はじめに
SoftLayer の時代から IBM Cloud をご利用頂いている方は Classic Infrastructure サービスをご利用いただいているケースがほとんどだと思います。Bluemix Infrastructure > IBM Cloud に統合された後も Classic Infrastructure のユーザー管理は IBM Cloud の IAM と併存する形で異なる仕組みが維持されてきました。GUI は SoftLayer ポータルで提供されていた機能が IBM Cloud のコンソールに徐々に統合されましたが、CLI も SLCLI を IBM Cloud CLI のプラグインとして含む形で統合されてきました。
本稿では、画面での設定項目をCLI上でどのように実現するをご紹介します。
IBM Cloud Classic Infrastructreのアクセス権限付与において知っておかねばならないこと
Classic Infrastructreのアクセス権限の考え方はSoftLayerの時代から考え方は変わっていません。以下のような原理原則と特徴があります。思ったように権限の付与ができないときにはまず、以下の項目を確認いただき、実施可能な操作の範囲を超えていないことを確認ください。
- IBM Cloudの他のサービスのアクセス管理(IAM)とClassic Infrastructureのアクセス管理は別管理 (アクセス・グループは利用不可)
- 親子階層による権限委譲の制約があり、自分が持つ権限の範囲でしか子ユーザーに操作権限を付与できず、親をこえる操作権限の付与はできません
- 管理対象のユーザーは自分の子以下（子孫）に位置するユーザーのみ
- 自分自身の操作権限は編集できない
- 操作権限とリソースへのアクセス権限は別の概念で、管理を行うためには両方の権限が必要
- 操作を行うためには複数の操作権限が必要となることが多い
- 操作権限はカテゴリーごとに管理される
- アカウント所有者が階層の制約などを受けないユーザーで、全ての権限を有する他、全ユーザーに対する権限の付与も可能
- 権限不足時にはユーザーや権限管理画面なども表示すらされないことがある
IBM Cloud CLIをつかったClassic Infrastructureの権限付与
IBM Cloud CLIを使ってClassic Infrastructureの権限を付与するにはIBM Cloud CLIのSLプラグインを使って操作を行います。実は私もアカウントを管理していて、Classic Infrastructureのユーザーも管理しています。以下は私がユーザー管理においてよく使うコマンドです。
(1) ユーザーをリストする(idを取得する)
ユーザーのidentifier(id)についてはCLIを使った権限の付与で必ず使いますが、GUIコンソール上には表示されません。このユーザーリストから作業対象としたいユーザーのidを控えておきます。ibmcloud sl user list
実行結果の例
$ ibmcloud sl user list
id username email displayName 2FA classicAPIKey vpn
10862485 DSW1234567 owner@example.com AccountOwner - yes No
12164105 1234567_admin01@example.com admin01@example.com AdminUser01 - yes Yes
12165031 1234567_admin02@example.com admin02@example.com AdminUser02 - - Yes
12423497 1234567_operator01@example.com operator01@example.com Operator01 - - Yes
12423499 1234567_operator02@example.com operator02@example.com Operator02 - yes Yes
12544239 1234567_user01@example.com user01@example.com StandardUser01 - - Yes
12544241 1234567_user02@example.com user02@example.com StandardUser02 - - Yes
12544243 1234567_user03@example.com user03@example.com StandardUser03 - - Yes
12983371 1234567_user04@example.com user04@example.com StandardUser04 - - Yes
13391489 1234567_user05@example.com user05@example.com StandardUser05 - - No
14271797 1234567_user06@example.com user06@example.com StandardUser06 - - No
(2) ユーザーのもつアクセス権限情報の表示
<ユーザーのid>は (1) ユーザーをリストする の実行結果のid列の値です
ibmcloud sl user permissions <ユーザーのid>
実行結果の例
$ ibmcloud sl user permissions 12165031
ID Role Name Description
11855559 1234567_admin02@example.com_system_role 1234567_admin02@example.com_system_role
Department Permissions
ADMINISTRATIVE KeyName Assigned Description
COMPANY_EDIT false Modify the account and company profile associated with this account.
