Resource Principals verwalten

Schreibgeschützten Zugriff auf bestimmte Buckets im Mandanten für Big Data Service-Cluster zulassen

allow any-user to read buckets in tenancy where ALL{request.principal.id='<BDS Cluster OCID>',target.bucket.name='<bucket-name>'}
allow any-user to read objects in tenancy where ALL{request.principal.id='<BDS Cluster OCID>',target.bucket.name='<bucket-name>'}

Schreibgeschützten Zugriff auf die Objekte und Buckets im Mandanten für alle Big Data Service-Cluster zulassen, die aus einem bestimmten Compartment stammen

allow any-user to read buckets in tenancy where ALL{request.resource.compartment.id='<Compartment OCID of BDS Clusters>', request.principal.type='bigdataservice'}
allow any-user to read objects in tenancy where ALL{request.resource.compartment.id='<Compartment OCID of BDS Clusters>', request.principal.type='bigdataservice'}

Schreibgeschützten Zugriff auf die Objekte und Buckets in einem anderen Mandanten für das Big Data Service-Cluster zulassen (z.B. mandantenübergreifenden Zugriff)

Erforderliche Policys im Quellmandanten, in dem das tatsächliche Big Data Service-Cluster erstellt wurde.

Define tenancy <Target-Tenancy-Name> as <Target-Tenancy-OCID>
Endorse any-user to read object-family in tenancy <Target-Tenancy-Name>
Endorse any-user to read buckets in tenancy <Target-Tenancy-Name>
Endorse any-user to read objects in tenancy <Target-Tenancy-Name>

Erforderliche Policys im Zielmandanten, auf den auf Ressourcen zugegriffen wird.

Define tenancy <Source-BDS-Cluster-Tenancy-Name> as <Source-BDS-Cluster-Tenancy-OCID>
Admit any-user of tenancy <Source-BDS-Cluster-Tenancy-Name> to read object-family in tenancy where request.principal.id='<BDS Cluster OCID>'
Admit any-user of tenancy <Source-BDS-Cluster-Tenancy-Name> to read buckets in tenancy where request.principal.id='<BDS Cluster OCID>'
Admit any-user of tenancy <Source-BDS-Cluster-Tenancy-Name> to read objects in tenancy where request.principal.id='<BDS Cluster OCID>'

Erforderliche IAM-Policy für Resource Principal

Um Resource Principal-(RPST-)bezogene Metriken zu überwachen, benötigen Sie den erforderlichen Zugriffstyp, der über eine von einem Administrator geschriebene Policy erteilt wird. Die Policy muss den Zugriff auf den Monitoring-Service und auf die spezifischen überwachten Big Data Service-Compartments ermöglichen.

Wenn Sie eine abgelehnte Berechtigung oder einen unbefugten Fehler erhalten, überprüfen Sie:

• Die Zugriffs-Policy umfasst oci_monitoring-Berechtigungen.
• Sie arbeiten im richtigen Compartment.

Referenz: Details zu den erforderlichen Berechtigungen und zum Compartment-Zugriff finden Sie unter IAM-Policy überwachen.

Metrik: ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold

Zweck:

Wird verwendet, um proaktiv RPST-Token zu überwachen, die sich dem Ablauf nähern (über 80% ihrer Lebensdauer), und zwar pro Knoten.

Verwenden Sie diese Metrik, wenn:

• Sie möchten Token identifizieren, die in Kürze ablaufen.
• Sie müssen Alerts vor dem tatsächlichen Tokenablauf auslösen, um Unterbrechungen zu vermeiden.
• Sie möchten Pufferzeit für die automatische oder manuelle Tokenneugenerierung zulassen.

Beispielabfrage:

ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold[2h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqa7h57hcu6f5pvxpwl6j5u2ipl3qqdcavjlqyixtgjjiva"}.count()

Metrik: ResourcePrincipalSessionTokenStatus

Zweck:

Wird verwendet, um kritische Tokenprobleme zu erkennen, wie z.B. das RPST-Token ist abgelaufen oder fehlt auf einer Knotenebene.

Verwenden Sie diese Metrik, wenn:

• Sie möchten Echtzeit-Health-Checks zur Tokenverfügbarkeit durchführen.
• Sie möchten sofort handeln, wenn ein Knoten ein defektes oder abgelaufenes Token aufweist.
• Sie möchten den Fehlertyp klassifizieren: 1 für abgelaufen, 2 für fehlend.

Beispielabfrage:

ResourcePrincipalSessionTokenStatus[30m]{resourceId = "ocid1.instance.oc1.iad.anuwcljtanx7lvqc7uvyibak2qlvjwvzz4mtb6qiusn6x4zsvpx4kpfydczq"}.count()

Metrik: ResourcePrincipalTokenRefreshedInLast30Mins

Zweck:

Wird verwendet, um zu verfolgen, ob RPST-Token kürzlich aktualisiert und auf Clusterebene ausgewertet wurden. Dies muss wahr sein, wenn ResourcePrincipalSessionTokenStatus für einen beliebigen Knoten abgelaufen ist oder fehlt.

Verwenden Sie diese Metrik, wenn:

• Sie möchten sicherstellen, dass Jobs zur regelmäßigen Tokenerneuerung erfolgreich ausgeführt werden.

• Sie möchten einen Heartbeat auf Clusterebene, der angibt, dass die Tokenverwaltung ordnungsgemäß funktioniert.

• Sie möchten veraltete Token auf allen Knoten ermitteln, wenn diese Metrik falsch ist.

Beispielabfrage:

ResourcePrincipalTokenRefreshedInLast30Mins[30m]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqac7xojchf2vjmbeudlixrqmjvjct7oioj34otatnibfka"}.max()

Proaktive Überwachung + sofortige Korrektur

Ziel: Erkennen Sie Token, die bald ablaufen, und stellen Sie sicher, dass keine Token fehlen oder abgelaufen sind.

Verwenden Sie die folgenden Metriken zusammen:

• ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold
• ResourcePrincipalSessionTokenStatus

Beispielabfrage (unter Abfragen aggregieren):

Abfrage 1:

 ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold[12h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.grouping().count()

Abfrage 2:

ResourcePrincipalSessionTokenStatus[12h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.count()

Health Check mit Aktualisierungsvalidierung

Ziel: Bestätigen Sie, dass alle Token regelmäßig aktualisiert werden und keine abgelaufenen/fehlenden Token vorhanden sind.

Verwenden Sie die folgenden Metriken zusammen:

• ResourcePrincipalTokenRefreshedInLast30Mins
• ResourcePrincipalSessionTokenStatus

Beispielabfrage (unter Abfragen aggregieren):

Abfrage 1:

ResourcePrincipalTokenRefreshedInLast30Mins[30m]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqac7xojchf2vjmbeudlixrqmjvjct7oioj34otatnibfka"}.max()

Abfrage 2:

ResourcePrincipalSessionTokenStatus[12h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.count()

Überprüfung der Clusterbereitschaft

Ziel: Stellen Sie sicher, dass alle Knoten bereit sind (Token aktiv, kürzlich aktualisiert, kein bevorstehender Ablauf).

Verwenden Sie alle drei Metriken zusammen:

• ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold
• ResourcePrincipalSessionTokenStatus
• ResourcePrincipalTokenRefreshedInLast30Mins

Beispielabfrage (unter Abfragen aggregieren):

Abfrage 1:

ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold[12h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.grouping().count()

Abfrage 2:

ResourcePrincipalSessionTokenStatus[12h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.count()

Abfrage 3:

ResourcePrincipalTokenRefreshedInLast30Mins[30m]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.max()