تكوين وحدة IAM النمطية

تشتمل الوحدة النمطية لـ Im على تكوين المجموعات والأنظمة. حدد كل مجموعة وسياسة كمورد في التكوين ، وقم بتعريف المتغيرات المطلوبة.

حول الأنظمة والمجموعات

للتحكم في وصول المستخدم إلى الموارد في المنظومة ، قم بتكوين المجموعات ، وتعيين أنظمة لمنح الأذون المطلوبة لكل مجموعة.

يسرد الجدول التالي المجموعات والأذونات المطلوبة ، عادة ما تكون للبنية متعددة الطبقات:

المجموعة	الأذون
DBAdmins	قراءة كل الموارد الموجودة في الأرض المستأجرة. إدارة موارد قاعدة البيانات.
IAMAdminManagers	إدارة المستخدمين. إدارة مجموعات Administrators و NetSecAdmins. ملاحظة : يقوم Oracle بتكوين المجموعة Administrators عند الاشتراك في Oracle Cloud. يمتلك المستخدمون في هذه المجموعة حق وصول كامل إلى كل الموارد الموجودة في الأرض المستأجرة ، بما في ذلك إدارة المستخدمين والمجموعات. قصر العضوية على هذه المجموعة.
IAMManagers	إدارة المستخدمين. إدارة كل المجموعات باستثناء Administrators و NetSecAdmins.
NetworkAdmins	قراءة كل الموارد الموجودة في الأرض المستأجرة. إدارة كل موارد الشبكات باستثناء قوائم السرية ووحدات جيت واي على الإنترنت واتصالات IPSec VPN والمعدات الخاصة بالعملاء.
NetSecAdmins	قراءة كل الموارد الموجودة في الأرض المستأجرة. إدارة قوائم السرية والجيت واي على الإنترنت والمعدات المحلية للعميل واتصالات IPSec VPN وموازن التحميل. استخدام كل موارد الشبكة الظاهرية.
ReadOnly	عرض الأرض المستأجرة وفحصها. هذه المجموعة مخصصة للمستخدمين غير المتوقع تكوين أية موارد أو إدارتها (على سبيل المثال ، المراجعون والمدربين).
StorageAdmins	قراءة كل الموارد الموجودة في الأرض المستأجرة. إدارة تخزين الوحدة وموارد حجم القطعة.
SysAdmins	قراءة كل الموارد الموجودة في الأرض المستأجرة. إدارة احتساب موارد التخزين. إدارة الأقسام. استخدام موازين التحميل والمحطات الفرعية وVNICs.

تعريف المجموعات والأنظمة

قم بتكوين ملفات تكوين Terraform التي تعرف أنظمة ومجموعات Oracle Cloud Infrastructure Identity and Access Management المطلوبة.

أكمل الخطوات التالية في الدليل الفرعي iam:

1. قم بتكوين ملف نصي باسم variables.tf وألصق التعليمات البرمجية التالية في الملف.
   يعلن هذا الرمز المتغيرات المستخدمة في هذه الوحدة

   variable "tenancy_ocid" {}
   variable "app_tag" {}
   variable "environment" {}

2. قم بتكوين ملف نصي باسم groups.tf وألصق التعليمات البرمجية التالية في الملف.

   resource "oci_identity_group" "db_admins" {
     description = "Group for users allowed to manage the databases in the tenancy."
     name        = "DBAdmins.grp"
   }
   resource "oci_identity_group" "iam_admin_managers" {
     description = "Group for users allowed to modify the Administrators and NetSecAdmins group."
     name        = "IAMAdminManagers.grp"
   }
   
   resource "oci_identity_group" "iam_managers" {
     description = "Group for users allowed to modify all users and groups except the Administrators and NetSecAdmin groups."
     name        = "IAMManagers.grp"
   }
   
   resource "oci_identity_group" "net_sec_admins" {
     description = "Administrators of the VCNs, but restricted from the following resources: vcns, subnets, route-tables, dhcp-options, drgs, drg-attachments, vnics, vnic-attachments"
     name        = "NetSecAdmins.grp"
   }
   
