Informazioni sulla gestione delle identità e degli accessi di BlueXP
Suggerisci modifiche
PDF
La gestione delle identità e degli accessi (IAM, Identity and Access Management) di BlueXP consente di organizzare e controllare l'accesso alle risorse NetApp. È possibile organizzare le risorse in base alla gerarchia dell'organizzazione. Ad esempio, è possibile organizzare le risorse in base alla posizione geografica, al sito o all'unità aziendale. È quindi possibile assegnare i ruoli IAM ai membri in determinate parti della gerarchia, impedendo così l'accesso alle risorse presenti in altre parti della gerarchia.
Come funziona BlueXP IAM
BlueXP IAM consente di concedere l'accesso alle risorse assegnando agli utenti ruoli di accesso a parti specifiche della gerarchia. Ad esempio, a un membro può essere assegnato il ruolo di amministratore di cartella o di progetto per un progetto con cinque risorse.
Quando si utilizza BlueXP IAM, è possibile gestire i seguenti componenti:
-
L'organizzazione
-
Cartelle
-
Progetti
-
Risorse
-
Membri
-
Ruoli e autorizzazioni
-
Connettori
Le risorse BlueXP sono organizzate gerarchicamente:
-
L'organizzazione è la parte superiore della gerarchia.
-
Le cartelle sono derivate dall'organizzazione o da un'altra cartella.
-
I progetti sono figli dell'organizzazione o di una cartella.
-
Le risorse sono associate a una o più cartelle o progetti.
L'immagine seguente illustra questa gerarchia a un livello di base.
Organizzazione
Un organization è il livello superiore del sistema IAM di BlueXP e rappresenta generalmente la vostra azienda. L'organizzazione è composta da cartelle, progetti, membri, ruoli e risorse. I connettori sono associati a progetti specifici nell'organizzazione.
Cartelle
Una cartella consente di raggruppare i progetti correlati e separarli dagli altri progetti dell'organizzazione. Ad esempio, una cartella potrebbe rappresentare una posizione geografica (UE o USA Est), un sito (Londra o Toronto) o una business unit (ingegneria o marketing).
Le cartelle possono contenere progetti, altre cartelle o entrambi. La creazione delle cartelle è facoltativa.
Progetti
Un project rappresenta un'area di lavoro in BlueXP a cui i membri dell'organizzazione accedono da BlueXP Canvas per gestire le risorse. Ad esempio, un progetto può includere un sistema Cloud Volumes ONTAP, un cluster ONTAP on-premise o un file system FSX per ONTAP.
Un'organizzazione può avere uno o molti progetti. Un progetto può risiedere direttamente sotto l'organizzazione o all'interno di una cartella.
Risorse
Un resource è un ambiente di lavoro creato o scoperto in BlueXP .
Quando si crea o si rileva una risorsa, la risorsa viene associata al progetto attualmente selezionato. Potrebbe essere l'unico progetto a cui si desidera associare questa risorsa. Tuttavia, è possibile scegliere di associare la risorsa a progetti aggiuntivi all'interno dell'organizzazione.
Ad esempio, è possibile associare un sistema Cloud Volumes ONTAP a un progetto aggiuntivo o a tutti i progetti dell'organizzazione. La modalità di associazione di una risorsa dipende dalle esigenze dell'organizzazione.
|
È inoltre possibile associare un connettore a un'altra cartella o progetto dell'organizzazione. Ulteriori informazioni sull'uso dei connettori con BlueXP IAM. |
Quando associare una risorsa a una cartella
È inoltre possibile associare una risorsa a una cartella, ma questa opzione è facoltativa e soddisfa le esigenze di un caso di utilizzo specifico.
Un amministratore dell'organizzazione potrebbe associare una risorsa a una cartella per consentire a un amministratore della cartella o del progetto di collegare tale risorsa ai progetti appropriati nella cartella.
Ad esempio, supponiamo di avere una cartella che contiene due progetti:
L'amministratore dell'organizzazione può associare una risorsa alla cartella:
Associare una risorsa a una cartella non la rende accessibile a tutti i progetti: solo l'amministratore della cartella o del progetto può vederla. L'amministratore della cartella o del progetto decide quali progetti possono accedervi e associa la risorsa ai progetti appropriati.
In questo esempio, l'amministratore associa la risorsa al progetto A:
I membri che dispongono delle autorizzazioni per il progetto A possono ora accedere alla risorsa.
Membri
I membri dell'organizzazione sono account utente o account di servizio. Un account di servizio viene in genere utilizzato da un'applicazione per completare attività specifiche senza l'intervento umano.
Ogni organizzazione include almeno un utente con il ruolo di Amministratore organizzazione (BlueXP assegna automaticamente questo ruolo all'utente che crea l'organizzazione). È possibile aggiungere altri membri all'organizzazione e assegnare autorizzazioni diverse a diversi livelli della gerarchia delle risorse.
Ruoli e autorizzazioni
In BlueXP IAM, non si concedono autorizzazioni direttamente ai membri dell'organizzazione. Invece, si concede a ciascun membro un ruolo. Un ruolo contiene una serie di autorizzazioni che consente a un membro di eseguire azioni specifiche a un livello specifico della gerarchia delle risorse.
