4.10 カスタマーポータルのユーザー管理法は？

（2016年時点での内容をアーカイブとして掲載しているため、一部の掲載内容が最新情報とは異なる場合がありますので、ご了承ください。最新のIBM Cloudのアップデート情報は[IBM Cloud アップデート情報](https://www.ibm.com/cloud-computing/jp/ja/cloud-update/) や [柔らか層本](https://ibm.ent.box.com/v/ibmcloud-yawaraka)をご参照ください。）

概要
SoftLayerでは、契約時に割り当てられるプライマリ・アカウント（管理ユーザー（親）とします）のほかに、役割に応じて複数の管理ユーザー（子）を作成し、組織的に運用することができます。 ここでは、複数の管理ユーザー（子）を作成する必要性、管理ユーザー（子）の登録、権限設定の方法などをご紹介します。
 

役割に応じた権限の必要性
アクセス権限管理は、組織体の規模や業務の内容などによって様々な観点があり、運用方法も異なります。 例えば、プロジェクトが多数あり、さらに外部の業者に開発を依頼する場合などでは、各プロジェクト・チーム毎に、管理者を任命してユーザー管理を行うと便利です。 この管理者はチーム内でSoftLayerの管理ユーザー（子）を作成し、適宜アクセス権限の管理も行います。

ここでは、管理ユーザー（親）で、このようなプロジェクト・チームの管理者の管理ユーザー（子）の作成方法を説明していきます。
 

管理ユーザー（子）の作成の概要
このサブ・アカウントの作成には、以下の4つのステップがあります。
 

ユーザー基本情報の登録：ユーザーID、パスワード、氏名、メールアドレスなどの基本的な情報を入力します。
ユーザーの権限設定：カスタマーポータルで閲覧、操作できる範囲を設定します。
デバイスへのアクセス権限設定：カスタマーポータルでアクセスできるサーバー、ファイアウォール、ロードバランサーを設定します。
サブネット・アクセス制御の設定：サブ・アカウントごとにアクセスできるサブネットを設定します。

ここから上記の詳細を順番に見ていきます。
 

ユーザー基本情報の登録
カスタマーポータルから「Account」->「Users」をクリックし、画面の右上にある「Add User」をクリックします。 「Add User - Profile」画面でユーザーの基本情報を入力していきます。 アスタリスク(*)がついている部分が必須入力項目です。 ここでは赤枠の重要な入力項目について説明します。

Status

ユーザー作成の直後、どのような状態にするかを選択します。 デフォルト設定は、「Active」です。 このオプションは、運用中でも必要に応じて、管理ユーザー（親）により変更できます。
 

 Active：ユーザーのすべての権限が直ぐ利用可能な状態
 Disabled：ユーザーは、カスタマーポータル、VPNアクセス、SoftLayer APIが利用できない状態
 Inactive：カスタマーポータルやVPNへのアクセスが60日以上なかったユーザーはこの状態に変更され、カスタマーポータルとVPNにログインできない状態、プライマリ・アカウントにより「Active」に変更可能
 VPN Only：VPNでのみアクセス可能な状態

Login Settings

カスタマーポータルへログインするとき、および、カスタマーポータルへログインしたあとの、対象のユーザーに適用するセキュリティ・オプションを設定します。
 

 User Editable：ユーザー自身でプロファイルの変更可能
 Expire Password In：パスワードの有効期限を設定可能
 Restrict Access to IP：カスタマーポータルへアクセスできるIPアドレスを指定
 Require Security Questions：ログイン時にパスワードの加え、第2要素の認証要求設定

パスワードの設定

VPN Passwordの欄には、SSL VPN接続時のパスワードを設定します。
ユーザー情報の入力が終了したら、「Add User」をクリックします。 これで新規ユーザー登録が完了しました。 ユーザー登録処理が終了すると、自動的に「Permissions」画面に遷移して行きます。

 

ユーザーの権限設定
ユーザーの権限設定とは、カスタマーポータルの操作に関する権限の設定です。 次の図は、ユーザー権限を設定する「Permissions」画面です。 ここでは、チーム・メンバーを作成したり、権限を付与したりすることができるスーパーユーザー権限をもった管理ユーザー（子）を作成します。