   resource "oci_identity_group" "network_admins" {
     description = "Administrators of the VCNs, but restricted from the following resources: security-lists, internet-gateways, cpes, ipsec-connections"
     name        = "NetworkAdmins.grp"
   }
   
   resource "oci_identity_group" "read_only" {
     description = "Groups for users allowed to view and inspect the tenancy configuration; for example, trainees"
     name        = "ReadOnly.grp"
   }
   
   resource "oci_identity_group" "storage_admins" {
     description = "Group for users allowed manage the Storage resources in the tenancy."
     name        = "StorageAdmins.grp"
   }
   
   resource "oci_identity_group" "sys_admins" {
     description = "Group for users allowed manage the Compute and Storage resources in the tenancy. Tenant administrators should be in this group."
     name        = "SysAdmins.grp"
   }

3. قم بتكوين ملف نصي باسم policies.tf وألصق التعليمات البرمجية التالية في الملف.

   resource "oci_identity_policy" "iam_admin_managers" {
     name           = "IAMAdminManagers.pl"
     description    = "IAMAdminManagers.pl"
     compartment_id = "${var.tenancy_ocid}"
   
     statements = [
       "ALLOW GROUP ${oci_identity_group.iam_admin_managers.name} to read users IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.iam_admin_managers.name} to read groups IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.iam_admin_managers.name} to manage users IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.iam_admin_managers.name} to manage groups IN TENANCY where target.group.name = 'Administrators'",
       "ALLOW GROUP ${oci_identity_group.iam_admin_managers.name} to manage groups IN TENANCY where target.group.name = '${oci_identity_group.net_sec_admins.name}'",
     ]
   }
   
   resource "oci_identity_policy" "iam_managers" {
     name           = "IAMManagers.pl"
     description    = "IAMManagers.pl"
     compartment_id = "${var.tenancy_ocid}"
   
     statements = [
       "ALLOW GROUP ${oci_identity_group.iam_managers.name} to read users IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.iam_managers.name} to read groups IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.iam_managers.name} to manage users IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.iam_managers.name} to manage groups IN TENANCY where all {target.group.name ! = 'Administrators', target.group.name ! = '${oci_identity_group.net_sec_admins.name}'}",
     ]
   }
   
   resource "oci_identity_policy" "sys_admins" {
     name           = "SysAdmins.pl"
     description    = "SysAdmins.pl"
     compartment_id = "${var.tenancy_ocid}"
   
     statements = [
       "ALLOW GROUP ${oci_identity_group.sys_admins.name} to manage instance-family IN TENANCY where all {target.compartment.name=/*/, target.compartment.name!=/${var.app_tag}_${var.environment}_networks/}",
       "ALLOW GROUP ${oci_identity_group.sys_admins.name} to manage object-family IN TENANCY where all {target.compartment.name=/*/, target.compartment.name!=/${var.app_tag}_${var.environment}_networks/}",
       "ALLOW GROUP ${oci_identity_group.sys_admins.name} to manage volume-family IN TENANCY where all {target.compartment.name=/*/ , target.compartment.name!=/${var.app_tag}_${var.environment}_networks/}",
       "ALLOW GROUP ${oci_identity_group.sys_admins.name} to use load-balancers IN TENANCY where all {target.compartment.name=/*/ , target.compartment.name!=/${var.app_tag}_${var.environment}_networks/}",
       "ALLOW GROUP ${oci_identity_group.sys_admins.name} to use subnets IN TENANCY where target.compartment.name=/${var.app_tag}_${var.environment}_networks/",
       "ALLOW GROUP ${oci_identity_group.sys_admins.name} to use vnics IN TENANCY where target.compartment.name=/${var.app_tag}_${var.environment}_networks/",
       "ALLOW GROUP ${oci_identity_group.sys_admins.name} to use vnic-attachments IN TENANCY where target.compartment.name=/${var.app_tag}_${var.environment}_networks/",
       "ALLOW GROUP ${oci_identity_group.sys_admins.name} to manage compartments in Tenancy where all {target.compartment.name=/*/ , target.compartment.name!=/${var.app_tag}_${var.environment}_networks/, target.compartment.name!=/Shared-Infra-Services/}",
       "ALLOW GROUP ${oci_identity_group.sys_admins.name} to read all-resources IN TENANCY",
     ]
   }
   
