Políticas de Oracle Cloud Infrastructure GoldenGate

Para controlar el acceso a Oracle Cloud Infrastructure GoldenGate y el tipo de acceso que tiene cada grupo de usuarios, debe crear políticas.

Por ejemplo, puede crear un grupo Administradores cuyos miembros puedan acceder a todos los recursos de OCI GoldenGate. A continuación, puede crear un grupo independiente para todos los demás usuarios implicados en OCI GoldenGate y crear políticas que restrinjan su acceso a los recursos de OCI GoldenGate en diferentes compartimentos.

Para obtener una lista completa de las políticas de Oracle Cloud Infrastructure, consulte la referencia de políticas.

Creación de políticas

Las políticas definen las acciones que pueden realizar los miembros de un grupo y en qué compartimentos.

Utilice la consola de Oracle Cloud para crear políticas. En el menú de navegación de la consola de Oracle Cloud, seleccione Identidad y seguridad y, a continuación, en Identidad y seleccione Políticas. Las políticas se escriben con la siguiente sintaxis:

allow group <identity-domain>/<group-name> to <verb> <resource-type> in <location> where <condition>

Las definiciones de parámetros son las siguientes:

<identity-domain>: (opcional) si utiliza OCI IAM para la gestión de identidad, incluya el dominio de identidad del grupo de usuarios. Si se omite, OCI utilizará el dominio por defecto.
<group-name>: nombre del grupo de usuarios al que está otorgando permisos.
<verb>: proporciona al grupo un determinado nivel de acceso a un tipo de recurso. A medida que los verbos pasan de inspect a read a use a manage, el nivel de acceso aumenta y los permisos otorgados se van acumulando.

Obtenga más información sobre la relación entre permisos y verbos.
<resource-type>: tipo de recurso con el que está otorgando permiso de grupo para trabajar. Hay recursos individuales, como goldengate-deployments, goldengate-pipelines y goldengate-connections, y hay familias de recursos, como goldengate-family, que incluye los recursos individuales mencionados anteriormente.

Para obtener más información, consulte resource-types.
<location>: asigna la política a un compartimento o arrendamiento. Puede especificar un único compartimento o ruta de compartimento por nombre u OCID, o bien especificar tenancy para cubrir todo el arrendamiento.
<condition>: opcional. Una o más condiciones para las que se aplicará esta política.

Más información sobre la sintaxis de las políticas.

Cómo crear una política

Para crear una política:

En el menú de navegación de Oracle Cloud, seleccione Identidad y seguridad y, a continuación, en Identificar, seleccione Políticas.
En la página Políticas, seleccione Crear política.
En la página Crear Política, introduzca un nombre y una descripción para la política.
Seleccione el compartimento en que desea crear esta política.
En la sección Creador de políticas, puede
- Seleccione Servicio GoldenGate en la lista desplegable Caso de uso de política y una plantilla de política común, como Políticas necesarias para permitir a los usuarios gestionar recursos de GoldenGate.
- Seleccione Mostrar editor manual para introducir una regla de política con el siguiente formato:
```
allow <subject> to <verb> <resource-type> in <location> where <condition>
```
  Las condiciones son opcionales. Consulte Detalles de las combinaciones de verbo + tipo de recurso.
Consejo: consulte Políticas mínimas recomendadas para obtener más información.
Seleccione Crear.

Para obtener más información sobre las políticas, consulte cómo funcionan las políticas, la sintaxis de las políticas y la referencia de políticas.

Mínimo de políticas recomendadas

Sugerencia:

Para utilizar una plantilla de política común para agregar todas las políticas necesarias:

En Casos de uso de política, seleccione Servicio GoldenGate en la lista desplegable.
En Plantillas de uso común, seleccione Políticas necesarias para permitir a los usuarios gestionar recursos de GoldenGate en la lista desplegable.