権限のタイプは、「Quick Permissions」から選択可能です。 今回は、「Super User」を選択します。 有効になる権限は、次の図のようにチェックボックスへの矢印で確認できます。 「Set Permissions」をクリックすると、実際にチェックが入り、権限構成が仮確定されます。 ここで、必要に応じて個別権限の追加や削除が可能です。 そして管理ユーザー（子）への権限設定を確定するためには、「Add Portal Permissions」をクリックします。

SoftLayerでは、権限タイプを「View Only User」、「Basic User」、「Super User」の3つのテンプレートとして提供しています。 これは、ユーザー毎に個別の権限を設定する煩雑さを避け、ユーザ権限管理を効率的に行うためです。 次は、権限タイプの内容です。
 

 View Only User：カスタマーポータル上の一部情報の閲覧のみが可能な権限セット
 Basic User：チケットによるサポートへの問い合わせや、一部のデバイス、一部のサービスの管理のみが可能な権限セット
 Super User：カスタマーポータルのすべての操作が可能な権限セット

上記のテンプレートに加えて、「Support」、「Device」、「Network」、「Security」、「Services」、「Account」の6つのタイプのカスタマーポータルの操作権限が用意されているので非常に柔軟な設定が可能です。

この管理者ユーザーは、個別の「Add New User」権限を外していないために、必要に応じて管理ユーザー（子）を作成し、各種アクセス権限管理が可能です。 他の管理者ユーザーが作成した管理ユーザー（子）の閲覧や変更はできないようになっています。
 

デバイスへのアクセス権限設定
次は、仮想サーバーや、物理サーバーなどの各デバイスに対するアクセス権限設定をします。 下の図の右端にある「Device Access」アイコンをクリックすると、設定画面が表示されます。

次の図は、各種デバイスへのアクセス権限設定を行う画面です。 デバイスへのアクセス権限設定は、全デバイスに対して一括で設定する方法と、デバイス毎に個別で設定する方法があります。

「All Devices」、「All Virtual Servers」、「All Hardware」のどれかを選択すると、他の管理ユーザー（子）が起動したサーバーなどがアクセスできるようになってしまいます。 今回は、プロジェクト単位に管理を分けることから、「Quick Access」タイプを「None」にします。 この場合、自分で注文したサーバーや、あるいは画面の下段の赤枠のように明示的にアクセス権が許可されたデバイスのみにアクセス権を持ちます。

「Update Device Access」をクリックし、アクセス権限を確定します。
新規に追加されたデバイスへ自動的にアクセス権を許可するオプションがあります。 アクセスを許可する場合は、「Automatically grant access when new devices are added.」 にチェックを入れ、アクセスを許可しない場合は、チェックを外しておきます。

これで、プロジェクト・チームに限定した管理者ユーザーの権限設定ができました。
 

サブネット・アクセス制御の設定
ここまでの設定は、カスタマーポータル上での操作に関わるものでした。 管理ユーザー（子）がアクセスできるサブネットを指定することでセキュリティを高めていきます。 このアクセス制御を利用するには、VPN接続である必要があります。

サブ・アカウントのアクセス制御の設定は、カスタマーポータルから「Account」->「Users」をクリックし、ユーザーのリストを表示してから、対象ユーザーの「VPN Access」列の「None」をクリックして行います。 次の図は、VPNアクセス権限を設定する画面です。 今回のユーザーに対して、VPNのタイプはプロジェクトの基本方針に従ってSSLにします。 接続するサブネットは「Subnet Access」を「Manual」にしてサブネット一覧を表示してから、Webアプリ開発用に割り当てられている赤枠のサブネットを選択します。


「VPN Type」には、次の4つがあり、Windows、Mac、LinuxからVPN接続する場合に限定されたアクセス制御です。
 

 None：VPNアクセスを許可しない
 SSL：SSLVPNでのアクセスを許可
 PPTP：PPTPでのアクセスを許可
 SSL & PPTP：SSLVPN、PPTPの両方でアクセスを許可

VPNアクセスに関する詳細な情報は、「2.8 VPNでアクセス先を制限するには？」を参照してください。

これでプロジェクト内のSoftLayer管理者のための管理ユーザー（子）の作成が完了しました。