Überlegungen zur Einrichtung von IBM Quantum Platform für eine Organisation

IBM Quantum® Platform ist das Dashboard für die IBM Quantum Compute Service-Instanzen und -Workloads deines IBM Cloud®-Kontos und bietet eine vereinfachte Ansicht der Zugriffsverwaltung. Das IBM Cloud-Konto einer Organisation kann mehrere Benutzer und mehrere Quantum Compute-Instanzen haben, jede mit eigener Zuteilung. Identity and Access Management (IAM) steuert, welche Benutzer auf welche Serviceinstanzen zugreifen können, sodass du Zusammenarbeit ermöglichen und gleichzeitig die Sichtbarkeit dort einschränken kannst, wo es nötig ist. Die Zugriffsverwaltung wird relevanter, wenn du Serviceinstanzen mit kostenpflichtigen Plänen hast. Einen Überblick darüber, wie Konten, Benutzer, Instanzen und Zugriff zusammenhängen, findest du unter IBM Cloud-Kontostruktur. Ausführliche Details zu den in diesem Leitfaden erwähnten IAM-Konzepten, wie Zugriffsgruppen, Richtlinien, Rollen und Ressourcengruppen, findest du in der IBM Cloud IAM-Dokumentation.

Dieser Leitfaden beschreibt die Entscheidungen und Kompromisse bei der Einrichtung des Zugriffs für eine Organisation mit mehreren Serviceinstanzen — zum Beispiel die Zuweisung einer Instanz pro Team oder Workload.

hinweis

Wenn deine Organisation mehrere IBM Cloud-Konten hat — zum Beispiel separate Konten pro Geschäftseinheit, jede mit eigenen Quantum Compute-Instanzen — kannst du sie unter einem einzigen IBM Cloud Enterprise-Konto zusammenfassen, das über ein Hauptkonto verfügt, das für die Abrechnung verantwortlich ist, sowie ein oder mehrere untergeordnete Konten. Um die Premium- oder Flex Plan-Zuteilung zwischen untergeordneten Konten neu zu verteilen, wende dich über das IBM Cloud Support Center an den IBM Quantum-Support. Weitere Details findest du in der IBM Cloud Enterprise-Kontodokumentation.

Überblick

hinweis

IBM Cloud® bietet mehrere Möglichkeiten, die in diesem Leitfaden beschriebenen Mechanismen zu implementieren. Die meisten Schritte gelten allgemein für IBM Cloud und nicht speziell für Quantum Compute, mit Ausnahme der Details zu benutzerdefinierten Rollen.

Beteiligte Personas

Die folgenden Personas werden in dieser Anleitung erwähnt:

• Benutzer: Jemand, der Zugriff auf Quantum Compute-Ressourcen (Serviceinstanzen) erhält und potenziell mit anderen Benutzern an diesen Ressourcen zusammenarbeiten kann. Der Zugriff der Benutzer wird von einem Administrator kontrolliert, und sie können keine Serviceinstanzen erstellen oder löschen.

• Cloud-Administrator: Ein IBM Cloud-Kontoinhaber, der IBM Quantum Compute-Ressourcen besitzt und verwaltet, welche Benutzer auf diese Ressourcen zugreifen können. Als Ressourcenbesitzer wird dem Administrator die Nutzung jeder bezahlten Ressource in Rechnung gestellt.

• IDP-Administrator: Ein Administrator, der Identitäten und deren Attribute in einem Identitätsprovider (IDP) definiert.

Terminologie

Diese Anleitung verwendet die folgenden Begriffe:

• Ressource: Ein generischer IBM Cloud-Begriff, der sich auf ein Objekt bezieht, das über die Cloud-Benutzeroberfläche, CLI oder API verwaltet werden kann. Für diesen Leitfaden ist eine Ressource eine Quantum Compute Service-Instanz.

• Serviceinstanz: Eine Serviceinstanz wird verwendet, um über IBM Quantum Compute Service auf Cloud-Services zuzugreifen - insbesondere auf Quantencomputer. Sie wird über den Katalog definiert. Du kannst mehrere Serviceinstanzen basierend auf demselben oder unterschiedlichen Plänen definieren, die Zugriff auf verschiedene Quantencomputing-Backends bieten. Einzelheiten findest du unter Verfügbare IBM Cloud-Pläne.

Plane deine Einrichtung

Bevor du IBM Quantum Platform für deine Organisation einrichtest, musst du diese Entscheidungen treffen:

• Wie werden Benutzeridentitäten definiert? Du kannst IBM Cloud-Benutzer, Benutzer von einem anderen Identitätsprovider (IDP) oder beides einrichten.

