Zagadnienia dotyczące konfiguracji IBM Quantum Platform dla organizacji

W organizacji, w której poszczególne osoby mogą pracować nad kilkoma projektami, zarządzanie IBM Quantum Platform może wydawać się skomplikowane. Jednak zarządzanie dostępem pozwala łatwo umożliwić współpracę użytkowników oraz w razie potrzeby ograniczyć widoczność użytkowników i projektów. Zarządzanie dostępem nabiera szczególnego znaczenia w przypadku zasobów IBM Quantum Platform, które nie są bezpłatne – czyli instancji usług korzystających z płatnych planów (za które organizacje są obciążane kosztami).

Przegląd

uwaga

IBM Cloud® oferuje różne sposoby wdrożenia mechanizmów opisanych w tym przewodniku. Istnieje kilka metod osiągnięcia tych celów. Ponadto większość kroków opisanych w tym przewodniku jest ogólna dla IBM Cloud i nie dotyczy wyłącznie IBM Quantum Platform – z wyjątkiem szczegółów dotyczących ról niestandardowych.

Zaangażowane osoby

W tym przewodniku wymieniono kilka głównych ról:

• Użytkownik: Osoba, która uzyskuje dostęp do zasobów IBM Quantum Platform (instancji usług) i może potencjalnie współpracować z innymi użytkownikami przy tych zasobach. Dostęp użytkowników jest kontrolowany przez administratora – nie mogą oni tworzyć ani usuwać instancji usług.
• Administrator Cloud: Właściciel konta IBM Cloud, który jest właścicielem zasobów IBM Quantum Platform i zarządza tym, którzy użytkownicy mogą uzyskiwać do nich dostęp. Jako właściciel zasobów administrator ponosi koszty korzystania z płatnych zasobów.
• Administrator IDP: Administrator, który definiuje tożsamości i ich atrybuty w dostawcy tożsamości (IDP).

Terminologia

W tym przewodniku używane są następujące terminy:

• Zasób: Ogólny termin IBM Cloud odnoszący się do obiektu, którym można zarządzać za pośrednictwem interfejsu użytkownika Cloud, interfejsu CLI lub API. W tym przewodniku zasób oznacza instancję usługi IBM Quantum Platform.

• Instancja usługi: Instancja usługi służy do uzyskiwania dostępu do usług Cloud – konkretnie do komputerów kwantowych. Jest definiowana za pomocą katalogu. Możesz zdefiniować kilka instancji usług opartych na tym samym lub różnych planach, które oferują dostęp do różnych Backend-ów obliczenia kwantowego. Szczegółowe informacje znajdziesz w sekcji Dostępne plany IBM Cloud.

• Projekt: Jednostka grupująca umożliwiająca użytkownikom pracę na tych samych zasobach. W tym przewodniku używane są dwa projekty: ml i finance. Więcej informacji znajdziesz w sekcji Hierarchiczne struktury projektów.

  uwaga

  Ten projekt nie jest powiązany z koncepcją „projektu" w klasycznej wersji IBM Quantum® Platform.

Zaplanuj konfigurację

Przed skonfigurowaniem IBM Quantum Platform dla swojej organizacji musisz podjąć następujące decyzje:

• W jaki sposób definiowane są tożsamości użytkowników? Możesz skonfigurować użytkowników IBM Cloud, użytkowników z innego IDP lub obie opcje.

  • Jeśli korzystasz z innego IDP, czy administrator Cloud, czy administrator IDP przypisuje użytkowników do zasobów projektu?
  • Jeśli administrator IDP przypisuje użytkowników do projektów, potrzebujesz ciągu znaków używanego jako klucz, na przykład project (którego używa ten przewodnik) do porównań projektów.

• Jakie są projekty i które instancje usług będą należeć do każdego z nich? Musisz starannie zaplanować nazwy projektów.

  • Nie używaj nazw projektów, które są podciągami innych nazw. Na przykład, jeśli używasz ml i chemlab jako nazw projektów, a następnie skonfigurujesz dopasowanie dla projektu ml, zostanie ono wyzwolone dla obu wartości, co nieoczekiwanie przyzna szerszy dostęp niż zamierzony. Zamiast tego używaj unikalnych nazw, takich jak ml i chem-lab. Ewentualnie stosuj wartości prefiksów lub sufiksów, aby uniknąć takich niezamierzonych dopasowań podciągów.
  • Stosowanie konwencji nazewnictwa wraz z wartościami prefiksów lub sufiksów może ułatwić przyznawanie dostępu do kilku projektów jednocześnie.
  • Eksperymenty kwantowe (zadania) należą do instancji usług, a użytkownicy mający dostęp do instancji mogą przeglądać jej zadania.
  • Instancje usług mogą być oparte na różnych planach, umożliwiając dostęp do różnych Backend-ów.

• Którzy użytkownicy potrzebują dostępu do których projektów?

• Czy użytkownicy powinni mieć możliwość usuwania zadań? Przechowywanie zadań w instancjach usług zapewnia lepszą możliwość śledzenia kosztów rozliczeniowych.

• Czy będziesz używać grup dostępu bezpośrednio odwołujących się do instancji usług IBM Quantum Platform, czy organizować usługi w grupy zasobów?

