バックアップ・サービスに対するサービス間許可の確立

アカウント・レベルでのボリューム・バックアップの権限作成

サービス間許可ポリシーを作成するには、以下の手順を実行します。

1. IBM Cloud コンソールで、**「管理 (Manage)」>「アクセス (IAM) (Access (IAM))」**と移動します。

2. サイド・パネルから、権限を選択します。

3. 「許可の管理」ページで、作成をクリックします。

4. の中にソースセクションで、ソースアカウント。 アカウントでバックアップサービスの承認を設定する際に、このアカウント。 次へ をクリックします。

5. ソース・サービスについて、リストから 「VPC インフラストラクチャー・サービス」 を選択します。 **「次へ」**をクリックします。

   1. クリックして範囲を選択します特定のリソース。
   2. 属性を選択をクリックします。
   3. リストから選択リソースタイプ。
   4. 次のフィールドで、IBM Cloud Backup for VPC を選択します。
   5. 次へ をクリックします。

6. ターゲット・サービスについて、リストから 「VPC インフラストラクチャー・サービス」 を選択します。 **「次へ」**をクリックします。

   1. クリックして範囲を選択します特定のリソース。
   2. 属性を選択をクリックします。
   3. 「リソース・タイプ」 をクリックします。 以下のサービスから1つお選びください。 すべての許可を作成する必要があります。

   サービス間の許可

   ソース・サービス - リソース・タイプ	ターゲット・サービス - リソース・タイプ	従属サービス・ユーザー役割
   IBM Cloud Backup for VPC	Block Storage for VPC	オペレーター
   IBM Cloud Backup for VPC	Block Storage Snapshots for VPC	エディター
   IBM Cloud Backup for VPC	VPC のマルチボリューム・スナップショット	エディター
   IBM Cloud Backup for VPC	Virtual Server for VPC	オペレーター

7. 次へ をクリックします。

8. 役割を選択します。 適切な役割については表を参照のこと。

9. クリックレビュー選択内容を確認します。

10. 「許可」 をクリックします。

11. 「許可の管理」 ページに戻ったら、 「作成」 を再度クリックし、同じ手順に従って残りのサービスの許可をセットアップします。

アカウントレベルでのファイル共有バックアップの権限作成

サービス間許可ポリシーを作成するには、以下の手順を実行します。

1. IBM Cloud コンソールで、**「管理 (Manage)」>「アクセス (IAM) (Access (IAM))」**と移動します。
2. サイド・パネルから、権限を選択します。
3. 「許可の管理」ページで、作成をクリックします。
4. の中にソースセクションで、ソースアカウント。 アカウントでバックアップサービスの承認を設定する際に、このアカウント。 次へ をクリックします。
5. ソース・サービスについて、リストから 「VPC インフラストラクチャー・サービス」 を選択します。 **「次へ」**をクリックします。
   1. クリックして範囲を選択します特定のリソース。
   2. 属性を選択をクリックします。
   3. リストから選択リソースタイプ。
   4. 次のフィールドで、IBM Cloud Backup for VPC を選択します。
   5. 次へ をクリックします。
6. ターゲット・サービスについて、リストから 「VPC インフラストラクチャー・サービス」 を選択します。 **「次へ」**をクリックします。
   1. クリックして範囲を選択します特定のリソース。
   2. 属性を選択をクリックします。
   3. 「リソース・タイプ」 をクリックします。 選択 File Storage for VPC。
7. 次へ をクリックします。
8. 役割を選択： エディター 、共有スナップショットオペレーター。
9. クリックレビュー選択内容を確認します。
10. 「許可」 をクリックします。

子アカウントからEnterpriseアカウントで管理されるバックアップのためのクロスアカウント認証の作成

エンタープライズ管理者がバックアップを一元的に管理できるようにするには、サブアカウントが、エンタープライズ・アカウントのバックアップ・サービスが子アカウントのリソースと対話するための許可を提供する必要があります。 子アカウント管理者は、以下の手順に従い、子アカウントの権限をローカルに作成することができる。

1. IBM Cloud コンソールで、**「管理 (Manage)」>「アクセス (IAM) (Access (IAM))」**と移動します。

2. サイド・パネルから、権限を選択します。

3. 「許可の管理」ページで、作成をクリックします。

4. の中にソースセクションで、ソースアカウント。 エンタープライズアカウントのバックアップサービスの承認を設定する場合は、特定のアカウントをクリックし、エンタープライズ アカウントの ID を入力します。 次へ をクリックします。

5. ソース・サービスについて、リストから 「VPC インフラストラクチャー・サービス」 を選択します。 **「次へ」**をクリックします。

   1. クリックして範囲を選択します特定のリソース。
   2. 属性を選択をクリックします。
   3. リストから選択リソースタイプ。
   4. 次のフィールドで、IBM Cloud Backup for VPC を選択します。
   5. 次へ をクリックします。

6. ターゲット・サービスについて、リストから 「VPC インフラストラクチャー・サービス」 を選択します。

   1. クリックして範囲を選択します特定のリソース。
   2. 属性を選択をクリックします。
   3. 「リソース・タイプ」 をクリックします。 表 2 のいずれかのサービスを選択します。

