アクセスグループとポリシーを作成する

IBM Quantum® Platform でインスタンスを作成すると、共同作業者がそのインスタンスを使用するためのアクセスグループが自動的に生成されます。 そのアクセスグループをカスタマイズしたり、他のアクセスグループを作成したりする場合は、 アクセスグループ用の IBM® Cloud コンソールを使用します。

アクセスグループには、アクセスグループのメンバーがサービスなどの特定のリソースに対して実行できるアクションを定義するポリシーが含まれます。 このガイドでは、リソースは一般的に IBM Quantum サービスインスタンスである。

IBM Cloud® コンソール、 CLI、 API、 またはTerraform を使用して、追加のアクセスグループを作成できます。

IBM Quantum 管理者アクセスグループを作成する

組織のアカウントを設定した後、「 IBM Quantum 」の管理者アクセスグループを作成することをお勧めします。 このアクセスグループにより、他のユーザーはインスタンスの作成および管理、ならびに IBM Quantum Compute Serviceのユーザーアクセス権限の管理を行うことができます。

このアクセスグループを作成する際には、以下のポリシーを含める：

• IBM Quantum Compute Service - アカウント内のすべての IBM Quantum インスタンスを管理し、アカウントの使用状況分析を表示するためのアクセス権を付与します。
  • マネージャー・ サービス・アクセス・ロール
  • 管理者プラットフォーム管理アクセスロール
• すべてのアカウント管理サービス - アカウント内のすべてのリソースグループのリストへのアクセスを許可します。
  • ビューアプラットフォーム管理アクセスロール
• すべてのIAMアカウント管理サービス - ユーザーを招待するためのアクセス権の付与、アクセスグループの管理、アクセスポリシーの作成。
  • 管理者プラットフォーム管理アクセスロール
• サポートセンターサービス - ユーザーが IBM Cloud サポートセンターを通じてサポートケースを開くことができるよう、アクセス権を付与する。
  • 管理者プラットフォーム管理アクセスロール

ibmcloud iam access-group-policy-create \
 (<group name> --roles Viewer --resource-type resource-group)
      --resource-type resource-group)

以下の例に従って、 IBM Cloud CLIまたはコンソールを使用して、 IBM Quantum Administratorsアクセスグループを作成してください。

IBM Cloud CLI を使用する

CLIを使用してアクセス・グループを作成するには ibmcloud iam access-group-create コマンドを使用します。

ibmcloud iam access-group-create GROUP_NAME [-d, --description DESCRIPTION]

CLIを使ってアクセスグループポリシーを作成するには ibmcloud iam access-group-policy-create コマンドを使用します。

ibmcloud iam access-group-policy-create GROUP_NAME \
        {-f, --file @JSON_FILE | --roles ROLE_NAME1,ROLE_NAME2... \
        [--service-name SERVICE_NAME] \
        [--service-instance SERVICE_INSTANCE] [--region REGION] \
        [--resource-type RESOURCE_TYPE] [--resource RESOURCE] \
        [--resource-group-name RESOURCE_GROUP_NAME] \
        [--resource-group-id RESOURCE_GROUP_ID]}

次の JSON コードを使用して、Administrators アクセス グループ用のポリシーを作成できます：

• すべてのアカウント・マネジメント・サービス（ビューア）

{
    "type": "access",
    "roles": [
        {
            "role_id": "crn:v1:bluemix:public:iam::::role:Viewer"
        }
    ],
    "resources": [
        {
            "attributes": [
                {
                    "name": "accountId",
                    "value": "[ACCOUNT_ID]"
                },
                {
                    "name": "serviceType",
                    "value": "platform_service"
                }
            ]
        }
    ]
}

• IBM Quantum コンピューティングサービス（マネージャー、管理者）

{
    "type": "access",
    "roles": [
        {
            "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Manager"
        },
        {
            "role_id": "crn:v1:bluemix:public:iam::::role:Administrator"
        }
    ],
    "resources": [
        {
            "attributes": [
                {
                    "name": "accountId",
                    "value": "[ACCOUNT_ID]"
                },
                {
                    "name": "serviceName",
                    "value": "quantum-computing"
                }
            ]
        }
    ]
}

• すべてのIAMアカウント管理サービス（管理者）

{
    "type": "access",
    "roles": [
        {
            "role_id": "crn:v1:bluemix:public:iam::::role:Administrator"
        }
    ],
    "resources": [
        {
            "attributes": [
                {
                    "name": "accountId",
                    "value": "[ACCOUNT_ID]"
                },
                {
                    "name": "service_group_id",
                    "value": "IAM"
                }
            ]
        }
    ]
}