  • Grupy dostępu to wygodny i popularny sposób kontrolowania dostępu użytkowników do zasobów IBM Cloud. Są prostym, lecz skutecznym narzędziem do spójnego przypisywania dostępu użytkownikom. Tworzymy grupę dostępu dla każdego projektu i mapujemy użytkowników do grup dostępu. Każda grupa dostępu korzysta z roli niestandardowej, która umożliwia użytkownikom dostęp do określonych instancji usług lub grup zasobów.
  • Grupy zasobów są używane tylko wtedy, gdy konieczne jest utrzymanie wyraźnego rozdzielenia instancji usług. Jeśli w grupie zasobów zostaną utworzone kolejne instancje usług, wszyscy użytkownicy mający dostęp do tej grupy zasobów automatycznie je zobaczą – bez konieczności aktualizowania grup dostępu. Jeśli zdecydujesz się na używanie grup zasobów, najpierw utworzysz grupy dostępu, a następnie przypiszesz je do grup zasobów.
  uwaga

  Instancja usługi może należeć tylko do jednej grupy zasobów, a po przypisaniu instancji do grup zasobów nie można tego zmienić. Oznacza to również, że przypisanie do grupy zasobów może nastąpić wyłącznie w momencie tworzenia instancji usługi. Dlatego grupy zasobów mogą nie zapewniać wystarczającej elastyczności, jeśli przypisania instancji usług do grup zasobów mogą wymagać zmiany w przyszłości.

Zagadnienia

Przed skonfigurowaniem środowiska zapoznaj się z poniższymi zagadnieniami.

Definiowanie bardziej szczegółowych ról

Akcje w rolach niestandardowych mogą być używane do bardziej szczegółowej kontroli dostępu. Na przykład niektórzy użytkownicy mogą potrzebować pełnego dostępu do pracy na instancjach usług, podczas gdy inni mogą potrzebować jedynie dostępu do odczytu instancji usług, programów i zadań.

Aby to osiągnąć, zdefiniuj dwie różne role niestandardowe, na przykład MLreader i MLwriter. Usuń wszystkie role anulowania, usuwania i aktualizacji z roli niestandardowej MLreader, a w roli niestandardowej MLwriter uwzględnij wszystkie akcje. Następnie dodaj odpowiednio role do dwóch różnych grup dostępu.

uwaga

Podczas korzystania z reguł dynamicznych, czyli gdy administrator dostawcy tożsamości (IDP) zarządza dostępem za pomocą niestandardowych atrybutów użytkowników IDP, nie używaj niestandardowych atrybutów użytkowników IDP, które są podciągami siebie nawzajem. Na przykład nie używaj ml i mlReader, ponieważ porównanie ciągu ml zaakceptowałoby również mlReader. Możesz użyć MLreader i MLwriter, aby uniknąć tego konfliktu.

Przykład konfigurowania ról niestandardowych znajdziesz w sekcji Tworzenie grup dostępu dla projektów.

Dostęp do współdzielonych obciążeń

Ważne jest, aby pamiętać, że dostęp dotyczy instancji usług. Dlatego użytkownicy z dostępem do zapisu do instancji mogą anulować własne obciążenia, ale mogą również przeglądać i anulować obciążenia innych użytkowników. Jest to wynik działania IAM i nie można tego zmienić.

Inne zasoby Cloud

Kroki opisane w tym przewodniku mogą być również używane do zarządzania dostępem do innych zasobów Cloud. Uwzględnij odpowiednie uprawnienia w grupach dostępu odpowiednich projektów.

Hierarchiczne struktury projektów

W tym przewodniku mapowanie użytkowników na projekty i instancje usług zostało uproszczone. Jednak poprzez powiązanie kilku użytkowników z grupami dostępu i odwoływanie się do instancji usług z kilku grup dostępu można wdrożyć bardziej złożone mapowania.

Metoda ta może uwzględniać strukturę hierarchiczną. Oznacza to, że może odpowiadać sposobowi przypisywania użytkowników do struktury dostępu Hub/Group/Project w klasycznej wersji IBM Quantum® Platform. Na przykład grupa mogłaby być grupą dostępu przypisaną do wszystkich instancji usług projektów tej grupy. Użytkownicy, którzy powinni uzyskać dostęp do wszystkich projektów grupy, musieliby zostać dodani jedynie do grupy dostępu tej grupy.

Spójna i powtarzalna wdrożenie konfiguracji

Kroki opisane w tym przewodniku mogą być zautomatyzowane w celu spójnego i powtarzalnego zarządzania użytkownikami, projektami i mapowaniem między nimi. Zapoznaj się z dokumentacją Terraform IBM Cloud® Provider, aby uzyskać szablony.

Następne kroki

Zalecenia

• Zapoznaj się z sekcją Konfigurowanie IBM Quantum Platform dla organizacji, aby poznać kroki konfiguracji IBM Quantum Platform.
• Zapoznaj się z dostępnymi planami.
• Twórz instancje.
• Zapoznaj się ze strukturą IBM Cloud.
• Twórz zasady i grupy dostępu.
• Zarządzaj użytkownikami.