Überlegungen zur Einrichtung von IBM Quantum Platform für eine Organisation

IBM Quantum® Platform ist das Dashboard für die Instanzen und Workloads des „ IBM Quantum Compute Service“ Ihres „ IBM Cloud® “-Kontos und bietet eine vereinfachte Übersicht über die Zugriffsverwaltung. Ein „ IBM Cloud “-Konto einer Organisation kann mehrere Benutzer und mehrere „Quantum Compute“-Instanzen umfassen, von denen jede über eine eigene Zuweisung verfügt. Das Identitäts- und Zugriffsmanagement (IAM) steuert, welche Benutzer auf welche Serviceinstanzen zugreifen können, sodass Sie die Zusammenarbeit fördern und gleichzeitig den Zugriff bei Bedarf einschränken können. Die Zugriffsverwaltung gewinnt an Bedeutung, wenn Sie Service-Instanzen in kostenpflichtigen Tarifen nutzen. Einen Überblick darüber, wie Konten, Benutzer, Instanzen und Zugriffsrechte zusammenhängen, finden Sie unter „ IBM Cloud -Kontostruktur “. Ausführliche Informationen zu den in diesem Leitfaden behandelten IAM-Konzepten, wie beispielsweise Zugriffsgruppen, Richtlinien, Rollen und Ressourcengruppen, finden Sie in der IAM-Dokumentation unter IBM Cloud.

In diesem Leitfaden werden die Entscheidungen und Abwägungen beschrieben, die bei der Einrichtung von Zugriffsrechten für eine Organisation mit mehreren Service-Instanzen zu treffen sind – beispielsweise bei der Zuweisung einer Instanz pro Team oder Arbeitslast.

Übersicht

Beteiligte Personen

In diesem Leitfaden werden die folgenden Personas erwähnt:

• Benutzer : Eine Person, die Zugriff auf Quantum Compute-Ressourcen ( Service-Instanzen ) erhält und möglicherweise mit anderen Benutzern bei der Nutzung dieser Ressourcen zusammenarbeiten kann. Der Zugriff der Benutzer wird von einem Administrator verwaltet, und sie können keine Service-Instanzen erstellen oder löschen.
• Cloud-Administrator : Ein Inhaber eines „ IBM Cloud “-Kontos, der Eigentümer von „ IBM Quantum “-Compute-Ressourcen ist und verwaltet, welche Benutzer auf diese Ressourcen zugreifen dürfen. Als Eigentümer der Ressource werden dem Administrator alle kostenpflichtigen Ressourcennutzungen in Rechnung gestellt.
• IDP-Administrator : Ein Administrator, der Identitäten und ihre Attribute in einem Identitätsanbieter (IDP) definiert.

Terminologie

In diesem Leitfaden werden die folgenden Begriffe verwendet:

• Ressource : Ein allgemeiner Begriff aus dem „ IBM Cloud “, der sich auf ein Objekt bezieht, das über die Cloud-Benutzeroberfläche, die Befehlszeilenschnittstelle (CLI) oder die API verwaltet werden kann. In diesem Leitfaden bezeichnet der Begriff „Ressource“ eine Instanz des Quantum Compute Service.
• Service-Instanz : Eine Service-Instanz dient dazu, über den „ IBM Quantum -Compute-Service“ auf Cloud-Dienste – insbesondere auf Quantencomputer – zuzugreifen. Dies wird über den Katalog definiert. Sie können mehrere Service-Instanzen auf der Grundlage desselben oder verschiedener Tarife definieren, die Zugriff auf unterschiedliche Quantencomputing-Backends bieten. Weitere Informationen finden Sie in den verfügbaren „ IBM Cloud “-Tarifen.

Planen Sie Ihre Einrichtung

Bevor Sie IBM Quantum Platform für Ihr Unternehmen einrichten, müssen Sie diese Entscheidungen treffen:

• Wie werden Benutzeridentitäten definiert? Sie können Benutzer von „ IBM Cloud “, Benutzer eines anderen Identitätsanbieters (IDP) oder beides einrichten.

  • Wenn Sie einen anderen IDP verwenden, ordnet dann der Cloud-Administrator oder der IDP-Administrator die Benutzer den Zugriffsgruppen zu?
  • Wenn der IDP-Administrator Benutzer anhand dynamischer Regeln zuordnet, benötigen Sie ein benutzerdefiniertes IDP-Benutzerattribut, das als Abgleichschlüssel dient (beispielsweise ein Attribut team ).

