Oracle Cloud Infrastructure-Dokumentation

Für Oracle Database-Verbindungen

Beispiel-Policys für Datenbanktools

Datenbanktools können von vier verschiedenen Personas verwendet werden. Jede Persona kann über eine andere Ebene des Verwaltungszugriffs für den begleitenden Oracle Cloud Infrastructure-Service verfügen, wie in der folgenden Tabelle dargestellt:

Tabelle 6-1: Beispiel-Policys

Persona Virtual Networking-Familie Datenbank- oder autonome Datenbankfamilie Vaults Schlüssel Secret-Familie Datenbanktoolfamilie Verbindung zu Datenbanktools
Datenbanktooladministrator verwalten verwalten verwalten verwalten verwalten verwalten --
Datenbanktoolmanager verwalten lesen verwenden verwenden verwalten verwalten --
Datenbanktool-Verbindungsmanager verwenden lesen verwenden verwenden verwalten verwenden verwalten
Datenbanktool-Verbindungsbenutzer -- lesen -- -- lesen lesen verwenden

Datenbanktooladministrator

Der Datenbanktooladministrator kann alle Aspekte des Service verwalten. Mit den folgenden Policys werden ihm die Berechtigungen erteilt, die zum Verwalten von Netzwerken, Vaults, Schlüsseln, Secrets, Datenbanken und Datenbanktools in einem bestimmten Compartment erforderlich sind.

Ersetzen Sie die Platzhalter <group_name> und <compartment_name> durch Ihre eigenen Werte.

Table 6-2: Datenbanktooladministrator-Policys

Policy Zugriffsebene 
allow group <group_name> to manage virtual-network-family
 in compartment <compartment_name>
 Zum Verwalten von virtuellen Cloud-Netzwerken (VCNs), Subnetzen, virtuellen Netzwerkkarten (VNICs), Netzwerksicherheitsgruppen. 
allow group <group_name> to manage database-family 
in compartment <compartment_name>
 Zum Verwalten von Database Cloud Service (Virtual-Machine- und Bare-Metal-DB-Systeme, Exadata Cloud Service-VM-Cluster). 
allow group <group_name> to manage autonomous-database-family
 in compartment <compartment_name>
 Zum Lesen von autonomen Datenbanken auf gemeinsam verwendeter und dedizierter Exadata-Infrastruktur. 
allow group <group_name> to manage vaults 
in compartment <compartment_name>
 Zum Verwalten von Vaults. 
allow group <group_name> to manage keys 
in compartment <compartment_name>
 Um Schlüssel zu verwalten. 
allow group <group_name> to manage secret-family 
in compartment <compartment_name>
 Zum Verwalten von Secrets. 
allow group <group_name> to manage database-tools-family 
in compartment <compartment_name>
 Zum Verwalten von Datenbanktools.

Datenbanktoolmanager

Der Datenbanktoolmanager kann Netzwerke (einschließlich privater Endpunkte), Secrets und Verbindungen zu Datenbanktools verwalten, hat aber nur eingeschränkten Zugriff auf die Services Oracle Cloud Infrastructure Vault und Database.

Ersetzen Sie <group_name> und <compartment_name> durch Ihre eigenen Werte.

Tabelle 6-3: Datenbanktoolmanager-Policys

Policy Zugriffsebene 
allow group <group_name> to manage virtual-network-family 
in compartment <compartment_name>
 Zum Verwenden von virtuellen Cloud-Netzwerken (VCNs), Subnetzen, virtuellen Netzwerkkarten (VNICs) und Netzwerksicherheitsgruppen. 
allow group <group_name> to read database-family 
in compartment <compartment_name>
 Zum Lesen von Database Cloud Service (Virtual-Machine- und Bare-Metal-DB-Systeme, Exadata Cloud Service-VM-Cluster). 
allow group <group_name> to read autonomous-database-family 
in compartment <compartment_name>
 Zum Lesen von autonomen Datenbanken auf gemeinsam verwendeter und dedizierter Exadata-Infrastruktur. 
allow group <group_name> to use vaults 
in compartment <compartment_name>
 Zum Verwenden von Vaults (Beispiel: Secret erstellen). 
allow group <group_name> to use keys 
in compartment <compartment_name>
 Zum Verwenden von Schlüsseln (Beispiel: Secret erstellen). 
allow group <group_name> to manage secret-family 
in compartment <compartment_name>
 Zum Verwalten von Secrets. 
allow group <group_name> to manage database-tools-family 
in compartment <compartment_name>
 Zum Verwalten von Datenbanktools.

