はじめに
こちらの記事は下記Advent Calendar 2024で紹介しているIBM Cloud権限設定における Internet Services になります。
共通権限は割愛
こちらの記事に記載しているように、プラットフォーム・アクセス、サービス・アクセスの権限でそれぞれどのようなものが共通して設定されているかを紹介させて頂きました。
こちらの記事では共通部分で出現する権限を除いた各サービス毎の権限設定を紹介します。
Internet Servicesで指定可能な権限のアクセス範囲
- リソース・グループ
- サービス・インスタンス
- ドメインID
- CIS機能の適用範囲
- sub-scope
リソース・グループの指定
これは指定されたリソース・グループに所属するInternet Servicesのみに対してアクセス権限を適用します。異なるリソース・グループのInternet Servicesに対しては別途権限を設定する必要があります。
サービス・インスタンスの指定
これは指定されたInternet Servicesのサービスインスタンスにのみ権限適用するものです。
ドメインIDの指定
これは指定されたドメインに対するInternet Servicesにのみ権限適用するものです。Internet Servicesでは複数のドメインを1つのサービスインスタンスに登録することが可能なので、サービスインスタンスの中で権限を分割する場合は必要になります。
CIS機能の適用範囲
下記添付のようにInternet Servicesの中の機能である セキュリティ、パフォーマンス、信頼性の機能に限定して権限を適用することが可能です。
sub-scopeの指定
ここでは現在 DNS Recordのみ指定が可能で、Internet ServicesはDNSとしての機能提供も行うので、DNSの設定のみ権限付与する場合はこちらの利用が必要になります。
Internet Servicesに設定された権限
プラットフォーム・アクセスの権限
※Admin : Administrator, KM : Key Manager, SCR : Service Configuration Reader
| 権限 | Viewer | Operator | Editor | Admin | KM | SCR |
|---|---|---|---|---|---|---|
| internet-svcs.performance.read | 〇 | |||||
| internet-svcs.reliability.read | 〇 | |||||
| internet-svcs.security.read | 〇 | |||||
| internet-svcs.zones.read | 〇 |
プラットフォーム・アクセスは基本となる共通部分の採用がベースになっており、サービス固有の権限はServoce Configuration Readerにのみ権限付与となっていました。
サービス・アクセスの権限
| 権限 | Reader | Writer | Manager |
|---|---|---|---|
| internet-svcs.performance.read | 〇 | 〇 | 〇 |
| internet-svcs.performance.update | 〇 | 〇 | |
| internet-svcs.performance.manage | 〇 | ||
| internet-svcs.reliability.read | 〇 | 〇 | 〇 |
| internet-svcs.reliability.update | 〇 | 〇 | |
| internet-svcs.reliability.manage | 〇 | ||
| internet-svcs.security.read | 〇 | 〇 | 〇 |
| internet-svcs.security.update | 〇 | 〇 | |
| internet-svcs.security.manage | 〇 | ||
| internet-svcs.zones.read | 〇 | 〇 | 〇 |
| internet-svcs.zones.update | 〇 | 〇 | |
| internet-svcs.zones.manage | 〇 |
サービス・アクセスについては全体でこの権限数しかなく、パフォーマンスや信頼性といった機能ごとに、Writerは変更権限のみ、作成や削除はManager権限が必要だ、ということがここから読み取れます。
細かな役割の指定が無いので、特定の権限のみ与えたい場合は、アクセス範囲の機能をうまくつかう必要があります。
さいごに
Internet Servicesとして個別に設定されている権限はあまり多くなかったですね。
ネットワークやセキュリティを担うサービスなので、アクセス権限はあまり不用意に広めず限定的にしたいところですが、それに応じた役割があまりないので、うまくアクセス範囲と組み合わせて適切な権限設定の実現にこちらの記事が参考になると幸いです。