Upgrade to Pro — share decks privately, control downloads, hide ads and more …

IBM_Cloud_101_02_IAM.pdf

Alex
July 25, 2023

 IBM_Cloud_101_02_IAM.pdf

Alex

July 25, 2023
Tweet

More Decks by Alex

Other Decks in Technology

Transcript

  1. 3 © 2022 IBM Corporation 本⽇のアジェンダ Ø 今回は、IBM Cloud の

    IAM をテーマとして取り上げます。 Ø IAM は、IBM Cloud を安全かつ柔軟に管理するために必須の機能です。 Ø この講義では、IAM の主要な機能である『ID 管理』と『アカウント管理』の基本を学びます。 Ø ⼤規模な IBM Cloud のアカウント管理に便利な『エンタープライズ』機能にも触れます。 タイムテーブル 内容 14:00-14:05 オープニング 14:05-14:15 1. IBM Cloud IAM とは︖ 14:15-14:45 2. IDとユーザー管理 14:45-14:55 3. アクセス管理 14:55-15:00 まとめ&クロージング 本⽇のアジェンダ ※進捗状況により予定より早く終了する場合があります
  2. 4 © 2022 IBM Corporation IBM Cloud とは 企業の“Journey to

    Cloud”を⽀えるのがIBM Cloudです。VMWare vSphere や Power AIXのよう な現⾏システムのクラウド移⾏からクラウドネイティブによるDX実現までサポートします。 モノリスに 実装された レガシーアプリ レガシーアプリ をIBM Cloudへ そのまま移⾏ コンテナにより リファクタ リングされた レガシーアプリ Cloud Hosted VMware VM / PowerVMを パブリッククラウドにLift & Shiftし、迅速な速度と スケール・メリットを実現 Containerized アプリを再設計せずに、ステートレス なアプリをコンテナ化。ステートフル なアプリはそのままに。 既存アプリのクラウド・サービス連携 とCI/CDの確⽴による アジャイル・ク ラウド運⽤の実現 Cloud Native お客様のペースに合わせてアプリ を再構築するか、マイクロサービ ス、コンテナ、DevOpsツールを活 ⽤して、まったく新しいアプリを クラウドで構築 レガシーアプリ からIBM Cloud サービスを利⽤ Cloud Enabled VMをパブリッククラウド サービスに拡張すること により、VMをLift & Transform IBM Cloud Microservices Analytics IBM Watson Object Storage Machine Learning IBM Kubernetes Service IBM Cloud 190+ サービス Microservices RedHat OpenShift Kubernetes Service オンプレミス IBM Cloud Kubernetes Service RedHat OpenShift Kubernetes Service
  3. 5 © 2022 IBM Corporation IBM Cloud 101 シリーズについて Ø

    IBM Cloud の初学者の⽅向けです Ø 基本的な知識や便利な使い⽅の習熟が⽬的です Ø 実際の操作のデモも交えた講義形式の講座です Ø IBM Cloud を利⽤するうえで「まず押さえておいた⽅が良い」トピックを取り上げます シリーズ テーマ 時期 第1回 コンソール / CLI 開催済み 第2回 IAM 7⽉中旬 第3回 IaaS / クラシック・インフラストラクチャ 8⽉下旬 第4回 IaaS / VPC 第5回 IaaS / ネットワーク 第6回 IBM Cloud の管理機能 IBM Cloud 101 Update ※表の内容は予定であり、今後変更となる可能性があります IBM Cloud のより詳しい知識を習得するには、『柔らか層本』をご活⽤ください。 今回
  4. 本⽇の講師紹介  写真 ▪⽒名︓項巍"MFY9JBOH ▪所属︓ ⽇本アイ・ビー・エム株式会社 テクノロジー事業本部 カスタマーサクセスマネージャ  *#.$MPVE

