Міркування щодо налаштування IBM Quantum Platform для організації

IBM Quantum® Platform — це панель керування для екземплярів IBM Quantum Compute Service та навантажень твого облікового запису IBM Cloud®, а також надає спрощений вигляд керування доступом. Обліковий запис IBM Cloud організації може мати кількох користувачів і кілька екземплярів Quantum Compute, кожен зі своїм власним розподілом. Identity and Access Management (IAM) контролює, які користувачі можуть отримати доступ до яких екземплярів сервісу, тож ти можеш забезпечити співпрацю, обмежуючи видимість там, де це потрібно. Керування доступом стає більш актуальним, якщо у тебе є екземпляри сервісу на платних планах. Дивись Структура облікового запису IBM Cloud для огляду того, як облікові записи, користувачі, екземпляри та доступ поєднуються між собою. Звернись до документації IBM Cloud IAM для повних деталей про концепції IAM, згадані в цьому посібнику, такі як групи доступу, політики, ролі та групи ресурсів.

Цей посібник описує рішення та компроміси, пов'язані з налаштуванням доступу для організації з кількома екземплярами сервісу — наприклад, призначення одного екземпляра на команду або навантаження.

примітка

Якщо твоя організація має кілька облікових записів IBM Cloud — наприклад, окремі облікові записи для кожного бізнес-підрозділу, кожен зі своїми екземплярами Quantum Compute — ти можеш об'єднати їх під одним обліковим записом IBM Cloud Enterprise, який має один головний обліковий запис, відповідальний за виставлення рахунків, та один або декілька дочірніх облікових записів. Щоб перерозподілити квоту (розподіл) Premium або Flex Plan між дочірніми обліковими записами, звернись до служби підтримки IBM Quantum через Центр підтримки IBM Cloud. Дивись документацію про обліковий запис IBM Cloud Enterprise для повних деталей.

Огляд

примітка

IBM Cloud® надає кілька способів реалізації механізмів, описаних у цьому посібнику. Більшість кроків є загальними для IBM Cloud і не стосуються виключно Quantum Compute, за винятком деталей щодо користувацьких ролей.

Задіяні персони

У цьому посібнику згадуються такі персони:

• Користувач: Людина, яка отримує доступ до ресурсів Quantum Compute (екземплярів сервісу) і може потенційно співпрацювати з іншими користувачами над цими ресурсами. Доступ користувачів контролюється адміністратором, і вони не можуть створювати або видаляти екземпляри сервісу.

• Адміністратор хмари: Власник облікового запису IBM Cloud, який володіє ресурсами IBM Quantum Compute і керує тим, які користувачі можуть отримувати до них доступ. Як власник ресурсів, адміністратор несе витрати за будь-яке платне використання ресурсів.

• Адміністратор IDP: Адміністратор, який визначає ідентичності та їхні атрибути в постачальнику ідентичностей (IDP).

Термінологія

У цьому посібнику використовуються такі терміни:

• Ресурс: Загальний термін IBM Cloud, що позначає об'єкт, яким можна керувати через інтерфейс користувача Cloud, CLI або API. У цьому посібнику ресурс — це екземпляр IBM Quantum Compute Service.

• Екземпляр сервісу: Екземпляр сервісу використовується для доступу до хмарних сервісів — зокрема, до квантових комп'ютерів через IBM Quantum Compute Service. Він визначається через каталог. Можна визначити кілька екземплярів сервісу на основі однакових або різних планів, що надають доступ до різних квантових обчислювальних бекендів. Докладніше дивись у розділі Доступні плани IBM Cloud.

Сплануй своє налаштування

Перш ніж налаштовувати IBM Quantum Platform для своєї організації, потрібно прийняти такі рішення:

• Як визначаються ідентичності користувачів? Можна налаштувати користувачів IBM Cloud, користувачів з іншого постачальника ідентичностей (IDP) або поєднати обидва варіанти.

  • Якщо ти використовуєш інший IDP, хто призначає користувачів до груп доступу — адміністратор хмари чи адміністратор IDP?

  • Якщо адміністратор IDP призначає користувачів за допомогою динамічних правил, тобі знадобиться користувацький атрибут користувача IDP для використання як ключа відповідності (наприклад, атрибут team).

• Скільки екземплярів сервісу тобі потрібно і для чого буде використовуватися кожен з них? Плануй назви екземплярів ретельно. Щоразу, коли ти створюєш екземпляр сервісу через інтерфейс користувача IBM Quantum Platform, платформа робить додатковий виклик до IAM від твого імені, щоб створити відповідну групу доступу (з тією самою назвою, що й екземпляр, з доданим "Collaborators"), яка надає право запису до цього екземпляра. Тому назви екземплярів також стають назвами груп доступу. Цей додатковий крок відбувається лише тоді, коли ти створюєш екземпляр через інтерфейс користувача IBM Quantum Platform. Це не відбувається, якщо ти створюєш екземпляр за допомогою Terraform, IBM Cloud CLI або IBM Cloud API.

  • Навантаження належать екземплярам сервісу, і користувачі, які мають доступ до екземпляра, можуть бачити його навантаження.

  • Екземпляри сервісу можуть базуватися на різних планах, надаючи доступ до різних бекендів і розподілів.

• Яким користувачам потрібен доступ до яких екземплярів сервісу?

• Чи повинні користувачі мати можливість видаляти навантаження? Якщо зберігати навантаження в екземплярах сервісу, витрати легше відстежувати.

• Чи будеш ти використовувати групу доступу, яка автоматично створюється для кожного екземпляра, створювати додаткові власні групи доступу, надавати доступ окремим користувачам безпосередньо, чи організовувати екземпляри в групи ресурсів?

