Consideraciones para configurar IBM Quantum Platform en una organización

IBM Quantum® Platform es el panel de control para las instancias de IBM Quantum Compute Service y las cargas de trabajo de tu cuenta de IBM Cloud®, y proporciona una vista simplificada de la gestión de acceso. La cuenta de IBM Cloud de una organización puede tener múltiples usuarios y múltiples instancias de Quantum Compute, cada una con su propia asignación. Identity and Access Management (IAM) controla qué usuarios pueden acceder a qué instancias de servicio, de modo que puedas habilitar la colaboración a la vez que restringes la visibilidad donde sea necesario. La gestión de acceso se vuelve más relevante si tienes instancias de servicio en planes de pago. Consulta Estructura de cuenta de IBM Cloud para obtener una visión general de cómo encajan las cuentas, los usuarios, las instancias y el acceso. Consulta la documentación de IAM de IBM Cloud para obtener detalles completos sobre los conceptos de IAM mencionados en esta guía, como grupos de acceso, políticas, roles y grupos de recursos.

Esta guía describe las decisiones y compensaciones involucradas en la configuración del acceso para una organización con múltiples instancias de servicio — por ejemplo, asignar una instancia por equipo o carga de trabajo.

nota

Si tu organización tiene varias cuentas de IBM Cloud — por ejemplo, cuentas independientes por unidad de negocio, cada una con sus propias instancias de Quantum Compute — puedes vincularlas bajo una única cuenta de IBM Cloud Enterprise, que tiene una cuenta principal responsable de la facturación y una o más cuentas secundarias. Para redistribuir la asignación del Plan Premium o Flex entre cuentas secundarias, ponte en contacto con el soporte de IBM Quantum a través del Centro de soporte de IBM Cloud. Consulta la documentación de la cuenta de IBM Cloud Enterprise para obtener más detalles.

Descripción general

nota

IBM Cloud® ofrece varias formas de implementar los mecanismos descritos en esta guía. La mayoría de los pasos son genéricos para IBM Cloud y no específicos de Quantum Compute, excepto los detalles de los roles personalizados.

Personas involucradas

En esta guía se mencionan las siguientes personas:

• Usuario: Alguien que obtiene acceso a recursos de Quantum Compute (instancias de servicio) y puede llegar a colaborar con otros usuarios en esos recursos. El acceso de los usuarios está controlado por un administrador, y no pueden crear ni eliminar instancias de servicio.

• Administrador de Cloud: Propietario de una cuenta de IBM Cloud que posee los recursos de IBM Quantum Compute y gestiona qué usuarios pueden acceder a ellos. Como dueño de los recursos, el administrador asume los cargos por el uso de cualquier recurso de pago.

• Administrador de IDP: Un administrador que define identidades y sus atributos en un proveedor de identidad (IDP).

Terminología

Esta guía utiliza los siguientes términos:

• Recurso: Término genérico de IBM Cloud que hace referencia a un objeto que se puede gestionar a través de la interfaz de usuario, la CLI o la API de Cloud. En esta guía, un recurso es una instancia de servicio de IBM Quantum Compute Service.

• Instancia de servicio: Una instancia de servicio se utiliza para acceder a los servicios de Cloud, específicamente, ordenadores cuánticos, a través de IBM Quantum Compute Service. Se define a través del catálogo. Puedes definir varias instancias de servicio basadas en el mismo plan o en planes distintos, que ofrecen acceso a diferentes backends de computación cuántica. Consulta Planes de IBM Cloud disponibles para más detalles.

Planifica tu configuración

Antes de configurar IBM Quantum Platform para tu organización, debes tomar estas decisiones:

• ¿Cómo se definen las identidades de los usuarios? Puedes configurar usuarios de IBM Cloud, usuarios de otro proveedor de identidad (IDP) o ambos.

  • Si usas un IDP diferente, ¿el administrador de Cloud o el administrador del IDP asigna a los usuarios a grupos de acceso?

  • Si el administrador del IDP asigna usuarios mediante reglas dinámicas, necesitas un atributo de usuario de IDP personalizado para usar como clave de coincidencia (por ejemplo, un atributo team).

• ¿Cuántas instancias de servicio necesitas, y para qué se usará cada una? Planifica cuidadosamente los nombres de tus instancias. Cada vez que creas una instancia de servicio a través de la interfaz de usuario de IBM Quantum Platform, la plataforma realiza una llamada adicional a IAM en tu nombre para crear un grupo de acceso coincidente (con el mismo nombre que la instancia, con "Collaborators" añadido) que otorga acceso de escritura a esa instancia. Por lo tanto, los nombres de las instancias también se convierten en nombres de grupos de acceso. Este paso adicional solo ocurre cuando creas una instancia a través de la interfaz de usuario de IBM Quantum Platform. No ocurre si creas la instancia usando Terraform, la CLI de IBM Cloud o la API de IBM Cloud.

  • Las cargas de trabajo pertenecen a instancias de servicio, y los usuarios que tienen acceso a una instancia pueden ver sus cargas de trabajo.

  • Las instancias de servicio pueden basarse en diferentes planes, lo que permite el acceso a distintos backends y asignaciones.

• ¿Qué usuarios necesitan acceder a qué instancias de servicio?

• ¿Deberían los usuarios poder eliminar cargas de trabajo? Mantener las cargas de trabajo en las instancias de servicio proporciona mayor trazabilidad para los costes de facturación.

• ¿Usarás el grupo de acceso que se crea automáticamente para cada instancia, crearás grupos de acceso adicionales propios, asignarás acceso a usuarios individuales directamente, u organizarás las instancias en grupos de recursos?

