Erweiterte Policy-Features

Als Teil einer Policy-Anweisung können Sie eine oder mehrere Bedingungen angeben, die erfüllt werden müssen, damit der Zugriff erteilt werden kann.

Jede Bedingung besteht aus einer oder mehreren vordefinierten Variablen, für die Sie Werte in der Policy-Anweisung angeben. Wenn ein Benutzer später Zugriff auf die betreffende Ressource anfordert und die Bedingung in der Policy erfüllt ist, ergibt sie true, und die Anforderung ist zulässig. Wenn die Bedingung nicht erfüllt wird, ergibt sie false, und die Anforderung ist nicht zulässig.

Es gibt zwei Variablentypen: Variablen, die für die Anforderung selbst relevant sind, und Variablen, die für die Ressource relevant sind, die in der Anforderung bearbeitet wird, auch als Ziel ("target") bezeichnet. Dem Namen der Variablen wird das Präfix request oder target gefolgt von einem Punkt vorangestellt. Beispiel: Eine Anforderungsvariable mit dem Namen request.operation gibt den angeforderten API-Vorgang an. Mit dieser Variablen können Sie eine umfassende Policy-Anweisung schreiben, aber auch eine Bedingung basierend auf dem jeweiligen API-Vorgang hinzufügen. Ein Beispiel finden Sie unter Schreiben von Objekten in Objektspeicher-Buckets durch Benutzer zulassen.

Berechtigungen sind die atomaren Autorisierungseinheiten, die die Möglichkeit eines Benutzers kontrollieren, Vorgänge für Ressourcen auszuführen. Oracle definiert alle Berechtigungen in der Policy-Sprache. Wenn Sie eine Policy schreiben, mit der eine Gruppe Zugriff auf ein bestimmtes Verb und einen bestimmten Ressourcentyp erhält, erteilen Sie dieser Gruppe eigentlich Zugriff auf eine oder mehrere vordefinierte Berechtigungen. Mithilfe von Verben wird das Erteilen mehrerer zugehöriger Berechtigungen vereinfacht, die einen umfassenden Zugriff oder ein bestimmtes betriebsbedingtes Szenario abdecken. Die nächsten Abschnitte enthalten weitere Details und Beispiele.

In einer Policy-Anweisung können Sie Bedingungen in Kombination mit Berechtigungen oder API-Vorgängen verwenden, um den Geltungsbereich des Zugriffs einzuschränken, der durch ein bestimmtes Verb erteilt wurde.

Beispiel: Nehmen wir an, die Gruppe "XYZ" soll Gruppen auflisten, abrufen, erstellen oder aktualisieren (d.h. die Beschreibung ändern), jedoch nicht löschen können. Um Gruppen aufzulisten, abzurufen, zu erstellen und zu aktualisieren, benötigen Sie eine Policy mit manage groups als Verb und einem Ressourcentyp. Gemäß der Tabelle unter Details für Kombinationen aus Verb + Ressourcentyp werden folgende Berechtigungen abgedeckt:

• GROUP_INSPECT
• GROUP_UPDATE
• GROUP_CREATE
• GROUP_DELETE

Um den Zugriff nur auf die gewünschten Berechtigungen einzuschränken, können Sie eine Bedingung hinzufügen, die die Berechtigungen explizit angibt, die Sie zulassen möchten:

Allow group XYZ to manage groups in tenancy

 where any {request.permission='GROUP_INSPECT',
            request.permission='GROUP_CREATE',
            request.permission='GROUP_UPDATE'}

Alternativ können Sie eine Policy schreiben, die alle Berechtigungen außer "GROUP_DELETE" zulässt:

Allow group XYZ to manage groups in tenancy where request.permission != 'GROUP_DELETE'

Beachten Sie jedoch, dass bei dieser Policy der Gruppe "XYZ" automatisch alle neuen Berechtigungen erteilt werden, die für den Service zukünftig hinzugefügt werden. Nur "GROUP_DELETE" wird dabei ausgelassen.