NETWORK_MESSAGE_DELIVERY_MANAGE true Manage e-mail delivery service accounts.
NTF_SUBSCRIBER_MANAGE true Create and manage notification subscribers for usage warnings and overages.
USER_MANAGE true Manage users and assign permissions.
DATACENTER_ROOM_ACCESS true Physically Access a Customer's Colo Cage
DATACENTER_ACCESS true Physically Access a Datacenter
ONE_TIME_PAYMENTS false Submit one-time payments for this account.
UPDATE_PAYMENT_DETAILS false Update the recurring monthly payment information.
ACCOUNT_SUMMARY_VIEW false View the account summary page including invoices and payments.
USER_EVENT_LOG_VIEW true View the account-wide event log history.
SALES KeyName Assigned Description
SERVER_ADD true Add new servers to the account.
INSTANCE_UPGRADE true Add and upgrade any cloud computing instances on the account.
SERVICE_ADD true Add and upgrade any services on the account.
ADD_SERVICE_STORAGE true Add and upgrade any storage services (StorageLayer) on the account.
SERVER_CANCEL true Cancel any servers on the account.
SERVICE_CANCEL true Cancel any services on the account.
SERVER_UPGRADE true Upgrade any servers on the account.
SERVICE_UPGRADE true Upgrade Services
SUPPORT KeyName Assigned Description
TICKET_ADD true Add new support tickets.
TICKET_EDIT true Edit support tickets.
TICKET_SEARCH true Search through previous tickets.
TICKET_VIEW_ALL true View all tickets regardless of which user the ticket is assigned to.
TICKET_VIEW true View tickets assigned to the user.
SECURITY KeyName Assigned Description
SECURITY_CERTIFICATE_MANAGE true Add, remove, and update certificates.
SAML_AUTHENTICATION_MANAGE true Create, edit and delete SAML authentication records.
CUSTOMER_SSH_KEY_MANAGEMENT true Add, remove, and update SSH keys.
REQUEST_COMPLIANCE_REPORT false Request compliance reports.
SECURITY_CERTIFICATE_VIEW true View certificates.
DEVICES KeyName Assigned Description
ACCESS_ALL_DEDICATEDHOSTS true Allows a user to access virtual dedicated hosts
IP_ADD true Add IP Addresses to a server.
ACCESS_ALL_GUEST true Allow a user to access all guests on the account.
ACCESS_ALL_HARDWARE true Allow a user to access all hardware on the account.
HOSTNAME_EDIT true Edit hostname and domain name for devices on the account.
HOST_ID_MANAGE true View Host IDS logs.
REMOTE_MANAGEMENT true View IPMI details regarding hardware and issue reboot commands through the portal.
MONITORING_MANAGE true View and edit monitoring information for devices.
CUSTOMER_POST_PROVISION_SCRIPT_MANAGEMENT true Manage Customer Post Provisioning Scripts.
PUBLIC_IMAGE_MANAGE true Manage Public Image Templates.
SERVER_RELOAD true Issue OS reloads and Rescue Kernel for devices.
NAS_MANAGE true View storage details and edit storage passwords.
HARDWARE_VIEW true View hardware information.
DEDICATED_HOST_VIEW true View virtual dedicated host information.
VIRTUAL_GUEST_VIEW true View virtual server information.
NETWORK KeyName Assigned Description
PUBLIC_NETWORK_COMPUTE true Allow compute resources on the public network.
CDN_ACCOUNT_MANAGE true Manage content delivery network account.
CDN_FILE_MANAGE true Manage content delivery network file transfers.
DNS_MANAGE true Add, edit, and view DNS records.
FIREWALL_RULE_MANAGE true Manage all firewall rules.
FIREWALL_MANAGE true View and edit firewall logs and settings.
LOADBALANCER_MANAGE true Manage load balancers.
GATEWAY_MANAGE true Manage network gateway appliances.
NETWORK_ROUTE_MANAGE true Manage network subnet routes.
