Workload Protection に対するアクセス権限の割り当て
Workload Protection へのアクセスは、 IBM Cloud® Identity and Access Management （IAM）によって管理されています。 アカウント内の Workload Protection サービスにアクセスするユーザーごとに、IAM 役割を持つアクセス・ポリシーを割り当てる必要があります。 このポリシーによって、Workload Protection のコンテキスト内でユーザーが実行できるアクションが決まります。
アカウントユーザーには、インスタンスを管理したり、 IBM Cloud から Workload Protection を起動したりするために、プラットフォームの役割を割り当てる必要があります。 さらに、ユーザーには、 Workload Protection を操作するための権限が定義されたサービスロールが割り当てられている必要があります。
一連のユーザーおよびサービス ID を 1 つのエンティティとしてまとめ、IAM 権限の管理を容易にするには、 アクセスグループを使用します。 個々のユーザーやサービス ID に同じアクセス権限を何度も割り当てるのではなく、グループに単一のポリシーを割り当てることができます。 詳細については、 「IAM アクセスの仕組み」 をご覧ください。
アクセス・グループを使用してアクセス権限の管理
アクセスグループを管理するには、 アカウントすべての「Identity and Access」対応サービスにおいて、 アカウント所有者、管理者、または編集者であるか、あるいはIAMアクセスグループサービスの割り当てられた管理者または編集者である必要があります。
IBM Cloud で IAM アクセス・グループを管理するには、以下のアクションを使用します。
- アクセス・グループを作成します。
- アクセス権をグループに割り当てます。
ユーザーにポリシーを直接割り当ててアクセス権を管理する
IAM ポリシーを使用して、アクセス権限の管理またはユーザーへの新規アクセス権限の割り当てを行うには、アカウント所有者であるか、アカウント内のすべてのサービスの管理者であるか、または、特定のサービスまたはサービス・インスタンスの管理者である必要があります。
IBM Cloud で IAM ポリシーを管理するには、以下のアクションを使用します。
- ユーザーに権限を付与するには、 リソースへのアクセス権限の割り当て を参照してください。
- 権限を取り消すには、アクセス権限の削除を参照してください。
- ユーザーの権限を確認するには、 割り当てられたアクセス権限の確認 を参照してください。
IBM Cloud プラットフォームの役割
アカウントの Workload Protection サービスの表示および管理をユーザーに許可するには、ユーザーにプラットフォーム役割を付与する必要があります。 IBM Cloud アカウントのすべてのインスタンスを使用する権限を付与することも、アクセス権限を個々のインスタンスに制限することもできます。
次の表は、 IBM Cloud で、指定されたプラットフォームアクションを実行するためにユーザーに付与できるプラットフォームの役割を示しています
| プラットフォーム・アクション | 管理者 | エディター | オペレーター | ビューアー |
|---|---|---|---|---|
Grant other account members access to work with the service |
 |
|||
Provision a service instance |
|
|
||
Delete a service instance |
|
|
||
Create a service ID |
|
|
||
View details of a service instance |
|
|
|
|
View service instances in the Observability Monitoring dashboard |
|
|
|
|
IBM Cloud サービス役割
以下の表で、特定のアクションを実行するために IBM Cloud のユーザーに付与できるサービス役割を確認してください。
| アクション | マネージャー | ライター | リーダー |
|---|---|---|---|
Manage access keys |
|
||
Manage Secure API Tokens |
|
||
Create, configure, and delete teams |
|
||
Configure and remove notifications channels |
|
||
Configure and remove agents |
|
||
Create, delete, and edit content in the UI |
|
|
|
Manage runtime policies |
|
|
|
Manage image scanning policies |
|
|
|
Manage Activity Audit |
|
|
|
Send container images to the scanning queue |
|
|
|
Create, update and remove alerts |
|
|
|
View reports and image scanning results |
|
|
|
View platforms, frameworks, rules and policies |
|
|
|
View events |
|
|
|
IAM アクション
以下の表で、Workload Protection サービスのプラットフォーム役割およびサービス役割に割り当てられている IAM アクションを確認してください。
| 役割タイプ | 役割 | IAM アクション |
|---|---|---|
| プラットフォーム | administrator |
sysdig-secure.launch.admin sysdig-secure.launch.user sysdig-secure.launch.viewer |
| サービス | manager |
sysdig-secure.launch.admin sysdig-secure.launch.user sysdig-secure.launch.viewer |
| サービス | writer |
sysdig-secure.launch.user sysdig-secure.launch.viewer |
| サービス | reader |
sysdig-secure.launch.viewer |
自分に設定されているアクセス・ポリシーはどうすればわかりますか?
IBM Cloud コンソールでは、自分に設定されているアクセスポリシーを確認できます。
- 「IAM ユーザーへのアクセス」に移動します。
- ユーザーのテーブルで自分の名前をクリックします。
- **「アクセス・ポリシー」**タブをクリックすると、自分のアクセス・ポリシーが表示されます。
- **「アクセス・グループ」**タブをクリックすると、自分がメンバーであるアクセス・グループが表示されます。 各グループのポリシーを確認してください。