   エンタープライズ向けサービス間認証

   ソース・サービス - リソース・タイプ	ターゲット・サービス - リソース・タイプ	従属サービス・ユーザー役割
   IBM Cloud Backup for VPC	Block Storage for VPC	オペレーター
   IBM Cloud Backup for VPC	Block Storage Snapshots for VPC	エディター
   IBM Cloud Backup for VPC	VPC のマルチボリューム・スナップショット	エディター
   IBM Cloud Backup for VPC	Virtual Server for VPC	オペレーター
   IBM Cloud Backup for VPC	IBM Cloud Backup for VPC	エディター
   IBM Cloud Backup for VPC	File Storage for VPC	編集者、共有スナップショットオペレーター

7. 次へ をクリックします。

8. 役割を選択します。 適切な役割については表 2 を参照してください。

9. クリックレビュー選択内容を確認します。

10. 「許可」 をクリックします。

11. 「許可の管理」 ページに戻ったら、 「作成」 を再度クリックし、同じ手順に従って残りのサービスの許可をセットアップします。

エンタープライズで管理されるバックアップ用のクロスアカウント承認テンプレートの作成

承認テンプレート を使用すると、エンタープライズアカウントの管理者は、子アカウントに割り当てることができる承認ポリシーを作成し、子アカウントに個別にログインすることなく、割り当てられたアカウントで承認を実装できます。

1. IBM Cloud コンソールで 、[管理] > [アクセス（IAM）] > [エンタープライズ] > [テンプレート ] に移動します。
2. 「許可」 を選択し、「作成」 をクリックします。
3. 認証テンプレートの名前と説明を入力します。
4. エンタープライズ管理された承認ポリシーについて、子アカウントユーザーに対する目的を説明する説明を入力します。
5. 「作成」 をクリックします。

次に、以下のステップを完了し、認証ルールを構築する：

1. 認可に進み、認可ポリシーの詳細を指定する。

2. ソース・サービスが別のサービスへのアクセスを要求するアカウントを選択します。 Assigned account(s) を選択します。 認可テンプレートを後で子アカウントに割り当てる場合、アクセス元のアカウントは、アクセスされるリソースを保持する子アカウントと同じアカウントに入力されます。

3. 次に、ソース・サービスとリソースを選択する。

   1. リストから VPCインフラストラクチャサービスを選択します。 **「次へ」**をクリックします。
   2. クリックして範囲を選択します特定のリソース。
   3. 属性を選択をクリックします。
   4. リストから選択リソースタイプ。
   5. 次のフィールドで、IBM Cloud Backup for VPC を選択します。

4. ターゲット・サービスについて、リストから 「VPC インフラストラクチャー・サービス」 を選択します。

   1. クリックして範囲を選択します特定のリソース。
   2. 属性を選択をクリックします。
   3. リストから選択リソースタイプ。 以下の表からいずれかのサービスをお選びください。 すべての許可を作成する必要があります。

   エンタープライズ向けサービス間認証

   ソース・サービス - リソース・タイプ	ターゲット・サービス - リソース・タイプ	従属サービス・ユーザー役割
   IBM Cloud Backup for VPC	Block Storage for VPC	オペレーター
   IBM Cloud Backup for VPC	Block Storage Snapshots for VPC	エディター
   IBM Cloud Backup for VPC	VPC のマルチボリューム・スナップショット	エディター
   IBM Cloud Backup for VPC	Virtual Server for VPC	オペレーター
   IBM Cloud Backup for VPC	IBM Cloud Backup for VPC	エディター
   IBM Cloud Backup for VPC	File Storage for VPC	編集者、共有スナップショットオペレーター

5. 次へ をクリックします。

6. 役割を選択します。 適切な役割については表を参照のこと。

7. クリックレビュー選択内容を確認します。 続いて、**「保存」**をクリックします。

8. これでテンプレートをコミットし、子アカウントに割り当てる準備ができました。 ステップを繰り返して、すべてのサービスの承認テンプレートを作成する。

アカウント・レベルでのボリューム・バックアップの権限作成

アカウントで Backup for VPC を使用して、ブロック・ストレージ・ボリュームのポリシー、計画、およびバックアップ・ジョブを作成するには、以下のサービス間許可を作成します。

• オペレーター 役割を持つ backup-policy (ソース) から instance (ターゲット) へ
• オペレーター 役割を持つ backup-policy (ソース) から volume (ターゲット) へ
• 「エディター」 役割を持つ backup-policy (ソース) から snapshot (ターゲット) へ
• 「エディター」 役割を持つ backup-policy (ソース) から snapshot-consistency-group (ターゲット) へ

1. 許可ポリシーに関する以下の情報を含む 4 つの JSON ファイルを作成します。
   • インスタンス・サービス:

     {
       "type": "authorization",
       "subject": {
           {"attributes": [
                {"name": "accountId", "value": "ACCOUNT_ID"},
                {"name": "serviceName", "value": "is"},
                {"name": "resourceType", "value": "backup-policy"}]}},
       "roles": [
           {"role_id": "crn:v1:bluemix:public:iam::::role:Operator"}],
       "resources": [
           {"attributes": [
                {"name": "accountId", "value": "ACCOUNT_ID"},
                {"name": "serviceName", "operator": "stringEquals", "value": "is"},
                {"name": "instanceId", "operator": "stringEquals", "value": "*"}]}]
       }
     