    Ø *#.$MPVE$4.ͷ͝঺հ • *#.$MPVEͷ$4.͸ɺ͓٬༷ͷϏδωεʹ*#.$MPVE͕ ΑΓߩݙͰ͖ΔΑ͏ٕज़໘Ͱ͝ࢧԉ͍ͤͯͨͩ͘͜͞ͱͰɺ Ϗδωεͷ੒ޭʹ޲͚ͨऔΓ૊ΈΛ͓ख఻͍͍ͤͯͨͩ͞ ͘͜ͱ͕໾ׂͰ͢ɻ • ೔ʑ*#.$MPVEΛ͓࢖͍͍ͨͩ͘தͰͷޮ཰Խ΍৽͍͠ν ϟϨϯδʹର͢Δ͝ࢧԉΛ௨ͯ͡ɺ͓٬༷ʹ*#. $MPVEͷັ ྗΛ࣮ײ͍͚ͨͩΔΑ͏׆ಈͯ͠·͍Γ·͢ɻ ຊ೔͸օ͞·ͷ͓࣌ؒΛ͍͖ͨͩ͋Γ͕ͱ͏͍͟͝·͢ʂ ੿͍ͳ͕Βઆ໌͍͖ͤͯͨͩ͞·͢ɻΑΖ͓͘͠ئ͍͠·͢ʂ
  5. 1. IBM Cloud の IAM とは︖ (1) そもそもIAMとは︖ 8 主要なクラウド・サービスには、Identity

    Access Management (IAM) と呼ばれる機能が備わっています。 IAM は、クラウドのリソースへのアクセスを安全に管理するための仕組みで、ID と アクセス権限を管理する役割を担います。 複数の⼈がクラウドのアカウントを利⽤する場合、誰が、どのリソースに、どのような操作を⾏えるのかを管理する必要があります。 IAM は複数のユーザと権限を柔軟に管理するための機能を提供します。 © 2022 IBM Corporation セキュリティ ユーザーと重要なエンタープライズ資産の間に位置する IAM は、あらゆるエンタープライ ズ・セキュリティー・プログラムの重要なコンポーネントです。 IAMは、ランサムウェアを仕掛けたり、データを盗んだりしたい犯罪ハッカーにとって⼀般 的なネットワーク侵⼊ポイントである、ユーザー資格情報の漏洩やパスワードの簡単な 解読から保護します。 ⽣産性 適切に⾏われれば、IAMはビジネスの⽣産性を⾼め、デジタル・システムが摩擦なく機 能するようにできます。 従業員がどこにいてもシームレスに働くことができる⼀⽅、⼀元化した管理により、仕事 に必要な特定のリソースにのみアクセスすることができます。 IAM が必要な理由
  6. 1. IBM Cloud の IAM とは︖ (2) IBM Cloud の

    IAM 9 IBM Cloud の IAM は IBM Cloud でユーザーおよび管理対象のリソースを⼀貫して制御するための仕組みです。ユーザーをアカ ウントに招待し、適切なアクセス・ポリシーの権限を付与することでリソースへのアクセス管理を⾏うための中⼼的な役割を担います。 © 2022 IBM Corporation IAMの主要概念 • ユーザー • 利⽤者を表す識別情報として、IBMidやフェデレーテッドIDで個⼈を識別する 「ユーザー」、サービスやシステムを⽰す「サービスID」がある。また、それらをグルーピ ングする「アクセス・グループ」という概念もある。 • アクセス管理 • アカウント内のリソースを操作を実施できるよう権限を設定する。 • 設定時には「ポリシー」を作成し「ユーザー」に割り当てる。 • 「ポリシー」は操作対象となる「リソース」( 「リソース・グループ」、 「サービス」、 「サービス・インスタンス」)とそれらを操作するための「ロール」から構成される。
  7. 1. IBM Cloud の IAM とは︖ (3) IBM Cloud IAM

    のアクセス管理の対象 10 © 2022 IBM Corporation Cloud Foundry の組織とスペースの役割を使⽤ Cloud FoundryアプリケーションやCloud Foundry 組織/スペースによる認可を⾏うサービスが管理対象と なります。 IAM のアクセス・ロールを使⽤ IBM Cloudで提供されるリソース(リソース・グループ、 サービスおよびサービス・インスタンス)のうちIAM対応 のものが該当し、管理対象となります。 クラシック・インフラストラクチャーの許可を使⽤ 従来のIBM Cloud IaaS/旧SoftLayerにより管理 されていたリソースでサーバー機器やネットワーク機器な どIaaSサービスが管理対象となります。 図. IBM Cloud のアカウントに含まれる内容 IBM Cloud のリソースにアクセス権限を付与するために使⽤できる3つのタイプのアクセス管理があります。IAM は、リソース・グルー プに属するリソースのアクセス管理を⾏います。クラシック・インフラストラクチャーとCloud Foundryは、IAMとは別の⽅法でアクセス 管理を⾏います。
  8. 1. IBM Cloud の IAM とは︖ (4) IAM管理対象の⾒分け⽅ 11 IBM

