Creación de recursos de Oracle Cloud

Aprenda a crear un compartimento, una VCN, una subred, usuarios y grupos de usuarios antes de empezar a utilizar Oracle Cloud Infrastructure GoldenGate.

Creación de un compartimento

Los compartimentos le permiten organizar y controlar el acceso a sus recursos en la nube. Es un contenedor lógico que puede utilizar para agrupar recursos en la nube relacionados y permitir el acceso a grupos de usuarios específicos.

Cuando se registra en Oracle Cloud Infrastructure, Oracle crea su arrendamiento, que es el compartimento raíz que contiene todos sus recursos en la nube. Posteriormente, puede crear compartimentos adicionales en su arrendamiento y las políticas correspondientes para controlar el acceso a los recursos de cada compartimento.

Para crear un compartimento:

Abra el menú en la consola de Oracle Cloud y, a continuación, seleccione Identidad y seguridad.
En Identidad, seleccione Compartimentos. Aparecerá una lista de los compartimentos a los que tiene acceso.
Vaya al compartimento en el que desea crear el nuevo compartimento.
- Para crear el compartimento en el arrendamiento (compartimento raíz), seleccione Crear compartimento.
- Para crear el compartimento en un compartimento que no sea el arrendamiento (compartimento raíz), seleccione a través de la jerarquía de compartimentos hasta que llegue a la página de detalles del compartimento en la que desea crear el compartimento. En la página Detalles de compartimento, seleccione Crear compartimento.
En el cuadro de diálogo Crear compartimento, complete los campos como se indica a continuación:
1. En Nombre, introduzca un nombre único para el compartimento, que no tendrá más de 100 caracteres (incluye letras, números, puntos, guiones y guiones bajos). El nombre debe ser único en todos los compartimentos del arrendamiento. Evite introducir información confidencial.
2. En Descripción, introduzca una descripción que ayude a distinguir el compartimento de otros.
3. En Compartimento Principal, verifique que es el compartimento en el cual desea crear su compartimento. Para seleccionar un compartimento diferente, seleccione uno en la lista desplegable.
4. (Opcional) En Espacio de nombres de etiquetas, puede agregar una etiqueta de formato libre que le ayude a buscar recursos en la consola de Oracle Cloud. Seleccione + Otra etiqueta para agregar más etiquetas.
5. Seleccione Create Compartment.

El compartimento aparecerá en la lista Compartimentos una vez creado. A continuación, puede crear políticas y agregar recursos en el compartimento.

Creación de una red virtual en la nube y una subred

Una red virtual en la nube (VCN) es una red que se configura en los centros de datos de Oracle Cloud Infrastructure en una determinada región. Una subred es una subdivisión de una VCN.

OCI GoldenGate necesita una VCN y al menos una subred privada con un gateway de NAT. Debe estar disponible una tabla de rutas con una regla de ruta que redirija el tráfico al gateway de NAT para la subred privada. Si desea activar la conectividad mediante un punto final público, también se necesita una subred pública y la VCN debe incluir un gateway de Internet. Debe haber disponible una tabla de rutas con una regla de ruta que redirija el tráfico al gateway de Internet para la subred pública.

Para crear una VCN y una subred:

Abra el menu de navegación de consola de Oracle Cloud, seleccione Red y, a continuación, seleccione Redes virtuales en la nube.
En la página Redes virtuales en la nube, confirme la selección del compartimento o seleccione otro compartimento.
En el menú Acciones, seleccione Iniciar asistente de VCN.
En el panel de trabajo de Iniciar asistente de VCN, seleccione Crear VCN con conexión de Internet y, a continuación, seleccione Iniciar asistente de VCN.
En la página Configuración, en Información básica, introduzca un nombre de VCN.
En Compartimento, seleccione el compartimento en la que desea crear esta VCN.
Seleccione Next (Siguiente).
En la página Revisar y crear, verifique los detalles de configuración y, a continuación, seleccione Crear.

Seleccione Ver detalles de la VCN para verificar que se ha creado una subred pública y privada.

Crear Usuarios

Cree usuarios para agregarlos a grupos que puedan acceder a los recursos de OCI GoldenGate.