  • Wenn du einen anderen IDP verwendest, weist der Cloud-Administrator oder der IDP-Administrator Benutzer Zugriffsgruppen zu?

  • Wenn der IDP-Administrator Benutzer über dynamische Regeln zuweist, benötigst du ein benutzerdefiniertes IDP-Benutzerattribut, das als Abgleichsschlüssel verwendet wird (zum Beispiel ein team-Attribut).

• Wie viele Serviceinstanzen benötigst du, und wofür wird jede verwendet? Plane deine Instanznamen sorgfältig. Immer wenn du eine Serviceinstanz über die Benutzeroberfläche von IBM Quantum Platform erstellst, ruft die Plattform in deinem Namen zusätzlich IAM auf, um eine passende Zugriffsgruppe zu erstellen (mit demselben Namen wie die Instanz, ergänzt um „Collaborators“), die Schreibzugriff auf diese Instanz gewährt. Daher werden Instanznamen auch zu Zugriffsgruppennamen. Dieser zusätzliche Schritt erfolgt nur, wenn du eine Instanz über die Benutzeroberfläche von IBM Quantum Platform erstellst. Er erfolgt nicht, wenn du die Instanz mit Terraform, der IBM Cloud CLI oder der IBM Cloud API erstellst.

  • Workloads gehören zu Serviceinstanzen, und Benutzer, die Zugriff auf eine Instanz haben, können deren Workloads sehen.

  • Serviceinstanzen können auf unterschiedlichen Plänen basieren und Zugriff auf unterschiedliche Backends und Zuteilungen ermöglichen.

• Welche Benutzer benötigen Zugriff auf welche Serviceinstanzen?

• Sollten Benutzer Workloads löschen können? Das Behalten von Workloads in Serviceinstanzen bietet mehr Nachvollziehbarkeit für Abrechnungskosten.

• Wirst du die automatisch für jede Instanz erstellte Zugriffsgruppe verwenden, eigene zusätzliche Zugriffsgruppen erstellen, Zugriff direkt einzelnen Benutzern zuweisen oder Instanzen in Ressourcengruppen organisieren?

  • Zugriffsgruppen sind eine praktische und gängige Möglichkeit, den Benutzerzugriff auf IBM Cloud-Ressourcen zu steuern. Jede Serviceinstanz, die du über die Benutzeroberfläche von IBM Quantum Platform erstellst, verfügt bereits über eine eigene „Collaborators“-Zugriffsgruppe. Du kannst diese Gruppe unverändert verwenden oder zusätzliche Zugriffsgruppen in der IBM Cloud-Konsole erstellen, um Benutzer nach Team oder Workload zu gruppieren (zum Beispiel ml und finance) über eine oder mehrere Instanzen hinweg. Jede Zugriffsgruppe verwendet eine benutzerdefinierte Rolle, die Benutzern Zugriff auf bestimmte Serviceinstanzen oder Ressourcengruppen ermöglicht. Wenn du keine Gruppe von Benutzern benötigst, die denselben Zugriff teilen, kannst du Zugriff auch direkt einzelnen Benutzern zuweisen, ohne eine Zugriffsgruppe.

    • Wenn du dynamische Regeln basierend auf IDP-Attributen verwendest, um Benutzer Zugriffsgruppen zuzuweisen, vermeide Attributwerte, die Teilzeichenketten voneinander sind. Wenn du beispielsweise ml und chemlab als Attributwerte verwendest, würde eine Regel, die auf ml passt, auch auf chemlab passen und dadurch versehentlich mehr Zugriff gewähren als beabsichtigt. Verwende eindeutige Werte wie ml und chem-lab, oder füge Präfixe oder Suffixe hinzu, um unbeabsichtigte Teilzeichenketten-Übereinstimmungen zu vermeiden.

  • Ressourcengruppen werden nur verwendet, wenn du eine klare Trennung von Serviceinstanzen beibehalten musst. Beim Erstellen einer Serviceinstanz über IBM Quantum Platform kannst du auswählen, zu welcher Ressourcengruppe sie gehört (und Tags hinzufügen), musst aber die IBM Cloud-Konsole verwenden, um die Ressourcengruppen zu erstellen oder zu verwalten. Wenn mehr Serviceinstanzen in einer Ressourcengruppe erstellt werden, sehen alle Benutzer mit Zugriff auf die Ressourcengruppe sie automatisch, ohne dass Zugriffsgruppen aktualisiert werden müssen. Wenn du dich für Ressourcengruppen entscheidest, erstelle zunächst Zugriffsgruppen und weise sie dann Ressourcengruppen zu.

  hinweis

  Eine Serviceinstanz kann nur zu einer Ressourcengruppe gehören, und diese Zuweisung kann nach der Erstellung der Instanz nicht mehr geändert werden. Daher bieten Ressourcengruppen möglicherweise nicht genügend Flexibilität, wenn Serviceinstanzen später zwischen Ressourcengruppen wechseln müssen.