NETWORK_VLAN_SPANNING true Enable and disable private network VLAN spanning.
PORT_CONTROL true Manage port status and speeds for connected devices.
MANAGE_SECURITY_GROUPS true Manage security groups.
VPN_MANAGE true Manage VPN access for all users.
BANDWIDTH_MANAGE true View bandwidth statistics.
CDN_BANDWIDTH_VIEW true View CDN bandwidth statistics.
SOFTWARE KeyName Assigned Description
ANTI_MALWARE_MANAGE true View and edit antivirus / spyware logs and settings.
SOFTWARE_FIREWALL_MANAGE true Manage firewall software.
VIEW_CUSTOMER_SOFTWARE_PASSWORD true View Customer Software Password.
VIEW_HELM true View login information for Helm.
VIEW_PLESK true View login information for Plesk.
VIEW_QUANTASTOR true View login information for QuantaStor.
VIEW_URCHIN true View login information for Urchin.
VIEW_CPANEL true View login information for cPanel.
LICENSE_VIEW true View licenses.
(3) 操作権限の付与/削除
<対象とする操作のKeyName>は (2) ユーザーのもつアクセス権限情報の表示 のKeyNameの列のフィールドに表示される文字列を利用します
ibmcloud sl user permission-edit <ユーザーのid> --permission <対象とする操作のKeyName> --enable <true|false>
実行結果の例:特定の権限を付与
% ibmcloud sl user permission-edit 12165031 --permission ANTI_MALWARE_MANAGE --enable true
Permissions updated successfully
実行結果の例:特定の権限を削除
% ibmcloud sl user permission-edit 12165031 --permission ANTI_MALWARE_MANAGE --enable false
Permissions updated successfully
実行結果の例:権限がない操作を実施しようとすると・・・
% ibmcloud sl user permission-edit 12165031 --permission ALL --enable true
FAILED
Failed to update permissions
SoftLayer_Exception_PermissionDenied: You may not add permissions that the parent does not possess to this account. (HTTP 500)
権限がない操作を実行しようとするとエラーが発生します。
(4) 他のユーザーからの操作権限の複製
(3)の方法で一つずつ権限を変更する場合、サーバー上で一つずつアクセス権限が付与されていくので、約70個の権限を一つずつ付与していくと時間がかかります。多くのユーザーの権限をアサインする場合非効率なので、その場合には参照できるユーザーの権限を複製し、それをベースに変更が必要な部分だけど更新していくことで効率的に更新できます。<権限を付与したいユーザーのid>、<権限の複製元としたいユーザーのid>ともに (1) ユーザーをリストする の実行結果のid列の値です。
ibmcloud sl user permission-edit <権限を付与したいユーザーのid> --from-user <権限の複製元としたいユーザーのid>
実行結果の例
% ibmcloud sl user permission-edit 12165031 --from-user 12164105
Permissions updated successfully
(5) SSL VPNを利用するためのアクセスの付与/削除
<ユーザーのid>は (1) ユーザーをリストする の実行結果のid列の値です
ibmcloud sl user detail-edit <ユーザーのid> --template '{"sslVpnAllowedFlag":<true|false>}'
実行結果の例:付与
% ibmcloud sl user detail-edit 12165031 --template '{"sslVpnAllowedFlag":true}'
User 12165031 updated successfully.
実行結果の例:削除
% ibmcloud sl user detail-edit 12165031 --template '{"sslVpnAllowedFlag":false}'
User 12165031 updated successfully.
