コンピュート・リソース ID のトラステッド・プロファイルについて

コンピュート・リソース・アイデンティティの信頼されたプロファイルは、仮想サーバー・インスタンスで実行されるすべてのアプリケーションに対して、きめ細かな認可を可能にする。 サービスIDを作成したり、アプリケーションのAPIキーのライフサイクルを管理する必要がなくなる。 その代わりに、コンピュート・リソースは信頼されたプロファイルの一部としてアイデンティティとなり、リソース属性に基づく条件によって信頼が確立される。

IAM ID をインスタンスに直接割り当てることで、仮想サーバーインスタンス上で実行中のアプリケーショ ンが、API キーを保存せずに他の IBM Cloud サービスに安全にアクセスできるようになります。

信頼済みプロファイルにアクセス権を割り当てて、インスタンスが IBM Cloud Object Storage や IBM® Key Protect などの IAM 対応サービスを呼び出せるようにすることができます。

インスタンスをプロビジョニングする際に、信頼済みプロファイルを関連付けることができます。 また、IAMインタフェースを使用することで、プロビジョニング後に信頼されたプロファイルをインスタンスにリンクしたり、インスタンスからリンク解除したりできます。 信頼済みプロファイルは、そのインスタンス上で実行されているすべてのアプリケーションに対する認証を定義します。

インスタンスのプロビジョニング時に指定した信頼済みプロファイルが、デフォルトの信頼済みプロファイルとなります。 インスタンスがプロビジョニングされた後にリンクされる信頼されたプロファイルは、より多くの権限を定義する可能性がありますが、インスタンスのデフォルトの信頼されたプロファイルを置き換えたり、インスタンスのデフォルトの信頼されたプロファイルになったりすることはできません。

信頼されたプロファイルは、インスタンスの作成時に明示的に、または 信頼されたプロファイルの動的ルールによって 暗黙的に、コンピュートインスタンスにリンクすることができます。

IBM Cloud® Identity and Access Management は、信頼できるプロファイル・リンケージの真実の情報源である。 信頼されたプロファイル情報は、インスタンス作成後に変更することはできません。 IAMで行われた信頼済みプロファイル関連の変更が反映されないため、情報が古くなる可能性がある。

インスタンスは、インスタンスにリンクされているすべての信頼されたプロファイルで定義されているアクセス権を継承します。 信頼されたプロファイルを指定しない ID 要求に対して、VPC はデフォルトの信頼されたプロファイルを使用する ID アクセストークンから IAM トークンを生成する。

これらのリクエストにインスタンスのデフォルトの信頼済みプロファイルを使用したくない場合は、リクエストで使用する信頼済みプロファイルを指定する必要があります。

開始前に

トラステッド・プロファイルを使用して IAM 対応サービスを呼び出すためのエンドツーエンド・プロシージャー

1. リンクされた信頼できるプロファイルを持つ インスタンスを作成し、 コンソールでメタデータ サービスへのアクセスを 有効にし、CLI からメタデータ サービスへのアクセスを有効にし、API を使用してメタデータ サービスへのアクセスを有効にします。

   • コンソールの Advanced optionsに Metadataサービスがある。 トグルをクリックするとアクセスできるようになります。 次に、「 信頼できるプロファイルを選択 」をクリックします。 サイドパネルで、リストから信頼できるプロファイルを選択します。 「 信頼できるプロファイルを選択 」をクリックします。 IAM インターフェースを通じて信頼済みプロファイルのリンクを管理したい場合は、 トグルをクリックして無効にできます。 詳細については、 仮想サーバー・インスタンスの作成を 参照してください。
   • CLIから ibmcloud is instance-create コマンドを使用し、 --default-trusted-profile YOUR_DEFAULT_TRUSTED_PROFILE、 --default-trusted-profile-auto-link true、 --metadata-service true オプションを指定します。 詳細については、 仮想サーバーインスタンスの作成を 参照してください。
   • VPC API を使用して、デフォルトの信頼済みプロファイルを指定し、 auto_link プロパティを true に設定して、信頼済みプロファイルをインスタンスに自動的にリンクします。 信頼済みプロファイルの ID または CRN を指定できます。 詳細はAPI VPCリファレンスを参照： インスタンスの作成 以下の例を参照してください。

     curl -X POST "$vpc_api_endpoint/v1/instances?version=2022-03-01&generation=2" -H "Authorization: Bearer $iam_token"
      -d '{
       "default_trusted_profile": {
          "auto_link": true,
          "target": {
             "crn": "crn:v1:bluemix:public:iam-identity::a/123456::profile:Profile-9fd84264-7de4-4627-94c4-8ecde51d5ac5
             }
          },
         .
         .
         .
       }'
     

2. インスタンスがすでにフローティングIPアドレスを持っている場合は、そのアドレスを使用してサーバーへのセキュアな接続を確立する。 フローティングIPアドレスがない場合は、割り当ててください。 詳細については、仮想サーバーインスタンスの作成トピックの 次の 手順を参照してください。

3. 仮想サーバーインスタンスからメタデータトークンサービスに API リクエストを行い、ID アクセストークンを取得します。 この例では、コマンドは、JSON 応答をフォーマットする jq パーサーを介して実行されます。 お好みであれば、別のパーサーを選択することもできます。

   curl -X PUT "$vpc_metadata_api_endpoint/identity/v1/token?version=2022-03-01" -H "Metadata-Flavor: ibm" -d '{"expires_in": 3600}'| jq -r '(.identity_token)'
   

   応答は、アクセス・トークン・ペイロードです。 詳細については、メタデータAPIリファレンスを参照してください： IDアクセストークンの作成

4. ID トークンを使用して IAM トークンを生成 します。

   ```sh {: pre}
   curl -X POST "$vpc_metadata_api_endpoint/identity/v1/iam_tokens?version=2025-06-10" -H "Authorization: Bearer $identity_token" -d '{"trusted_profile": {"id": "Profile-8dd84246-7df4-4667-94e4-8cede51d5ac5"}}'
   ```
   During the exchange a trusted profile against which the token is being requested must be provided to IAM service. If a trusted profile is not specified, the API uses the default trusted profile, which was linked during instance provisioning. If multiple trusted profiles are linked to an instance, you can choose not to use the default trusted profile, and specify a different trusted profile by ID or CRN.
   

5. IAM トークンを使用して、IAM 対応サービスを呼び出します。

次のステップ

インスタンス、SSH キー、およびプレースメントグループのデータについて、メタデータサービスにアクセスします。 インスタンスからメタデータを取得する を参照。