Antes de crear usuarios, debe comprender lo siguiente:

La gestión de usuarios de despliegue de OCI GoldenGate depende de si su arrendamiento utiliza OCI IAM con dominios de identidad o no. Consulte Gestión de usuarios de despliegue.
Los nombres de usuario deben ser únicos entre todos los usuarios de su arrendamiento
Los nombres de usuario no se pueden cambiar
Los usuarios no tienen ningún permiso hasta que se colocan en un grupo

Para crear usuarios:

Abra el menú de navegación de la consola de Oracle Cloud, seleccione Identidad y seguridad y, a continuación, en Identidad, seleccione Dominios.
En la página Dominios, confirme la selección de Compartimento o cambie a otro compartimento.
En la lista Dominios, seleccione Valor por defecto para acceder al dominio por defecto o seleccione Crear dominio para crear uno nuevo.
Seleccione el dominio de la lista.
En la página de detalles Dominios, seleccione Gestión de usuarios.
En la página Users, seleccione Create user.
En la página Crear Usuario, complete los campos como se indica:
1. Introduzca el nombre, el apellido y la dirección de correo electrónico del usuario, que también se pueden utilizar como nombre de usuario.
  
  Nota: El nombre debe ser único entre todos los usuarios del arrendamiento. Este valor no se puede cambiar posteriormente. El nombre de usuario no puede contener espacios y solo puede contener letras latinas básicas (ASCII), números, guiones, puntos, guiones bajos, + y @.
2. En Grupos, seleccione los grupos a los que asignar el usuario.
Seleccione Crear.

A continuación, puede agregar el usuario a un grupo y crear políticas que otorguen al grupo acceso a sus recursos. Para obtener más información sobre los usuarios, consulte Gestión de usuarios.

Creación de grupos

Un grupo es una recopilación de usuarios que necesitan el mismo tipo de acceso a un juego de recursos o compartimentos.

Antes de crear un grupo, debe comprender lo siguiente:

El nombre de grupo debe ser único dentro del arrendamiento.
El nombre del grupo no se puede cambiar una vez creado.
Un grupo no tiene permisos a menos que escriba al menos un permiso que otorgue al grupo permiso para un arrendamiento o compartimento.

Para crear un grupo:

Abra el menú de navegación de la consola de Oracle Cloud, seleccione Identidad y seguridad y, a continuación, en Identidad, seleccione Dominios.
En la página Dominios, confirme la selección de Compartimento o cambie el compartimento.
Seleccione un dominio de la lista.
En la página Domain details (Detalles de dominio), seleccione User management (Gestión de usuarios).
En Grupos, seleccione Crear grupo.
En la página Crear grupo:
1. En Nombre, introduzca un nombre único para el grupo.
  
  Nota: Una vez creado el grupo, no puede cambiar el nombre. El nombre de grupo debe ser único dentro del arrendamiento. El nombre del grupo puede tener entre 1 y 100 caracteres alfanuméricos, letras en mayúscula o minúscula, y puede contener puntos, guiones cortos, guiones largos, pero sin espacios
2. En Descripción, introduzca una descripción sencilla.
Seleccione si un usuario puede solicitar acceso a este grupo.
En las listas Usuarios, seleccione los usuarios que desea asignar a este grupo.
Seleccione Crear.

Un grupo no tiene ningún permiso hasta que se escribe una política que otorga al grupo permiso para un compartimento o arrendamiento. Para obtener más información sobre los grupos, consulte Gestión de grupos.

Creación de políticas

Las políticas definen las acciones que pueden realizar los miembros de un grupo y en qué compartimentos.

Utilice la consola de Oracle Cloud para crear políticas. En el menú de navegación de la consola de Oracle Cloud, seleccione Identidad y seguridad y, a continuación, en Identidad y seleccione Políticas. Las políticas se escriben con la siguiente sintaxis:

allow group <identity-domain>/<group-name> to <verb> <resource-type> in <location> where <condition>

Las definiciones de parámetros son las siguientes:

<identity-domain>: (opcional) si utiliza OCI IAM para la gestión de identidad, incluya el dominio de identidad del grupo de usuarios. Si se omite, OCI utilizará el dominio por defecto.
<group-name>: nombre del grupo de usuarios al que está otorgando permisos.
<verb>: proporciona al grupo un determinado nivel de acceso a un tipo de recurso. A medida que los verbos pasan de inspect a read a use a manage, el nivel de acceso aumenta y los permisos otorgados se van acumulando.

Obtenga más información sobre la relación entre permisos y verbos.
<resource-type>: tipo de recurso con el que está otorgando permiso de grupo para trabajar. Hay recursos individuales, como goldengate-deployments, goldengate-pipelines y goldengate-connections, y hay familias de recursos, como goldengate-family, que incluye los recursos individuales mencionados anteriormente.

