Überblick über IAM

Aufgaben, für die Sie zuständig sind:

• Machen Sie sich mit den Policys, Konfigurationen und Artefakten von Oracle Cloud Infrastructure Identity and Access Management (IAM) vertraut.
• Implementieren Sie Ihre eigenen Policys, Konfigurationen und Artefakte für alle IAM-Features.
• Erstellen und verwalten Sie Benutzer, Policys, Konfigurationen und Artefakte mit IAM.
• Halten Sie alle Anforderungen und Richtlinien für NIST 800-63 ein, einschließlich IAL3, AAL3 und FAL3.

Für alle IAM-Features müssen Sie Ihre eigenen Konfigurationswerte verwenden und Ihre eigenen Artefakte konfigurieren.

IAM verwendet die in diesem Abschnitt beschriebenen Komponenten. Informationen dazu, wie die Komponenten zusammenpassen, finden Sie unter Beispielszenario.

COMPARTMENT

Eine Sammlung zugehöriger Ressourcen. Compartments sind eine grundlegende Komponente von Oracle Cloud Infrastructure zum Organisieren und Isolieren Ihrer Cloud-Ressourcen. Mit ihnen können Sie Ressourcen zur Nutzungsmessung und zur Abrechnung, für den Zugriff (durch die Verwendung von Policys) und zur Isolierung (Trennung der Ressourcen für ein Projekt oder eine Geschäftseinheit) eindeutig trennen. Üblicherweise erstellen Sie ein Compartment für jeden wichtigen Teil Ihrer Organisation. Weitere Informationen finden Sie unter Best Practices zum Einrichten Ihres Mandanten.

DYNAMISCHE GRUPPEN

Ein spezieller Gruppentyp, der Ressourcen (wie Compute-Instanzen) enthält, die mit von Ihnen definierten Regeln übereinstimmen (damit die Mitgliedschaft dynamisch geändert werden kann, wenn übereinstimmende Ressourcen erstellt oder gelöscht werden). Diese Instanzen fungieren als "Principal"-Akteure und können entsprechend den Policys, die Sie für die dynamische Gruppe schreiben, API-Aufrufe für Services tätigen.

FEDERATION

Eine Beziehung, die ein Administrator zwischen einem Identitätsprovider und einem Serviceprovider konfiguriert. Wenn Sie Oracle Cloud Infrastructure mit einem Identitätsprovider föderieren, verwalten Sie Benutzer und Gruppen im Identitätsprovider. Sie verwalten die Autorisierung im Oracle Cloud Infrastructure IAM-Service.

GROUP

Eine Sammlung von Benutzern, die ähnliche Zugriffsberechtigungen haben. Administratoren können Zugriffs-Policys erteilen, die einer Gruppe die Nutzung oder Verwaltung von Ressourcen in einem Mandanten gestatten. Alle Benutzer in einer Gruppe erben dieselben Berechtigungen.

HOME REGION

Die Region, in der sich Ihre IAM-Ressourcen befinden. Alle IAM-Ressourcen sind global und über alle Regionen hinweg verfügbar. Das Masterset der Definitionen befindet sich jedoch in einer einzelnen Region, der Hauptregion. Sie müssen Änderungen an Ihren IAM-Ressourcen in Ihrer Hauptregion vornehmen. Die Änderungen werden automatisch an alle Regionen propagiert. Weitere Informationen finden Sie unter Regionen verwalten.

Identitätsdomain

Eine Identitätsdomain ist ein Container für die Verwaltung von Benutzern und Rollen, die Föderation und das Provisioning von Benutzern, die sichere Anwendungsintegration über die Oracle Single Sign-On-(SSO-)Konfiguration und die OAuth-Administration. Sie stellt eine Benutzerpopulation in Oracle Cloud Infrastructure und die zugehörigen Konfigurationen und Sicherheitseinstellungen (wie MFA) dar.

IDENTITY PROVIDER

Eine vertrauenswürdige Beziehung mit einem Provider einer Federated Identity. Föderierte Benutzer, die versuchen, sich bei der Oracle Cloud Infrastructure-Konsole zu authentifizieren, werden an den konfigurierten Identitätsprovider umgeleitet. Nach der erfolgreichen Authentifizierung können föderierte Benutzer Oracle Cloud Infrastructure-Ressourcen in der Konsole wie ein nativer IAM-Benutzer verwalten.