   • Block Storage ボリュームサービス：

     {
       "type": "authorization",
       "subject": {
           {"attributes": [
                {"name": "accountId", "value": "ACCOUNT_ID"},
                {"name": "serviceName", "value": "is"},
                {"name": "resourceType", "value": "backup-policy"}]}},
       "roles": [
           {"role_id": "crn:v1:bluemix:public:iam::::role:Operator"}],
       "resources": [
           {"attributes": [
                {"name": "accountId", "value": "ACCOUNT_ID"},
                {"name": "serviceName", "operator": "stringEquals", "value": "is"},
                {"name": "volumeId", "operator": "stringEquals", "value": "*"}]}]
     }
     

   • Block Storage スナップショットサービス：

     {
       "type": "authorization",
       "subject": {
           {"attributes": [
                {"name": "accountId", "value": "ACCOUNT_ID"},
                {"name": "serviceName", "value": "is"},
                {"name": "resourceType", "value": "backup-policy"}]}},
       "roles": [
           {"role_id": "crn:v1:bluemix:public:iam::::role:Editor"}],
       "resources": [
           {"attributes": [
                {"name": "accountId", "value": "ACCOUNT_ID"},
                {"name": "serviceName", "operator": "stringEquals", "value": "is"},
                {"name": "snapshotId", "operator": "stringEquals", "value": "*"}]}]
     }
     

   • スナップショット整合性グループ:

     {
      "type": "authorization",
      "subject": {
          {"attributes": [
               {"name": "accountId", "value": "ACCOUNT_ID"},
               {"name": "serviceName", "value": "is"},
               {"name": "resourceType", "value": "backup-policy"}]}},
      "roles": [
          {"role_id": "crn:v1:bluemix:public:iam::::role:Editor"}],
      "resources": [
          {"attributes": [
               {"name": "accountId", "value": "ACCOUNT_ID"},
               {"name": "serviceName", "operator": "stringEquals", "value": "is"},
               {"name": "snapshotConsistencyGroupId", "operator": "stringEquals", "value": "*"}]}]
     }
     

2. 次に、JSON ファイルを使用して以下の CLI コマンドを実行します。

   ibmcloud iam authorization-policy-create --file ~/Documents/policy.json
   

このコマンドで利用可能なすべてのパラメーターについて詳しくは、ibmcloud iam authorization-policy-create を参照してください。

エンタープライズで管理されるバックアップ用のクロスアカウント承認テンプレートの作成

エンタープライズアカウントの管理者は、子アカウントに 認可ポリシーテンプレートの作成と割り当て 、権限を一元管理することができます。 Enterpriseのすべての子アカウントのバックアップポリシーを有効にするために使用できる承認ポリシーテンプレートを作成するには、次の手順を実行します。

1. エンタープライズ・ルート・アカウントIDを取得するには、以下のコマンドを実行する。

ibmcloud enterprise show

1. 認可ポリシーテンプレートの定義を提供するJSONファイルを作成する。 JSON ファイルで使用できる属性の詳細については、 IAM Policy Management API を参照してください。

• インスタンス・サービス:

  {
   "name": "Centralized authorization for Backup service to work with Instances",
   "description": "Grant Operator Role for the Backup service to work with Instances",
   "account_id": "ENTERPRISE_ROOT_ACCOUNT_ID",
   "policy":{
     "type": "authorization",
     "description": "Grant Operator on VPC Instances",
     "control":{
         "grant":{
           "roles":[
             {"role_id": "crn:v1:bluemix:public:iam::::role:Operator"}]
           }},
     "subject":{
         "attributes":[
             {"key": "serviceName", "operator": "stringEquals", "value": "is"},
             {"key": "resourceType", "operator": "stringEquals", "value": "backup-policy"}
           ]},
     "resource":{
         "attributes":[
             {"key": "serviceName", "operator": "stringEquals", "value": "is"},
             {"key": "instanceId", "operator": "stringExists", "value": true}
           ]}}
  }
  

  • Block Storage ボリュームサービス：

    {
         "name": "Centralized authorization for Backup service to work with Block Storage service",
         "description": "Grant Operator Role for the Backup service to work with Block Storage volumes",
         "account_id": "ENTERPRISE_ROOT_ACCOUNT_ID",
         "policy":{
           "type": "authorization",
           "description": "Grant Operator on Block Storage for VPC volumes",
           "control": {
               "grant": {
                 "roles": [
                   {"role_id": "crn:v1:bluemix:public:iam::::role:Operator"}]
               }},
           "subject": {
             "attributes": [
               {"key": "serviceName", "value": "is"},
               {"key": "resourceType", "value": "backup-policy"}
               ]},
           "resource": {
             "attributes": [
                {"key": "serviceName", "operator": "stringEquals", "value": "is"},
                {"key": "volumeId", "operator": "stringExists", "value": "true"}
               ]}}
    }
    

