Políticas de escritorios seguros

Cada servicio de Oracle Cloud Infrastructure se integra con Identity and Access Management (IAM) para las cuestiones relacionadas con la autenticación y autorización en todas las interfaces (la consola, SDK o CLI, y API de REST).

Nota

Por ejemplo, las políticas de Secure Desktops y la información sobre los grupos dinámicos necesarios, consulte Creación de políticas para el servicio y Creación de políticas para autorización de usuario.

El administrador de arrendamiento debe crear políticas en el nivel de arrendamiento o en el nivel de compartimento para permitir Secure Desktops y utilizar los recursos que necesita. También deben configurar grupos, compartimentos y políticas que controlen el acceso del usuario al servicio. Consulte Creación de políticas para el servicio y Creación de políticas para autorización de usuario.

Para obtener una introducción a las políticas, consulte Introducción a las políticas.

Nota

La creación de una política requiere privilegios adecuados. Trabaje con el administrador del arrendamiento a fin de obtener los privilegios o para que se creen las directivas para usted.

Políticas de IAM necesarias

Dentro del compartimento raíz

Allow dynamic-group <dynamic-group> to {DOMAIN_READ} in tenancy 
Allow dynamic-group <dynamic-group> to inspect users in tenancy 
Allow dynamic-group <dynamic-group> to inspect compartments in tenancy
Allow dynamic-group <dynamic-group> to use tag-namespaces in tenancy

Dentro del compartimento raíz o el compartimento sobre los compartimentos del pool de escritorios que gestiona

Allow dynamic-group <dynamic-group> to use virtual-network-family in compartment <desktops-network-compartment>
Allow dynamic-group <dynamic-group> to {VCN_ATTACH, VCN_DETACH} in compartment <desktops-network-compartment>
Allow dynamic-group <dynamic-group> to manage virtual-network-family in compartment <desktop-compartment>
Allow dynamic-group <dynamic-group> to read instance-images in compartment <image-compartment>
Allow dynamic-group <dynamic-group> to manage instance-family in compartment <desktop-compartment>
Allow dynamic-group <dynamic-group> to manage volume-family in compartment <desktop-compartment> 
Allow dynamic-group <dynamic-group> to manage dedicated-vm-hosts in compartment <desktop-compartment>
Allow dynamic-group <dynamic-group> to manage orm-family in compartment <desktop-compartment> 
Allow dynamic-group <dynamic-group> to {VNIC_CREATE, VNIC_DELETE} in compartment <desktop-compartment>
Allow dynamic-group <dynamic-group> to manage instance-configurations in compartment <desktop-compartment>

Nota

Si <desktops-network-compartment> no es un secundario de los compartimentos por encima de los compartimentos del pool de escritorios, la política se debe especificar en el compartimento raíz.
Si planea crear agrupaciones de escritorio privadas, es posible que se necesiten políticas adicionales. Para obtener más información, consulte Enabling Private Desktop Access.

Para el administrador de escritorio

Allow group <desktop-administrators> to manage desktop-pool-family in compartment <desktop-compartment>
Allow group <desktop-administrators> to read all-resources in compartment <desktop-compartment>
Allow group <desktop-administrators> to use virtual-network-family in compartment <desktops-network-compartment>
Allow group <desktop-administrators> to use instance-images in compartment <images-compartment>

Para el usuario de escritorio

Todos los pools de escritorios de un compartimento:

Allow group <desktop-users> to use published-desktops in compartment <desktop-compartment>

Pools de escritorio específicos dentro de un compartimento:

Allow group <desktop-users> to use published-desktops in compartment <desktop-compartment>
                where all {target.desktoppool.name = '<pool_name>', target.desktoppool.id = '<pool_ocid>'}

Detalles de política para escritorios seguros

En una sentencia de política, se utilizan verbos, tipos de recursos y variables para otorgar acceso a servicios y recursos. También puede utilizar permisos u operaciones del API para reducir el ámbito de acceso otorgado por un verbo concreto.

Para obtener información sobre los permisos, consulte Permisos.

Tipo de recurso de agregado

desktop-pool-family

Tipos de recursos individuales

desktop-pool

desktop

Variables soportadas


Las operaciones para este tipo de recurso...	Puede utilizar estas variables...	Tipo de variable	Comentarios
`desktop-pool`	`target.desktopPool.id`	Entidad (OCID)
`desktop`	`target.desktop.id`	Entidad (OCID)

Detalles de las combinaciones de verbo y tipo de recursos

En las siguientes tablas, se muestran las operaciones de permisos y de API que cubre cada verbo. El nivel de acceso es acumulativo a medida que pasa de inspect > read > use > manage. Un signo más (+) en una celda de la tabla indica un acceso incremental en comparación con la celda situada directamente encima, mientras que "sin extra" indica que no hay un acceso incremental.

desktop-pool


Verbos	Permisos	API totalmente cubiertas	API parcialmente cubiertas
inspect	`DESKTOP_POOL_INSPECT`	`ListDesktopPools`	ninguno
leído	INSPECT + `DESKTOP_POOL_READ`	`GetDesktopPool` `ListDesktopPoolVolumes` `ListDesktopPoolDesktops` `ListDesktopPoolErrors`	ninguno
usar	READ +	`UpdateDesktopPool` `StartDesktopPool` `StopDesktopPool`	ninguno
gestionar	USE + `DESKTOP_POOL_CREATE` `DESKTOP_POOL_DELETE` `DESKTOP_POOL_MOVE`	`CreateDesktopPool` `DeleteDesktopPool` `ChangeDesktopPoolCompartment`	ninguno

escritorio


Verbos	Permisos	API totalmente cubiertas	API parcialmente cubiertas
inspect	`DESKTOP_INSPECT`	`ListDesktops`	ninguno
leído	INSPECT + `DESKTOP_READ`	`GetDesktop` `ListDesktopErrors`	ninguno
usar	READ + `DESKTOP_UPDATE`	`UpdateDesktop` `StartDesktop` `StopDesktop`	ninguno
gestionar	USE + `DESKTOP_DELETE`	`DeleteDesktop`	ninguno

Permisos necesarios para cada operación de API


Operación de API	Permisos necesarios para utilizar la operación
`ListDesktopPools`	`DESKTOP_POOL_INSPECT`
`CreateDesktopPool`	`DESKTOP_POOL_CREATE`
`GetDesktopPool`	`DESKTOP_POOL_READ`
`DeleteDesktopPool`	`DESKTOP_POOL_DELETE`
`UpdateDesktopPool`	`DESKTOP_POOL_UPDATE`
`ChangeDesktopPoolCompartment`	`DESKTOP_POOL_MOVE`
`StartDesktopPool`	`DESKTOP_POOL_UPDATE`
`StopDesktopPool`	`DESKTOP_POOL_UPDATE`
`ListDesktopPoolVolumes`	`DESKTOP_POOL_READ`
`ListDesktopPoolDesktops`	`DESKTOP_POOL_READ`
`ListDesktopPoolErrors`	`DESKTOP_POOL_READ`
`ListDesktops`	`DESKTOP_INSPECT`
`GetDesktop`	`DESKTOP_READ`
`DeleteDesktop`	`DESKTOP_DELETE`
`UpdateDesktop`	`DESKTOP_UPDATE`
`StartDesktop`	`DESKTOP_UPDATE`
`StopDesktop`	`DESKTOP_UPDATE`
`ListDesktopErrors`	`DESKTOP_READ`

Documentación de Oracle Cloud Infrastructure