(6) SSL VPNでアクセスするサブネットを手動でアサインする/自動でアサインする
<ユーザーのid>は (1) ユーザーをリストする の実行結果のid列の値です
ibmcloud sl user vpn-manual <--enable|--disable> <ユーザーのid>
実行結果の例:手動でアサインする(--enable)
% ibmcloud sl user vpn-manual --enable 12165031
OK
Successfully updated user vpn subnets manual config
実行結果の例:自動でアサインする(--disable)
% ibmcloud sl user vpn-manual --disable 12165031
OK
Successfully updated user vpn subnets manual config
(7) サブネットの一覧の取得
ibmcloud sl subnet list
実行結果の例
% ibmcloud sl subnet list
ID Identifier Network Type VLAN Location Target IPs Hardware Vs Tags Note
814616 161.202.87.224 Public Primary tok02.fcr02.786 tok02 - 16 0 1 - -
956461 10.132.165.0 Private Primary tok02.bcr02.964 tok02 - 64 0 1 - -
SubnetのリストにはPublicネットワークとPrivateネットワークの両方のSubnetがリストされますが、SSL VPNで接続できるのはPrivateネットワークのものだけです。
(8) SSL VPNでアクセスするサブネットを個別に有効化/無効化する
<ユーザーのid>は (1) ユーザーをリストする の実行結果のid列の値です
<サブネットのID>は (7) サブネットの一覧の取得 の実行結果のID列の値です
ibmcloud sl user vpn-subnet <ユーザーのid> <サブネットのID> <--add|--remove>
実行結果の例:有効化
$ ibmcloud sl user vpn-subnet 12165031 956461 --add
OK
Successfully added subnet access for user.
実行結果の例:無効化
$ ibmcloud sl user vpn-subnet 12165031 956461 --remove
OK
Successfully removed subnet access for user.
(9) 仮想サーバーの一覧の取得
ibmcloud sl vs list
実行結果の例
$ ibmcloud sl vs list
id hostname domain cpu memory public_ip private_ip datacenter action
158606299 virtualserver01 ibmcloud.private 2 4096 161.202.87.234 10.132.165.25 tok02
158606301 virtualserver02 ibmcloud.private 2 8192 161.202.87.235 10.132.165.26 tok02
158606303 virtualserver03 ibmcloud.private 4 8192 161.202.87.236 10.132.165.27 tok02
158606305 virtualserver04 ibmcloud.private 4 16384 161.202.87.237 10.132.165.28 tok02
158606307 virtualserver05 ibmcloud.private 8 16384 161.202.87.238 10.132.165.29 tok02
158606309 virtualserver06 ibmcloud.private 8 32768 161.202.87.239 10.132.165.30 tok02
158606311 virtualserver07 ibmcloud.private 16 32768 161.202.87.240 10.132.165.19 tok02
158606313 virtualserver08 ibmcloud.private 16 65536 161.202.87.241 10.132.165.20 tok02
(10) 仮想サーバーへのアクセス権限の付与/削除
<ユーザーのid>は (1) ユーザーをリストする の実行結果のid列の値です
<仮想サーバーのid>は(9) 仮想サーバーの一覧の取得の実行結果のid列の値です
ibmcloud sl user <grant-access|remove-access> <ユーザーのid> --virtual <仮想サーバーのid>
実行結果の例:アクセス権限の付与
% ibmcloud sl user grant-access 12165031 --virtual 158606299
OK
Access granted to user 12165031 for 158606299
