콘솔에서 리더 및 작성자 액세스 권한 부여하기

IBM Cloud Object Storage 서비스 인스턴스에서 이미지를 가져오고 IBM Cloud Object Storage 서비스 인스턴스로 이미지를 내보내기 위해 VPC용 이미지 서비스에 대한 권한을 작성하려면 다음 단계를 완료하십시오.

1. IBM Cloud 콘솔 메뉴 표시줄에서 관리 > 액세스 (IAM) 를 클릭하고 권한 부여를 선택하십시오.

2. '권한 관리' 페이지에서 '생성'을 클릭합니다.

3. 소스 계정을 선택하십시오. 기본적으로 이 계정이 선택되어 있습니다. 다음을 클릭하십시오.

4. 인증에 사용할 소스 서비스를 선택하십시오. 소스 서비스로 VPC 인프라 서비스를 지정하십시오. 다음을 클릭하십시오.

5. 리소스에서 액세스 범위를 지정할 방법을 선택합니다.

   1. 특정 리소스를 선택합니다.
   2. 특정 리소스의 경우 리소스 유형 및 VPC용 이미지 서비스를 선택합니다.
   3. 다음 을 클릭하십시오.

6. Target 서비스의 경우 다음을 선택하십시오 Cloud Object Storage 를 선택하십시오. 다음을 클릭하십시오.

7. 리소스의 경우 액세스 범위를 지정할 방법을 지정합니다. 기본 선택 사항인 모든 리소스를 사용할 수 있습니다. 다음을 클릭하십시오.

   IBM Cloud Object Storage 내에서 특정 리소스에 대한 액세스 범위를 지정하려는 경우 선택한 속성을 기반으로 리소스를 선택할 수 있습니다. 그런 다음 기본 설정에 따라 액세스 범위를 좁히도록 선택합니다.

8. 역할에서 서비스 액세스 역할인 리더와 작성자를 모두 선택합니다.

9. 검토를 클릭하여 선택한 내용이 올바른지 확인합니다.

10. 권한 부여를 클릭하십시오.

자세한 정보는 권한을 사용하여 서비스 간 액세스 부여를 참조하십시오.

CLI에서 모든 버킷에 대한 독자 및 작성자 액세스 권한 부여

Reader 및 Writer 모두에 IBM Cloud Object Storage의 모든 버킷에 대한 액세스 권한을 부여하려면 iam authorization-policy-create 명령을 실행하십시오. 다음 명령은 Object Storage 서비스 인스턴스의 모든 버킷에서 이미지를 가져오거나 Object Storage 서비스 인스턴스의 모든 버킷으로 이미지를 내보낼 수 있도록 VPC용 이미지 서비스에 권한을 부여합니다.

ibmcloud iam authorization-policy-create is cloud-object-storage Reader,Writer --source-resource-type image

자세한 정보는 ibmcloud iam authorization-policy-create의 내용을 참조하십시오.

CLI에서 특정 버킷에 대한 액세스 부여

IBM Cloud Object Storage의 특정 버킷에 권한을 부여하도록 선택할 수 있습니다. 다음 예는 Object Storage 에서 이미지를 가져오기 위해 특정 버킷에 Reader 액세스 권한을 부여하는 방법을 설명합니다. Object Storage 으로 이미지를 내보내려면 Writer 액세스 권한도 부여해야 합니다.

명령을 실행하기 전에, ‘ Object Storage ’ 서비스 인스턴스의 GUID를 알아야 합니다.

1. ibmcloud resource service-instance 명령을 사용하여 GUID를 확보하십시오. 다음 예를 참조하십시오.

