コンテキストベースの制限で Workload Protection リソースを保護する

コンテキストに基づく制限により、 アカウント所有者や管理者は、アクセス要求のコンテキストに基づいて、 IBM Cloud® リソースへのアクセス制限を定義し、適用することができます。 IBM Cloud® Security and Compliance Center Workload Protection リソースへのアクセスは、コンテキストベースの制限とアイデンティティおよびアクセス管理（IAM）ポリシーで制御できる。

これらの制限は、ID に基づく従来の IAM ポリシーと連携して、追加の保護レイヤーを提供します。 IAM ポリシーとは異なり、コンテキスト・ベースの制限はアクセス権限を割り当てません。 コンテキスト・ベースの制限は、アクセス要求が、構成された許可されるコンテキストからのものであるかどうかを検査します。 IAM アクセスとコンテキスト・ベースの制限の両方によってアクセスが強制されるので、資格情報が漏洩した場合や適切に管理されなかった場合でも、コンテキスト・ベースの制限によって保護が提供されます。 詳しくは、コンテキスト・ベースの制限とはを参照してください。

ルールの作成、更新、削除を行うには、 Workload Protection サービスで Administrator ロールを持つ必要があります。 また、ネットワーク・ゾーンを作成、更新、または削除するには、コンテキスト・ベースの制限サービスに対するエディターまたは管理者の役割も必要です。 コンテキスト・ベースの制限サービスに対するビューアー役割を持つユーザーは、ルールにのみネットワーク・ゾーンを追加できます。

生成される Workload Protection または監査ログイベントはすべて、 Workload Protection ではなく、コンテキストベースの制限サービスから来る。 詳しくは、 コンテキスト・ベースの制限のモニター を参照してください。

コンテキストベースの制限を使用して Workload Protection リソースの保護を開始するには、「 コンテキストベースの制限を活用してリソースを保護する 」のチュートリアルを参照してください。

IBM Cloud® Security and Compliance Center Workload Protection のコンテキストベースの制限の作成と管理を自動化するには、 Terraform IBM Modules の CBR モジュールを使用できます。 コンテキストベースの制限を使用すると、ネットワークの場所に基づいて、 Workload Protection インスタンスへのアクセスを制御するネットワークゾーンやルールを定義できます。