IBM - Basic Information

层级结构

IBM Cloud 资源模型 (来自文档)：

推荐的项目划分方式：

IAM

用户

用户有一个 电子邮件 分配给他们。他们可以访问 IBM 控制台，并且可以 生成 API 密钥 以编程方式使用他们的权限。 权限 可以通过访问策略 直接 授予用户或通过 访问组。

受信任的配置文件

这些 类似于 AWS 的角色 或 GCP 的服务账户。可以 将它们分配给 VM 实例，并通过元数据访问其 凭据，甚至可以 允许身份提供者 使用它们来验证来自外部平台的用户。 权限 可以通过访问策略 直接 授予受信任的配置文件或通过 访问组。

服务 ID

这是允许应用程序 与 IBM Cloud 交互 并执行操作的另一种选择。在这种情况下，可以使用 API 密钥 以 编程 方式与 IBM 交互，而不是将其分配给 VM 或身份提供者。 权限 可以通过访问策略 直接 授予服务 ID 或通过 访问组。

身份提供者

可以配置外部 身份提供者 以 访问 IBM Cloud 资源，通过访问 信任的受信任配置文件。

访问组

在同一个访问组中可以存在 多个用户、受信任的配置文件和服务 ID。访问组中的每个主体将 继承访问组权限。 权限 可以通过访问策略 直接 授予受信任的配置文件。 一个 访问组不能是另一个访问组的成员。

角色

角色是 一组细粒度权限。一个角色 专用于 一个服务，这意味着它只包含该服务的权限。 每个服务 的 IAM 将已经有一些 可供选择的角色 来 授予主体对该服务的访问：查看者、操作员、编辑者、管理员（尽管可能还有更多）。

角色权限通过访问策略授予主体，因此如果您需要例如授予 查看者 和 管理员 服务的 权限组合，而不是授予这两个（并过度授权主体），您可以 为该服务创建一个新角色 并授予该新角色所需的 细粒度权限。

访问策略

访问策略允许 将 1 个或多个角色的 1 个服务附加到 1 个主体。 创建策略时，您需要选择：

• 授予权限的服务

• 受影响的资源

• 将授予的服务和平台 访问

• 这些指示将授予主体执行操作的 权限。如果在服务中创建了任何 自定义角色，您也可以在这里选择它。

• 授予权限的 条件（如果有的话）

参考

• https://www.ibm.com/cloud/blog/announcements/introducing-ibm-cloud-enterprises

• https://cloud.ibm.com/docs/account?topic=account-iamoverview