   resource "oci_identity_policy" "storage_admins" {
     name           = "StorageAdmins.pl"
     description    = "StorageAdmins.pl"
     compartment_id = "${var.tenancy_ocid}"
   
     statements = [
       "ALLOW GROUP ${oci_identity_group.storage_admins.name} to manage object-family IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.storage_admins.name} to manage volume-family IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.storage_admins.name} to read all-resources IN TENANCY",
     ]
   }
   
   resource "oci_identity_policy" "db_admins" {
     name           = "DBAdmins.pl"
     description    = "DBAdmins.pl"
     compartment_id = "${var.tenancy_ocid}"
   
     statements = [
       "ALLOW GROUP ${oci_identity_group.db_admins.name} manage database-family IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.db_admins.name} read all-resources IN TENANCY",
     ]
   }
   
   resource "oci_identity_policy" "network_admins" {
     name           = "NetworkAdmins.pl"
     description    = "NetworkAdmins.pl"
     compartment_id = "${var.tenancy_ocid}"
   
     statements = [
       "ALLOW GROUP ${oci_identity_group.network_admins.name} to manage vcns IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.network_admins.name} to manage subnets IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.network_admins.name} to manage route-tables IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.network_admins.name} to manage dhcp-options IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.network_admins.name} to manage drgs IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.network_admins.name} to manage cross-connects IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.network_admins.name} to manage cross-connect-groups IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.network_admins.name} to manage virtual-circuits IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.network_admins.name} to manage vnics IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.network_admins.name} to manage vnic-attachments IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.network_admins.name} to manage load-balancers IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.network_admins.name} to use virtual-network-family IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.network_admins.name} to read all-resources IN TENANCY",
     ]
   }
   
   resource "oci_identity_policy" "net_sec_admins" {
     name           = "NetSecAdmins.pl"
     description    = "NetSecAdmins.pl"
     compartment_id = "${var.tenancy_ocid}"
   
     statements = [
       "ALLOW GROUP ${oci_identity_group.net_sec_admins.name} to manage security-lists IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.net_sec_admins.name} to manage internet-gateways IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.net_sec_admins.name} to manage cpes IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.net_sec_admins.name} to manage ipsec-connections IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.net_sec_admins.name} to use virtual-network-family IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.net_sec_admins.name} to manage load-balancers IN TENANCY",
       "ALLOW GROUP ${oci_identity_group.net_sec_admins.name} to read all-resources IN TENANCY",
     ]
   }
   
   resource "oci_identity_policy" "read_only" {
     name           = "ReadOnly.pl"
     description    = "ReadOnly.pl"
     compartment_id = "${var.tenancy_ocid}"
   
     statements = ["ALLOW GROUP ${oci_identity_group.read_only.name} to read all-resources IN TENANCY"]
   }

4. قم بتكوين ملف بالاسم iam_outputs.tf والصق التعليمات البرمجية التالية في الملف.
   يؤدي هذا الرمز إلى عرض معرفات الموارد بعد تكوينها.

   output "db_admins_id" {
     value = "${oci_identity_group.db_admins.id}"
   }
   
   output "iam_admin_managers_id" {
     value = "${oci_identity_group.iam_admin_managers.id}"
   }
   
   output "iam_managers_id" {
     value = "${oci_identity_group.iam_managers.id}"
   }
   
   output "net_sec_admins_id" {
     value = "${oci_identity_group.net_sec_admins.id}"
   }
   
   output "network_admins_id" {
     value = "${oci_identity_group.network_admins.id}"
   }
   
   output "read_only_id" {
     value = "${oci_identity_group.read_only.id}"
   }
   
   output "storage_admins_id" {
     value = "${oci_identity_group.storage_admins.id}"
   }
   
   output "sys_admins_id" {
     value = "${oci_identity_group.sys_admins.id}"
   }