実行結果の例:アクセス権限の削除
% ibmcloud sl user remove-access 12165031 --virtual 158606299
OK
Access removed to user 12165031 for 158606299
(11) ベアメタルサーバーの一覧の取得
ibmcloud sl hardware list
実行結果の例
$ ibmcloud sl hardware list
id hostname domain public_ip private_ip datacenter status
3090774 host-bm001 jpn.local - 10.132.165.11 tok02 ACTIVE
3090776 host-bm002 jpn.local - 10.132.165.12 tok02 ACTIVE
3090778 host-bm003 jpn.local - 10.132.165.13 tok02 ACTIVE
(12) ベアメタルサーバーへのアクセス権限の付与/削除
<ユーザーのid>は (1) ユーザーをリストする の実行結果のid列の値です
<ベアメタルサーバーのid>は(11) ベアメタルサーバーの一覧の取得の実行結果のid列の値です
ibmcloud sl user <grant-access|remove-access> <ユーザーのid> --hardware <ベアメタルサーバーのid>
実行結果の例:アクセス権限の付与
% ibmcloud sl user grant-access 12165031 --hardware 3090774
OK
Access granted to user 12165031 for 3090774
実行結果の例:アクセス権限の削除
% ibmcloud sl user remove-access 12165031 --hardware 3090774
OK
Access removed to user 12165031 for 3090774
(13) 専有ホスト(Dedicated Host)の一覧の取得
% ibmcloud sl dedicatedhost list
(専有ホスト(Dedicated Host)の持ち合わせが無く実機で確認できませんでしたが、(9) 仮想サーバーの一覧の取得 や (11) ベアメタルサーバーの一覧の取得 と同等の結果を得られます。)
(14) 専有ホスト(Dedicated Host)へのアクセス権限の付与/削除
<ユーザーのid>は (1) ユーザーをリストする の実行結果のid列の値です
<専有ホストのid>は(13) 専有ホスト(Dedicated Host)の一覧の取得の実行結果のid列の値です
ibmcloud sl user <grant-access|remove-access> <ユーザーのid> --dedicated <専有ホストのid>
(専有ホスト(Dedicated Host)の持ち合わせが無く実機で確認できませんでしたが、(10) 仮想サーバーへのアクセス権限の付与/削除 や (12) ベアメタルサーバーへのアクセス権限の付与/削除 と同等の結果を得られます。)
GUIでのアクセス権限の付与をCLIで行う
個々からはGUI画面で実施していた操作をCLIコマンドで実施する方法（対応）を示していきます。
その1 許可タブ
クラシック・インフラストラクチャーにおける操作の権限を付与するものです。私の環境では6つのカテゴリーで71個の権限がありましたが、アカウントの構成により表示される数が異なるケースもあるようです。操作権限を付与する場合には(a)カテゴリーのチェックを入れてその子アイテムすべてを有効化するもしくは、(b)カテゴリーのグループを開き個別の権限にチェックを入れて操作を許可します。
これらのGUI上の操作のうち(a)に当たる操作はCLIで直接提供されていません。(b)にあたる手続きはCLI上では上記の(3) 操作権限の付与/削除の手続きに相当します。(3)で利用した「KeyName」は下表の「KeyName」と同じものです。
以下の表に上にあるスクリーンショットの中に含まれる項目とCLIで利用できるKey Nameをまとめました。
| カテゴリー | GUI上の項目 | KeyName | GUI上の説明 |
|---|---|---|---|
| Administrative | パートナーのお客様アカウントのアクティブ化 | ACTIVATE_PARTNER_ACCOUNT | パートナーのお客様アカウントをアクティブ化します。 |
| ブランド・アカウントの追加 | ACCOUNT_BRAND_ADD | サブブランドを作成する許可。 | |
| お客様アカウントの追加 | ACCOUNT_CUSTOMER_ADD | お客様アカウントを作成する許可。 | |
| Manage Account Notes | MANAGE_ACCOUNT_NOTE | Permission to manage account notes | |
| E メール配信サービスの管理 | NETWORK_MESSAGE_DELIVERY_MANAGE | E メール配信サービス・アカウントを管理します。 | |
