Gestión de compartimentos
En este tema, se describen los aspectos básicos del trabajo con compartimentos.
Política de IAM necesaria
Si está en el grupo Administradores, tendrá el acceso necesario para gestionar compartimentos.
Para ver una política adicional relacionada con la gestión de compartimentos, consulte Permitir a un administrador de compartimentos gestionar el compartimento.
Si no está familiarizado con las políticas, consulte Introducción a las políticas y Políticas comunes. Si desea obtener más información sobre la escritura de políticas para compartimentos u otros componentes de IAM, consulte Detalles de IAM sin dominios de identidad.
Etiquetado de recursos
Puede aplicar etiquetas a los recursos para facilitar su organización según las necesidades de su negocio. Aplique las etiquetas al crear un recurso o actualice el recurso más tarde con las etiquetas que desee. Para obtener información general sobre la aplicación de etiquetas, consulte Etiquetas de recursos.
Trabajar con compartimentos
Cuando empiece a trabajar por primera vez con Oracle Cloud Infrastructure, tendrá que pensar seriamente cómo desea utilizar los compartimentos para organizar y aislar los recursos en la nube. Los compartimentos son fundamentales para ese proceso. La mayoría de los recursos se pueden mover entre compartimentos. Sin embargo, es importante planificar detenidamente el diseño del compartimento para su organización antes de implementar nada. Para obtener más información, consulte Aprender las mejores prácticas para configurar el arrendamiento.
La consola está diseñada para mostrar sus recursos por compartimento dentro de la región actual. Cuando trabaje con los recursos de la consola, debe seleccionar en una lista de la página el compartimento en el que desea trabajar. Esa lista está filtrada para mostrar solo los compartimentos del arrendamiento a los que tiene permiso de acceso. Si es administrador, tendrá permiso para ver todos los compartimentos y trabajar con los recursos de cualquier compartimento, pero si es un usuario con acceso limitado, probablemente no podrá efectuar estas operaciones.
Los compartimentos abarcan todo el arrendamiento atravesando regiones. Cuando crea un compartimento, está disponible en cada región a la que esté suscrito el arrendamiento. Puede obtener una vista entre regiones de los recursos de un compartimento específico con el explorador del arrendamiento. Consulte Visualización de todos los recursos de un compartimento.
Para mayor seguridad, puede asociar un compartimento a una zona de seguridad. Para obtener más información, consulte Zonas de seguridad.
Creación de compartimentos
Al crear un compartimento, debe proporcionarle un nombre (de 100 caracteres como máximo, incluidas letras, números, puntos, guiones y caracteres de subrayado) que sea único dentro de su compartimento principal. También debe proporcionar una descripción, que sea una descripción no única y modificable para el compartimento, de 1 a 400 caracteres. Oracle también asignará al compartimento un ID único denominado Oracle Cloud ID. Para obtener más información, consulte Identificadores de recursos.
Puede crear subcompartimentos en compartimentos para crear jerarquías con seis niveles de profundidad.
Para obtener más información sobre el número de compartimentos que puede tener, consulte la sección Límites de servicio.
Control de acceso para compartimentos
Después de crear un compartimento, debe escribir al menos una política para él; de lo contrario, nadie podrá acceder (excepto los administradores o los usuarios que tengan permisos definidos en el nivel de arrendamiento). Al crear un compartimento dentro de otro, el compartimento hereda los permisos de acceso de los compartimentos situados en niveles superiores de su jerarquía. Para obtener más información, consulte Herencia de políticas.
Al crear una política de acceso, debe especificar el compartimento al que desea asociarla. Esto controla quién puede modificar o suprimir la política más adelante. En función de cómo haya diseñado la jerarquía de compartimentos, puede asociarla al arrendamiento, a un principal o al propio compartimento específico. Para obtener más información, consulte Anexo de políticas.
Colocación de recursos en un compartimento
Para colocar un nuevo recurso en un compartimento, solo tiene que especificar ese compartimento al crear el recurso (el compartimento es uno de los elementos de información necesarios para crear un recurso). Si está trabajando en la consola, basta con asegurarse de que está viendo primero el compartimento donde desea crear el recurso. Tenga en cuenta que la mayoría de los recursos IAM residen en el arrendamiento (esto incluye usuarios, grupos, compartimentos y cualquier política asociada al arrendamiento) y no se pueden crear ni gestionarse en un compartimento específico.