  • Block Storage スナップショットサービス：

    {
         "name": "Centralized authorization for Backup service to work with Block Storage snapshots",
         "description": "Grant Editor Role for the Backup service to work with Block Storage snapshots",
         "account_id": "ENTERPRISE_ROOT_ACCOUNT_ID",
         "policy": {
           "type": "authorization",
           "description": "Grant Editor on Block Storage for VPC snapshots",
           "control": {
               "grant": {
                 "roles": [
                   {"role_id": "crn:v1:bluemix:public:iam::::role:Editor"}]
               }},
           "subject": {
             "attributes": [
               {"key": "serviceName", "value": "is"},
               {"key": "resourceType", "value": "backup-policy"}
               ]},
           "resource": {
             "attributes": [
               {"key": "serviceName", "operator": "stringEquals", "value": "is"},
               {"key": "snapshotId", "operator": "stringExists", "value": "true"}
               ]}}
    }
    

  • スナップショット整合性グループ:

   {
        "name": "Centralized authorization for Backup service to work with snapshot consistency groups",
        "description": "Grant Editor Role for the Backup service to work with snapshot consistency groups",
        "account_id": "ENTERPRISE_ROOT_ACCOUNT_ID",
        "policy": {
          "type": "authorization",
          "description": "Grant Editor on snapshot consistency groups",
          "control": {
              "grant": {
                "roles": [
                  {"role_id": "crn:v1:bluemix:public:iam::::role:Editor"}]
              }},
          "subject": {
            "attributes": [
              {"key": "serviceName", "value": "is"},
              {"key": "resourceType", "value": "backup-policy"}
              ]},
          "resource": {
            "attributes": [
              {"key": "serviceName", "operator": "stringEquals", "value": "is"},
              {"key": "snapshotConsistencyGroupId", "operator": "stringExists", "value": "true"}
              ]}}
   }
  

  • ファイル共有：

    {
         "name": "Centralized authorization for Backup service to work with File shares",
         "description": "Grant Editor Role for the Backup service to work with File shares",
         "account_id": "ENTERPRISE_ROOT_ACCOUNT_ID",
         "policy": {
           "type": "authorization",
           "description": "Grant Editor, and Share Snapshot Operator roles on File shares",
           "control": {
               "grant": {
                 "roles": [
                   {"role_id": "crn:v1:bluemix:public:iam::::role:Editor"},{"role_id": "crn:v1:bluemix:public:iam::::role:ShareSnapshotOperator"}]
           },
           "subject": {
             "attributes": [
               {"key": "serviceName", "value": "is"},
               {"key": "resourceType", "value": "backup-policy"}]
           },
           "resource": {
             "attributes": [
               {"key": "serviceName", "operator": "stringEquals", "value": "is"},
               {"key": "shareId", "operator": "stringExists", "value": "true"}]
           }
         }
    }
  

1. 以下のサンプル・リクエストに示すように、JSONファイルを指定して authorization-policy-template-create コマンドを実行する：

   ibmcloud iam authorization-policy-template-create --file /path/to/vpc-share-authorization-template.json
   

2. これをすべてのJSONファイルについて繰り返す。 完了したら、テンプレートをコミットして子アカウントに割り当てる準備ができます。

3. 以下のコマンドを実行して、テンプレートのバージョンをコミットし、テンプレートをターゲットアカウントに割り当てます。

   ibmcloud iam authorization-policy-template-version-commit (TEMPLATE_ID | TEMPLATE_NAME) TEMPLATE_VERSION [-q, --quiet]
   

   ibmcloud iam authorization-policy-assignment-create (TEMPLATE_ID | TEMPLATE_NAME) TEMPLATE_VERSION --target-type TYPE --target TARGET [-q, --quiet] [-o, --output FORMAT]
   

このコマンドで使用できるすべてのパラメータの詳細については 、ibmcloud iam authorization-policy-template-create を参照してください。

アカウント・レベルでのボリューム・バックアップの権限作成

アカウントで Backup for VPC を使用して、ブロック・ストレージ・ボリュームのポリシー、計画、およびバックアップ・ジョブを作成するには、以下のサービス間許可を作成します。

• operator 役割を持つ is.backup-policy (ソース) から is.instance (ターゲット)。
• operator 役割を持つ is.backup-policy (ソース) から is.volume (ターゲット)。
• editor 役割を持つ is.backup-policy (ソース) から is.snapshot (ターゲット) へ。
• is.backup-policy (ソース) to is.snapshot-consistency-group with editor 役割

以下の例のように、 IAM ポリシー管理 API に対して要求を行います。

curl -X POST 'https://iam.cloud.ibm.com/v1/policies'
-H 'Authorization: Bearer $TOKEN'
-H 'Content-Type: application/json'
-d '{
   "type": "access",
   "description": "Operator role for the Backup service to the Virtual Server service",
   "subjects": [
    {"attributes": [
       {"name": "serviceName", "value": "is"},
       {"name": "accountId", "value": "$ACCOUNT_ID"},
       {"name": "resourceType", "value": "backup-policy"}]
    }
   ],
  "roles":[
    {"role_id": "crn:v1:bluemix:public:iam::::role:Operator"}
   ],
   "resources":[
    {"attributes":[
      {"name": "accountId", "value": "$ACCOUNT_ID"},
      {"name": "serviceName", "operator": "stringEquals", "value": "is"},
      {"name": "instanceId", "operator": "stringEquals", "value": "*"}]
    }
  ]
}'