| 通知サブスクライバーの管理 | NTF_SUBSCRIBER_MANAGE | 使用量の警告と超過の通知サブスクライバーを作成および管理します。 | |
| ユーザーの管理 | USER_MANAGE | ユーザーを管理して権限を割り当てます。 | |
| お客様の Colo Cage への物理的アクセス | DATACENTER_ROOM_ACCESS | お客様の Colo Cage に物理的にアクセスします。 | |
| データ・センターへの物理的アクセス | DATACENTER_ACCESS | データ・センターに物理的にアクセスします。 | |
| イベント・ログの表示 | USER_EVENT_LOG_VIEW | アカウント全体のイベント・ログの履歴を表示します。 | |
| Sales | サーバーの追加 | SERVER_ADD | アカウントに新規サーバーを追加します。 |
| クラウド・インスタンスの追加/アップグレード | INSTANCE_UPGRADE | アカウントのクラウド・コンピューティング・インスタンスを追加およびアップグレードします。 | |
| サービスの追加/アップグレード | SERVICE_ADD | アカウントのサービスを追加およびアップグレードします。 | |
| ストレージの追加/アップグレード (StorageLayer) | ADD_SERVICE_STORAGE | アカウントでストレージ・サービス (StorageLayer) を追加およびアップグレードします。 | |
| サーバーのキャンセル | SERVER_CANCEL | アカウントのサーバーをキャンセルします。 | |
| サービスのキャンセル | SERVICE_CANCEL | アカウントのサービスをキャンセルします。 | |
| サーバーのアップグレード | SERVER_UPGRADE | アカウントのサーバーをアップグレードします。 | |
| サービスのアップグレード | SERVICE_UPGRADE | サービスをアップグレードします。 | |
| View Billing ACH Information | VIEW_ACH_INFO | Permission to view billing ACH information. | |
| View reseller order pricing | VIEW_RESELLER_ORDER | Permission to view an order with reseller pricing. | |
| Security | 証明書の管理 (SSL) | SECURITY_CERTIFICATE_MANAGE | 証明書 (秘密鍵を含む) を追加、削除、および更新します。 |
| SAML 認証の管理 | SAML_AUTHENTICATION_MANAGE | SAML 認証レコードを作成、編集および削除します。 | |
| SSH 鍵の管理 | CUSTOMER_SSH_KEY_MANAGEMENT | SSH 鍵を追加、削除、および更新します。 | |
| 証明書の表示 (SSL) | SECURITY_CERTIFICATE_VIEW | 証明書 (秘密鍵を含む) を表示します。 | |
| Software | アンチウィルス/スパイウェアの管理 | ANTI_MALWARE_MANAGE | アンチウィルス/スパイウェアのログと設定を表示および編集します。 |
| ファイアウォール・ソフトウェアの管理 | SOFTWARE_FIREWALL_MANAGE | ファイアウォール・ソフトウェアを管理します。 | |
| Openstack リンク | OPENSTACK_LINK | Openstack リンクを開始および削除する許可。 | |
| お客様のソフトウェア・パスワードの表示 | VIEW_CUSTOMER_SOFTWARE_PASSWORD | お客様のソフトウェア・パスワードを表示します。 | |
| Helm の表示 | VIEW_HELM | Helm のログイン情報を表示します。 | |
| Plesk の表示 | VIEW_PLESK | Plesk のログイン情報を表示します。 | |
| QuantaStor の表示 | VIEW_QUANTASTOR | QuantaStor のログイン情報を表示します。 | |
| Urchin の表示 | VIEW_URCHIN | Urchin のログイン情報を表示します。 | |
| View and edit disk image | MANAGE_DISK_IMAGE | Allows users to view and edit disk image data. | |
| View and edit manage image template | IMAGE_TEMPLATE_MANAGE | Allows users to view and edit image template. | |
| View and edit software component | SOFTWARE_MANAGE | Allows users to view and edit software component. | |
| cPanel の表示 | VIEW_CPANEL | cPanel のログイン情報を表示します。 | |