Movimiento de recursos a otro compartimento
La mayoría de los recursos se pueden mover una vez creados. Hay algunos recursos que no se pueden mover de un compartimento a otro. Además, no es posible mover determinados recursos de una zona de seguridad a un compartimento que no esté en la misma zona de seguridad, porque podría ser menos segura. Para obtener más información sobre las restricciones de recursos en las zonas de seguridad, consulte Restringir movimiento de recursos.
Algunos recursos tienen dependencias de recursos asociadas y otros no. No todas las dependencias asociadas se comportan de la misma manera cuando el recurso principal se mueve.
En algunos recursos, las dependencias asociadas se mueven con el recurso principal al nuevo compartimento. El recurso principal se mueve inmediatamente, pero en algunos casos las dependencias asociadas se mueven de forma asíncrona y no son visibles en el nuevo compartimento hasta que se haya completado el movimiento.
Para otros recursos, las dependencias de recursos asociadas no se mueven al nuevo compartimento. Puede mover estos recursos asociados de forma independiente.
Después de mover el recurso al nuevo compartimento, las políticas que gestionan el nuevo compartimento se aplican inmediatamente y afectan al acceso al recurso. En función de la estructura de la organización de su compartimento, la medición, la facturación y las alarmas también pueden verse afectadas.
Consulte la documentación de servicio de los recursos individuales para familiarizarse con el comportamiento de cada recurso y sus elementos asociados.
Visualización de recursos en un compartimento
No se puede obtener una lista de todos los recursos de un compartimento con una llamada de API única. En su lugar, puede enumerar todos los recursos de un tipo determinado en el compartimento (por ejemplo, todas las instancias, todos los volúmenes de almacenamiento de bloques, etc.).
En la consola, el explorador del arrendamiento le permite obtener una lista de recursos en un compartimento, entre regiones, con algunas limitaciones. Para obtener más información, consulte Visualización de todos los recursos de un compartimento.
Con Resource Manager, puede capturar los recursos desplegados como archivos de estado y configuración de Terraform mediante la detección de recursos. La pila creada le proporciona una configuración de Terraform que puede utilizar para gestionar, versionar y guardar la infraestructura de TI como "infraestructura como código" mediante programación.
Una pila creada a partir de un compartimento representa todos los recursos soportados en todo el compartimento, en el ámbito adecuado. Si selecciona el compartimento raíz para su arrendamiento, el ámbito es el nivel del arrendamiento, como los usuarios y los grupos. Si selecciona un compartimento no raíz, el ámbito es el nivel de compartimento, como las instancias informáticas.
La creación de pilas solo está soportada a partir de un solo compartimento. No se pueden crear pilas a partir de compartimentos anidados.
Para obtener instrucciones, consulte la sección sobre la creación de una pila a partir de un compartimento existente.
Supresión de compartimentos
Para suprimir un compartimento, no debe contener ningún recurso. Antes de iniciar la supresión de un compartimento, asegúrese de que todos sus recursos se hayan movido, suprimido o terminado, incluidas las políticas asociadas al compartimento.
La acción de supresión es asíncrona e inicia una solicitud de trabajo. El estado del compartimento cambia a Suprimiendo mientras se ejecuta la solicitud de trabajo. Normalmente la solicitud de trabajo tarda varios minutos en completarse. Mientras está en el estado Suprimiendo, no se muestra en el selector de compartimentos. Si la solicitud de trabajo falla, el compartimento no se suprime y vuelve al estado Activo.
Una vez suprimido un compartimento, su estado se actualiza a Suprimido y se agrega una cadena aleatoria de caracteres a su nombre (por ejemplo, CompartmentA puede convertirse en CompartmentA.qR5hP2BD). El cambio de nombre del compartimento le permite volver a utilizar el nombre original para un compartimento diferente. Oracle mostrará el compartimento suprimido en la página Compartimentos durante 90 días. El compartimento suprimido se elimina del selector de compartimentos. Si alguna sentencia de política hace referencia al compartimento suprimido, el nombre de la sentencia de política se actualiza con el nuevo nombre.