Para obtener más información, consulte resource-types.
<location>: asigna la política a un compartimento o arrendamiento. Puede especificar un único compartimento o ruta de compartimento por nombre u OCID, o bien especificar tenancy para cubrir todo el arrendamiento.
<condition>: opcional. Una o más condiciones para las que se aplicará esta política.

Más información sobre la sintaxis de las políticas.

Cómo crear una política

Para crear una política:

En el menú de navegación de Oracle Cloud, seleccione Identidad y seguridad y, a continuación, en Identificar, seleccione Políticas.
En la página Políticas, seleccione Crear política.
En la página Crear Política, introduzca un nombre y una descripción para la política.
Seleccione el compartimento en que se va a crear esta política.
En la sección Creador de políticas, puede
- Seleccione Servicio GoldenGate en la lista desplegable Caso de uso de política y una plantilla de política común, como Políticas necesarias para permitir a los usuarios gestionar recursos de GoldenGate.
- Seleccione Mostrar editor manual para introducir una regla de política con el siguiente formato:
```
allow <subject> to <verb> <resource-type> in <location> where <condition>
```
  Las condiciones son opcionales. Consulte Detalles de las combinaciones de verbo + tipo de recurso.
Consejo: consulte Políticas mínimas recomendadas para obtener más información.
Seleccione Crear.

Para obtener más información sobre las políticas, consulte cómo funcionan las políticas, la sintaxis de las políticas y la referencia de políticas.

Mínimo de políticas recomendadas

Sugerencia:

Para utilizar una plantilla de política común para agregar todas las políticas necesarias:

En Casos de uso de política, seleccione Servicio GoldenGate en la lista desplegable.
En Plantillas de uso común, seleccione Políticas necesarias para permitir a los usuarios gestionar recursos de GoldenGate en la lista desplegable.

Como mínimo, necesita políticas para:

Permitir a los usuarios utilizar o gestionar recursos de GoldenGate para que puedan trabajar con despliegues y conexiones. Por ejemplo:
```
allow group <identity-domain>/<group-name> to manage goldengate-family in <location>
```
Permita a los usuarios gestionar recursos del sistema de red para que puedan ver y seleccionar compartimentos y subredes, y crear y suprimir puntos finales privados al creación de recursos GoldenGate. Por ejemplo:
```
allow group <identity-domain>/<group-name> to manage virtual-network-family in <location>
```
Nota:
- Al crear un despliegue o una conexión mediante un punto final dedicado, se asignan una o más IP en la subred seleccionada. Debe proporcionar los privilegios de acceso de red necesarios tanto en la subred como en el compartimento de despliegue o conexión para permitir que el servicio cree los recursos de red.
- Del mismo modo, se necesitan los privilegios de acceso de red adecuados al suprimir un despliegue o una conexión mediante un punto final dedicado para permitir que el servicio suprima los recursos de red.
De manera opcional, puede proteger aún más los recursos de red mediante una combinación de políticas granulares. Consulte Ejemplos de políticas para proteger recursos de red.
Crear un grupo dinámico para otorgar permisos a recursos basados en reglas definidas, lo que permite que los despliegues y/o pipelines de GoldenGate accedan a los recursos de su arrendamiento. Sustituya <dynamic-group-name> por un nombre que haya elegido. Puede crear tantos grupos dinámicos como necesite, por ejemplo, para controlar permisos en despliegues en diferentes compartimentos o arrendamientos.
```
name: <dynamic-group-name>
Matching rule: ALL {resource.type = 'goldengatedeployment', resource.compartment.id = '<location>'}
```
Consejo: las políticas siguientes de esta lista hacen referencia a <dynamic-group-name>. Si crea más de un grupo dinámico, asegúrese de hacer referencia al nombre de grupo dinámico correcto al agregar cualquiera de las políticas siguientes.
Si utiliza conexiones con secretos de contraseña, el despliegue que está asignando a la conexión debe poder acceder a los secretos de contraseña de la conexión. Asegúrese de agregar la política al compartimento o arrendamiento:
```
allow dynamic-group <identity-domain>/<dynamic-group-name> to read secret-bundles in <location>
```