• Wie viele Service-Instanzen benötigen Sie, und wofür wird jede einzelne davon verwendet? Wählen Sie die Namen Ihrer Instanzen sorgfältig aus. Immer wenn Sie über die Benutzeroberfläche von „ IBM Quantum Platform “ eine Service-Instanz erstellen, führt die Plattform in Ihrem Namen einen zusätzlichen Aufruf an IAM durch, um eine entsprechende Zugriffsgruppe zu erstellen (mit demselben Namen wie die Instanz, ergänzt um „Collaborators“), die Schreibzugriff auf diese Instanz gewährt. Daher werden Instanznamen gleichzeitig auch zu Namen von Zugriffsgruppen. Dieser zusätzliche Schritt ist nur dann erforderlich, wenn Sie eine Instanz über die Benutzeroberfläche von „ IBM Quantum Platform “ erstellen. Dies tritt nicht auf, wenn Sie die Instanz mithilfe von Terraform, der CLI unter IBM Cloud oder der API unter IBM Cloud erstellen.

  • Workloads gehören zu Service-Instanzen, und Benutzer, die Zugriff auf eine Instanz haben, können deren Workloads einsehen.
  • Service-Instanzen können auf unterschiedlichen Tarifen basieren, wodurch der Zugriff auf verschiedene Backends und Zuweisungen ermöglicht wird.

• Welche Benutzer benötigen Zugriff auf welche Service-Instanzen?

• Sollten Benutzer Workloads löschen können? Die Zuordnung von Workloads zu Service-Instanzen ermöglicht eine bessere Nachverfolgbarkeit der Abrechnungskosten.

• Werden Sie die Zugriffsgruppe verwenden, die automatisch für jede Instanz erstellt wird, eigene zusätzliche Zugriffsgruppen anlegen, einzelnen Benutzern direkt Zugriffsrechte zuweisen oder Instanzen in Ressourcengruppen organisieren?

  • Zugriffsgruppen sind eine praktische und gängige Methode, um den Zugriff von Benutzern auf Ressourcen unter IBM Cloud zu steuern. Jede Service-Instanz, die Sie über die Benutzeroberfläche von „ IBM Quantum Platform “ erstellen, verfügt bereits über eine eigene Zugriffsgruppe namens „Collaborators“. Sie können diese Gruppe unverändert verwenden oder in der „ IBM Cloud “-Konsole weitere Zugriffsgruppen erstellen, um Benutzer nach Teams oder Workloads (zum Beispiel und ml finance) über eine oder mehrere Instanzen hinweg zu gruppieren. Jede Zugriffsgruppe verwendet eine benutzerdefinierte Rolle, die es Benutzern ermöglicht, auf bestimmte Service-Instanzen oder Ressourcengruppen zuzugreifen. Wenn Sie nicht möchten, dass eine Gruppe von Benutzern denselben Zugriff hat, können Sie den Zugriff auch direkt einzelnen Benutzern zuweisen, ohne eine Zugriffsgruppe zu verwenden.
    • Wenn Sie dynamische Regeln auf Basis von IDP-Attributen verwenden, um Benutzer Zugriffsgruppen zuzuordnen, sollten Sie Attributwerte vermeiden, die Teilzeichenfolgen voneinander sind. Wenn Sie beispielsweise und ml chemlab als Attributwerte verwenden, ml würde eine Regel, die mit übereinstimmt, auch mit übereinstimmen chemlab, wodurch versehentlich mehr Zugriff gewährt würde als erwartet. Verwenden Sie eindeutige Werte wie und ml chem-lab, oder fügen Sie Präfixe oder Suffixe hinzu, um unbeabsichtigte Übereinstimmungen von Teilzeichenfolgen zu vermeiden.
  • Ressourcengruppen werden nur dann verwendet, wenn eine klare Trennung der Service-Instanzen gewährleistet sein muss. Wenn Sie eine Service-Instanz über „ IBM Quantum Platform “ erstellen, können Sie auswählen, zu welcher Ressourcengruppe sie gehören soll (und Tags hinzufügen), aber Sie müssen die „ IBM Cloud “-Konsole verwenden, um die Ressourcengruppen zu erstellen oder zu verwalten. Werden in einer Ressourcengruppe weitere Service-Instanzen erstellt, werden diese automatisch allen Benutzern angezeigt, die Zugriff auf die Ressourcengruppe haben, ohne dass die Zugriffsgruppen aktualisiert werden müssen. Wenn Sie sich für die Verwendung von Ressourcengruppen entscheiden, erstellen Sie zunächst Zugriffsgruppen und weisen Sie diese anschließend den Ressourcengruppen zu.
  Note

