Considerazioni sulla configurazione della piattaforma IBM Quantum per un'organizzazione

IBM Quantum® Platform è la dashboard dedicata alle istanze e ai carichi di lavoro del servizio di elaborazione IBM Quantum del tuo account IBM Cloud® e offre una panoramica semplificata della gestione degli accessi. L'account IBM Cloud di un'organizzazione può avere più utenti e più istanze di Quantum Compute, ciascuna con la propria allocazione. La gestione delle identità e degli accessi (IAM) controlla quali utenti possono accedere a quali istanze di servizio, consentendo così di favorire la collaborazione e, al contempo, limitare la visibilità dove necessario. La gestione degli accessi assume maggiore rilevanza se si dispone di istanze di servizio con piani a pagamento. Per una panoramica su come si integrano tra loro account, utenti, istanze e accessi, consulta la struttura degli account di IBM Cloud. Per informazioni complete sui concetti relativi a IAM citati in questa guida, quali gruppi di accesso, politiche, ruoli e gruppi di risorse, consultare la documentazione di IAM all’indirizzo IBM Cloud.

La presente guida illustra le decisioni e i compromessi da considerare nella configurazione degli accessi per un'organizzazione con più istanze di servizio — ad esempio, l'assegnazione di un'istanza per ogni team o carico di lavoro.

Panoramica

Persone coinvolte

Nella presente guida vengono citati i seguenti personaggi:

• Utente : una persona che ha accesso alle risorse di Quantum Compute ( istanze di servizio ) e che può potenzialmente collaborare con altri utenti su tali risorse. L'accesso degli utenti è gestito da un amministratore e gli utenti non possono creare né eliminare istanze del servizio.
• Amministratore cloud : titolare di un account IBM Cloud che possiede risorse di Compute dell' IBM Quantum e gestisce quali utenti possono accedere a tali risorse. In qualità di titolare della risorsa, l’amministratore è tenuto a pagare eventuali costi relativi all’utilizzo delle risorse a pagamento.
• Amministratore IDP : Un amministratore che definisce le identità e i loro attributi in un provider di identità (IDP).

Terminologia

Questa guida utilizza i seguenti termini:

• Risorsa : termine generico di IBM Cloud che indica un oggetto gestibile tramite l'interfaccia utente del Cloud, la CLI o l'API. Ai fini della presente guida, per “risorsa ” si intende un’istanza del Quantum Compute Service.
• Istanza di servizio : un’istanza di servizio viene utilizzata per accedere ai servizi cloud, in particolare ai computer quantistici, tramite il servizio di comput IBM Quantum. Viene definito tramite il catalogo. È possibile definire diverse istanze di servizio basate su piani identici o diversi, che offrono l'accesso a diversi backend di calcolo quantistico. Per ulteriori dettagli, consulta i piani “ IBM Cloud ” disponibili.

Pianifica la tua configurazione

Prima di configurare IBM Quantum Platform per la vostra organizzazione, dovete prendere queste decisioni:

• Come vengono definite le identità degli utenti? È possibile configurare utenti di IBM Cloud, utenti provenienti da un altro provider di identità (IDP) o entrambi.

  • Se si utilizza un IDP diverso, è l'amministratore del Cloud o l'amministratore dell'IDP ad assegnare gli utenti ai gruppi di accesso?
  • Se l'amministratore dell'IDP assegna gli utenti tramite regole dinamiche, è necessario un attributo utente IDP personalizzato da utilizzare come chiave di corrispondenza (ad esempio, un attributo team ).

• Di quante istanze di servizio avete bisogno e a cosa servirà ciascuna di esse? Scegliete con cura i nomi delle vostre istanze. Ogni volta che si crea un'istanza di servizio tramite l'interfaccia utente di IBM Quantum Platform, la piattaforma effettua una chiamata aggiuntiva a IAM per conto dell'utente al fine di creare un gruppo di accesso corrispondente (con lo stesso nome dell'istanza, seguito dal termine "Collaborators") che concede l'accesso in scrittura a tale istanza. Pertanto, i nomi delle istanze diventano anche nomi dei gruppi di accesso. Questo passaggio aggiuntivo viene eseguito solo quando si crea un'istanza tramite l'interfaccia utente di IBM Quantum Platform. Ciò non accade se si crea l'istanza utilizzando Terraform, la CLI di IBM Cloud o l'API di IBM Cloud.

  • I carichi di lavoro appartengono alle istanze di servizio e gli utenti che hanno accesso a un'istanza possono visualizzarne i carichi di lavoro.
  • Le istanze del servizio possono basarsi su piani diversi, consentendo l'accesso a diversi backend e allocazioni.

• Quali utenti devono accedere a quali istanze del servizio?

• Gli utenti dovrebbero poter eliminare i carichi di lavoro? Mantenere i carichi di lavoro nelle istanze di servizio garantisce una maggiore tracciabilità ai fini della fatturazione dei costi.

• Intendi utilizzare il gruppo di accesso creato automaticamente per ciascuna istanza, creare ulteriori gruppi di accesso personalizzati, assegnare l'accesso direttamente ai singoli utenti oppure organizzare le istanze in gruppi di risorse?