Datenbanktool-Verbindungsmanager

Der Datenbanktool-Verbindungsmanager verwaltet das Erstellen von Verbindungen zu Datenbankservices und hat schreibgeschützten Zugriff auf die anderen Services.

Ersetzen Sie <group_name> und <compartment_name> durch Ihre eigenen Werte.

Wenn Sie eine WHERE-Klausel in der Policy verwenden, um den Zugriff basierend auf der Verbindungs-OCID einzuschränken, verwenden Sie Folgendes:

where target.resource.id = <connection-ocid>

Tabelle 6-4: Datenbanktool-Verbindungsmanager-Policys

Policy Zugriffsebene 
allow group <group_name> to use virtual-network-family 
in compartment <compartment_name>
 Zum Verwenden von virtuellen Cloud-Netzwerken (VCNs), Subnetzen, virtuellen Netzwerkkarten (VNICs) und Netzwerksicherheitsgruppen. 
allow group <group_name> to read database-family 
in compartment <compartment_name>
 Zum Lesen von Database Cloud Service (Virtual-Machine- und Bare-Metal-DB-Systeme, Exadata Cloud Service-VM-Cluster). 
allow group <group_name> to read autonomous-database-family 
in compartment <compartment_name>
 Zum Lesen von autonomen Datenbanken auf gemeinsam verwendeter und dedizierter Exadata-Infrastruktur. 
allow group <group_name> to use vaults 
in compartment <compartment_name>
 Zum Verwenden von Vaults (Beispiel: Secret erstellen). 
allow group <group_name> to use keys 
in compartment <compartment_name>
 Zum Verwenden von Schlüsseln (Beispiel: Secret erstellen). 
allow group <group_name> to manage secret-family 
in compartment <compartment_name>
 Zum Verwalten von Secrets. 
allow group <group_name> to use database-tools-family 
in compartment <compartment_name>
 Zum Verwenden von privaten Endpunkten und Endpunktservices für Datenbanktools. 
allow group <group_name> to manage database-tools-connections 
in compartment <compartment_name>
 Zum Verwalten von Verbindungen zu Datenbanktools.

Datenbanktool-Verbindungsbenutzer

Der Datenbanktool-Verbindungsbenutzer kann nur vorab erstellte Datenbankverbindungen verwenden, die mit OCI-Datenbanktools erstellt wurden.

Ersetzen Sie <group_name> und <compartment_name> durch Ihre eigenen Werte.

Tabelle 6-5: Datenbanktool-Verbindungsbenutzer-Policys

Policy Zugriffsebene 
allow group <group_name> to read database-family 
in compartment <compartment_name>
 Zum Lesen von Database Cloud Service (Virtual-Machine- und Bare-Metal-DB-Systeme, Exadata Cloud Service-VM-Cluster). 
allow group <group_name> to read autonomous-database-family 
in compartment <compartment_name>
 Zum Lesen von autonomen Datenbanken auf gemeinsam verwendeter und dedizierter Exadata-Infrastruktur. 
allow group <group_name> to read secret-family 
in compartment <compartment_name>
 Zum Lesen von Secrets. 
allow group <group_name> to read database-tools-family 
in compartment <compartment_name>
 Zum Lesen von privaten Endpunkten und Endpunktservices für Datenbanktools. 
allow group <group_name> to use database-tools-connections 
in compartment <compartment_name>
 Zum Verwenden von Verbindungen zu Datenbanktools.