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' \
-H 'Authorization: Bearer $TOKEN' \
-H 'Content-Type: application/json' \
-d '{
   "type": "access",
   "description": "Operator role for the Backup service to the Cloud Block Storage",
   "subjects":[
    {"attributes":[
      {"name": "serviceName", "value": "is"},
      {"name": "accountId", "value": "$ACCOUNT_ID"},
      {"name": "resourceType", "value": "backup-policy"}]
    }],
   "roles":[
    {"role_id": "crn:v1:bluemix:public:iam::::role:Operator"}
    ],
   "resources":[
    {"attributes": [
      {"name": "accountId", "value": "$ACCOUNT_ID"},
      {"name": "serviceName", "operator": "stringEquals", "value": "is.volume"},
      {"name": "volumeId", "operator": "stringEquals", "value": "*"}
     ]
    }
   ]
}'

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' \
-H 'Authorization: Bearer $TOKEN' \
-H 'Content-Type: application/json' \
-d '{
   "type": "access",
   "description": "Editor role for the Backup service to Block Storage Snapshots",
   "subjects": [
    {"attributes": [
      {"name": "serviceName", "value": "is"},
      {"name": "accountId", "value": "$ACCOUNT_ID"},
      {"name": "resourceType", "value": "backup-policy"}]
    }
   ],
   "roles":[
    {"role_id": "crn:v1:bluemix:public:iam::::role:Editor"}
   ],
   "resources":[
    {"attributes": [
      {"name": "accountId", "value": "$ACCOUNT_ID"},
      {"name": "serviceName", "operator": "stringEquals", "value": "is"},
      {"name": "snapshotId", "operator": "stringEquals", "value": "*"}]
    }
   ]
}'

curl -X POST 'https://iam.cloud.ibm.com/v1/policies' \
-H 'Authorization: Bearer $TOKEN' \
-H 'Content-Type: application/json' \
-d '{
   "type": "access",
   "description": "Editor role for the Backup service to the Snapshot consistency groups",
   "subjects": [
    {"attributes": [
       {"name": "serviceName", "value": "is"},
       {"name": "accountId", "value": "$ACCOUNT_ID"},
       {"name": "resourceType", "value": "backup-policy"}]
    }
   ],
  "roles":[
    {"role_id": "crn:v1:bluemix:public:iam::::role:Editor"}
   ],
   "resources":[
    {"attributes":[
      {"name": "accountId", "value": "$ACCOUNT_ID"},
      {"name": "serviceName", "operator": "stringEquals", "value": "is"},
      {"name": "snapshotConsistencyGroupId", "operator": "stringEquals", "value": "*"}]
    }
  ]
}'

詳しくは、 IAM ポリシー管理 の API 仕様を参照してください。

子アカウントからエンタープライズが管理するボリュームバックアップのためのクロスアカウント認証の作成

エンタープライズ管理者がバックアップを一元的に管理できるようにするには、サブアカウントが、エンタープライズ・アカウントのバックアップ・サービスが子アカウントのリソースと対話するための許可を提供する必要があります。

1. Enterprise Management API に対して API 要求を行い、親エンタープライズ・アカウントのアカウント ID を取得します。

   curl -X GET "https://enterprise.cloud.ibm.com/v1/enterprises"
   -H "Authorization: Bearer <IAM_Token>"
   -H 'Content-Type: application/json'
   

2. 次に、 IAM Policy Management API に対して、エンタープライズ・アカウントの is.backup-policy が子アカウントの is.backup、 is.snapshot、 is.volume、 is.snapshot-consistency-group、および is.instance サービスと対話するためのサービス間許可を作成するように要求します。

   • editor 役割を使用して、 is.backup-policy (ソース) が is.backup-policy (ターゲット) と対話することを許可します。

   curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H
   'Authorization: Bearer $TOKEN' -H
   'Content-Type: application/json' -d
   '{
     "type": "access",
     "description": "Editor role for the Enterprise account's backup service to interact with this account's backup service.",
     "subjects": [
       {"attributes": [
          {"name": "serviceName", "value": "is"},
          {"name": "accountId", "value": "$ENTERPRISE_ACCOUNT_ID"},
          {"name": "resourceType", "value": "backup-policy"}]
        }
      ],
     "roles":[
       {"role_id": "crn:v1:bluemix:public:iam::::role:Editor"}
     ],
     "resources":[
       {"attributes":[
          {"name": "accountId", "value": "$SUB_ACCOUNT_ID", "operator": "stringEquals"},
          {"name": "serviceName", "operator": "stringEquals", "value": "is"},
          {"name": "backupPolicyId", "operator": "stringEquals", "value": "*"}]
       }
      ]
     }'
   