  • I gruppi di accesso rappresentano un metodo pratico e diffuso per controllare l'accesso degli utenti alle risorse di IBM Cloud. Ogni istanza di servizio creata tramite l'interfaccia utente di IBM Quantum Platform dispone già di un proprio gruppo di accesso denominato "Collaboratori". È possibile utilizzare quel gruppo così com'è oppure creare ulteriori gruppi di accesso nella console di IBM Cloud per raggruppare gli utenti per team o carico di lavoro (ad esempio, ml e finance) su una o più istanze. Ogni gruppo di accesso utilizza un ruolo personalizzato che consente agli utenti di accedere a specifiche istanze di servizio o gruppi di risorse. Se non è necessario che un gruppo di utenti condivida lo stesso accesso, è possibile assegnare l'accesso direttamente ai singoli utenti, senza ricorrere a un gruppo di accesso.
    • Se si utilizzano regole dinamiche basate sugli attributi IDP per assegnare gli utenti ai gruppi di accesso, evitare valori di attributi che siano sottostringhe l'uno dell'altro. Ad esempio, se si utilizzano e ml chemlab come valori degli attributi, una regola che corrisponde a ml corrisponderebbe anche a chemlab, concedendo inavvertitamente un accesso maggiore del previsto. Utilizza valori univoci come e ml chem-lab, oppure aggiungi prefissi o suffissi per evitare corrispondenze involontarie di sottostringhe.
  • I gruppi di risorse vengono utilizzati solo quando è necessario mantenere una chiara separazione tra le istanze del servizio. Quando si crea un'istanza di servizio da IBM Quantum Platform, è possibile selezionare il gruppo di risorse a cui appartiene (e aggiungere tag), ma per creare o gestire i gruppi di risorse è necessario utilizzare la console IBM Cloud. Se in un gruppo di risorse vengono create ulteriori istanze di servizio, tutti gli utenti che hanno accesso al gruppo di risorse le vedranno automaticamente, senza bisogno di aggiornare i gruppi di accesso. Se si sceglie di utilizzare i gruppi di risorse, creare innanzitutto i gruppi di accesso e poi assegnarli ai gruppi di risorse.
  Note

  Un'istanza di servizio può appartenere a un solo gruppo di risorse e tale assegnazione non può essere modificata dopo la creazione dell'istanza. Pertanto, i gruppi di risorse potrebbero non garantire una flessibilità sufficiente nel caso in cui, in un secondo momento, fosse necessario spostare le istanze di servizio da un gruppo di risorse all'altro.

Considerazioni

Durante la configurazione dell'ambiente, è necessario tenere conto delle seguenti considerazioni.

Definire ruoli più dettagliati

I ruoli personalizzati possono essere utilizzati per un controllo degli accessi più dettagliato. Ad esempio, alcuni utenti potrebbero aver bisogno di un accesso completo per lavorare sulle istanze di servizio, mentre altri potrebbero aver bisogno solo di un accesso in lettura alle istanze di servizio, ai programmi e ai carichi di lavoro.

Per farlo, definisci due diversi ruoli personalizzati, ad esempio MLreader e MLwriter. Rimuovere tutte le azioni di annullamento, eliminazione e aggiornamento dal ruolo personalizzato MLreader e includere tutte le azioni nel ruolo personalizzato MLwriter . A questo punto, aggiungi i ruoli ai due diversi gruppi di accesso, come previsto.

Per un esempio, consulta la sezione " Configurazione dei ruoli personalizzati".

Accesso condiviso al carico di lavoro

L'accesso si applica alle istanze del servizio. Pertanto, gli utenti con diritti di scrittura su un'istanza (anche tramite il gruppo di accesso "Collaboratori" creato automaticamente per le istanze generate dall'interfaccia utente IBM Quantum Platform ) possono annullare i propri carichi di lavoro, ma possono anche visualizzare e annullare i carichi di lavoro di altri utenti presenti in quell'istanza. Si tratta di una caratteristica del funzionamento di IAM che non può essere modificata.

Simulare strutture gerarchiche

Per impostazione predefinita, l'accesso a ciascuna istanza di servizio viene gestito in modo indipendente, ad esempio tramite il gruppo di accesso "Collaboratori" creato automaticamente per le istanze generate tramite l'interfaccia utente di IBM Quantum Platform. IAM non dispone di una gerarchia di gruppi integrata, ma è possibile ricrearne una approssimativa creando gruppi di accesso che fanno riferimento alle istanze di servizio di più team. Gli utenti che necessitano di un accesso esteso devono essere aggiunti solo a un gruppo di "livello superiore", anziché ai singoli gruppi di accesso di ciascun team.

Implementazione coerente e ripetibile della configurazione

I passaggi descritti in questa guida possono essere automatizzati per garantire una gestione coerente e ripetibile degli utenti, delle istanze di servizio e delle mappature di accesso tra di essi. Per i modelli, consultare la documentazione del provider Terraform " IBM Cloud® ".

È possibile utilizzare Terraform per impostare l'allocazione e i limiti, nonché per limitare l'accesso al backend, per le istanze di servizio quantum-computing . Per ulteriori informazioni, consulta la guida "Introduzione a Terraform" all'indirizzo IBM Cloud.

Esempio:

resource "ibm_resource_instance" "instance1" {
  name       = "name"
  service    = "quantum-computing"
  plan       = "premium"
  location   = "us-east"
  parameters = {
    usage_allocation_seconds = "10" # Mandatory
    usage_limit_seconds      = "20" # Optional. If omitted, it can
            # continue using time after reaching the allocation
    backends                 = ["ibm_boston"] # Optional
  }
}

Passi successivi