Pertimbangan untuk menyiapkan IBM Quantum Platform bagi organisasi

Dalam sebuah organisasi di mana anggotanya mungkin mengerjakan beberapa proyek sekaligus, tata kelola IBM Quantum Platform bisa terasa rumit. Namun, manajemen akses bisa digunakan untuk memudahkan kolaborasi antar pengguna sekaligus membatasi visibilitas pengguna dan proyek bila diperlukan. Pengelolaan akses menjadi semakin penting ketika melibatkan sumber daya IBM Quantum Platform yang berbayar — yaitu, service instance yang menggunakan paket berbayar (yang dikenakan biaya kepada organisasi).

Gambaran umum

catatan

IBM Cloud® menyediakan berbagai cara untuk mengimplementasikan mekanisme yang dijelaskan dalam panduan ini. Ada beberapa cara untuk mencapai tujuan-tujuan tersebut. Selain itu, sebagian besar langkah dalam panduan ini bersifat umum untuk IBM Cloud dan tidak spesifik untuk IBM Quantum Platform, kecuali detail peran kustom.

Persona yang terlibat

Ada beberapa persona utama yang disebutkan dalam panduan ini:

• Pengguna: Seseorang yang mendapatkan akses ke sumber daya IBM Quantum Platform (service instance) dan berpotensi berkolaborasi dengan pengguna lain pada sumber daya tersebut. Akses pengguna dikendalikan oleh administrator dan mereka tidak bisa membuat atau menghapus service instance.
• Administrator Cloud: Pemilik akun IBM Cloud yang memiliki sumber daya IBM Quantum Platform dan mengelola pengguna mana yang bisa mengakses sumber daya tersebut. Sebagai pemilik sumber daya, administrator dikenakan biaya untuk penggunaan sumber daya berbayar.
• Administrator IDP: Administrator yang mendefinisikan identitas dan atributnya dalam identity provider (IDP).

Terminologi

Panduan ini menggunakan istilah-istilah berikut:

• Sumber daya: Istilah umum IBM Cloud yang merujuk pada objek yang bisa dikelola melalui antarmuka pengguna Cloud, CLI, atau API. Dalam panduan ini, sumber daya adalah service instance IBM Quantum Platform.

• Service instance: Service instance digunakan untuk mengakses layanan Cloud — khususnya, komputer kuantum. Instance ini didefinisikan melalui katalog. Kamu bisa mendefinisikan beberapa service instance berdasarkan paket yang sama atau berbeda, yang menawarkan akses ke Backend komputasi kuantum yang berbeda. Lihat Paket IBM Cloud yang tersedia untuk detailnya.

• Proyek: Unit pengelompokan yang memungkinkan pengguna bekerja pada sumber daya yang sama. Panduan ini menggunakan dua proyek: ml dan finance. Lihat Struktur proyek hierarkis untuk informasi lebih lanjut.

  catatan

  Proyek ini tidak terkait dengan konsep "proyek" di IBM Quantum® Platform versi klasik.

Rencanakan pengaturanmu

Sebelum menyiapkan IBM Quantum Platform untuk organisasimu, kamu perlu membuat keputusan-keputusan berikut:

• Bagaimana identitas pengguna didefinisikan? Kamu bisa menyiapkan pengguna IBM Cloud, pengguna dari IDP lain, atau keduanya.

  • Jika kamu menggunakan IDP yang berbeda, apakah administrator Cloud atau administrator IDP yang menugaskan pengguna ke sumber daya proyek?
  • Jika administrator IDP yang menugaskan pengguna ke proyek, kamu memerlukan sebuah string yang digunakan sebagai kunci, seperti project (yang digunakan dalam panduan ini) untuk perbandingan proyek.

• Apa saja proyeknya dan service instance mana yang akan masuk ke masing-masing proyek? Kamu harus merencanakan nama proyek dengan cermat.

  • Jangan buat nama proyek yang merupakan substring dari nama lain. Misalnya, jika kamu menggunakan ml dan chemlab sebagai nama proyek, lalu kemudian kamu mengatur kecocokan proyek untuk ml, hal itu akan terpicu pada kedua nilai, sehingga secara tidak sengaja memberikan akses lebih dari yang diharapkan. Sebagai gantinya, gunakan nama unik seperti ml dan chem-lab. Atau, gunakan nilai prefix atau suffix untuk menghindari kecocokan substring yang tidak diinginkan.
  • Menggunakan konvensi penamaan beserta nilai prefix atau suffix bisa membantu kamu memberikan akses ke beberapa proyek sekaligus dengan mudah.
  • Eksperimen kuantum (job) termasuk dalam service instance, dan pengguna yang memiliki akses ke suatu instance bisa melihat job-nya.
  • Service instance bisa berdasarkan paket yang berbeda, memungkinkan akses ke Backend yang berbeda.

• Pengguna mana yang perlu mengakses proyek mana?