    Cloud で IAM を利⽤可能なリソースは、カタログに「IAM対応」と表⽰されます。 © 2022 IBM Corporation
  9. 2. IDとユーザー管理 (1) IBM Cloud の ID の種類 13 IBM

    Cloud の ID 関連の概念として、アカウント所有者 / ユーザー / サービス ID / アクセス・グループがあります。 © 2022 IBM Corporation アクセス・グループ アカウント所有者 ユーザー サービス ID • アカウント内のユーザーおよびリソースに関する全ての権限を有し、管理する責任を負う担当者 • IAMのアクセス管理において、全ての権限が付与され、アカウント内のユーザーにアクセス権限/ポリ シーを付与できる • アカウントに招待され、アカウントのリソースに対して作業を実施する担当者 • IBMidやSSOにより認証される個⼈の利⽤者 • アカウント所有者もしくは管理権限を付与されたユーザーによりアクセス権限が付与され、付与され た権限/ポリシーの範囲で作業を実施できる • 複数のユーザーやサービスIDをまとめてグループとしたもの • アクセス権限付与時にアクセスグループにポリシーを適⽤することで、所属するユーザーやサービスID に権限の付与をまとめて実施することができる • アカウント内に作成され、システムやアプリケーションを⼀意に表すID • ユーザーのように組織や所属の影響を受けにくいユーザーとして運⽤することが可能になる
  10. 2. IDとユーザー管理 (2) ユーザー 14 IBM Cloud のユーザーは、IBMiD とフェデレーテッド ID

    の2種類の⽅法で登録できます。 © 2022 IBM Corporation IBMiD ü ⼀般のユーザーは個⼈単位でご利⽤いただくことを想定している。 ü ユーザー ID としては IBMid (Eメールアドレス)を利⽤する。 ü アカウント所有者もしくはアカウント管理サービスの管理権限を持つユーザーが招待 することでユーザーがアカウントへのユーザー登録が⾏われる。 ü 登録時に IBMid を持たないユーザーには招待メールが送信され、メール内のリン クから IBMid を登録することでIBM Cloudの利⽤を開始できる。 フェデレーテッド ID ü IBM Cloud では、IBMid とお客様管理のアイデンティティ・プロバイダ (IdP) との 間のフェデレーション機能を提供している。 ü お客様組織が利⽤している既存のログイン機能と連携し、SSO 認証でIBM Cloud にログインすることが可能。 ü トラステッド・プロファイルを使⽤すると、企業のディレクトリーの SAML 属性に基づく 条件を使⽤して、フェデレーテッド・ユーザーにアカウントに対するアクセス権限を⾃ 動的に付与することができる。※ IBM Cloud のユーザ ID IBM Cloud の ログイン機能 IdP の SSO 認証 ユーザーの種類 概要 認証⽅法 ※トラステッド・プロファイルは、多数のユーザを管理することに適した機能です。詳細はこちらをご参照ください。
  11. 2. IDとユーザー管理 (3) IBMid 15 • ⼀般のユーザーは個⼈単位でご利⽤いただくことを想定しております。ユーザーIDとしては標準ではIBMid(Eメールアドレス)を利 ⽤します。 • アカウント所有者もしくはアカウント管理サービスの管理権限を持つユーザーが招待することでユーザーがアカウントへのユーザー登

    録が⾏われます。登録時にIBMidを持たないユーザーには招待メールが送信され、メール内のリンクよりIBMidを登録することで IBM Cloudの利⽤を開始できます。 © 2022 IBM Corporation • IBMidのパスワードは以下の制約があります。 • 半⾓⽂字のみ • 8⽂字以上31⽂字以下 12⽂字以上63⽂字以下 (2022年12⽉5⽇より新ルールに変更) • 特殊記号を含めても良い • “password”という⽂字列を利⽤不可 • IBMid⾃体を含めることは不可 • 苗字、名前を含めることは不可 • スペースをパスワードの最初もしくは最後に含めてはいけない(その場合はスペースが存在しないものと⾒なさ れる) • 数字、⼤⽂字、⼩⽂字を含めなければいけない IUUQTXXXJCNDPNJCNJENZJCNIFMQVTIFMQEFTLIUNM
  12. 2. IDとユーザー管理 (4) サービス ID 16 サービス ID は⼀般のユーザーと同じように、サービスやアプリケーションに付与することができる ID