   $ ibmcloud resource service-instance cos-fs-cloud-us-south
   Retrieving service instance cos-fs-cloud-us-south in all resource groups under account Test Account as test.user@ibm.com...
   OK
   
   Name:                  cos-fs-cloud-us-south
   ID:                    crn:v1:bluemix:public:cloud-object-storage:global:a/a1234567:0e4a33e6-973e-42b6-bea4-ce1b3aebe163::
   GUID:                  0e4a33e6-973e-42b6-bea4-ce1b3aebe163
   Location:              global
   Service Name:          cloud-object-storage
   Service Plan Name:     standard
   Resource Group Name:   defaults
   State:                 active
   Type:                  service_instance
   Sub Type:
   Locked:                false
   Created at:            2021-07-27T14:40:45Z
   Created by:            IBMid-12345678
   Updated at:            2021-07-27T14:40:47Z
   Last Operation:
                          Status    create succeeded
                          Message   Completed create instance operation
   

2. 다음 명령을 실행하고, $COS_INSTANCE_GUID 을 GUID 값으로 대체하십시오.

   ibmcloud iam authorization-policy-create is cloud-object-storage Reader --source-resource-type image --target-service-instance-id $COS_INSTANCE_GUID
   

   성공적인 응답은 다음 예와 같습니다.

   $ ibmcloud iam authorization-policy-create is cloud-object-storage Reader --source-resource-type image --target-service-instance-id 0e4a33e6-973e-42b6-bea4-ce1b3aebe163
   Creating authorization policy under account a1234567 as test.user@ibm.com...
   OK
   Authorization policy 0bbcb168-bf7b-4ebf-9684-769f1d7e80e7 was created.
   
   ID:                        0bbcb168-bf7b-4ebf-9684-769f1d7e80e7
   Source service name:       is
   Source service instance:   All instances
   Source resource type:      image
   Target service name:       cloud-object-storage
   Target service instance:   0e4a33e6-973e-42b6-bea4-ce1b3aebe163
   Roles:                     Reader
   

이 명령어에서 사용할 수 있는 모든 매개변수에 대한 자세한 내용은 ibmcloud iam authorization-policy-create.

API를 사용하여 액세스 권한 부여

대상 서비스에 대한 소스 서비스 액세스의 권한을 부여하려면 IAM 정책 관리 API를 사용하십시오. type=authorization을 지정하여 정책 작성 메소드에 대한 다음 API 예를 참조하십시오. 가능한 모든 속성이 나열됩니다.

정책 작성 정책에 대한 지원되는 속성은 각 서비스에서 지원하는 항목에 따라 달라집니다. 각 서비스에 대해 지원되는 속성에 대한 자세한 정보는 사용 중인 서비스에 대한 문서를 참조하십시오.

예에서는 IBM Cloud Object Storage에 액세스하기 위한 Image Service for VPC의 권한 부여 정책을 보여줍니다.

curl --location --request POST 'https://iam.cloud.ibm.com/v1/policies' \
--header 'Content-Type: application/json' \
--header 'Authorization: Bearer <iam token>' \
--data-raw '{
    "type": "authorization",
    "subjects": [
        {
            "attributes": [
                {
                    "name": "accountId",
                    "value": "$ACCOUNT_ID"
                },
                {
                    "name": "serviceName",
                    "value": "is"
                },
                {
                    "name": "resourceType",
                    "value": "image"
                }
            ]
        }
    ],
    "roles": [
        {
            "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Reader"
        },
        {
            "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Writer"
        }
    ],
    "resources": [
        {
            "attributes": [
                {
                    "name": "accountId",
                    "value": "$ACCOUNT_ID"
                },
                {
                    "name": "serviceName",
                    "value": "cloud-object-storage"
                }
            ]
        }
    ]
}'

Terraform으로 액세스 권한 부여

IBM Cloud Object Storage 에 대한 서비스 간 권한 부여 정책을 생성하려면 main.tf 파일에 ibm_iam_authorization_policy 리소스 인수를 사용하십시오.

resource "ibm_iam_authorization_policy" "policy" {
  source_service_name  = "is"
  source_resource_type = "image"
  target_service_name  = "cloud-object-storage"
  roles                = ["Reader","Writer"]
  description          = "Authorization Policy"
}

인자와 속성에 대한 자세한 정보는 권한 부여 자원에 대한 Terraform 문서를 참조하십시오.