IBM Cloud kontenstruktur

Bevor Sie IBM Quantum®-Plattform einrichten, ist es wichtig, die Kontostruktur IBM Cloud® Identity and Access Management (IAM) zu verstehen. Wie das folgende Diagramm zeigt, gibt es auf der obersten Ebene ein Konto. Es gibt nur einen Kontoinhaber, der die ausschließliche Kontrolle über die Abrechnungsverwaltung hat.

Dieses Konto umfasst mehrere Benutzer und Dienstinstanzen (wie z. B. den „ IBM Quantum -Compute-Service“). Jede Service-Instanz befindet sich in einer bestimmten Region und verfügt über einen Tarif. Wenn Sie Ihren Nutzern also mehrere Tarife zur Verfügung stellen möchten, benötigen Sie mehrere Service-Instanzen, die jeweils einem anderen Tarif zugeordnet sind.

Jedem Benutzer werden Zugriffsrichtlinien zugewiesen, die ihm verschiedene Zugriffsebenen auf Serviceinstanzen gewähren. Zugriffsrichtlinien können zu einer Zugriffsgruppe zusammengefasst werden.

Standardmäßig können sich alle Benutzer innerhalb des Kontos gegenseitig sehen. In den Kontoeinstellungen können Sie die Option zur Einschränkung der Sichtbarkeit aktivieren, um sicherzustellen, dass nur Benutzer mit Berechtigungen für den IAM-Dienst andere sehen können. Insbesondere unterstützt IBM Cloud keine Benutzergruppen oder gruppenspezifische Administratoren.

Zugriffsrichtlinien und Gruppen

Wie zuvor beschrieben, können jedem Benutzer eine oder mehrere Zugriffsrichtlinien zugewiesen werden: individuell, als Teil einer Zugriffsgruppe oder beides.

Innerhalb einer Zugriffsrichtlinie können Sie Berechtigungen festlegen, indem Sie Plattform- und Dienstrollen auswählen oder benutzerdefinierte Rollen erstellen. Plattformrollen definieren Aktionen auf Plattformebene, wie z. B. das Erstellen oder Verwalten von Instanzen. Dienstrollen gewähren Zugriff auf die Durchführung von Aktionen innerhalb des Dienstes, z. B. das Aufrufen eines API-Endpunkts "Aufträge erstellen" (d. h. das Ausführen eines Auftrags).

Rollen

Es gibt zwei Rollenfamilien: Plattformmanagement und Dienstzugang.

Plattformmanagement-Rollen definieren zulässige Aktionen wie die Zuweisung von Benutzerzugriff und die Erstellung von Service-Instanzen für die Verwaltung von Ressourcen auf Plattformebene. Plattformrollen gelten auch für Aktionen, die im Rahmen von Kontoverwaltungsdiensten durchgeführt werden können, z. B. das Einladen und Entfernen von Benutzern, die Verwaltung von Zugriffsgruppen und die Verwaltung von Dienst-IDs.

Dienstzugriffsrollen legen zulässige Aktionen fest, wie beispielsweise den Aufruf von Dienst-APIs oder den Zugriff auf das Dashboard eines Dienstes. Diese Rollen werden basierend auf dem Service angepasst, der in der Richtlinie ausgewählt wird. Im Zusammenhang mit diesen Anleitungen handelt es sich bei dem Dienst stets um „Quantum Compute“.

Für die Durchführung von Aktionen ist häufig eine Kombination aus Plattformmanagement- und Dienstzugangsrollen erforderlich. Mit der Service-Rolle writer können Sie zum Beispiel Aufträge ausführen, aber keine Instanzen auflisten. Um die Instanz aufzulisten, benötigen Sie mindestens die Rolle viewer für die Plattform. Im Folgenden sind einige häufig verwendete Rollen aufgeführt:

• Das Erstellen von Instanzen erfordert die manager Service-Zugriffsrolle sowie die viewer Plattformverwaltungsrolle für alle Kontoverwaltungsdienste.

  Note

  Benutzer mit der Plattformverwaltungsrolle viewer auf Alle Kontoverwaltungsdienste können auch Dienste wie die Rechnungsstellung einsehen. Wenn Sie den Zugriff auf diese zusätzlichen Ansichten verhindern wollen, verwenden Sie die IBM Cloud CLI, um ihnen nur Zugriff auf Ressourcengruppen zu geben:

  ibmcloud iam access-group-policy-create <group name> \
    --roles Viewer --resource-type resource-group
  

• Für die Ausführung von Aufträgen ist der Zugriff auf die Instanz mit der Rolle writer service access und viewer platform management role erforderlich.

Beim Erstellen einer Zugriffsrichtlinie (entweder für eine Zugriffsgruppe oder für einen Benutzer) können Sie anhand der Beschreibung überprüfen, welche Aktionen Teil der Rolle sind. Zum Beispiel quantum-computing.job.create - Create a job to run a program.

Auf der Seite „IAM-Rollen“ können Sie außerdem festlegen, welche Aktionen für die einzelnen Rollen zulässig sind. Wählen Sie im Dropdown-Menü oben auf der Seite „Quantum Compute“ aus. Um eine detailliertere Liste anzuzeigen, klicken Sie auf die Zahl in der Spalte neben dem Namen der Rolle. Wenn Sie beispielsweise diese Seite aufrufen und auf die Zahl neben der Rolle „Manager“ klicken, sehen Sie, dass diese Rolle die Berechtigung zum Löschen eines Auftrags umfasst (quantum-computing.job.delete).

Die folgende Tabelle enthält Beispiele für einige der Plattformverwaltungsmaßnahmen, die Benutzer im Rahmen des „ IBM Quantum -Compute-Service“ durchführen können.

Die folgende Tabelle enthält Beispiele für einige der Plattformverwaltungsmaßnahmen, die Benutzer im Rahmen des „ IBM Quantum -Compute-Service“ durchführen können.

Nächste Schritte