   • is.backup-policy (ソース) が オペレーター 役割で is.volume (ターゲット) と対話することを許可します。

   curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H
   'Authorization: Bearer $TOKEN' -H
   'Content-Type: application/json' -d
   '{
     "type": "access",
     "description": "Operator role for the Enterprise account's backup service to interact with this account's volume service",
     "subjects": [
       {
        "attributes": [
          {"name": "serviceName", "value": "is"},
          {"name": "accountId", "value": "$ENTERPRISE_ACCOUNT_ID"},
          {"name": "resourceType", "value": "backup-policy"}]
        }
      ],
     "roles":[
       {"role_id" "crn:v1:bluemix:public:iam::::role:Operator"}
      ],
     "resources":[
       {"attributes": [
          {"name": "accountId", "value": "$SUB_ACCOUNT_ID"},
          {"name": "serviceName", "operator": "stringEquals", "value": "is.volume"},
          {"name": "volumeId", "operator": "stringEquals", "value": "*"}]
       }
      ]
   }'
   

   • editor 役割を使用して、 is.backup-policy (ソース) が is.snapshot (ターゲット) と対話することを許可します。

   curl -X POST 'https://iam.test.cloud.ibm.com/v1/policies' -H
   'Authorization: Bearer $TOKEN' -H
   'Content-Type: application/json' -d
    '{
      "type": "access",
      "description": "Editor role for the Enterprise account's backup service to interact with this account's snapshots",
      "subjects":[
       {
        "attributes":[
          {"name": "serviceName", "value": "is"},
          {"name": "accountId", "value": "$ENTERPRISE_ACCOUNT_ID"},
          {"name": "resourceType", "value": "backup-policy"}]
        }
       ],
      "roles":[
         {"role_id": "crn:v1:bluemix:public:iam::::role:Editor"}
       ],
      "resources":[
         {"attributes": [
          {"name": "accountId", "value": "$SUB_ACCOUNT_ID"},
          {"name": "serviceName", "operator": "stringEquals", "value": "is"},
          {"name": "snapshotId", "operator": "stringEquals", "value": "*"}]
       }
      ]
    }'
   

   • is.backup-policy (ソース) が オペレーター 役割で is.instance (ターゲット) と対話することを許可します。

   curl -X POST 'https://iam.cloud.ibm.com/v1/policies' -H
   'Authorization: Bearer $TOKEN' -H
   'Content-Type: application/json' -d
   '{
     "type": "access",
     "description": "Operator role for the Enterprise account's backup service to interact with this account's virtual server instance service",
     "subjects": [
       {"attributes": [
          {"name": "serviceName", "value": "is"},
          {"name": "accountId", "value": "$ENTERPRISE_ACCOUNT_ID"},
          {"name": "resourceType", "value": "backup-policy"}]
        }
      ],
     "roles":[
       {"role_id" "crn:v1:bluemix:public:iam::::role:Operator"}
      ],
     "resources":[
       {"attributes": [
          {"name": "accountId", "value": "$SUB_ACCOUNT_ID"},
          {"name": "serviceName", "operator": "stringEquals", "value": "is.volume"},
          {"name": "instanceId", "operator": "stringEquals", "value": "*"}]
       }
      ]
   }'
   

詳しくは、 IAM ポリシー管理 の API 仕様を参照してください。

エンタープライズで管理されるバックアップ用のクロスアカウント承認テンプレートの作成

エンタープライズアカウントの管理者は、子アカウントにプログラムで 認可ポリシーテンプレートの作成と割り当て 、権限を一元管理することができます。 Enterpriseのすべての子アカウントのバックアップポリシーを有効にするために使用できる承認ポリシーテンプレートを作成するには、次の手順を実行します。

1. Enterprise Management API に対して API 要求を行い、親エンタープライズ・アカウントのアカウント ID を取得します。

   curl -X GET `https://enterprise.cloud.ibm.com/v1/enterprises`
   -H "Authorization: Bearer <IAM_Token>"
   -H 'Content-Type: application/json'
   

2. 次に、 IAM Policy Management API にリクエストして、Enterprise アカウントの is.backup-policy が、割り当てられた子アカウントの is.backup 、 is.snapshot 、 is.volume 、 is.snapshot-consistency-group 、および is.instance サービスと対話するためのサービス間権限を作成します。

   • editor 役割を使用して、 is.backup-policy (ソース) が is.backup-policy (ターゲット) と対話することを許可します。

   curl -X POST 'https://iam.cloud.ibm.com/v1/policy_templates'
   -H 'Authorization: Bearer $TOKEN'
   -H 'Content-Type: application/json'
   -d '{
      "name": "Centralized authorization for Backup service to work with Instances",
      "description": "Grant Operator Role for the Backup service to work with Instances",
      "account_id": "ENTERPRISE_ROOT_ACCOUNT_ID",
      "policy":{
        "type": "authorization",
        "description": "Grant Operator on VPC Instances",
        "control":{
            "grant":{
              "roles":[
                {"role_id": "crn:v1:bluemix:public:iam::::role:Operator"}]
              }},
        "subject":{
            "attributes":[
                {"key": "serviceName", "operator": "stringEquals", "value": "is"},
                {"key": "resourceType", "operator": "stringEquals", "value": "backup-policy"}
              ]},
        "resource":{
            "attributes":[
                {"key": "serviceName", "operator": "stringEquals", "value": "is"},
                {"key": "instanceId", "operator": "stringExists", "value": true}
              ]}}
     }
   

