = "is"
  source_resource_type = "share"
  target_service_name  = "kms"
  roles                = ["Reader"]
}

Para obter mais informações sobre os argumentos e atributos, consulte a documentação do Terraform para recursos de autorização..

Criação de autorização para criptografia entre contas com o Terraform

1. O Terraform suporta a configuração de duas contas diferentes do provedor IBM. O provedor sem um alias é considerado o provedor padrão. Veja o exemplo a seguir, em que duas contas IBM são especificadas, e a segunda usa o alias team_account. Essa configuração será chamada de " ibm.team_account posteriormente.

   terraform {
     required_providers {
       ibm = {
         source = "IBM-Cloud/ibm"
         version = ">= 1.12.0"
       }
     }
   }
   provider "ibm" {
     ibmcloud_api_key = var.ibmcloud_api_key
     region           = var.region
     ibmcloud_timeout = var.ibmcloud_timeout
   }
   provider "ibm" {
     alias = "team_account"
     ibmcloud_api_key = var.ibmcloud_api_key_second_account
     region           = var.region
     ibmcloud_timeout = var.ibmcloud_timeout
   }
   

   Para obter mais informações sobre os argumentos e atributos, consulte IBM Cloud.

2. Para criar a autorização do IAM entre o serviço de compartilhamento de arquivos de uma conta e o serviço de gerenciamento de chaves em outra conta, use o recurso ' ibm_iam_authorization_policy. O exemplo a seguir cria uma autorização entre o serviço de arquivos de uma conta e o serviço Key Protect de outra conta.

   resource "ibm_iam_authorization_policy" "policy" {
       source_service_name = "is"
       source_resource_type = "share"
       source_service_account = "<fileshare-account-id>"
       target_service_name = "kms"
       target_resource_instance_id = ibm_kms_key.key.instance_id
       roles               = ["Reader"]
       description         = "Authorization Policy"
   }
   

   Esse recurso de terraformação também deve incluir o alias do provedor (no nosso exemplo, " ibm.team_account) com a conta " ibmcloud_api_key onde a chave de criptografia está armazenada.

Criação de autorização para replicação entre regiões com o Terraform

Crie uma política de autorização entre os serviços de arquivo nas diferentes regiões usando o argumento de recurso ibm_iam_authorization_policy em seu arquivo main.tf

resource "ibm_iam_authorization_policy" "mypolicy" {
  source_service_name  = "is"
  source_resource_type = "share"
  target_service_name  = "is"
  target_resource_type = "share"
  roles                = ["Editor"]
}

Para obter mais informações sobre os argumentos e atributos, consulte a documentação do Terraform para recursos de autorização..

Criação de autorização para acesso entre contas com o Terraform

Esta autorização se refere à criação de contas de acesso e ao compartilhamento de dados entre contas.

1. O Terraform suporta a configuração de duas contas diferentes do provedor IBM. O provedor sem um alias é considerado o provedor padrão. Veja o exemplo a seguir, em que duas contas IBM são especificadas, e a segunda usa o alias team_account. Essa configuração deve ser referida como ibm.team_account posteriormente.

   terraform {
     required_providers {
       ibm = {
         source = "IBM-Cloud/ibm"
         version = ">= 1.12.0"
       }
     }
   }
   provider "ibm" {
     ibmcloud_api_key = var.ibmcloud_api_key
     region           = var.region
     ibmcloud_timeout = var.ibmcloud_timeout
   }
   provider "ibm" {
     alias = "team_account"
     ibmcloud_api_key = var.ibmcloud_api_key_second_account
     region           = var.region
     ibmcloud_timeout = var.ibmcloud_timeout
   }
   

   Para obter mais informações sobre os argumentos e atributos, consulte IBM Cloud.

2. Para criar a autorização do IAM entre o serviço de compartilhamento de arquivo de uma conta para o serviço de compartilhamento de arquivo em uma conta diferente, use o recurso ibm_iam_authorization_policy O exemplo a seguir cria uma autorização entre os serviços de arquivos de duas contas:

   resource "ibm_iam_authorization_policy" "policy" {
       source_service_name = "is"
       source_resource_type = "share"
       source_service_account = "<ShareOwner-Account-id>"
       target_service_name = "is"
       target_resource_type = "share"
       target_service_account = "<Accessor-Account-id>"
       roles               = ["ShareBroker"]
       description         = "Authorization Policy"
   }
   

   Ou

   resource "ibm_iam_authorization_policy" "policy1" {
    subject_attributes {
      name  = "accountId"
      value = data.ibm_iam_account_settings.iam.account_id
    }
    subject_attributes {
      name  = "serviceName"
      value = "is"
    }
    subject_attributes {
      name  = "resourceType"
      value = "share"
    }
    resource_attributes {
      name  = "shareId"
      operator = "stringEquals"
      value = data.ibm_share_id
    }
    resource_attributes {
      name  = "serviceName"
      operator = "stringEquals"
      value = "is"
    }
    resource_attributes {
      name  = "volumeId"
      operator = "stringExists"
      value = "true"
    }
    roles   = ["ShareBroker"]
    }
   

   Esse recurso terraform também deve incluir o alias do provedor (em nosso exemplo, ibm.team_account) com a conta ibmcloud_api_key na qual o compartilhamento de origem está.

   Para obter mais informações sobre argumentos e atributos, consulte ibm_iam_authorization_policy.