Si no logra suprimir el compartimento, verifique que haya eliminado todos los recursos:
-
Para la mayoría de los recursos, puede utilizar el explorador del arrendamiento para localizarlos. Consulte Recursos soportados en el explorador del arrendamiento para obtener una lista de los recursos soportados.
Para ver los recursos de un compartimentoAbra el menú de navegación y haga clic en Gobernanza y administración. En Gestión de arrendamiento, haga clic en Explorador del arrendamiento.
El explorador del arrendamiento se abre con una vista del compartimento raíz. Seleccione el compartimento que desea explorar en el selector de compartimentos en la parte izquierda de la consola. Después de seleccionar un compartimento, se mostrarán los recursos para los que tenga permiso de visualización. El Nombre y la Descripción del compartimento que está visualizando se muestran en la parte superior de la página.Para mostrar también todos los recursos de los subcompartimentos del compartimento seleccionado, seleccione Mostrar recursos en subcompartimentos. Al visualizar los recursos de todos los subcompartimentos, resulta útil utilizar la columna Compartimento de la lista de resultados para ver la jerarquía del compartimento en la que reside el recurso. -
Verifique que no haya políticas en el compartimento (las políticas no se incluyen en los resultados de búsqueda).
Para buscar políticas en un compartimento- Abra el menú de navegación y haga clic en Identidad y seguridad. En Identidad, haga clic en Políticas.
- En la lista de compartimentos de la izquierda, seleccione el compartimento que desea suprimir.
Se muestran las políticas asociadas al compartimento.
- Si no puede localizar ningún recurso en el compartimento, consulte a su administrador. Es posible que no tenga permiso para ver todos los recursos.
Existe un problema conocido que hace que los compartimentos suprimidos sigan contabilizándose a efectos de su límite de servicio de compartimentos. Consulte Los compartimentos suprimidos siguen contando según los límites del servicio.
Recuperación de compartimentos
Para recuperar un compartimento, primero debe seleccionarlo en la lista de la página Compartimento. Puede que tenga que utilizar el filtro de estado para ver el compartimento suprimido. Recuerde que a los compartimentos suprimidos se les cambia el nombre añadiendo una cadena de caracteres aleatorios al nombre original. Por ejemplo, CompartmentA puede pasar a ser CompartmentA.qR5hP2BD. Oracle mostrará el compartimento suprimido en la página Compartimentos durante 90 días.
Cuando se recupera un compartimento suprimido, el nombre no se cambia. Por ejemplo, si recupera un compartimento suprimido denominado CompartmentA.qR5hP2BD, el nombre permanece igual. Debido a que las sentencias de política se actualizan para utilizar los nombres nuevos de los compartimentos suprimidos, cualquier sentencia de política que haga referencia al compartimento suprimido ahora hará referencia al compartimento recuperado.
Adición de valores por defecto de etiqueta para un compartimento
Los valores por defecto de etiqueta permiten especificar etiquetas que se aplicarán automáticamente a todos los recursos, en el momento de la creación, en el compartimento actual. Para obtener más información, consulte Gestión de valores por defecto de etiquetas.
Movimiento de un compartimento a un compartimento principal diferente
Puede mover un compartimento a otro compartimento principal dentro del mismo arrendamiento. Al mover un compartimento, todo su contenido (subcompartimentos y recursos) se mueve con él. Mover un compartimento tiene consecuencias para el contenido. Estas consecuencias se describen en las siguientes secciones. Asegúrese de que conoce estas consecuencias antes de mover un compartimento.
- Política de IAM solicitada
- Restricciones sobre el movimiento de compartimentos
- Descripción de las consecuencias sobre la política al mover un compartimento
- Descripción de las consecuencias sobre la cuota de los compartimentos al mover un compartimento
- Descripción de las consecuencias sobre las etiquetas al mover un compartimento
Política de IAM necesaria
Para mover un compartimento, debe pertenecer a un grupo que tenga permisos manage all-resources en el compartimento principal compartido más bajo del compartimento actual y el compartimento de destino.
Restricciones sobre el movimiento de compartimentos
- No es posible mover un compartimento si el origen o el destino forma parte de una zona de seguridad. Debe utilizar la consola de Security Zones para gestionar compartimentos dentro de una zona de seguridad.