   • is.backup-policy (ソース) が オペレーター 役割で is.volume (ターゲット) と対話することを許可します。

   curl -X POST 'https://iam.cloud.ibm.com/v1/policy_templates'
   -H 'Authorization: Bearer $TOKEN'
   -H 'Content-Type: application/json'
   -d '{
          "name": "Centralized authorization for Backup service to work with Block Storage service",
          "description": "Grant Operator Role for the Backup service to work with Block Storage volumes",
          "account_id": "ENTERPRISE_ROOT_ACCOUNT_ID",
          "policy":{
            "type": "authorization",
            "description": "Grant Operator on Block Storage for VPC volumes",
            "control": {
                "grant": {
                  "roles": [
                    {"role_id": "crn:v1:bluemix:public:iam::::role:Operator"}]
                }},
            "subject": {
              "attributes": [
                {"key": "serviceName", "value": "is"},
                {"key": "resourceType", "value": "backup-policy"}
                ]},
            "resource": {
              "attributes": [
                 {"key": "serviceName", "operator": "stringEquals", "value": "is"},
                 {"key": "volumeId", "operator": "stringExists", "value": "true"}
                ]}}
     }'
   

   • editor 役割を使用して、 is.backup-policy (ソース) が is.snapshot (ターゲット) と対話することを許可します。

   curl -X POST 'https://iam.cloud.ibm.com/v1/policy_templates'
   -H 'Authorization: Bearer $TOKEN'
   -H 'Content-Type: application/json'
   -d '{
          "name": "Centralized authorization for Backup service to work with Block Storage snapshots",
          "description": "Grant Editor Role for the Backup service to work with Block Storage snapshots",
          "account_id": "ENTERPRISE_ROOT_ACCOUNT_ID",
          "policy": {
            "type": "authorization",
            "description": "Grant Editor on Block Storage for VPC snapshots",
            "control": {
                "grant": {
                  "roles": [
                    {"role_id": "crn:v1:bluemix:public:iam::::role:Editor"}]
                }},
            "subject": {
              "attributes": [
                {"key": "serviceName", "value": "is"},
                {"key": "resourceType", "value": "backup-policy"}
                ]},
            "resource": {
              "attributes": [
                {"key": "serviceName", "operator": "stringEquals", "value": "is"},
                {"key": "snapshotId", "operator": "stringExists", "value": "true"}
                ]}}
     }'
   

   • is.backup-policy (ソース) が オペレーター 役割で is.instance (ターゲット) と対話することを許可します。

   curl -X POST 'https://iam.cloud.ibm.com/v1/policy_templates'
   -H 'Authorization: Bearer $TOKEN'
   -H 'Content-Type: application/json'
   -d '{
      "name": "Centralized authorization for Backup service to work with Instances",
      "description": "Grant Operator Role for the Backup service to work with Instances",
      "account_id": "ENTERPRISE_ROOT_ACCOUNT_ID",
      "policy":{
        "type": "authorization",
        "description": "Grant Operator on VPC Instances",
        "control":{
            "grant":{
              "roles":[
                {"role_id": "crn:v1:bluemix:public:iam::::role:Operator"}]
              }},
        "subject":{
            "attributes":[
                {"key": "serviceName", "operator": "stringEquals", "value": "is"},
                {"key": "resourceType", "operator": "stringEquals", "value": "backup-policy"}
              ]},
        "resource":{
            "attributes":[
                {"key": "serviceName", "operator": "stringEquals", "value": "is"},
                {"key": "instanceId", "operator": "stringExists", "value": true}
              ]}}
     }`
   

   • editor 役割を使用して、 is.backup-policy (ソース) が is.snapshotConsistencyGroup (ターゲット) と対話することを許可します。

   curl -X POST 'https://iam.cloud.ibm.com/v1/policy_templates'
   -H 'Authorization: Bearer $TOKEN'
   -H 'Content-Type: application/json'
   -d '{
          "name": "Centralized authorization for Backup service to work with snapshot consistency groups",
          "description": "Grant Editor Role for the Backup service to work with snapshot consistency groups",
          "account_id": "ENTERPRISE_ROOT_ACCOUNT_ID",
          "policy": {
            "type": "authorization",
            "description": "Grant Editor on snapshot consistency groups",
            "control": {
                "grant": {
                  "roles": [
                    {"role_id": "crn:v1:bluemix:public:iam::::role:Editor"}]
                }},
            "subject": {
              "attributes": [
                {"key": "serviceName", "value": "is"},
                {"key": "resourceType", "value": "backup-policy"}
                ]},
            "resource": {
              "attributes": [
                {"key": "serviceName", "operator": "stringEquals", "value": "is"},
                {"key": "snapshotConsistencyGroupId", "operator": "stringExists", "value": "true"}
                ]}}
     }`
   