  Eine Service-Instanz kann nur zu einer einzigen Ressourcengruppe gehören, und diese Zuordnung kann nach der Erstellung der Instanz nicht mehr geändert werden. Daher bieten Ressourcengruppen möglicherweise nicht genügend Flexibilität, falls Service-Instanzen später zwischen Ressourcengruppen verschoben werden müssen.

Überlegungen

Bei der Einrichtung Ihrer Umgebung sollten Sie die folgenden Punkte beachten.

Feinere Rollen definieren

Benutzerdefinierte Rollen können für eine differenziertere Zugriffskontrolle genutzt werden. Beispielsweise benötigen manche Benutzer möglicherweise Vollzugriff, um an Service-Instanzen zu arbeiten, während andere lediglich Lesezugriff auf Service-Instanzen, Programme und Workloads benötigen.

Um dies zu erreichen, definieren Sie zwei verschiedene benutzerdefinierte Rollen, beispielsweise und MLreader MLwriter. Entfernen Sie alle Aktionen zum Abbrechen, Löschen und Aktualisieren aus der benutzerdefinierten MLreader Rolle und fügen Sie alle Aktionen in die benutzerdefinierte MLwriter Rolle ein. Fügen Sie die Rollen anschließend entsprechend zu zwei verschiedenen Zugriffsgruppen hinzu.

Ein Beispiel finden Sie unter „Benutzerdefinierte Rollen einrichten “.

Gemeinsamer Zugriff auf die Arbeitslast

Der Zugriff gilt für Service-Instanzen. Daher können Benutzer mit Schreibzugriff auf eine Instanz (einschließlich über die Zugriffsgruppe „Mitarbeiter“, die automatisch für Instanzen erstellt wird, die über die Benutzeroberfläche von „ IBM Quantum Platform “ angelegt wurden) ihre eigenen Workloads abbrechen, aber auch die Workloads anderer Benutzer in dieser Instanz einsehen und abbrechen. Dies hängt mit der Funktionsweise von IAM zusammen und kann nicht geändert werden.

Hierarchische Strukturen simulieren

Standardmäßig wird der Zugriff für jede Service-Instanz separat verwaltet, beispielsweise über die Zugriffsgruppe „Mitarbeiter“, die automatisch für Instanzen erstellt wird, die über die Benutzeroberfläche unter IBM Quantum Platform angelegt wurden. IAM verfügt über keine integrierte Gruppenhierarchie, aber Sie können eine solche annähernd nachbilden, indem Sie Zugriffsgruppen erstellen, die auf die Service-Instanzen mehrerer Teams verweisen. Benutzer, die umfassende Zugriffsrechte benötigen, müssen lediglich einer „obersten“ Gruppe hinzugefügt werden, anstatt jeder einzelnen Zugriffsgruppe der einzelnen Teams.

Konsistente und wiederholbare Bereitstellung der Konfiguration

Die in dieser Anleitung beschriebenen Schritte lassen sich automatisieren, um eine einheitliche und wiederholbare Verwaltung von Benutzern, Service-Instanzen und den dazwischen bestehenden Zugriffszuordnungen zu gewährleisten. Informationen zu Vorlagen finden Sie in der Dokumentation zum Terraform- IBM Cloud® -Provider.

Mit Terraform können Sie für quantum-computing Service-Instanzen Zuweisungen und Grenzwerte festlegen sowie den Zugriff auf das Backend einschränken. Weitere Informationen finden Sie unter „Erste Schritte mit Terraform“ auf IBM Cloud.

Beispiel:

resource "ibm_resource_instance" "instance1" {
  name       = "name"
  service    = "quantum-computing"
  plan       = "premium"
  location   = "us-east"
  parameters = {
    usage_allocation_seconds = "10" # Mandatory
    usage_limit_seconds      = "20" # Optional. If omitted, it can
            # continue using time after reaching the allocation
    backends                 = ["ibm_boston"] # Optional
  }
}

Nächste Schritte