  • Групи доступу — це зручний і поширений спосіб контролю доступу користувачів до ресурсів IBM Cloud. Кожен екземпляр сервісу, який ти створюєш через інтерфейс користувача IBM Quantum Platform, вже має власну групу доступу "Collaborators". Ти можеш використовувати цю групу як є, або створити додаткові групи доступу в консолі IBM Cloud, щоб групувати користувачів за командою або навантаженням (наприклад, ml та finance) для одного або кількох екземплярів. Кожна група доступу використовує користувацьку роль, яка дозволяє користувачам отримувати доступ до певних екземплярів сервісу або груп ресурсів. Якщо тобі не потрібно, щоб група користувачів мала однаковий доступ, ти також можеш надати доступ окремим користувачам безпосередньо, без групи доступу.

    • Якщо ти використовуєш динамічні правила на основі атрибутів IDP для призначення користувачів до груп доступу, уникай значень атрибутів, які є підрядками одне одного. Наприклад, якщо ти використовуєш ml і chemlab як значення атрибутів, правило, що відповідає ml, також відповідатиме chemlab, ненавмисно надаючи більше доступу, ніж очікується. Використовуй унікальні значення, такі як ml і chem-lab, або додай префікси чи суфікси, щоб уникнути ненавмисних збігів підрядків.

  • Групи ресурсів використовуються лише тоді, коли потрібно підтримувати чітке розмежування екземплярів сервісу. Під час створення екземпляра сервісу з IBM Quantum Platform ти можеш обрати, до якої групи ресурсів він належить (і додати теги), але для створення або керування групами ресурсів необхідно використовувати консоль IBM Cloud. Якщо в групі ресурсів створюються нові екземпляри сервісу, усі користувачі, які мають доступ до групи ресурсів, бачать їх автоматично, без оновлення груп доступу. Якщо ти вирішиш використовувати групи ресурсів, спочатку створи групи доступу, а потім признач їх групам ресурсів.

  примітка

  Екземпляр сервісу може належати лише до однієї групи ресурсів, і це призначення не можна змінити після створення екземпляра. Тому групи ресурсів можуть не забезпечувати достатньої гнучкості, якщо екземплярам сервісу може знадобитися переміщення між групами ресурсів пізніше.

Міркування

Під час налаштування середовища слід враховувати такі аспекти.

Визначення більш деталізованих ролей

Користувацькі ролі можна використовувати для більш деталізованого контролю доступу. Наприклад, деяким користувачам може знадобитися повний доступ для роботи з екземплярами сервісу, тоді як іншим — лише доступ на читання до екземплярів сервісу, програм та навантажень.

Щоб досягти цього, визнач дві різні користувацькі ролі, наприклад MLreader і MLwriter. Видали всі дії скасування, видалення та оновлення з користувацької ролі MLreader, а до MLwriter включи всі дії. Потім додай ці ролі до двох різних груп доступу відповідно.

примітка

Використовуючи динамічні правила, тобто коли адміністратор IDP керує доступом через користувацькі атрибути IDP-користувачів, не використовуй атрибути IDP, що є підрядками один одного. Наприклад, не використовуй ml і mlReader, оскільки порівняння рядків для ml прийматиме і mlReader. Можна використовувати MLreader і MLwriter, щоб уникнути цього конфлікту.

Для прикладу дивись Налаштування користувацьких ролей.

Спільний доступ до навантаження

Доступ застосовується до екземплярів сервісу. Таким чином, користувачі з правом запису до екземпляра (включно з правом через групу доступу "Collaborators", автоматично створену для екземплярів, зроблених через інтерфейс користувача IBM Quantum Platform) можуть скасовувати власні навантаження, але також можуть переглядати й скасовувати навантаження інших користувачів у цьому екземплярі. Це особливість роботи IAM, яку неможливо змінити.

Моделювання ієрархічних структур

За замовчуванням доступ до кожного екземпляра сервісу керується незалежно, наприклад, через групу доступу "Collaborators", автоматично створену для екземплярів, зроблених через інтерфейс користувача IBM Quantum Platform. IAM не має вбудованої ієрархії груп, але ти можеш наблизитися до неї, створюючи групи доступу, які посилаються на екземпляри сервісу кількох команд. Користувачам, яким потрібен широкий доступ, потрібно лише додати їх до однієї групи "верхнього рівня", замість того, щоб додавати їх до кожної окремої групи доступу команди.

Послідовне та відтворюване розгортання конфігурації

Кроки цього посібника можна автоматизувати для послідовного та відтворюваного управління користувачами, екземплярами сервісу та зіставленнями доступу між ними. Звернись до документації Terraform IBM Cloud® Provider для отримання шаблонів.

Можна використовувати Terraform для встановлення розподілу та лімітів, а також обмеження доступу до бекенду для екземплярів сервісу quantum-computing. Дивись Початок роботи з Terraform на IBM Cloud для отримання додаткової інформації.

Приклад:

resource "ibm_resource_instance" "instance1" {
  name       = "name"
  service    = "quantum-computing"
  plan       = "premium"
  location   = "us-east"
  parameters = {
    usage_allocation_seconds = "10" # Mandatory
    usage_limit_seconds      = "20" # Optional. If omitted, it can
            # continue using time after reaching the allocation
    backends                 = ["ibm_boston"] # Optional
  }
}

Наступні кроки

Рекомендації

• Дивись Налаштування IBM Quantum Platform для організації для отримання кроків налаштування IBM Quantum Platform.
• Ознайомся з доступними планами.
• Створи екземпляри.
• Ознайомся зі структурою облікового запису IBM Cloud.
• Створи політики та групи доступу.
• Управляй користувачами.
• Документація IBM Cloud IAM для повної інформації про IAM.
• Документація IBM Cloud Enterprise для керування кількома пов'язаними обліковими записами.