    です。IBM Cloud 内外の別の サービスからサービスを利⽤するときに利⽤します。 © 2022 IBM Corporation Ø サービス ID は、サービスやアプリケーションに付与できるID ü サービス ID は、特定のユーザーに関連づけられるわけではない ü ⼈事異動などによるユーザーへの権限付与等の変更に影響を受けることなく、継続的に利⽤し続けることができる ü IBM Cloud の外部で稼働するシステムやアプリケーションから、IBM Cloud で稼働するサービスを呼び出す場合や、 IBM Cloud 内の複数のサービスを組み合わせる場合に利⽤する。 Ø 認証時には ID に加え固有の API キーが必要となる。 ü API キーはサービス ID に複数設定できる。 ü API キーは作成時に⾃動的に⽣成され、1度だけ画⾯上に表⽰される。 ü 値を取得して適切に管理する必要がある。 ü 値が分からなくなってしまった場合には新たな API キーを作成する。 Ø サービス ID は IBM Cloud 内の複数のサービスを跨いで利⽤する場合に⾃動的に⽣成されることがある。
  13. 2. IDとユーザー管理 (5) アクセス・グループ 17 アクセスグループは複数のユーザーやサービスIDに同⼀のアクセスポリシーを適⽤するための機能です。アクセ ス・グループを活⽤することで、複数の ID をまとめてアクセス管理できるため、IBM Cloud

    のアカウント内の アクセス管理を効率的に⾏うことができます。 © 2022 IBM Corporation ユーザー リソース アクセス・グループ リソース • アクセス・グループは、チームや役割に応じて同⼀のアクセスポリシーを持つべきユーザーをグループ化し、アクセスポリ シーの管理を簡略化するための機能 • ⼈事異動やプロジェクト体制の変更などでメンバーや管理対象を動的に変更できる • アクセス・グループにはリソースを含めることはできず、ユーザーとサービスIDのみを含むことができる • アクセス・グループに含むメンバーには、『アクセス・グループにより設定されたアクセスポリシー』と、『ユーザーに個別 に付与されているアクセスポリシー』の両⽅が適⽤される アクセス・グループを利⽤しない場合 アクセス・グループを利⽤する場合 ユーザやサービスIDを個別 にアクセス管理 ユーザやサービスIDをまとめ てアクセス管理
  14. 2. IDとユーザー管理 (6) 多要素認証 18 IBM Cloud では、ID の多要素認証 (MFA)

    をサポートしています。MFA には、ID ベースとアカウント・ベースの2種類があります。 MFA を有効化することで、ID とパスワードに加えて追加の認証要素が要求されるようになり、より安全に IBM Cloud を利⽤する ことができるようになります。セキュリティ向上の⽬的で、MFA を有効化することを推奨します。 ID ベースの MFA は、IBMid に関連付けられており、⾃分がメンバーになっているすべてのアカウントで認証されます。アカウント・ ベースの MFA は、アカウントごとの多要素認証を設定しますが、クラシック・インフラストラクチャー・アカウントでのみ使⽤可能です。 © 2022 IBM Corporation Ø 可能なMFAの設定 • なし – 全てのユーザーで多要素認証を使⽤しません。 • ⾮フェデレーテッド・ユーザーのみ – お客様の認証プロバイダーをフェデレーションされているユーザーでは 多要素認証を使⽤せず、その他のユーザーでは多要素認証を使⽤します。 • すべてのユーザー – すべてユーザーで多要素認証を使⽤します。 Ø ID ベース MFA で利⽤可能な認証要素 • E メール・ベース MFA (Email-based MFA) - ユーザーは E メールで送信されるセキュリティー・パスコードを使⽤して認証を ⾏います。 • TOTP MFA - ユーザーは TOTP を使⽤して認証を⾏います。 • U2F MFA - ユーザーは 6 桁の数値コードを⽣成する物理ハードウェア・ベースのセキュリティー・キーを使⽤して認証を⾏います。 FIDO U2F 標準に基づき、この要素は、最⾼のレベルのセキュリティーを提供します。 • IBM Verify アプリケーション -ハイブリッドとマルチクラウド環境においてスマートなID管理とアクセス管理の機能を提供します。 Apple デバイスとAndroid デバイスをサポートします。
  15. 2. IDとユーザー管理 (7)Ϣʔβʔঢ়گ 19 以下のアクセス権限を持っている場合、別のユーザーの状況を更新できます。 • ユーザー管理サービスに対するエディター以上の役割が設定された ID およびアクセス管理 (IAM)

