Detalles de las políticas de Base Database Service

En este artículo se proporcionan los detalles para escribir políticas de Oracle Cloud Infrastructure Identity and Access Management (IAM) a fin de controlar el acceso a los recursos de Oracle Base Database Service.

Consejo: Para obtener una política del ejemplo, consulte Permitir que los administradores de las bases de Datos gestionen Sistemas de Base de Datos de Oracle Cloud.

Tipos de recursos

Un tipo de recurso agregado cubre la lista de tipos de recursos individuales que le siguen directamente. Por ejemplo, escribir una política para permitir que un grupo tenga acceso a database-family equivale a escribir políticas independientes para el grupo que otorguen acceso a los tipos de recursos db-systems, db-nodes, db-homes, databases, database-software-image y db-backups. Para obtener más información, consulte Tipos de recursos en Cómo funcionan las pólizas.

Tipo de recurso agregado

Tipos de recursos individuales

Variables soportadas

Solo están soportadas las variables generales. Para obtener más información, consulte Variables generales para todas las solicitudes en Referencia de políticas.

Detalles de las combinaciones de verbo + tipo de recurso

En las siguientes tablas, se muestran los permisos y las operaciones de API que cubre cada verbo. El nivel de acceso es acumulativo a medida que pasa de inspect > read > use > manage. Un signo más (+) en una celda de una tabla indica el acceso incremental con respecto a la celda situada directamente encima, mientras que "sin extra" indica no hay ningún acceso incremental.

Por ejemplo, los verbos read y use para el tipo de recurso db-systems no abarcan permisos ni operaciones de API adicionales en comparación con el verbo inspect. Sin embargo, el verbo manage incluye dos permisos adicionales y abarca parcialmente dos operaciones de API adicionales.

db-systems

Verbos Permisos API totalmente cubiertas API parcialmente cubiertas
inspect DB_SYSTEM_INSPECT ListDbSystems
GetDbSystem
ListDbSystemPatches
ListDbSystemPatchHistoryEntries
GetDbSystemPatch
GetDbSystemPatchHistoryEntry		 ninguno
leído sin extra sin extra ninguno
uso DB_SYSTEM_UPDATE sin extra ChangeDbSystemCompartment (también necesita use db-homes, use databases e inspect db-backups)
gestionar USAR +
DB_SYSTEM_CREATE
DB_SYSTEM_DELETE		 UpdateDBSystem LaunchDBSystem, TerminateDbSystem (también necesitan manage db-homes, manage databases, use vnics y use subnets)

db-nodes

Verbos Permisos API totalmente cubiertas API parcialmente cubiertas
inspect DB_NODE_INSPECT
DB_NODE_QUERY		 GetDbNode ninguno
leído sin extra sin extra ninguno
uso sin extra sin extra ninguno
gestionar USO DE +
DB_NODE_POWER_ACTIONS		 DbNodeAction ninguno

db-homes

Verbos Permisos API totalmente cubiertas API parcialmente cubiertas
inspect DB_HOME_INSPECT ListDBHome
GetDBHome
ListDbHomePatches
ListDbHomePatchHistoryEntries
GetDbHomePatch
GetDbHomePatchHistoryEntry		 ninguno
leído sin extra sin extra ninguno
uso DB_HOME_UPDATE UpdateDBHome ChangeDbSystemCompartment (también necesita use db-systems, use databases e inspect db-backups)
gestionar USAR +
DB_HOME_CREATE
DB_HOME_DELETE		 sin extra LaunchDBSystem, TerminateDbSystem (both also need manage db-systems, manage databases, use vnics, and use subnets).
If automatic backups are enabled on the default database, also needs manage db-backups.
CreateDbHome, (also needs use db-systems and manage databases).
If creating the Database Home by restoring from a backup, also needs read db-backups.
DeleteDbHome, (also needs use db-systems and manage databases).
If automatic backups are enabled on the default database, also needs manage db-backups.
If the performFinalBackup option is selected, also needs manage db-backups and read databases.