-
No puede mover un compartimento a un compartimento de destino con el mismo nombre que el compartimento que se desea mover.
Por ejemplo, suponga que el compartimento A y el compartimento B están ambos bajo el compartimento raíz. Bajo el compartimento A hay un subcompartimento, también denominado compartimento B. No puede mover el compartimento B al compartimento principal B.
- Dos compartimentos en el mismo principal no pueden tener el mismo nombre. Por lo tanto, no puede mover un compartimento a un compartimento de destino donde ya existe un compartimento con el mismo nombre.
Descripción de las consecuencias sobre la política al mover un compartimento
Después de mover un compartimento a un nuevo compartimento principal, las políticas de acceso del nuevo principal entran en vigor y las políticas del principal anterior dejan de tener efecto. Antes de mover un compartimento, asegúrese de que:
- Conoce las políticas que gestionan el acceso al compartimento en su posición actual.
- Conoce las políticas del nuevo compartimento principal que entrarán en vigor al mover el compartimento.
En algunos casos, al mover compartimentos anidados con políticas que especifican la jerarquía, las políticas se actualizan automáticamente para garantizar la coherencia.
Ejemplos de políticas
Los grupos con permisos en el compartimento actual pierden acceso; los grupos con permisos en el compartimento de destino ganan acceso
En la figura siguiente se muestra una jerarquía de compartimentos en la que el compartimento C, un secundario de A:B, se mueve a la jerarquía A:D.
El arrendamiento tiene las siguientes políticas definidas para los compartimentos B y D:
Política1: Allow group G1 to manage instance-family in compartment A:B
Política2: Allow group G2 to manage instance-family in compartment A:D
Efecto al mover de B a D el compartimento C:
El grupo G1 ya no puede gestionar los recursos instance-family en el compartimento C.
El grupo G2 ahora puede gestionar los recursos instance-family en el compartimento C.
Asegúrese de tener en cuenta no solo qué grupos perderán permisos cuando mueva un compartimento, sino también qué grupos ganarán permisos.
Actualización automática de políticas
Cuando mueva un compartimento, algunas políticas se actualizarán automáticamente. Las políticas que especifican la jerarquía de compartimentos hasta el nivel del compartimento que se está moviendo se actualizarán automáticamente cuando la política esté asociada a un ascendiente compartido del principal actual y de destino. Observe el siguiente ejemplo:
Ejemplo 1: Política actualizada automáticamente
En este ejemplo, se mueve el compartimento A de Operations:Test a Operations:Dev. La política que gestiona el compartimento A está asociada al principal compartido, Operations. Cuando se mueve el compartimento, el servicio IAM actualiza automáticamente la sentencia de política para especificar la nueva ubicación del compartimento.
La política
Allow group G1 to manage buckets in compartment Test:A se actualiza a
Allow group G1 to manage buckets in compartment Dev:ANo se requiere ninguna intervención manual para permitir al grupo G1 seguir accediendo al compartimento A en su ubicación.
Ejemplo 2: Política no actualizada
En este ejemplo, se mueve el compartimento A de Operations:Test a Operations:Dev. Sin embargo, la política que rige el compartimento A aquí está asociada directamente al compartimento Test. Cuando se mueve el compartimento, la política no se actualiza automáticamente. La política que especifica el compartimento A ya no es válida y se debe eliminar manualmente. El grupo G1 ya no tiene acceso al compartimento A en su nueva ubicación de Dev. A menos que otra política existente otorgue acceso al grupo G1, deberá crear una nueva política para permitir a G1 seguir gestionando cubos en el compartimento A.
Ejemplo 3:La política asociada al arrendamiento se actualiza
En este ejemplo, se mueve el compartimento A de Operations:Test a HR:Prod. La política que rige el compartimento A está asociada al arrendamiento, que es un ascendiente compartido por el compartimento principal original y el nuevo compartimento principal. Por lo tanto, cuando se mueve el compartimento, el servicio IAM actualiza automáticamente la sentencia de política para especificar la nueva ubicación del compartimento.
La sentencia de política:
Allow group G1 to manage buckets in compartment Operations:Test:A se actualiza a
Allow group G1 to manage buckets in compartment HR:Prod:ANo se requiere ninguna intervención manual para permitir al grupo G1 seguir accediendo al compartimento A.