| ライセンスの表示 | LICENSE_VIEW | ライセンスを表示します。 | |
| View software account license | SOFTWARE_LICENSE_MANAGE | Allows users to view software account license. | |
| デバイス | IP アドレスの追加 | IP_ADD | サーバーに IP アドレスを追加します。 |
| ホスト名/ドメインの編集 | HOSTNAME_EDIT | アカウントのデバイスのホスト名とドメイン・ネームを編集します。 | |
| ホスト ID | HOST_ID_MANAGE | ホスト ID のログを表示します。 | |
| IPMI リモート管理 | REMOTE_MANAGEMENT | ハードウェアに関する IPMI 詳細を表示して、ポータルを介してリブート・コマンドを発行します。 | |
| Manage Configuration Template | MANAGE_CONFIGURATION_TEMPLATE | Allows users to manage configuration template. | |
| Manage Customer Hardware | MANAGE_CUSTOMER_HARDWARE | Allows users to manage customer hardware. | |
| デバイスのモニタリングの管理 | MONITORING_MANAGE | デバイスのモニタリング情報を表示および編集します。 | |
| プロビジョニング・スクリプトの管理 | CUSTOMER_POST_PROVISION_SCRIPT_MANAGEMENT | お客様のポスト・プロビジョニング・スクリプトを管理します。 | |
| パブリック・イメージの管理 | PUBLIC_IMAGE_MANAGE | パブリック・イメージ・テンプレートを管理します。 | |
| OS の再ロードとカーネルのレスキュー | SERVER_RELOAD | OS の再ロードを発行し、デバイスのカーネルをレスキューします。 | |
| ストレージ管理 | NAS_MANAGE | ストレージの詳細を表示し、ストレージのパスワードを編集します。 | |
| ハードウェア詳細の表示 | HARDWARE_VIEW | IP アドレス、OS タイプ、パスワードなどのハードウェア情報を表示します。ポータルでハードウェアのパスワードを更新することもできます。 | |
| View Location Reservation | VIEW_LOCATION_RESERVATION | Allows users to view location reservation. | |
| 仮想専用ホスト詳細の表示 | DEDICATED_HOST_VIEW | 仮想専用ホストの情報を表示します。 専用インスタンスを別の仮想専用ホストにマイグレーションすることもできます。 | |
| 仮想サーバー詳細の表示 | VIRTUAL_GUEST_VIEW | IP アドレス、OS タイプ、パスワードなどの仮想サーバー情報を表示します。ポータルで仮想サーバーのパスワードを更新することもできます。 | |
| View and edit dedicated host | MANAGE_DEDICATED_HOST | Allows users to view and edit dedicated host. | |
| View and edit virtual guest | MANAGE_VIRTUAL_GUEST | Allows users to view and edit virtual guest data. | |
| ネットワーク | パブリック・ネットワーク・ポートでのコンピュートの追加 | PUBLIC_NETWORK_COMPUTE | コンピュート (サーバーまたはクラウド・インスタンス) の追加の際に、パブリック・ネットワークへのアクセスを含むポート速度を許可します。 |
| CDN アカウントの管理 | CDN_ACCOUNT_MANAGE | コンテンツ配信ネットワーク・アカウントを管理します。 | |
| CDN ファイル転送の管理 | CDN_FILE_MANAGE | コンテンツ配信ネットワークのファイル転送を管理します。 | |
| DNS の管理 | DNS_MANAGE | SoftLayer によって管理される DNS レコードを追加、編集、および表示します。 | |
| ファイアウォール・ルールの管理 | FIREWALL_RULE_MANAGE | すべてのファイアウォール・ルールを管理します。 | |
| ファイアウォールの管理 | FIREWALL_MANAGE | ファイアウォールのログと設定を表示および編集します。 | |
| ロード・バランサーの管理 | LOADBALANCER_MANAGE | ロード・バランサーを管理します。 | |
| ネットワーク・ゲートウェイの管理 | GATEWAY_MANAGE | Network Gateway Appliance を管理します。 | |
| ネットワーク・サブネット経路の管理 | NETWORK_ROUTE_MANAGE | ネットワーク・サブネット経路を管理します。 | |
