IBM Cloud IAM: 管理者（アカウント・オーナー）権限を他のユーザにも付与する方法



本記事が古いですので、こちらをご参照ください。

<b>IBM Cloud アカウント所有者と同じ権限を別のユーザーに付与する(2022年12月版)</b>
https://qiita.com/masaffff/items/d78b4ecde12d5b4e5b03


## はじめに　（本記事は2020年9月時点のものとなります）

IBM Cloudを利用する際に、アカウント・オーナーと同等の権限を他のユーザに付与したいといったケースが存在します。その際の手順についてまとめましたのでご参照ください。
（いろいろな人からよく聞かれるので、記事にしました・・・）

ちなみにIBM Cloudのユーザ管理に関するマニュアルはこちらになります。
https://cloud.ibm.com/docs/account?topic=account-iamoverview

<b>IBM Cloudの権限管理（IAM) の基礎知識：</b>
IBM Cloudの権限はIBM Cloud Identity and Access Management(IAM)で管理します。

IAMには4つの権限カテゴリーがあります。
この4つの権限を必要に応じて、それぞれ付与することをイメージする必要があります。
（意識していないと、「サーバへアクセスする権限があっても、ポータル上でケースを起票できない」みたいなことが起こります）

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/239309/06b14458-afe5-9be8-4a3a-1fcc4d43ed88.png)
それぞれの簡単な意味合いは以下になります。

1. <b>Cloud Foundry</b>：<br> Cloud Foundryサービスに対する権限。Cloud Foundryを利用しない場合は無視して良いです。

2. <b>クラシック・インフラストラクチャー</b>：<br>クラッシック・インフラストラクチャー(IaaS)に対する権限。なお、"VPC" や "PowerVM"、"ICOS"は、次の「IAMサービス」で管理するのでご注意ください。

3. <b>IAMサービス</b>：<br> IBM CloudのPaaS系（Watson, DBなど）のサービスに対する権限管理。クラシック・インフラストラクチャーに当てはまらないサービスはこちらで管理することになります。

4. <b>アカウント管理</b>：<br> IBM Cloudのポータル操作（ポータル上のユーザ管理・ケース作成・費用確認など）に対する権限管理。「ケースの作成（IBM Cloudへの問い合わせ）」をする場合には、ここのカテゴリの権限が必要です。

以下のサイトでもIAMの簡単な説明がされておりますので、ご参照ください。
・[IBM Cloud 新しい認証認可の仕組み(IBM Cloud IAM)の概要](https://qiita.com/masaffff/items/231a39d4bda7eac0ee80)
・[IBM Cloud IAM をざっくり把握する](https://qiita.com/MahoTakara/items/9e7cf5d704a3c5a7e21d)

## 管理者権限を付与したユーザの追加手順

ここでは管理者権限を有する新規ユーザを招待するかたちで、アカウント・オーナー権限を付与する方法について記述いたします。

なお、既に「クラシック・インフラストラクチャー」環境が存在する場合には、以下の手順でユーザを招待した後に、既存のクラシック・インフラストラクチャーのサーバ群に権限を付与する作業が発生します。

① 管理者権限を付与したユーザの招待
② 既存の「クラシック・インフラストラクチャー」のサーバ群に対する権限付与

既に管理者権限を付与したいユーザがそのアカウントに招待されている場合には、IAMの「ユーザー」から権限を付与したいユーザを選択し、「アクセス・ポリシー」のタブで以下と同じような設定をしてください。

また、Cloud Foundryについては、本記事には記述していないので、適宜追加で付与してください。

### ① 管理者権限を付与したユーザの招待

<b>１. ポータル画面で右上のところから「アクセス(IAM)」を選択します。</b>
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/239309/0afb6388-f81a-b8eb-1f3e-4d021ee25f5c.png)

<b>２. IAMのトップ画面から、右上の「ユーザの招待」をクリック</b>

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/239309/544768ef-ee7f-a3f4-539f-a4a1b1c980a8.png)

<b>３. メールアドレスの入力</b>

ユーザーの招待画面よりEメール・アドレスに招待したいユーザーのメール・アドレスを入力します。複数のEメール・アドレスを一度に招待する場合は、コンマ、スペース、改行で区切って入力してください（最大100人まで）。その後、「ユーザへの追加のアクセス権限の割り当て」を開いてください。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/239309/45eb9e8c-574e-c690-7c58-50d88fcce6eb.png)

<b>４．「IAMサービス」に対する権限付与</b>
IAMサービス（Powerを含むPaaS系サービス）を選択し、権限を付与（追加ボタンをクリック）してください
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/239309/da6800cd-7fe5-6471-50ad-e143e700aca0.png)

<b>５．「アカウント管理」に対する権限付与</b>
アカウント管理（ポータル作業の権限）を開き、権限を付与（追加ボタンをクリック）してください
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/239309/e555c126-b470-f4d0-9a4a-f846a921c380.png)

<b>６．「クラシック・インフラストラクチャー」に対する権限付与</b>
クラシック・インフラストラクチャー（IaaS）を選択し、権限を付与（追加ボタンをクリック）してください
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/239309/af7195e9-6920-d055-89c8-d79e50692e74.png)

<b>７．ユーザの招待</b>
右側のところで権限が付与されていることを確認し、「招待」をクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/239309/28f3ca3b-9208-5c02-b60d-927e98fcacc9.png)

これで管理者権限をもったユーザを招待することができました。


### ② 「クラシック・インフラストラクチャー(Classic)」のサーバ群に対する権限付与

「クラシック・インフラストラクチャー」を利用する場合には、デバイスに対する権限付与も行う必要がございます。

また、既に「クラシック・インフラストラクチャー」のサーバが存在する場合は、それらに対しての管理権限を付与する必要がございます。
権限が付与されていないと、今のままでは既存のサーバ群をポータル上で確認することはできません。

<b>８．IAM上で権限付与するユーザを選択</b>
左メニュー[ユーザー]を選択し、　該当ユーザーをクリックしてください。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/239309/5fdb1c04-39a5-5ff8-3fc3-a4382e2d8cb0.png)

<b>９．クラッシック・インフラ・ストラクチャーのデバイス管理権限の設定</b>
[デバイス]タブより、[タイプの選択]および[将来のアクセスの有効化]のすべてにチェックを入れて[設定]をクリックしてください。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/239309/2ac791d2-c0cd-0eb1-60c5-3f2f12fba1f5.png)

特に、<b>[将来のアクセスの有効化]をチェックしないと、今後新たにサーバがオーダーされた場合にそれらに対する権限が自動的に付与されません。</b>

<b>１０．VPNアクセス権限付与</b>
必要に応じて、VPN接続許可の権限も付与してください
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/239309/69d373fa-6438-fd0d-5df1-eb70b0a9767c.png)

以上で、既存の「クラシック・インフラストラクチャー」のサーバ群に対しての権限付与が終わりました。

## おわりに

IAMを利用することで、様々な単位（サービスごと・リソースグループごと）で権限付与することが可能です。
また「アクセス・グループ」を利用して、あらかじめ付与したい権限一覧のグループを作成しておき、そのグループを招待するユーザに対して付与することで、４つのカテゴリの権限を一括的に付与するようなことも可能です。

要件や用途に応じて、適宜設定にチャンレンジしてみてください。


以上