Permitir a los usuarios leer el usuario y grupo de Identity and Access Management (IAM) para validaciones en arrendamientos con IAM activado:

allow service goldengate to {idcs_user_viewer, domain_resources_viewer} in <location>

allow dynamic-group <identity-domain>/<dynamic-group-name> to {idcs_user_viewer, domain_resources_viewer} in <location>

Acceda a claves de cifrado gestionadas por el cliente y secretos de contraseña en Oracle Vault. Por ejemplo:

allow group <identity-domain>/<group-name> to manage secret-family in <location>
allow group <identity-domain>/<group-name> to use keys in <location>
allow group <identity-domain>/<group-name> to use vaults in <location>
allow dynamic-group <identity-domain>/<dynamic-group-name> to use keys in <location>
allow dynamic-group <identity-domain>/<dynamic-group-name> to use vaults in <location>
allow dynamic-group <identity-domain>/<dynamic-group-name> to read secret-bundles in <location>

En función de si tiene previsto utilizar los siguientes servicios, puede que también deba agregar políticas para:

Bases de datos Oracle AI, para las bases de datos de origen y/o destino. Por ejemplo:

allow group <identity-domain>/<group-name> to read database-family in <location>

allow group <identity-domain>/<group-name> to read autonomous-database-family in <location>

Oracle Object Storage, para almacenar copias de Seguridad manuales y programadas de OCI GoldenGate. Por ejemplo:

allow group <identity-domain>/<group-name> to manage objects in <location>
allow dynamic-group <identity-domain>/<dynamic-group-name> to manage objects in <location> where target.bucket.name = '<bucket-name>'
allow group <identity-domain>/<group-name> to inspect buckets in <location>

OCI Logging, para acceder a grupos de logs. Por ejemplo:

allow group <identity-domain>/<group-name> to read log-groups in <location>
allow group <identity-domain>/<group-name> to read log-content in <location>

Equilibrador de carga, si activa el acceso público a la consola de despliegue:

allow group <identity-domain>/<group-name> to manage load-balancers in <location>
allow group <identity-domain>/<group-name> to manage public-ips in <location>

allow group <identity-domain>/<group-name> to manage network-security-groups in <location>
allow group <identity-domain>/<group-name> to manage vcns in <location> where ANY {request.operation = 'CreateNetworkSecurityGroup', request.operation = 'DeleteNetworkSecurityGroup'}

Solicitudes de trabajo:

allow group <identity-domain>/<group-name> to inspect work-requests in <location>

Zero Trust Packet Routing (ZPR). Solo es necesario si ha agregado atributos de seguridad a la VCN y/o el equilibrador de carga para controlar el acceso a las conexiones y los despliegues públicos, agregue las siguientes políticas para permitir el tráfico público de Internet al equilibrador de carga y el flujo de tráfico entre el equilibrador de carga y los puntos finales privados:
- Si se han agregado atributos de seguridad para la VCN y el equilibrador de carga:
```
in <vcn-sa-key>:<vcn-sa-value> VCN allow <lb-sa-key>:<lb-sa-value> endpoints to connect to <pe-sa-key>:<pe-sa-value> endpoints
in <vcn-sa-key>:<vcn-sa-value> VCN allow all-endpoints to connect to <lb-sa-key>:<lb-sa-value> endpoints
```
- Si los atributos de seguridad se han agregado solo para la VCN y no para el equilibrador de carga, y el equilibrador de carga está en una subred pública con CIDR 10.0.1.0/24:
```
in <vcn-sa-key>:<vcn-sa-value> VCN allow '10.0.1.0/24' to connect to <pe-sa-key>:<pe-sa-value> endpoints
```
  Nota: En el caso de otros recursos, como conexiones dedicadas y despliegues privados, los atributos de seguridad se agregan al punto final privado creado. Los equilibradores de carga no se crean por defecto con despliegues privados, por lo que los ejemplos de ZPR anteriores no se aplican. Puede que necesite una política ZPR, ya que ZPR protege el punto final privado en este caso. La política exacta depende de su caso de uso.
Obtenga más información sobre la sintaxis de la política de ZPR.

La siguiente sentencia proporciona un permiso de grupo para gestionar etiquetas y espacios de nombres de etiquetas para los espacios de trabajo:

allow group <identity-domain>/<group-name> to manage tag-namespaces in <location>

Para agregar una etiqueta definida, debe tener permiso para utilizar el espacio de nombres de etiqueta. Para obtener más información sobre el etiquetado, consulte Etiquetas de recurso.