Eine weitere Möglichkeit wäre, eine Bedingung basierend auf den spezifischen API-Vorgängen schreiben. Beachten Sie, dass entsprechend der Tabelle unter Für jeden API-Vorgang erforderliche Berechtigungen sowohl ListGroups als auch GetGroup nur die Berechtigung "GROUP_INSPECT" benötigen. Dies ist die Policy:

Allow group XYZ to manage groups in tenancy

 where any {request.operation='ListGroups',  
            request.operation='GetGroup',
            request.operation='CreateGroup',
            request.operation='UpdateGroup'}

Es kann von Vorteil sein, Berechtigungen anstelle von API-Vorgängen in Bedingungen zu verwenden. Wenn zukünftig ein neuer API-Vorgang hinzugefügt wird, für den eine der in der berechtigungsbasierten Policy oben aufgeführten Berechtigungen erforderlich ist, kontrolliert diese Policy bereits den Zugriff der Gruppe "XYZ" auf diesen neuen API-Vorgang.

Beachten Sie jedoch, dass Sie den Zugriff eines Benutzers auf eine Berechtigung weiter einschränken können, indem Sie auch eine Bedingung basierend auf dem API-Vorgang angeben. Beispiel: Sie können einem Benutzer Zugriff auf "GROUP_INSPECT" erteilen, jedoch nur für ListGroups.

Allow group XYZ to manage groups in tenancy

 where all {request.permission='GROUP_INSPECT',  
            request.operation='ListGroups'}

Sie können den Geltungsbereich des Zugriffs nur auf eine Gruppe zulässiger IP-Adressen einschränken. Beispiel: Sie können eine Policy schreiben, mit der nur Anforderungen von einem bestimmten öffentlichen IP-Bereich für den Zugriff auf einen bestimmten Object Storage-Bucket zulässig sind. Sie können aber auch nur Anforderungen von bestimmten Subnetzen eines bestimmten VCN über ein Servicegateway zulassen.

So schränken Sie den Zugriff auf eine Gruppe von IP-Adressen ein:

1. Erstellen Sie ein Netzwerkquellobjekt, das die zulässigen IP-Adressen angibt. Weitere Einzelheiten finden Sie unter Netzwerkquellen verwalten.
2. Schreiben Sie eine Policy, in der das Netzwerkquellobjekt in einer Bedingung verwendet wird.

Verwenden Sie die folgende Variable in Ihrer Policy:

request.networkSource.name='<network_source_name>'

Beispiel:

allow group GroupA to manage object-family in tenancy where request.networkSource.name='corpnet'

Sie können zeitbasierte Variablen in Ihren Policys verwenden, um den Zugriff, der in der Policy erteilt wird, auf bestimmte Zeitrahmen zu beschränken. Mit diesem Feature können Sie Aktionen für Ressourcen auf bestimmte Zeiten beschränken. Beispiel: Sie können eine Policy erstellen, die den Zugriff nur bis zu einem angegebenen Datum zulässt. Eine solche Policy ist hilfreich, wenn Ihr Unternehmen Auftragnehmer einstellt und Sie sicherstellen möchten, dass der Zugriff nicht nach dem Vertragsende zulässig ist. Alternativ können Sie den Zugriff auf Ressourcen nur während der Geschäftszeiten zulassen (z.B. Montag bis Freitag 9:00 Uhr bis 17:00 Uhr). Diese Einschränkung kann das Risiko verringern, dass ein Angreifer Änderungen vornimmt, wenn diese unbemerkt bleiben können.

Variablen, mit denen Sie den Zugriff basierend auf Zeit einschränken können:

Die Verwendung dieser Variablen wird in den folgenden Abschnitten ausführlicher beschrieben.

Allow group Contractors to manage instance-family in tenancy where request.utc-timestamp before '2022-01-01T00:00Z'

Allow group SummerInterns to manage instance-family in tenancy where ANY {request.utc-timestamp.month-of-year in ('6', '7', '8')}

Allow group ComplianceAuditors to read all-resources in tenancy where request.utc-timestamp.day-of-month = '1'

Allow group WorkWeek to manage instance-family where ANY {request.utc-timestamp.day-of-week in ('monday', 'tuesday', 'wednesday', 'thursday', 'friday')}

Allow group DayShift to manage instance-family where request.utc-timestamp.time-of-day between '17:00:00Z' and '01:00:00Z'

Allow group NightShift to manage instance-family where request.utc-timestamp.time-of-day between '01:00:00Z' and '17:00:00Z'