Descripción de las consecuencias sobre la cuota de los compartimentos al mover un compartimento
Cuando mueve un compartimento a otro, las cuotas de recursos en el compartimento de destino no se verifican y no se aplican. Por lo tanto, si mover el compartimento provoca una violación de cuota en el compartimento de destino, no se bloquea la operación de movimiento. Una vez movido, el compartimento de destino estará en estado de cuota excedida. No podrá crear nuevos recursos que rebasen la cuota hasta que ajuste las cuotas del compartimento de destino o elimine recursos para cumplir con la cuota existente. Para obtener más información sobre la gestión de cuotas de compartimento, consulte Visión general de las cuotas de compartimento.
Descripción de las consecuencias sobre las etiquetas al mover un compartimento
Las etiquetas no se actualizan automáticamente después de mover un compartimento. Si ha implantado una estrategia de etiquetado basada en un compartimento, debe actualizar las etiquetas de los recursos después del movimiento. Por ejemplo, supongamos que CompartmentA tiene un compartimento secundario, CompartmentB. CompartmentA se configura con valores por defecto de etiquetas para que todos los recursos de CompartmentA se etiqueten con TagA. Por lo tanto, CompartmentB y todos sus recursos están etiquetados con la etiqueta por defecto, TagA. Al mover CompartmentB a CompartmentC, seguirá teniendo las etiquetas por defecto de CompartmentA. Si ha configurado etiquetas por defecto para CompartmentC, deberá agregarlas a los recursos del compartimento movido.
Uso de la consola
- Abra el menú de navegación y haga clic en Identidad y seguridad. En Identidad, haga clic en Compartimentos. Se muestra una lista de los compartimentos a los que tiene acceso.
-
Navegue hasta el compartimento en el que desea crear el nuevo compartimento:
- Para crear el compartimento en el arrendamiento (compartimento raíz), haga clic en Crear compartimento.
- De lo contrario, haga clic en la jerarquía de compartimentos hasta que llegue a la página de detalles del compartimento en el que desea crear el compartimento. En la página Detalles del compartimento, haga clic en Crear compartimento.
- Introduzca lo siguiente:
- Nombre: un nombre único para el compartimento (máximo 100 caracteres, incluidas letras, números, puntos, guiones y caracteres de subrayado). El nombre debe ser único en todos los compartimentos de su arrendamiento. Evite introducir información confidencial.
- Descripción: una descripción fácil de recordar. Puede cambiar esto más tarde si lo desea.
- Compartimento: se muestra el compartimento en el que está. Para seleccionar otro compartimento en el que crear este compartimento, selecciónelo de la lista.
- Etiquetas: si tiene permisos para crear un recurso, también los tiene para aplicar etiquetas de formato libre a ese recurso. Para aplicar una etiqueta definida, debe tener permisos para utilizar el espacio de nombres de etiqueta. Para obtener más información sobre el etiquetado, consulte Etiquetas de recursos. Si no está seguro de si aplicar etiquetas, omita esta opción o pregunte a un administrador. Puede aplicar etiquetas más tarde.
- Haga clic en Crear compartimento.
A continuación, puede que desee escribir una política para el compartimento. Consulte Para crear una política.
-
Abra el menú de navegación y haga clic en Identidad y seguridad. En Identidad, haga clic en Compartimentos.
Se muestra una lista de los compartimentos del arrendamiento.
-
Para el compartimento que desea cambiar de nombre, haga clic en el menú Acciones (
) y, a continuación, haga clic en Cambiar nombre de compartimento.Consejo
No puede cambiar el nombre del compartimento raíz. - Introduzca el nuevo Nombre. El nombre debe ser único en todos los compartimentos de su arrendamiento. El nombre puede tener un máximo de 100 caracteres, incluidas letras, números, puntos, guiones y caracteres de subrayado. Evite introducir información confidencial.
- Haga clic en Renombrar compartimento.
-
Abra el menú de navegación y haga clic en Identidad y seguridad. En Identidad, haga clic en Compartimentos.
Se muestra una lista de los compartimentos del arrendamiento.
-
Para el compartimento que desea actualizar, haga clic en el menú Acciones (
) y, a continuación, haga clic en Editar descripción del compartimento. - Introduzca la nueva descripción. Evite introducir información confidencial.