bases de datos

Verbos Permisos API totalmente cubiertas API parcialmente cubiertas
inspect DATABASE_INSPECT ListDatabases
GetDatabase
ListDataGuardAssociations
GetDataGuardAssociation		 ninguno
leído no hay más
DATABASE_CONTENT_READ		 sin extra ninguno
uso LECTURA +
DATABASE_CONTENT_WRITE
DATABASE_UPDATE		 UpdateDatabase
SwitchoverDataGuardAssociation
FailoverDataGuardAssociation
ReinstateDataGuardAssociation
RotateVaultKey
MigrateVaultKey		 CreateDataGuardAssociation
ChangeDbSystemCompartment (también necesita use db-systems, use db-homes e inspect db-backups)
gestionar USO DE +
DATABASE_CREATE
DATABASE_DELETE		 sin extra LaunchDBSystem, TerminateDbSystem (también necesitan manage db-systems, manage db-homes, use vnics y use subnets)

pluggable databases

Verbos Permisos API totalmente cubiertas API parcialmente cubiertas
inspect PLUGGABLE_DATABASE_INSPECT ListPluggableDatabases
GetPluggableDatabase		 ninguno
leído INSPECCIONAR +
PLUGGABLE_DATABASE_CONTENT_READ		 sin extra ninguno
uso LECTURA +
PLUGGABLE_DATABASE_CONTENT_WRITE
ACTUALIZACIÓN DE BASE DE DATOS CONECTABLE		 UpdatePluggableDatabases
StartPluggableDatabase
StopPluggableDatabase		 ninguno
gestionar USAR +
PLUGGABLE_DATABASE_CREATE
PLUGGABLE_DATABASE_DELETE		 sin extra CreatePluggableDatabase, DeletePluggableDatabase, LocalClonePluggableDatabase, RemoteClonePluggableDatabase (todas ellas también necesitan use databases)

db-backups

Verbos Permisos API totalmente cubiertas API parcialmente cubiertas
inspect DB_BACKUP_INSPECT GetBackup
ListBackups		 ChangeDbSystemCompartment (también necesita use db-systems, use db-homes y use databases)
leído INSPECCIONAR +
DB_BACKUP_CONTENT_READ		 ninguno RestoreDatabase (también necesita use databases)
uso sin extra sin extra ninguno
gestionar USAR +
DB_BACKUP_CREATE
DB_BACKUP_DELETE		 DeleteBackup CreateBackup (también necesita read databases)

Para obtener más información sobre los permisos y los verbos, consulte Funciones avanzadas de políticas.

Permisos necesarios para cada operación de API

En las siguientes tablas se muestran las operaciones de API para los sistemas de base de datos y las bases de datos conectables en un orden lógico, agrupadas por tipo de recurso.