    ポリシー。 • 当該ユーザーのクラシック・インフラストラクチャー階層内で上位にいて、かつ、「ユーザーの管理」クラシック・インフラストラクチャー許可を割り当てられている、エンタープライズを 編成することになります。 © 2022 IBM Corporation IUUQTDMPVEJCNDPNEPDTBDDPVOU UPQJDBDDPVOUTUBUVT
  16. 2. IDとユーザー管理 (8)ট଴ͱ࡟আ 20 © 2022 IBM Corporation CLI API

    招待 ibmcloud account user-invite USER_EMAIL [-o ORG [--org-role ORG_ROLE] [-s SPACE, --space-role SPACE_ROLE]] [-r, --region REGION] POST /v2/accounts/{account_id}/users 削除 ibmcloud account user-remove USER_ID [-c ACCOUNT_ID] [-f, --force] DELETE /v2/accounts/{account_id}/users/{iam_id} IUUQTDMPVEJCNDPNEPDTDMJ UPQJDDMJHFUUJOHTUBSUFE IUUQTDMPVEJCNDPNEPDTBDDPVOU UPQJDBDDPVOUSFNPWFJOUFSGBDFVJ
  17. 3. アクセス管理 (1) アクセス・ポリシーの定義 22 © 2022 IBM Corporation アクセスポリシーはアカウント内のユーザー、サービスID、アクセスグループがリソースにアクセスする許可を

    与えるためのルールを定義したものです。 Ø アクセスポリシーには、アクションの主体となる『サブジェクト』がどの『ターゲット』に対してどのような『ロール』を持つかを定義します。 Ø コンソール上でサブジェクト、ターゲットの選択ならびにロールの設定まで全てをGUI画⾯上で実施できます。 ※サブジェクト … ユーザー、サービスID、アクセスグループ ※ターゲット …リソース, リソース・グループ ※ロール …アクションを実施できる役割 図 1. サブジェクト、ターゲット、役割を使⽤して IAM アクセス・ポリシーを作成する⽅法 ※アクセス管理タグを利⽤したリソースのアクセス権限の管理の⽅法もあります。詳しくはこちらをご参照ください。
  18. 3. アクセス管理 (2) リソース・グループの定義 23 © 2022 IBM Corporation リソース・グループはリソースを効率的に構成し管理するための機能です。

    • 論理的にリソースをグループ化してまとめて編成/管理することができます。 • 複数のチームで同⼀アカウントを共同利⽤する場合や同じチームが複数の環境を利⽤する必要がある場合に⽤います。 • リソース・グループにはリソースのみが属し、ユーザーは含まれません。 ▪リソースにおける制約 • リソースは必ず⼀つのリソース・グループに所属する。 • ⼀度設定したリソース・グループを変更することはできない。 • IAM対応リソースのみを含むことができ、クラシック・インフラストラクチャー、Cloud Foundryのリソースを含むことはできない。 リソース・グループ #1 (システム A – 本番) リソース (サービス・インスタンス) リソース (サービス・インスタンス) リソース (サービス・インスタンス) リソース・グループ #2 (システム A – 検証) リソース (サービス・インスタンス) リソース (サービス・インスタンス) リソース (サービス・インスタンス) リソース・グループ #3 (システム A ‒ 開発) リソース (サービス・インスタンス) リソース (サービス・インスタンス) リソース (サービス・インスタンス) リソース・グループ #N (システム B – 本番) リソース (サービス・インスタンス) リソース (サービス・インスタンス) リソース (サービス・インスタンス) IBM Cloudアカウント …
  19. 3. アクセス管理 (3)アクセス・グループの作成/編集 24 © 2022 IBM Corporation • άϧʔϓͷηοτΞοϓ

