Los grupos de acceso de IAM se crean y se gestionan por completo en IBM Cloud. Los grupos de acceso agilizan la asignación de roles IAM a los usuarios IBM watsonx. Es necesario estar familiarizado con el componente IBM Cloud IAM, los grupos de acceso, los roles de plataforma y los roles de servicio para asignar roles IAM con los derechos de acceso adecuados para trabajar con los servicios IBM watsonx.

Roles necesarios

Para administrar o crear grupos de acceso de IAM, debe tener uno de los siguientes roles en el IBM Cloud cuenta:

• Propietario de la cuenta
• Administrador o Editor para todos los servicios habilitados para Identity and Access
• Administrador o Editor en el servicio de gestión de cuentas de grupos de acceso de IAM en la cuenta
• Administrador o Editor para los servicios de gestión de todas las cuentas

Para utilizar los grupos de acceso de IAM como grupos de usuarios, debe activar el alcance de las cuentas. Si establece el ámbito de recursos en la cuenta actual, los usuarios no puede acceder a los recursos externos a su cuenta, independientemente de su pertenencia a grupo. El ámbito se aplica a proyectos, catálogos y espacios.

Para activar el alcance de la cuenta:

1. En el menú de navegación, seleccione Administración > Cuenta y facturación > Cuenta para abrir la ventana de configuración de la cuenta.
2. Establezca Ámbito de recurso en Activado.

Para crear un grupo de acceso:

Las instrucciones siguientes describen cómo crear el grupo de acceso Account-Administrator , uno de los grupos de ejemplo descritos en el tema Utilización de los grupos de acceso de ejemplo .

1. Desde IBM watsonx, haga clic en Administración > Acceso (IAM) para abrir la página Administrar acceso y usuarios en su cuenta IBM Cloud.
2. Seleccione Grupos de acceso para ver una lista de grupos disponibles. Todas las cuentas tienen el grupo Acceso público predeterminado, que contiene todos los usuarios e ID de servicio de la cuenta.
3. Pulse Crear para crear un nuevo grupo de acceso. Especifique Account-Administrator para el nombre (o el nombre que elija para el grupo) y una descripción. Los nombres de grupo de acceso deben ser exclusivos. Una descripción le ayuda a recordar la finalidad del grupo de acceso.
4. Cree el grupo.
5. Pulse Acceso > Asignar acceso para añadir políticas de acceso al grupo.
6. Para Servicio, seleccione Todos los servicios habilitados para identidad y acceso (o el servicio al que accederá el grupo) y pulse Siguiente. Normalmente, el acceso a Todos los servicios habilitados para identidad y acceso sólo se asigna a los administradores.
7. Para Recursos, seleccione Todos los recursos para el ámbito y pulse Siguiente.
8. Para Acceso a grupo de recursos, seleccione Administrador y pulse Siguiente.
9. Para Roles y acciones, seleccione lo siguiente para asignar acceso al grupo Account-Administrator de ejemplo:
   • Acceso a Manager for Service
   • Acceso de Administrador para plataforma
10. Revise los parámetros y, a continuación, pulse Añadir y Asignar.

Para añadir usuarios a un grupo de acceso:

1. Desde IBM watsonx, haga clic en Administración > Acceso (IAM). La página Administrar acceso y usuarios de su cuenta IBM Cloud se abre en una ventana independiente.
2. Seleccione Grupos de acceso para ver una lista de grupos disponibles.
3. Seleccione el grupo de acceso que desea llenar con usuarios.
4. Marque uno o más usuarios para añadirlos como miembros del grupo de acceso y pulse Añadir usuarios.

Ha creado correctamente el grupo de acceso Account-Administrator y lo ha rellenado con miembros. Repita estos pasos para cada grupo de acceso de ejemplo para crear un conjunto de líneas base de grupos de acceso. Consulte Utilización de los grupos de acceso de ejemplo para ver los roles sugeridos para asignar a cada grupo de acceso de ejemplo.

Después de crear un grupo de acceso IAM, también se crea un grupo de usuarios. Los grupos de usuarios facilitan la gestión de un gran número de usuarios con requisitos de acceso similares.

• Puedes asignar Visor, Editor o Roles de administrador a grupos de usuarios cuando añadas colaboradores a proyectos y espacios.
• Si un miembro del grupo se va, el administrador de la cuenta IBM Cloud puede eliminar al usuario del grupo en lugar de mirar todos los activos a los que tiene acceso el usuario.