MFA

Die Multifaktor-Authentifizierung (MFA) ist eine Authentifizierungsmethode, bei der mehrere Faktoren zur Verifizierung der Benutzeridentität verwendet werden müssen.

NETWORK SOURCE

Eine Gruppe von IP-Adressen, die auf Ressourcen in Ihrem Mandanten zugreifen dürfen. Bei den IP-Adressen kann es sich um öffentliche IP-Adressen oder IP-Adressen von einem VCN in Ihrem Mandanten handeln. Nachdem Sie die Netzwerkquelle erstellt haben, verwenden Sie eine Policy, um den Zugriff nur auf Anforderungen zu beschränken, die aus den IPs in der Netzwerkquelle stammen.

RESOURCE

Ein Cloud-Objekt, das Sie bei der Interaktion mit Oracle Cloud Infrastructure-Services erstellen und verwenden. Beispiel: Compute-Instanzen , Blockspeicher-Volumes , virtuelle Cloud-Netzwerke (VCNs ), Subnetze, Datenbanken, Anwendungen von Drittanbietern, Software-as-a-Service-(SaaS-)Anwendungen, On-Premise-Software und Einzelhandelswebanwendungen.

ROLE

Eine Gruppe administrativer Berechtigungen, die einem Benutzer in einer Identitätsdomain zugewiesen werden können.

SICHERHEITS-POLICY

Ein Dokument, mit dem angegeben wird, wer auf welche Ressourcen zugreifen kann und wie. Sie können Policys schreiben, um den Zugriff auf alle Services in Oracle Cloud Infrastructure zu kontrollieren. Der Zugriff wird auf Gruppen- und Compartment-Ebene erteilt. Sie können also eine Policy schreiben, mit der eine Gruppe einen bestimmten Zugriffstyp innerhalb eines bestimmten Compartments erhält oder der Mandant selbst. Wenn Sie einer Gruppe Zugriff auf den Mandanten erteilen, erhält die Gruppe automatisch denselben Zugriffstyp für alle Compartments innerhalb des Mandanten. Das Wort "Policy" wird auf unterschiedliche Arten verwendet: als einzelne in der Policy-Sprache geschriebene Anweisung, als eine Sammlung von Anweisungen in einem einzelnen benannten "Policy"-Dokument (dem eine Oracle Cloud-ID (OCID) zugewiesen ist) und als allgemeines Policy-Dokument, das von Ihrer Organisation verwendet wird, um den Zugriff auf Ressourcen zu kontrollieren.

Wenn Sie eine Policy anwenden, kann es zu einer leichten Verzögerung kommen, bevor die Policy wirksam wird.

ANMELDE-POLICY

Mit einer Anmelde-Policy können Identitätsdomainadministratoren, Sicherheitsadministratoren und Anwendungsadministratoren Kriterien definieren, die bestimmen, ob ein Benutzer sich bei einer Identitätsdomain anmelden kann.

TAGS

Mit Tags können Sie Ressourcen über mehrere Compartments hinweg für Berichtszwecke oder für Bulkaktionen organisieren.

TENANCY

Das Root Compartment, das alle Oracle Cloud Infrastructure-Ressourcen Ihres Unternehmens enthält. Oracle erstellt automatisch den Mandanten Ihres Unternehmens. Direkt im Mandanten befinden sich Ihre IAM-Entitys (Benutzer, Gruppen, Compartments und einige Policys). Sie können Policys auch in Compartments innerhalb des Mandanten einfügen. Die anderen Typen von Cloud-Ressourcen (z.B. Instanzen, virtuelle Netzwerke, Blockspeicher-Volumes usw.) können Sie in den von Ihnen erstellten Compartments speichern.

Mandantenadministratoren können Benutzer und Gruppen erstellen und ihnen den am wenigsten privilegierten Zugriff auf Ressourcen zuweisen, die in Compartments partitioniert sind.