    • ΞΫηεɾάϧʔϓΛ࡞੒͢Δ • Ϣʔβʔ·ͨ͸αʔϏε*%Λ௥Ճ͢Δ • άϧʔϓ΁ͷΞΫηεݖݶͷׂΓ౰ͯ • ୯Ұͷট଴ͰਓҎ্ͷϢʔβʔΛট଴Ͱ͖·͢ɻճͷট଴Ͱෳ਺ͷϢʔβʔΛট଴͢Δ৔߹ɺ ֤Ϣʔβʔʹಉ͡ΞΫηεݖݶׂ͕Γ౰ͯΒΕ·͢ɻ • ϢʔβʔΛট଴ͨ͠ޙͰɺΞΧ΢ϯτͷ͢΂ͯͷϝϯόʔͷΞΫηεɾϨϕϧ͕ద੾ͳϨϕϧʹͳΔΑ ͏ʹɺ͞ΒʹΞΫηεݖݶΛׂΓ౰ͯͨΓɺطଘͷΞΫηεݖݶΛฤूͨ͠Γ͢Δ͜ͱ΋Ͱ͖·͢ɻ Create Edit IUUQTDMPVEJCNDPNEPDTBDDPVOU UPQJDBDDPVOUBDDFTTHFUTUBSUFEMPDBMFKB
  20. 3. アクセス管理 (5)アカウント管理サービスへのアクセス権限の割り当て 26 © 2022 IBM Corporation アカウント所有者またはアカウント管理サービスの管理者は、アカウントへのユーザーの招待、請求および使⽤量の追跡、およびサ ポート

    Case の処理を実⾏するためのアクセス権限をユーザーに付与することができます。 ΞΧ΢ϯτ΁ શΞΫηεݖݶ Λ෇༩ ʮ͢΂ͯͷ*%͓ΑͼΞΫηε ରԠαʔϏεʯ ʮ͢΂ͯͷΞΧ΢ϯτ؅ཧ αʔϏεʯ •IAM ΞΫηεɾάϧʔϓ •IAM Iden(ty αʔϏε •IAM ΞΫηε؅ཧ • ໾ׂ؅ཧ •Ϣʔβʔ؅ཧ •՝ۚ •Χλϩά؅ཧ •ίϯςΩετɾϕʔεͷ੍໿ࣄ߲ •ΤϯλʔϓϥΠζ •άϩʔόϧɾΧλϩά •IBM Cloud γΣϧઃఆ •ϥΠηϯε͓Αͼࢿ֨ •ύʔτφʔɾηϯλʔ •ύʔτφʔɾηϯλʔ - ൢച •ϓϩδΣΫτ •Security and Compliance Center •ιϑτ΢ΣΞɾΠϯελϯε •αϙʔτ ʮ͢΂ͯͷ*".ΞΧ΢ϯτ ؅ཧαʔϏεʯ
  21. 28 © 2022 IBM Corporation 本⽇のまとめ • IAMの仕事は、ID 管理とアクセス管理 •

    誰が、どのリソースに、どのような操作を⾏えるかを管理 • セキュリティ確保と⽣産性の向上の重要な要素 • IBM Cloud では、リソース・グループの管理に使う • IBM Cloud の ID には、ユーザー / サービス ID がある • ユーザーは、IBMiD とフェデレーテッド ID の2種類の⽅法で登録できる • アクセス・グループを使うと効率的に管理できる • 多要素認証を使って、よりセキュアなクラウド活⽤を実現 • アクセス管理は、アクセス・ポリシーで実現 • アクセス・ポリシーは、[Subject]+[Target]+[Role]で定義 • [Subject]: ユーザ / サービス ID / アクセス・グループ • [Target]: リソース・グループやサービスなど • [Role]: プラットフォーム・ロールとサービス・ロール
  22. 30 © 2022 IBM Corporation 次回の IBM Cloud 101 は︖

    IaaS Classic Infrastructure 次回は8⽉下旬に開催予定です。(募集は7⽉から)