| ネットワーク VLAN スパンニングの管理 | NETWORK_VLAN_SPANNING | プライベート・ネットワーク VLAN スパンニングを有効化および無効化します。 | |
| ポート制御の管理 | PORT_CONTROL | 接続されたデバイスのポート状況とスピードを管理します。 | |
| プライベート・エンドポイント・サービスの管理 | MANAGE_PRIVATE_ENDPOINT_SERVICE | プライベート・エンドポイント・サービスにアカウントを接続したり、アカウントを切断したりするための許可。 | |
| セキュリティー・グループの管理 | MANAGE_SECURITY_GROUPS | セキュリティー・グループを管理します。 | |
| VPN 管理 | VPN_MANAGE | すべてのユーザーの VPN アクセスを管理します。 | |
| 処理能力統計の表示 | BANDWIDTH_MANAGE | ハードウェアの処理能力統計とグラフを表示します。 | |
| CDN 処理能力統計の表示 | CDN_BANDWIDTH_VIEW | コンテンツ配信ネットワークの処理能力統計を表示します。 |
その2 デバイスタブ
デバイスへのアクセス許可を設定します。
このページでできることを簡単に説明しつつ、CLIでの操作についても説明していきます。
タイプの選択
「タイプの選択」にある「すべてのベアメタル・サーバー」「すべての専用ホスト」「すべての仮想サーバー」はチェックを入れるとすべての該当するタイプのサーバーのチェックが入るもしくは外れる動作となります。この「タイプの選択」の操作はGUI上の画面操作を行うための先の機能で、直接サーバー上で動作する機能ではありません将来のアクセスの有効化
「将来のアクセスの有効化」にある「ベアメタル・サーバーへの自動アクセス」「専用ホストへの自動アクセス」「仮想サーバーへの自動アクセス」ではチェックを入れると、該当のタイプのサーバーがプロビジョニングされた場合にアクセス権限が付与されるものです。CLIでこの操作を実施するには先述のCLI操作の(3) 操作権限の付与/削除の手続きに相当します。「KeyName」は下表を参照して必要なものを選択してください。
| GUI上の項目 | KeyName |
|---|---|
| ベアメタル・サーバーへの自動アクセス | ACCESS_ALL_HARDWARE |
| 専用ホストへの自動アクセス | ACCESS_ALL_DEDICATEDHOSTS |
| 仮想サーバーへの自動アクセス | ACCESS_ALL_GUEST |
個々のサーバーへのアクセス許可
画面の下部に表示されるサーバーの表についてはチェックを入れたサーバーに対するアクセスが付与されます。CLIではサーバーのタイプごとに(10) 仮想サーバーへのアクセス権限の付与/削除 (12) ベアメタルサーバーへのアクセス権限の付与/削除 (14) 専有ホスト(Dedicated Host)へのアクセス権限の付与/削除 のいずれかの方法で権限を付与します。
その3 VPN サブネット
SSL VPNを使ってサブネットやその中に配置されたサーバーにアクセスするための設定を実施します。
このページもできることを簡単に説明しつつ、CLIでの操作についても説明していきます。
SSL VPNアクセスを有効にする
チェックを入れたユーザーがSSL VPNを使ってアクセスできるようになります。CLIでは(5) SSL VPNを利用するためのアクセスの付与/削除の機能を使ってアクセス権限を管理できます。
自動割り当て
自動割り当てが有効化されているとアクセスできるすべてのサブネットへのアクセスが許可され、有効化されていない場合には画面に表示されるサブネットの一覧のうち、チェックの入っているものへのアクセスが許可されます。CLIでは(6) SSL VPNでアクセスするサブネットを手動でアサインする/自動でアサインするの機能を使って権限を管理します。画面は自動割り当てのON/OFFを設定しますが、CLIでは手動割り当てのON/OFFをします。考え方が逆になっているのでその点は注意が必要です。
個々のサブネットへのアクセス許可
チェックを入れたサブネットへのアクセスが許可されます。
CLIでは(8) SSL VPNでアクセスするサブネットを個別に有効化/無効化する
の機能を使って権限を管理します。
まとめ
IBM Cloud Classic Infrastructure の権限管理は、IBM Cloud IAM とは異なる独自の仕組みで運用されており、SoftLayer 時代から続く権限継承やリソースアクセスの考え方を理解することが重要です。 本記事では、IBM Cloud CLI の SL プラグインを利用して、ユーザー権限の付与・削除、デバイスへのアクセス権限管理、SSL VPN の設定などを実施する方法を紹介しました。また、GUI 上の設定項目がどの CLI コマンドや KeyName に対応するのかについても整理しました。GUI で実施していた操作の対応関係を理解しておくことで、権限設定の確認や管理作業をより確実に行えるようになります。Classic Infrastructure のユーザー管理を担当されている方の参考になれば幸いです。