Como mínimo, necesita políticas para:

Permitir a los usuarios utilizar o gestionar recursos de GoldenGate para que puedan trabajar con despliegues y conexiones. Por ejemplo:
```
allow group <identity-domain>/<group-name> to manage goldengate-family in <location>
```
Permita a los usuarios gestionar recursos del sistema de red para que puedan ver y seleccionar compartimentos y subredes, y crear y suprimir puntos finales privados al creación de recursos GoldenGate. Por ejemplo:
```
allow group <identity-domain>/<group-name> to manage virtual-network-family in <location>
```
Nota:
- Al crear un despliegue o una conexión mediante un punto final dedicado, se asignan una o más IP en la subred seleccionada. Debe proporcionar los privilegios de acceso de red necesarios tanto en la subred como en el compartimento de despliegue o conexión para permitir que el servicio cree los recursos de red.
- Del mismo modo, se necesitan los privilegios de acceso de red adecuados al suprimir un despliegue o una conexión mediante un punto final dedicado para permitir que el servicio suprima los recursos de red.
De manera opcional, puede proteger aún más los recursos de red mediante una combinación de políticas granulares. Consulte Ejemplos de políticas para proteger recursos de red.
Crear un grupo dinámico para otorgar permisos a recursos basados en reglas definidas, lo que permite que los despliegues y/o pipelines de GoldenGate accedan a los recursos de su arrendamiento. Sustituya <dynamic-group-name> por un nombre que haya elegido. Puede crear tantos grupos dinámicos como necesite, por ejemplo, para controlar permisos en despliegues en diferentes compartimentos o arrendamientos.
```
name: <dynamic-group-name>
Matching rule: ALL {resource.type = 'goldengatedeployment', resource.compartment.id = '<location>'}
```
Consejo: las políticas siguientes de esta lista hacen referencia a <dynamic-group-name>. Si crea más de un grupo dinámico, asegúrese de hacer referencia al nombre de grupo dinámico correcto al agregar cualquiera de las políticas siguientes.
Si utiliza conexiones con secretos de contraseña, el despliegue que está asignando a la conexión debe poder acceder a los secretos de contraseña de la conexión. Asegúrese de agregar la política al compartimento o arrendamiento:
```
allow dynamic-group <identity-domain>/<dynamic-group-name> to read secret-bundles in <location>
```

Permitir a los usuarios leer el usuario y grupo de Identity and Access Management (IAM) para validaciones en arrendamientos con IAM activado:

allow service goldengate to {idcs_user_viewer, domain_resources_viewer} in <location>

allow dynamic-group <identity-domain>/<dynamic-group-name> to {idcs_user_viewer, domain_resources_viewer} in <location>

Acceda a claves de cifrado gestionadas por el cliente y secretos de contraseña en Oracle Vault. Por ejemplo:

allow group <identity-domain>/<group-name> to manage secret-family in <location>
allow group <identity-domain>/<group-name> to use keys in <location>
allow group <identity-domain>/<group-name> to use vaults in <location>
allow dynamic-group <identity-domain>/<dynamic-group-name> to use keys in <location>
allow dynamic-group <identity-domain>/<dynamic-group-name> to use vaults in <location>
allow dynamic-group <identity-domain>/<dynamic-group-name> to read secret-bundles in <location>

En función de si tiene previsto utilizar los siguientes servicios, puede que también deba agregar políticas para:

Bases de datos Oracle AI, para las bases de datos de origen y/o destino. Por ejemplo:

allow group <identity-domain>/<group-name> to read database-family in <location>

allow group <identity-domain>/<group-name> to read autonomous-database-family in <location>

Oracle Object Storage, para almacenar copias de Seguridad manuales y programadas de OCI GoldenGate. Por ejemplo:

allow group <identity-domain>/<group-name> to manage objects in <location>
allow dynamic-group <identity-domain>/<dynamic-group-name> to manage objects in <location> where target.bucket.name = '<bucket-name>'
allow group <identity-domain>/<group-name> to inspect buckets in <location>

OCI Logging, para acceder a grupos de logs. Por ejemplo:

allow group <identity-domain>/<group-name> to read log-groups in <location>
allow group <identity-domain>/<group-name> to read log-content in <location>

Equilibrador de carga, si activa el acceso público a la consola de despliegue:

allow group <identity-domain>/<group-name> to manage load-balancers in <location>
allow group <identity-domain>/<group-name> to manage public-ips in <location>

allow group <identity-domain>/<group-name> to manage network-security-groups in <location>
allow group <identity-domain>/<group-name> to manage vcns in <location> where ANY {request.operation = 'CreateNetworkSecurityGroup', request.operation = 'DeleteNetworkSecurityGroup'}

Solicitudes de trabajo:

allow group <identity-domain>/<group-name> to inspect work-requests in <location>

