Informazioni sui profili attendibili per le identità delle risorse di calcolo

I profili di fiducia per le identità delle risorse di calcolo consentono un'autorizzazione a grana fine per tutte le applicazioni che vengono eseguite in un'istanza di server virtuale. Eliminano la necessità di creare ID di servizio o di gestire cicli di vita delle chiavi API per le applicazioni. Invece, le risorse di calcolo diventano identità come parte di un profilo di fiducia e la fiducia viene stabilita attraverso condizioni basate sugli attributi delle risorse.

È possibile assegnare un'identità IAM direttamente all'istanza, in modo che le applicazioni in esecuzione sull'istanza del server virtuale possano accedere in modo sicuro ad altri servizi IBM Cloud senza memorizzare chiavi API.

È possibile assegnare i diritti di accesso al profilo di fiducia per consentire all'istanza di chiamare i servizi abilitati IAM, come IBM Cloud Object Storage e IBM® Key Protect.

È possibile collegare un profilo affidabile quando si esegue il provisioning di un'istanza. È inoltre possibile collegare e scollegare i profili affidabili da e verso l'istanza dopo il provisioning utilizzando le interfacce IAM. I profili affidabili definiscono l'autorizzazione per tutte le applicazioni in esecuzione sull'istanza.

Il profilo attendibile specificato quando si esegue il provisioning dell'istanza diventa il profilo attendibile predefinito. I profili di fiducia collegati dopo il provisioning dell'istanza possono definire più autorizzazioni, ma non possono sostituire o diventare il profilo di fiducia predefinito per l'istanza.

Il profilo di fiducia può essere collegato a un'istanza di calcolo in modo esplicito quando l'istanza viene creata o in modo implicito attraverso le regole dinamiche del profilo di fiducia.

IBM Cloud® Identity and Access Management è la fonte di verità per il collegamento dei profili affidabili. Le informazioni del profilo di fiducia non possono essere modificate dopo la creazione dell'istanza. Le informazioni possono diventare obsolete, poiché le modifiche apportate al profilo di fiducia in IAM non vengono riflesse.

L'istanza eredita i diritti di accesso definiti in tutti i profili di fiducia collegati all'istanza. Per qualsiasi richiesta di identità che non specifichi un profilo attendibile, VPC genera un token IAM da un token di accesso all'identità che utilizza il profilo attendibile predefinito.

Se non si desidera utilizzare il profilo di fiducia predefinito dell'istanza per queste richieste, è necessario specificare il profilo di fiducia che si desidera utilizzare nella richiesta.

Prima di iniziare

Procedura end-to-end per utilizzare un profilo attendibile per richiamare i servizi abilitati IAM

1. Creare un'istanza con un profilo di fiducia collegato e abilitare l'accesso al servizio di metadati nella consoleabilitare l' accesso al servizio di metadati dal clientabilitare l'accesso al servizio di metadati con l'API.

   • Nella console, il servizio Metadati si trova nelle opzioni avanzate. Fare clic sulla levetta per abilitare l'accesso. Quindi, fare clic su Seleziona un profilo attendibile. Nel pannello laterale, selezionare un profilo affidabile dall'elenco. Fai clic su " Seleziona profilo attendibile ". Il collegamento automatico è abilitato; se si desidera gestire il collegamento del profilo di fiducia attraverso l'interfaccia IAM, è possibile fare clic sulla levetta per disabilitarlo. Per ulteriori informazioni, vedere Creazione di istanze di server virtuali.
   • Dalla CLI, utilizzare il comando ibmcloud is instance-create e specificare le opzioni --default-trusted-profile YOUR_DEFAULT_TRUSTED_PROFILE, --default-trusted-profile-auto-link true e --metadata-service true Per ulteriori informazioni, vedere Creazione di istanze di server virtuali.
   • Con l'API VPC, specificare il profilo attendibile predefinito e impostare la proprietà auto_link su true per collegare automaticamente il profilo attendibile all'istanza. È possibile specificare l'ID o il CRN del profilo attendibile. Per ulteriori informazioni, consultare il riferimento API VPC: Creare un'istanza. Vedi il seguente esempio.

     curl -X POST "$vpc_api_endpoint/v1/instances?version=2022-03-01&generation=2" -H "Authorization: Bearer $iam_token"
      -d '{
       "default_trusted_profile": {
          "auto_link": true,
          "target": {
             "crn": "crn:v1:bluemix:public:iam-identity::a/123456::profile:Profile-9fd84264-7de4-4627-94c4-8ecde51d5ac5
             }
          },
         .
         .
         .
       }'
     

2. Se l'istanza ha già un indirizzo IP fluttuante, usarlo per stabilire una connessione sicura al server. Se non ha un indirizzo IP flottante, assegnargliene uno. Per ulteriori informazioni, vedere le fasi successive dell'argomento Creazione di istanze di server virtuali.

3. Dall'istanza del server virtuale, effettuare una richiesta API al servizio token di metadati per recuperare un token di accesso all'identità. In questo esempio, il comando viene eseguito tramite il programma di analisi jq per formattare la risposta JSON. Si può scegliere un altro parser, se si preferisce.

   curl -X PUT "$vpc_metadata_api_endpoint/identity/v1/token?version=2022-03-01" -H "Metadata-Flavor: ibm" -d '{"expires_in": 3600}'| jq -r '(.identity_token)'
   

   La risposta è il payload del token di accesso. Per ulteriori informazioni, consultare il riferimento all'API Metadata: Creare un token di accesso all'identità.

4. Utilizzare il token di identità per generare un token IAM.

   ```sh {: pre}
   curl -X POST "$vpc_metadata_api_endpoint/identity/v1/iam_tokens?version=2025-06-10" -H "Authorization: Bearer $identity_token" -d '{"trusted_profile": {"id": "Profile-8dd84246-7df4-4667-94e4-8cede51d5ac5"}}'
   ```
   During the exchange a trusted profile against which the token is being requested must be provided to IAM service. If a trusted profile is not specified, the API uses the default trusted profile, which was linked during instance provisioning. If multiple trusted profiles are linked to an instance, you can choose not to use the default trusted profile, and specify a different trusted profile by ID or CRN.
   

5. Utilizza il token IAM per effettuare chiamate ai servizi abilitati a IAM.

Passi successivi

Effettuare chiamate al servizio di metadati per le istanze, le chiavi SSH e i dati dei gruppi di collocamento. Vedere Recupero di metadati da un'istanza.