• Apakah pengguna bisa menghapus job? Menyimpan job di service instance memberikan keterlacakan yang lebih baik untuk biaya tagihan.

• Apakah kamu akan menggunakan access group yang langsung mereferensikan service instance IBM Quantum Platform atau mengorganisasikan layanan ke dalam resource group?

  • Access group adalah cara yang praktis dan umum untuk mengontrol akses pengguna ke sumber daya IBM Cloud. Ini adalah cara yang sederhana namun ampuh untuk secara konsisten menetapkan akses pengguna. Kita membuat access group untuk setiap proyek dan memetakan pengguna ke access group. Setiap access group menggunakan peran kustom yang memungkinkan pengguna mengakses service instance atau resource group tertentu.
  • Resource group hanya digunakan ketika kamu perlu menjaga pemisahan yang jelas antara service instance. Jika lebih banyak service instance dibuat dalam resource group, semua pengguna yang memiliki akses ke resource group tersebut akan melihatnya secara otomatis tanpa perlu memperbarui access group. Jika kamu memilih menggunakan resource group, kamu akan membuat access group lalu menugaskannya ke resource group.
  catatan

  Sebuah service instance hanya bisa masuk ke satu resource group, dan setelah instance ditugaskan ke resource group, hal itu tidak bisa diubah. Ini juga berarti penugasan resource group hanya bisa dilakukan saat pembuatan service instance. Oleh karena itu, resource group mungkin tidak memberikan fleksibilitas yang cukup jika penugasan service instance ke resource group perlu berubah.

Pertimbangan

Kamu perlu memahami pertimbangan-pertimbangan berikut saat menyiapkan lingkunganmu.

Definisikan peran yang lebih spesifik

Tindakan dalam peran kustom bisa digunakan untuk kontrol akses yang lebih spesifik. Misalnya, beberapa pengguna mungkin butuh akses penuh untuk bekerja pada service instance, sementara yang lain hanya perlu akses Read ke service instance, program, dan job.

Untuk mencapai itu, definisikan dua peran kustom yang berbeda, seperti MLreader dan MLwriter. Hapus semua peran cancel, delete, dan update dari peran kustom MLreader, dan sertakan semua tindakan dalam peran kustom MLwriter. Selanjutnya, tambahkan peran-peran tersebut ke dua access group yang berbeda sesuai kebutuhan.

catatan

Saat menggunakan aturan dinamis, yaitu ketika administrator identity provider (IDP) mengelola akses melalui atribut pengguna IDP kustom, jangan gunakan atribut pengguna kustom IDP yang merupakan substring satu sama lain. Misalnya, jangan gunakan ml dan mlReader, karena perbandingan string ml juga akan menerima mlReader. Kamu bisa menggunakan MLreader dan MLwriter untuk menghindari konflik ini.

Untuk contoh penyiapan peran kustom, lihat Buat access group untuk proyek.

Akses beban kerja bersama

Penting untuk diketahui bahwa akses berlaku untuk service instance. Dengan demikian, pengguna dengan akses 'write' ke suatu instance bisa membatalkan beban kerja mereka sendiri, tetapi juga bisa melihat dan membatalkan beban kerja pengguna lain. Ini adalah fungsi dari cara kerja IAM dan tidak bisa diubah.

Sumber daya Cloud lainnya

Langkah-langkah dalam panduan ini juga bisa digunakan untuk mengelola akses ke sumber daya Cloud lainnya. Sertakan izin yang sesuai ke access group dari proyek yang relevan.

Struktur proyek hierarkis

Dalam panduan ini, pemetaan pengguna ke proyek dan service instance dibuat sederhana. Namun, dengan mengasosiasikan beberapa pengguna dengan access group dan mereferensikan service instance dari beberapa access group, pemetaan yang lebih kompleks bisa diimplementasikan.

Metode ini bisa mengakomodasi struktur hierarkis. Artinya, ini bisa selaras dengan bagaimana pengguna mungkin ditugaskan ke struktur akses Hub/Group/Project di versi klasik IBM Quantum® Platform. Misalnya, sebuah group bisa menjadi access group yang ditugaskan ke semua service instance dari proyek-proyek group tersebut. Pengguna yang seharusnya mendapatkan akses ke semua proyek group tersebut cukup ditambahkan ke access group group itu saja.

Deployment konfigurasi yang konsisten dan dapat diulang

Langkah-langkah dalam panduan ini bisa diotomasi untuk manajemen pengguna, proyek, dan pemetaan di antaranya yang konsisten dan dapat diulang. Lihat dokumentasi Terraform IBM Cloud® Provider untuk template-nya.

Langkah selanjutnya

Rekomendasi

• Lihat Konfigurasi IBM Quantum Platform untuk organisasi untuk langkah-langkah menyiapkan IBM Quantum Platform.
• Pahami paket yang tersedia.
• Buat instance.
• Pahami struktur IBM Cloud.
• Buat kebijakan dan access group.
• Kelola pengguna.