- Haga clic en Guardar.
- Abra el menú de navegación y seleccione el tipo de recurso que desea ver. Por ejemplo, para ver los recursos de Compute: abra el menú de navegación y haga clic en Compute. En Recursos informáticos, haga clic en Instancias.
- Seleccione el compartimento en la lista de la parte izquierda de la página. La página se actualiza para mostrar solo los recursos de ese compartimento.
Recuerde que la mayoría de los recursos de IAM residen en el arrendamiento (esto incluye usuarios, grupos y compartimentos). Las políticas pueden residir en el arrendamiento (compartimento raíz) o en otros compartimentos.
Para mover un compartimento, debe pertenecer a un grupo que tenga permisos manage all-resources en el compartimento principal compartido más bajo del compartimento actual y el compartimento de destino.
-
Abra el menú de navegación y haga clic en Identidad y seguridad. En Identidad, haga clic en Compartimentos.
Se muestra una lista de los compartimentos del arrendamiento. Si el compartimento que desea mover no está directamente debajo del compartimento raíz, haga clic en la jerarquía de compartimentos para ver el compartimento deseado.
-
Para el compartimento que desea mover, haga clic en el menú Acciones (
) y, a continuación, haga clic en Mover compartimento. - Seleccione el compartimento de destino.
- Confirme que conoce las implicaciones del movimiento.
- Haga clic en Mover compartimento.
- Abra la consola.
- Abra el menú de navegación y seleccione el tipo de recurso con el que desea trabajar. Por ejemplo, para ver los recursos de Compute: abra el menú de navegación y haga clic en Compute. En Recursos informáticos, haga clic en Instancias.
- En la sección Ámbito de lista, seleccione un compartimento. Se muestran los recursos del compartimento seleccionado.
- Busque el recurso en la lista, haga clic en el menú Acciones () y siga las indicaciones para mover el recurso a un nuevo compartimento. Consulte la documentación de recursos para conocer los pasos específicos.
El recurso se mueve inmediatamente. Si las dependencias de recursos asociados se mueven con el recurso principal, las dependencias de recursos se mueven de forma asíncrona y no aparecen en el nuevo compartimento hasta que se haya completado el movimiento.
Debe eliminar todos los recursos de un compartimento para poder suprimirlo.
- Abra el menú de navegación y haga clic en Identidad y seguridad. En Identidad, haga clic en Compartimentos. Se muestra una lista de los compartimentos del arrendamiento.
- Para el compartimento que desea suprimir, haga clic en el menú Acciones () y, a continuación, en Suprimir compartimento.
- Cuando aparezca la petición de datos, haga clic en Aceptar.
Después de hacer clic en Aceptar, se envía una solicitud de trabajo para suprimir el compartimento. El estado del compartimento cambia a Suprimiendo. Si la solicitud de trabajo falla, el estado vuelve a Activo.
- Abra el menú de navegación y haga clic en Identidad y seguridad. En Identidad, haga clic en Compartimentos. Se muestra una lista de los compartimentos del arrendamiento.
- En Estado, seleccione Suprimido.
- Para el compartimento que desea recuperar, haga clic en el menú Acciones () y, a continuación, en Recuperar.
- Cuando aparezca la petición de datos, haga clic en Aceptar.
Uso de la API
Para obtener más información sobre el uso de la API y la firma de solicitudes, consulte la documentación de la API de REST y Credenciales de seguridad. Para obtener información sobre los SDK, consulte Los SDK y la CLI.
Utilice estas operaciones de API para gestionar compartimentos:
- CreateCompartment
- ListCompartments
- GetCompartment: devuelve los metadatos del compartimento, no su contenido.
- UpdateCompartment
- DeleteCompartment
- MoveCompartment
- GetWorkRequest: obtiene las solicitudes de trabajo generadas por la operación DeleteCompartment.
- RecoverCompartment
Solo puede recuperar el contenido de un compartimento por tipo de recurso. No hay ninguna llamada de API que muestre todos los recursos del compartimento. Por ejemplo, para mostrar todas las instancias de un compartimento, llame a la operación ListInstances de la API de servicios básicos y especifique el ID de compartimento como parámetro de consulta.