• サポートセンターサービス（管理者）

{
    "type": "access",
    "roles": [
        {
            "role_id": "crn:v1:bluemix:public:iam::::role:Administrator"
        },
    ],
    "resources": [
        {
            "attributes": [
                {
                    "name": "accountId",
                    "value": "[ACCOUNT_ID]"
                },
                {
                    "name": "serviceName",
                    "value": "support"
                }
            ]
        }
    ]
}

IBM Cloud のIAMコンソールを使用する

アカウントの所有者または管理者として、以下の手順に従って IBM Quantum Administrator アクセスグループを作成してください。

1. IBM Cloud コンソールの Manage > Access (IAM) にアクセスする。
2. 左側のパネルの「 Manage access（アクセス管理）」 セクションで「 Access groups（アクセスグループ） 」をクリックし、「 Create（作成） 」をクリックします。
3. 開いたアクセスグループの作成ウィンドウで、招待するユーザーグループを表す名前と説明を追加します。 例えば、 IBM Quantum Administrators。 「作成 (Create)」 をクリックします。

次に、 IBM Quantum Compute Service、すべてのIAMアカウント管理サービス、およびすべてのアカウント管理サービスに対するポリシーを作成します。

1. 作成したアクセスグループで、 「アクセス」 タブをクリックし、「 アクセス権の割り当て 」をクリックします。

2. 開いたポリシーの作成ページで、これらの要素を定義します：

   • サービス - 「Quantum Compute」を検索して選択します。 **「次へ」**をクリックします。
   • リソース - すべてのリソースを選択します。 次へ をクリックします。 注：特定のインスタンスにのみ適用するポリシーを作成する場合は、代わりに「 Specific resources（特定のリソース ）」、「 Service instance（サービス・インスタンス ）」、「 string equals（文字列イコール） 」を選択し、インスタンスを選択します。
   • 役割とアクション - 以下の値を選択する：
     • サービスアクセスでは、 マネージャーを選択します。
     • プラットフォームへのアクセスは、 Administrator を選択します。

   一番下で Addをクリック。 右側のパネルにポリシーが表示されるはずです。 そのパネルの一番下にある Assignをクリックします。

これで、1つのポリシーでアクセスグループが作成できました。 次に、同じインスタンスに対して2つ目のポリシーを作成する。

1. 同じアクセスグループで、 「アクセス」 タブをクリックし、「 アクセスの割り当て 」をクリックします。
2. 開いたポリシーの作成ページで、これらの要素を定義します：
   • サービス ] - [ すべての IAM アカウント管理サービス ] を選択します。 次へ をクリックします。
   • Roles and actions（役割とアクション ）] - [Platform access（プラットフォームアクセス）] では、 [Administrator] を選択し、[ Next] をクリックします。 一番下で Addをクリックし、 Assignをクリックします。

同じインスタンスに対して3つ目のポリシーを作成する。

1. 同じアクセスグループで、 「アクセス」 タブをクリックし、「 アクセスの割り当て 」をクリックします。
2. 開いたポリシーの作成ページで、これらの要素を定義します：
   • サービス - すべてのアカウント管理サービスを選択します。 次へ をクリックします。
   • Roles and actions（役割とアクション ） - Platform access（プラットフォーム・アクセス）では、 Viewer（ビューア ）を選択し、 Next（次へ ）をクリックします。 一番下で Addをクリックし、 Assignをクリックします。

同じインスタンスに4つ目のポリシーを作成する。

1. 同じアクセスグループで、 「アクセス」 タブをクリックし、「 アクセスの割り当て 」をクリックします。
2. 開いたポリシーの作成ページで、これらの要素を定義します：
   • サービス - サポートセンターを選択してください。 次へ をクリックします。
   • 役割とアクション - プラットフォームへのアクセスでは、 管理者を選択します。 次へ をクリックします。 一番下で Addをクリックし、 Assignをクリックします。

最後に、アクセスグループにユーザーを追加する。 これは、アクセスグループの「 ユーザー」 ページから行うか、 IBM Quantum Platform Access 管理ページを使用して行うことができます。

権限を比較する

次の表は、アカウント所有者、 IBM Quantum 管理者 （ IBM Quantum 管理者アクセスグループの作成セクションを参照）、およびインスタンス共同作業者（ IBM Quantum Platform を使用してインスタンスを作成するたびに、「Collaborators」アクセスグループが自動的に生成されます）の 3 つのエンティティに付与される権限を示しています。

キー:

許可を得ている

✴️ 依存関係を伴う

❌ 許可がない

事前定義されたサービスロールアクションを比較する

以下の表は、定義済みのサービス・ロール・アクションで実行できるアクションの例を示しています：マネージャー，ライター，リーダー． Quantum Service のロールとアクションの完全な対応付けについては、 IBM Cloud 製品ガイドのこの表を参照してください。

次のステップ