More than 5 years have passed since last update.

IBM Cloud IAM をざっくり把握する

ibmcloud

Last updated at 2019-03-01Posted at 2019-02-28

IAMは、セキュリティを維持しながら多人数で、役割りを分担して、クラウドを運用するために必要とされる、個人やコードの識別とアクセス管理のための機能です。

SoftLayer や Bluemix のブランド名で提供されている時代から断片的に存在していましたが、2017年9月から統合的なIAMが導入され、現在の主要なサービスはIAM対応となっています。

参考資料

Introducing IBM Cloud IAM Service IDs and API Keys

IBM Cloud の IAMとは

IBM Cloud Identity and Access Management (IAM) の略であり、大手クラウドベンダーと良く似たコンセプトで提供されています。

IAM は、IBM Cloud アカウントの管理下に、ユーザーとグループを作成して管理し、アクセス権を用いて、リソースへのアクセス許可、アクセスのレベルが設定できます。また、サービスID を利用した同様のアクセス管理もできます。

IBM Cloud アカウントは、IBMクラウドの管理ユーザーで、契約書により、または、クレジットカードを登録して開設した時に作成される管理者ユーザーです。オペレーティングシステムのスーパーユーザーに相当する全てのアクセス権を持つユーザーです。
リソースは、仮想サーバー、データベースなど、ユーザー用にインスタンス化されたサービスを表しています。また、カタログから作成ボタンをクリックしてインスタンス化する権限も含みます。
アクセスレベルの設定とは、リソースの情報について、表示のみ、設定変更可能、新規作成、または、参照権限すら無しを設定するものです。
サービスIDは、特定のユーザーに紐づくものではなく、前述のリソースに対応してアクセス権を管理します。ユーザーのアクセス権限は、組織の移動や退職などによって影響を受けますが、サービスIDは、影響を受けることがありません。この事から、アプリケーションのコードからリソースをアクセスする際に適しています。

参考資料

IBM Cloud Identity and Access Management

ユーザーの登録と管理

最初のユーザー登録は、アカウント管理者ユーザーが実施します。ユーザーとして登録する時のIDは、メールアドレスが利用されます。IBM IDとして登録されていないユーザーのメールアドレスも登録することができます。

既にIBMidを持つユーザーの場合は、ログイン後にユーザーを選択できるようになります。
新規のユーザーは、確認のメールが送信され、その指示に従いパスワード等を自主登録します。

ユーザーのアクセス権は、管理者ユーザーが実施します。そして、アクセス権の付与の方法は、以下の単位で実施することができます。

アクセス・グループ
ユーザーをアクセス・グループに登録することで、グループが持つアクセス権を一括で付与されます。
アクセス・ポリシー
ユーザー個別に、アクセス権を付与できます。　リソース・グループとサービスに対してアクセス権の指定ができます。リソースグループは、事前に設定されている必要があります。初期状態では全てのリソースは、defaultに入っています。そして、サービスは、カタログから選択できるサービスと同じです。
クラシック・インフラストラクチャー
旧SoftLayerのIaaSリソース（仮想サーバー、ベアメタル、VLAN、ストレージ）などのアクセス権を、当該ユーザーに対して設定できる。
Cloud Foundry アクセス権
これは初期のBluemixの組織とユーザーを対応づけて、アクセス権を設定するもので、やはり、ユーザー個別に設定できる。

参考資料

ユーザーの招待

アクセス・グループ

これは前述のユーザーを、ここで作ったグループに登録することで、グループのアクセス権をユーザーに付与するものです。

以下３つのビルトインのアクセスグループが用意されています。これらはクラシック・インフラストラクチャーからの移行のために提供されるものです。

Retrieve users　　ユーザーのリスト管理
View account summary アカウントのサマリーを表示
View cases　　旧チケット（現在のServiceNowのCase)を参照

グループを作成して、ユーザーのアクセス権限管理を省力化できます。たとえば、IaaSの管理者グループにより、ベアメタルや仮想サーバーの管理ユーザーのアクセス権を管理、また、Kubernetes管理者グループを設定して、IKSクラスタと必要とするDBaaSを扱うグループを設定、DevOpsのグループを設定など、または、本番と開発のグループでも良いと思います。

アクセスグループには以下を含めることができます。