Concedere autorizzazioni a un livello gerarchico specifico limita l'accesso alle risorse di cui un membro ha bisogno e ai servizi che può utilizzare con tali risorse.
Dove è possibile assegnare ruoli nella gerarchia
Quando si associa un membro a un ruolo, è necessario selezionare l'intera organizzazione, una cartella specifica o un progetto specifico. Il ruolo selezionato fornisce a un membro le autorizzazioni per le risorse nella parte selezionata della gerarchia.
Ereditarietà dei ruoli
Quando si assegna un ruolo, il ruolo viene ereditato dalla gerarchia dell'organizzazione:
- Organizzazione
-
Concedere a un membro un ruolo di accesso a livello di organizzazione gli conferisce le autorizzazioni per accedere a tutte le cartelle, progetti e risorse.
- Cartelle
-
Quando si concede un ruolo di accesso a livello di cartella, tutte le cartelle, i progetti e le risorse nella cartella ereditano quel ruolo.
Ad esempio, se si assegna un ruolo a livello di cartella e tale cartella ha tre progetti, il membro disporrà delle autorizzazioni per questi tre progetti e per le risorse associate.
- Progetti
-
Quando si concede un ruolo di accesso a livello di progetto, tutte le risorse associate a quel progetto ereditano quel ruolo.
Ruoli multipli
È possibile assegnare a ciascun membro dell'organizzazione un ruolo a diversi livelli della gerarchia dell'organizzazione. Può avere lo stesso ruolo o un ruolo diverso. Ad esempio, è possibile assegnare un ruolo membro A per il progetto 1 e il progetto 2. In alternativa, è possibile assegnare un ruolo membro A per il progetto 1 e un ruolo B per il progetto 2.
Ruoli di accesso
BlueXP supporta diversi ruoli predefiniti che è possibile assegnare ai membri dell'organizzazione.
Connettori
Quando un amministratore di organizzazione crea un connettore, BlueXP associa automaticamente tale connettore all'organizzazione e al progetto attualmente selezionato. L'amministratore dell'organizzazione ha automaticamente accesso a quel connettore da qualsiasi punto dell'organizzazione. Tuttavia, se nell'organizzazione sono presenti altri membri con ruoli diversi, tali membri possono accedere a tale connettore solo dal progetto in cui è stato creato, a meno che non si associ tale connettore ad altri progetti.
Puoi rendere disponibile un connettore per un altro progetto nei seguenti casi:
-
Si desidera consentire ai membri dell'organizzazione di utilizzare un connettore esistente per creare o rilevare ambienti di lavoro aggiuntivi in un altro progetto
-
Una risorsa esistente è stata associata a un altro progetto e tale risorsa è gestita da un connettore
Se una risorsa associata a un progetto aggiuntivo viene rilevata tramite un connettore BlueXP, è necessario associare il connettore anche al progetto a cui la risorsa è ora associata. In caso contrario, il connettore e la risorsa associata non saranno accessibili dall'area di disegno BlueXP da parte dei membri che non dispongono del ruolo di Amministratore organizzazione.
È possibile creare un'associazione dalla pagina connettori in BlueXP IAM:
-
Associare un connettore a un progetto
Quando si associa un connettore a un progetto, tale connettore è accessibile dall'area di lavoro BlueXP durante la visualizzazione del progetto.
-
Associare un connettore a una cartella
L'associazione di un connettore a una cartella non rende automaticamente accessibile il connettore da tutti i progetti nella cartella. I membri dell'organizzazione non possono accedere a un connettore da un progetto finché non si associa il connettore a quel progetto specifico.
Un amministratore di organizzazione potrebbe associare un connettore a una cartella in modo che amministratore di cartella o progetto possa decidere di associare quel connettore ai progetti appropriati che risiedono nella cartella.
Esempi di IAM
Questi esempi mostrano come potresti impostare la tua organizzazione.
Organizzazione semplice
Il diagramma seguente mostra un semplice esempio di un'organizzazione che utilizza il progetto predefinito senza cartelle. Un singolo membro gestisce l'intera organizzazione.
Organizzazione avanzata
Il diagramma seguente mostra un'organizzazione che utilizza le cartelle per organizzare i progetti per ogni posizione geografica dell'azienda. Ogni progetto dispone di una propria serie di risorse associate. I membri includono un amministratore dell'organizzazione e un amministratore per ciascuna cartella dell'organizzazione.
Cosa puoi fare con BlueXP IAM
Gli esempi seguenti descrivono come utilizzare IAM per gestire l'organizzazione BlueXP :
-
Assegnare ruoli specifici a membri specifici in modo che possano completare solo le attività richieste.
-
Modificare le autorizzazioni dei membri perché hanno spostato i reparti o perché hanno responsabilità aggiuntive.
-
Rimuovere un utente che ha lasciato l'azienda.
-
Aggiungere cartelle o progetti alla gerarchia poiché una nuova business unit ha aggiunto lo spazio di archiviazione NetApp.
-
Associare una risorsa a un altro progetto perché tale risorsa ha capacità che un altro team può utilizzare.
-
Visualizzare le risorse a cui un membro può accedere.
-
Visualizzare i membri e le risorse associati a un progetto specifico.