Operaciones de API de base de datos

Operación de API Permisos necesarios para utilizar la operación
ListDbSystems DB_SYSTEM_INSPECT
GetDbSystem DB_SYSTEM_INSPECT
LaunchDbSystem DB_SYSTEM_CREATE,
DB_HOME_CREATE y
DATABASE_CREATE,
VNIC_CREATE,
VNIC_ATTACH y
SUBNET_ATTACH
Para activar las copias de seguridad automáticas para la base de datos inicial, también se necesitan
DB_BACKUP_CREATE y
DATABASE_CONTENT_READ
UpdateDbSystem DB_SYSTEM_INSPECT y
DB_SYSTEM_UPDATE
ChangeDbSystemCompartment DB_SYSTEM_UPDATE,
DB_HOME_UPDATE,
DATABASE_UPDATE y
DB_BACKUP_INSPECT
ListDbSystemPatches DB_SYSTEM_INSPECT
ListDbSystemPatchHistoryEntries DB_SYSTEM_INSPECT
GetDbSystemPatch DB_SYSTEM_INSPECT
GetDbSystemPatchHistoryEntry DB_SYSTEM_INSPECT
TerminateDbSystem DB_SYSTEM_DELETE y
DB_HOME_DELETE y
DATABASE_DELETE y
VNIC_DETACH y
VNIC_DELETE y
SUBNET_DETACH
Si las copias de seguridad automáticas están activadas para cualquier base de datos del sistema de base de datos, también necesitan
DB_BACKUP_DELETE
GetDbNode DB_NODE_INSPECT
DbNodeAction DB_NODE_POWER_ACTIONS
ListDbHomes DB_HOME_INSPECT
GetDbHome DB_HOME_INSPECT
ListDbHomePatches DB_HOME_INSPECT
ListDbHomePatchHistoryEntries DB_HOME_INSPECT
GetDbHomePatch DB_HOME_INSPECT
GetDbHomePatchHistoryEntry DB_HOME_INSPECT
CreateDbHome DB_SYSTEM_INSPECT y
DB_SYSTEM_UPDATE y
DB_HOME_CREATE y
DATABASE_CREATE
Para activar las copias de seguridad automáticas para la base de datos, también necesitan
DB_BACKUP_CREATE y
DATABASE_CONTENT_READ
UpdateDbHome DB_HOME_UPDATE
DeleteDbHome DB_SYSTEM_UPDATE y
DB_HOME_DELETE y
DATABASE_DELETE
Si las copias de seguridad automáticas están activadas, también necesitan DB_BACKUP_DELETE
Si realizan una copia de seguridad final al finalizar, también necesitan
DB_BACKUP_CREATE y
DATABASE_CONTENT_READ
ListDatabases DATABASE_INSPECT
GetDatabase DATABASE_INSPECT
UpdateDatabase DATABASE_UPDATE
Para activar las copias De Seguridad Automáticas, también se necesita
DB_BACKUP_CREATE y
DATABASE_CONTENT_READ
ListDbSystemShapes (no se necesitan permisos; disponible para todos)
ListDbVersions (no se necesitan permisos; disponible para todos)
GetDataGuardAssociation DATABASE_INSPECT
ListDataGuardAssociations DATABASE_INSPECT
CreateDataGuardAssociation DB_SYSTEM_UPDATE,
DB_HOME_CREATE,
DB_HOME_UPDATE,
DATABASE_CREATE y
DATABASE_UPDATE
SwitchoverDataGuardAssociation DATABASE_UPDATE
FailoverDataGuardAssociation DATABASE_UPDATE
ReinstateDataGuardAssociation DATABASE_UPDATE
MigrateVaultKey DATABASE_UPDATE
RotateVaultKey DATABASE_UPDATE
GetBackup DB_BACKUP_INSPECT
ListBackups DB_BACKUP_INSPECT
CreateBackup DB_BACKUP_CREATE y
DATABASE_CONTENT_READ
DeleteBackup DB_BACKUP_DELETE y
DB_BACKUP_INSPECT
RestoreDatabase DB_BACKUP_INSPECT,
DB_BACKUP_CONTENT_READ y
DATABASE_CONTENT_WRITE

Operaciones de API de base de datos conectable

Operación de API Permisos necesarios para utilizar la operación
ListPluggableDatabase PLUGGABLE_DATABASE_INSPECT
GetPluggableDatabase PLUGGABLE_DATABASE_INSPECT
CreatePluggableDatabase DATABASE_INSPECT
DATABASE_UPDATE
PLUGGABLE_DATABASE_CREATE
Se necesitan permisos adicionales si las copias de seguridad automáticas están activadas en la CDB e incluye esta PDB:
PLUGGABLE_DATABASE_CONTENT_READ
UpdatePluggableDatabase PLUGGABLE_DATABASE_INSPECT y
PLUGGABLE_DATABASE_UPDATE
Se necesitan permisos adicionales si las copias de seguridad automáticas están activadas en la CDB e incluye esta PDB:
PLUGGABLE_DATABASE_CONTENT_READ
StartPluggableDatabase PLUGGABLE_DATABASE_INSPECT y
PLUGGABLE_DATABASE_UPDATE
StopPluggableDatabase PLUGGABLE_DATABASE_INSPECT y
PLUGGABLE_DATABASE_UPDATE
DeletePluggableDatabase DATABASE_INSPECT (existe)
DATABASE_UPDATE (existe)
PLUGGABLE_DATABASE_DELETE
LocalClonePluggableDatabase DATABASE_INSPECT
DATABASE_UPDATE
PLUGGABLE_DATABASE_INSPECT
PLUGGABLE_DATABASE_UPDATE
PLUGGABLE_DATABASE_CONTENT_READ
PLUGGABLE_DATABASE_CREATE
PLUGGABLE_DATABASE_CONTENT_WRITE
RemoteClonePluggableDatabase DATABASE_INSPECT
DATABASE_UPDATE
PLUGGABLE_DATABASE_INSPECT
PLUGGABLE_DATABASE_UPDATE
PLUGGABLE_DATABASE_CONTENT_READ
PLUGGABLE_DATABASE_CREATE
PLUGGABLE_DATABASE_CONTENT_WRITE

Para obtener más información sobre los permisos y los verbos, consulte Funciones avanzadas de políticas.