Überlegungen

Du solltest die folgenden Überlegungen beim Einrichten deiner Umgebung verstehen.

Definiere feinkörnigere Rollen

Benutzerdefinierte Rollen können für eine feinkörnigere Zugriffskontrolle verwendet werden. Beispielsweise benötigen manche Benutzer möglicherweise vollen Zugriff, um an Serviceinstanzen zu arbeiten, während andere möglicherweise nur Lesezugriff auf Serviceinstanzen, Programme und Workloads benötigen.

Um dies zu erreichen, definiere zwei verschiedene benutzerdefinierte Rollen, wie z.B. MLreader und MLwriter. Entferne alle Abbrechen-, Lösch- und Aktualisierungsaktionen aus der benutzerdefinierten Rolle MLreader und schließe alle Aktionen in der benutzerdefinierten Rolle MLwriter ein. Füge dann die Rollen entsprechend zwei verschiedenen Zugriffsgruppen hinzu.

hinweis

Wenn du dynamische Regeln einsetzt, d. h. wenn der IDP-Administrator den Zugriff über benutzerdefinierte IDP-Benutzerattribute verwaltet, verwende keine benutzerdefinierten IDP-Benutzerattribute, die Teilzeichenketten voneinander sind. Verwende beispielsweise nicht ml und mlReader, da der Zeichenkettenvergleich von ml auch mlReader akzeptieren würde. Du könntest MLreader und MLwriter verwenden, um diesen Konflikt zu vermeiden.

Ein Beispiel findest du unter Benutzerdefinierte Rollen einrichten.

Zugriff auf gemeinsame Workloads

Der Zugriff gilt für Serviceinstanzen. Daher können Benutzer mit Schreibzugriff auf eine Instanz (auch über die Zugriffsgruppe "Collaborators", die automatisch für Instanzen erstellt wird, die über die Benutzeroberfläche der IBM Quantum Platform erstellt wurden) ihre eigenen Workloads abbrechen, aber auch Workloads anderer Benutzer in dieser Instanz anzeigen und abbrechen. Das ergibt sich aus der Funktionsweise von IAM und lässt sich nicht ändern.

Hierarchische Strukturen simulieren

Standardmäßig wird der Zugriff auf jede Serviceinstanz unabhängig verwaltet, zum Beispiel über die Zugriffsgruppe "Collaborators", die automatisch für Instanzen erstellt wird, die über die Benutzeroberfläche der IBM Quantum Platform erstellt wurden. IAM verfügt nicht über eine integrierte Gruppenhierarchie, aber du kannst eine solche annähern, indem du Zugriffsgruppen erstellst, die auf die Serviceinstanzen mehrerer Teams verweisen. Benutzer, die umfassenden Zugriff benötigen, müssen nur zu einer "übergeordneten" Gruppe hinzugefügt werden, anstatt zur individuellen Zugriffsgruppe jedes Teams.

Konsistente und wiederholbare Bereitstellung der Konfiguration

Die Schritte dieses Leitfadens können für eine konsistente und wiederholbare Verwaltung von Benutzern, Serviceinstanzen und der Zuordnung zwischen diesen automatisiert werden. Lies die Terraform IBM Cloud®-Provider-Dokumentation für Vorlagen.

Du kannst Terraform verwenden, um Zuteilungen und Limits festzulegen sowie den Backend-Zugriff für quantum-computing-Serviceinstanzen einzuschränken. Weitere Informationen findest du unter Erste Schritte mit Terraform auf IBM Cloud.

Beispiel:

resource "ibm_resource_instance" "instance1" {
  name       = "name"
  service    = "quantum-computing"
  plan       = "premium"
  location   = "us-east"
  parameters = {
    usage_allocation_seconds = "10" # Mandatory
    usage_limit_seconds      = "20" # Optional. If omitted, it can
            # continue using time after reaching the allocation
    backends                 = ["ibm_boston"] # Optional
  }
}

Nächste Schritte

Empfehlungen

• Siehe IBM Quantum Platform für eine Organisation konfigurieren für die Schritte zur Einrichtung von IBM Quantum Platform.
• Verstehe die verfügbaren Pläne.
• Erstelle Instanzen.
• Verstehe die Struktur des IBM Cloud-Kontos.
• Erstelle Richtlinien und Zugriffsgruppen.
• Verwalte Benutzer.
• IBM Cloud IAM-Dokumentation für vollständige IAM-Details.
• IBM Cloud Enterprise-Dokumentation für die Verwaltung mehrerer verknüpfter Konten.