   • 承認 is.backup-policy （出典）と交流する is.share (ターゲット) に_エディター_ および_共有スナップショット オペレーターの_役割を割り当てます。

   curl -X POST 'https://iam.cloud.ibm.com/v1/policy_templates'
   -H 'Authorization: Bearer $TOKEN'
   -H 'Content-Type: application/json'
   -d '{
          "name": "Centralized authorization for Backup service to work with File shares",
          "description": "Grant Editor Role for the Backup service to work with File shares",
          "account_id": "ENTERPRISE_ROOT_ACCOUNT_ID",
          "policy": {
            "type": "authorization",
            "description": "Grant Editor, and Share Snapshot Operator roles on File shares",
            "control": {
                "grant": {
                  "roles": [
                    {"role_id": "crn:v1:bluemix:public:iam::::role:Editor"},
                    {"role_id": "crn:v1:bluemix:public:iam::::role:ShareSnapshotOperator"}]}
            },
            "subject": {
              "attributes": [
                {"key": "serviceName", "value": "is"},
                {"key": "resourceType", "value": "backup-policy"}]
            },
            "resource": {
              "attributes": [
                {"key": "serviceName", "operator": "stringEquals", "value": "is"},
                {"key": "shareId", "operator": "stringExists", "value": "true"}]
            }
          }
     }'
   

3. 権限テンプレートを作成したら、それを コミットし てアカウントに 割り当てる 必要があります。

詳しくは、 IAM ポリシー管理 の API 仕様を参照してください。

アカウント・レベルでのボリューム・バックアップの権限作成

main.tf ファイル内の ibm_iam_authorization_policy リソース引数を使用して、サービス間の許可ポリシーを作成します。

resource "ibm_iam_authorization_policy" "policy1" {
  subject_attributes {
    name  = "accountId"
    value = data.ibm_iam_account_settings.iam.account_id
  }
  subject_attributes {
    name  = "serviceName"
    value = "is"
  }
  subject_attributes {
    name  = "resourceType"
    value = "backup-policy"
  }
  resource_attributes {
    name  = "accountId"
    operator = "stringEquals"
    value = data.ibm_iam_account_settings.iam.account_id
  }
  resource_attributes {
    name  = "serviceName"
    operator = "stringEquals"
    value = "is"
  }
  resource_attributes {
    name  = "volumeId"
    operator = "stringExists"
    value = "true"
  }
  roles   = ["Operator"]
}

resource "ibm_iam_authorization_policy" "policy2" {
  subject_attributes {
    name  = "accountId"
    value = data.ibm_iam_account_settings.iam.account_id
  }
  subject_attributes {
    name  = "serviceName"
    value = "is"
  }
  subject_attributes {
    name  = "resourceType"
    value = "backup-policy"
  }
  resource_attributes {
    name  = "accountId"
    operator = "stringEquals"
    value = data.ibm_iam_account_settings.iam.account_id
  }
  resource_attributes {
    name  = "serviceName"
    operator = "stringEquals"
    value = "is"
  }
  resource_attributes {
    name  = "snapshotId"
    operator = "stringExists"
    value = "true"
  }
  roles   = ["Editor"]
}

resource "ibm_iam_authorization_policy" "policy3" {
  subject_attributes {
    name  = "accountId"
    value = data.ibm_iam_account_settings.iam.account_id
  }
  subject_attributes {
    name  = "serviceName"
    value = "is"
  }
  subject_attributes {
    name  = "resourceType"
    value = "backup-policy"
  }
  resource_attributes {
    name  = "accountId"
    operator = "stringEquals"
    value = data.ibm_iam_account_settings.iam.account_id
  }
  resource_attributes {
    name  = "serviceName"
    operator = "stringEquals"
    value = "is"
  }
  resource_attributes {
    name  = "snapshotConsistencyGroupId"
    operator = "stringExists"
    value = "true"
  }
  roles   = ["Editor"]
}

resource "ibm_iam_authorization_policy" "policy4" {
  subject_attributes {
    name  = "accountId"
    value = data.ibm_iam_account_settings.iam.account_id
  }
  subject_attributes {
    name  = "serviceName"
    value = "is"
  }
  subject_attributes {
    name  = "resourceType"
    value = "backup-policy"
  }
  resource_attributes {
    name  = "accountId"
    operator = "stringEquals"
    value = data.ibm_iam_account_settings.iam.account_id
  }
  resource_attributes {
    name  = "serviceName"
    operator = "stringEquals"
    value = "is"
  }
  resource_attributes {
    name  = "instanceId"
    operator = "stringExists"
    value = "true"
  }
  roles   = ["Operator"]
}

引数および属性について詳しくは、 許可リソースに関する Terraform の資料を参照してください。

ファイル共有バックアップの権限を作成する

main.tf ファイル内の ibm_iam_authorization_policy リソース引数を使用して、サービス間の許可ポリシーを作成します。

resource "ibm_iam_authorization_policy" "policy1" {
   source_service_name  = "is"
   source_resource_type = "backup-policy"
   target_service_name  = "is"
   target_resource_type = "share"
   roles                = ["ShareSnapshotOperator,Editor"]
}

引数および属性について詳しくは、 許可リソースに関する Terraform の資料を参照してください。