  • Los grupos de acceso son una forma conveniente y común de controlar el acceso de los usuarios a los recursos de IBM Cloud. Cada instancia de servicio que crees a través de la interfaz de usuario de IBM Quantum Platform ya tiene su propio grupo de acceso "Collaborators". Puedes usar ese grupo tal cual, o crear grupos de acceso adicionales en la consola de IBM Cloud para agrupar usuarios por equipo o carga de trabajo (por ejemplo, ml y finance) a través de una o más instancias. Cada grupo de acceso usa un rol personalizado que permite a los usuarios acceder a instancias de servicio o grupos de recursos específicos. Si no necesitas que un grupo de usuarios comparta el mismo acceso, también puedes asignar acceso a usuarios individuales directamente, sin un grupo de acceso.

    • Si usas reglas dinámicas basadas en atributos de IDP para asignar usuarios a grupos de acceso, evita valores de atributo que sean subcadenas entre sí. Por ejemplo, si usas ml y chemlab como valores de atributo, una regla que coincida con ml también coincidirá con chemlab, concediendo accidentalmente más acceso del esperado. Usa valores únicos como ml y chem-lab, o añade prefijos o sufijos para evitar coincidencias de subcadena no deseadas.

  • Los grupos de recursos se utilizan solo cuando necesitas mantener una separación clara entre instancias de servicio. Al crear una instancia de servicio desde IBM Quantum Platform, puedes seleccionar a qué grupo de recursos pertenece (y añadir etiquetas), pero debes usar la consola de IBM Cloud para crear o gestionar los grupos de recursos. Si se crean más instancias de servicio en un grupo de recursos, todos los usuarios que tienen acceso al grupo de recursos las verán automáticamente, sin necesidad de actualizar los grupos de acceso. Si decides usar grupos de recursos, primero crea grupos de acceso y luego asígnalos a los grupos de recursos.

  nota

  Una instancia de servicio solo puede pertenecer a un grupo de recursos, y esa asignación no se puede cambiar después de crear la instancia. Por tanto, los grupos de recursos podrían no ofrecer suficiente flexibilidad si las instancias de servicio pudieran necesitar trasladarse entre grupos de recursos más adelante.

Consideraciones

Debes tener en cuenta las siguientes consideraciones al configurar tu entorno.

Define roles más granulares

Los roles personalizados se pueden usar para un control de acceso más granular. Por ejemplo, algunos usuarios pueden necesitar acceso completo para trabajar con instancias de servicio, mientras que puede que otros solo necesiten acceso de lectura a instancias de servicio, programas y cargas de trabajo.

Para lograrlo, define dos roles personalizados distintos, como MLreader y MLwriter. Elimina todas las acciones de cancelación, eliminación y actualización del rol personalizado MLreader, e incluye todas las acciones en el rol personalizado MLwriter. Luego, asigna cada rol a un grupo de acceso distinto.

nota

Al usar reglas dinámicas, es decir, cuando el administrador del IDP gestiona el acceso mediante atributos de usuario IDP personalizados, no uses atributos de usuario IDP personalizados que sean subcadenas entre sí. Por ejemplo, no uses ml y mlReader, ya que la comparación de cadenas de ml también aceptaría mlReader. Podrías usar MLreader y MLwriter para evitar este conflicto.

Para ver un ejemplo, consulta Configurar roles personalizados.

Acceso compartido a cargas de trabajo

El acceso se aplica a las instancias de servicio. Por tanto, los usuarios con acceso de escritura a una instancia (incluidos quienes lo obtienen a través del grupo de acceso "Collaborators" creado automáticamente para las instancias creadas por la interfaz de usuario de IBM Quantum Platform) pueden cancelar sus propias cargas de trabajo, pero también pueden ver y cancelar las cargas de trabajo de otros usuarios en esa instancia. Esto se debe al funcionamiento de IAM y no se puede cambiar.

Simular estructuras jerárquicas

De forma predeterminada, el acceso de cada instancia de servicio se gestiona de forma independiente, por ejemplo, a través del grupo de acceso "Collaborators" creado automáticamente para las instancias creadas a través de la interfaz de usuario de IBM Quantum Platform. IAM no tiene una jerarquía de grupos integrada, pero puedes aproximar una creando grupos de acceso que hagan referencia a las instancias de servicio de varios equipos. Los usuarios que necesitan un acceso amplio solo necesitan añadirse a un grupo de "nivel superior", en lugar de al grupo de acceso individual de cada equipo.

Despliegue coherente y repetible de la configuración

Los pasos en esta guía pueden automatizarse para una gestión consistente y repetible de usuarios, instancias de servicio, y los mapeos de acceso entre ellos. Consulta la documentación del proveedor Terraform IBM Cloud® para ver las plantillas.

Puedes usar Terraform para establecer asignaciones y límites, así como restringir el acceso a backends, para instancias de servicio de quantum-computing. Consulta Introducción a Terraform en IBM Cloud para más información.

Ejemplo:

resource "ibm_resource_instance" "instance1" {
  name       = "name"
  service    = "quantum-computing"
  plan       = "premium"
  location   = "us-east"
  parameters = {
    usage_allocation_seconds = "10" # Mandatory
    usage_limit_seconds      = "20" # Optional. If omitted, it can
            # continue using time after reaching the allocation
    backends                 = ["ibm_boston"] # Optional
  }
}

Próximos pasos

Recomendaciones

• Consulta Configurar IBM Quantum Platform para una organización para ver los pasos de configuración de IBM Quantum Platform.
• Conoce los planes disponibles.
• Crea instancias.
• Comprende la estructura de cuenta de IBM Cloud.
• Crea políticas y grupos de acceso.
• Gestiona usuarios.
• Documentación de IBM Cloud IAM para detalles completos de IAM.
• Documentación de IBM Cloud Enterprise para gestionar varias cuentas vinculadas.