USER

Einzelne Mitarbeiter oder Systeme, die Oracle Cloud Infrastructure-Ressourcen Ihres Unternehmens verwalten oder verwenden müssen. Benutzer müssen möglicherweise Instanzen starten, Remote-Datenträger verwalten, mit Ihrem virtuellen Cloud-Netzwerk arbeiten usw. Endbenutzer Ihrer Anwendung sind in der Regel keine IAM-Benutzer. Benutzer verfügen über IAM-Zugangsdaten (siehe Mit Benutzerzugangsdaten arbeiten).

Wenn sich Ihr Unternehmen für einen Oracle-Account und eine Identitätsdomain registriert, richtet Oracle einen Standardadministrator für den Account ein. Diese Person ist der erste IAM-Benutzer für Ihr Unternehmen und ist für die anfängliche Einrichtung zusätzlicher Administratoren verantwortlich. Ihr Mandant enthält eine Gruppe mit dem Namen Administratoren, und der Standardadministrator gehört automatisch zu dieser Gruppe. Sie können diese Gruppe nicht löschen, und es muss immer mindestens ein Benutzer darin enthalten sein.

Ihr Mandant beinhaltet auch automatisch eine Policy, mit der die Administratorengruppe Zugriff auf alle Oracle Cloud Infrastructure-API-Vorgänge und alle Cloud-Ressourcen in Ihrem Mandanten erhält. Sie können diese Policy weder ändern noch löschen. Alle anderen Benutzer, die Sie in die Administratorengruppe aufnehmen, haben vollständigen Zugriff auf alle Services. Das bedeutet, dass sie IAM-Ressourcen wie Gruppen, Policys und Compartments erstellen und verwalten können. Sie können außerdem Cloud-Ressourcen wie virtuelle Cloud-Netzwerke (VCNs), Instanzen, Blockspeicher-Volumes und andere neue Typen von Oracle Cloud Infrastructure-Ressourcen, die in Zukunft verfügbar werden, erstellen und verwalten.

Neben dem Standardadministrator und der Standard-Policy können Sie Benutzeraccounts vordefinierten Administratorrollen zuweisen, um administrative Aufgaben zu delegieren. Administratorrollen sind in Identitätsdomains vorhanden. Sie können jeden Benutzeraccount in einer Identitätsdomain einer oder mehreren Administratorrollen in dieser Identitätsdomain zuweisen. Policys erteilen den Zugriff auf Compartments und die Ressourcen in diesen Compartments. Wenn Sie Administratorrollen verwenden, können Sie jedoch Zugriff auf Ressourcen erteilen, ohne die Policy-Sprache zu erlernen oder Policys zu schreiben und zu verwalten.

IAM wertet Policys und Administratorrollen zusammen aus, um zu bestimmen, ob ein Benutzer Zugriff auf Ressourcen hat und welche Aktionen der Benutzer mit diesen Ressourcen ausführen kann. Wenn der Mandant bereits Policys nutzt, können Sie diese weiterhin verwenden. Sie können sogar Policys schreiben, um Zugriff auf bestimmte Identitätsdomains zu erteilen. Oracle empfiehlt jedoch, dass Sie mit der Verwendung von Administratorrollen beginnen, um Benutzern Zugriff auf Ressourcen in Identitätsdomains zu erteilen.

Sie können über die Konsole (eine browserbasierte Schnittstelle) oder die REST-API auf Oracle Cloud Infrastructure zugreifen. Anweisungen für die Konsole sind in verschiedenen Themen in dieser Dokumentation enthalten. Eine Liste der verfügbaren SDKs finden Sie unter Software Development Kits und Befehlszeilenschnittstelle (CLI).

Um auf die Konsole zuzugreifen, müssen Sie einen unterstützten Browser verwenden. Um zur Anmeldeseite der Konsole zu wechseln, öffnen Sie das Navigationsmenü oben auf dieser Seite, und wählen Sie Infrastrukturkonsole aus. Dort werden Sie aufgefordert, Ihren Cloud-Mandanten, Ihren Benutzernamen und Ihr Kennwort einzugeben.

Die REST-API-Referenz für die IAM-API finden Sie unter Identity and Access Management-Service-API. Informationen zur REST-API-Referenz für die IAM-Identitätsdomain-API finden Sie unter IAM-Identitätsdomain-API. Allgemeine Informationen zur Verwendung der API finden Sie unter REST-API.