Zero Trust Packet Routing (ZPR). Solo es necesario si ha agregado atributos de seguridad a la VCN y/o el equilibrador de carga para controlar el acceso a las conexiones y los despliegues públicos, agregue las siguientes políticas para permitir el tráfico público de Internet al equilibrador de carga y el flujo de tráfico entre el equilibrador de carga y los puntos finales privados:
- Si se han agregado atributos de seguridad para la VCN y el equilibrador de carga:
```
in <vcn-sa-key>:<vcn-sa-value> VCN allow <lb-sa-key>:<lb-sa-value> endpoints to connect to <pe-sa-key>:<pe-sa-value> endpoints
in <vcn-sa-key>:<vcn-sa-value> VCN allow all-endpoints to connect to <lb-sa-key>:<lb-sa-value> endpoints
```
- Si los atributos de seguridad se han agregado solo para la VCN y no para el equilibrador de carga, y el equilibrador de carga está en una subred pública con CIDR 10.0.1.0/24:
```
in <vcn-sa-key>:<vcn-sa-value> VCN allow '10.0.1.0/24' to connect to <pe-sa-key>:<pe-sa-value> endpoints
```
  Nota: En el caso de otros recursos, como conexiones dedicadas y despliegues privados, los atributos de seguridad se agregan al punto final privado creado. Los equilibradores de carga no se crean por defecto con despliegues privados, por lo que los ejemplos de ZPR anteriores no se aplican. Puede que necesite una política ZPR, ya que ZPR protege el punto final privado en este caso. La política exacta depende de su caso de uso.
Obtenga más información sobre la sintaxis de la política de ZPR.

La siguiente sentencia proporciona un permiso de grupo para gestionar etiquetas y espacios de nombres de etiquetas para los espacios de trabajo:

allow group <identity-domain>/<group-name> to manage tag-namespaces in <location>

Para agregar una etiqueta definida, debe tener permiso para utilizar el espacio de nombres de etiqueta. Para obtener más información sobre el etiquetado, consulte Etiquetas de recurso.

Ejemplos de políticas para recursos de red

Puede permitir fácilmente que los usuarios accedan a los recursos de red de un compartimento con la política:

allow group <group-name> to use virtual-network-family in compartment <compartment-name>

También puede utilizar las siguientes políticas para proteger los recursos de red en un nivel más granular:

Operación	Acceso necesario en recursos subyacentes
Crear un punto final privado	Para el compartimento privado de punto final: Crear VNIC (`VNIC_CREATE`) Suprimir VNIC (`VNIC_DELETE`) Actualizar miembros de un grupo del sistema de seguridad de red (`NETWORK_SECURITY_GROUP_UPDATE_MEMBERS`) Asociar un Grupo de Seguridad de Red (`VNIC_ASSOCIATE_NETWORK_SECURITY_GROUP`) Para el compartimento de subred: Asociar subred (`SUBNET_ATTACH`) Desasociar subred (`SUBNET_DETACH`)
Actualizar un punto final privado	Para el compartimento privado de punto final: Actualizar VNIC (`VNIC_UPDATE`) Actualizar miembros de un grupo del sistema de seguridad de red (`NETWORK_SECURITY_GROUP_UPDATE_MEMBERS`) Asociar un Grupo de Seguridad de Red (`VNIC_ASSOCIATE_NETWORK_SECURITY_GROUP`)
Suprimir un punto final privado	Para el compartimento privado de punto final: Suprimir VNIC (`VNIC_DELETE`) Actualizar miembros de un grupo del sistema de seguridad de red (`NETWORK_SECURITY_GROUP_UPDATE_MEMBERS`) Para el compartimento de subred: Desasociar subred (`SUBNET_DETACH`)
Cambiar el compartimento de un punto final privado	Si lo mueve de un compartimento a otro, todos los permisos del compartimento original también deben estar presentes en el nuevo compartimento.

Tipos de recursos

Oracle Cloud Infrastructure GoldenGate ofrece tipos de recursos agregados e individuales para la escritura de políticas.

Tipo de recurso agregado Tipos de recursos individuales

Tipo de recurso agregado	Tipos de recursos individuales
`goldengate-family`	`goldengate-deployments` `goldengate-deployment-backups` `goldengate-deployment-upgrades` `goldengate-connections` `goldengate-connection-assignments` `goldengate-pipelines`

goldengate-family

goldengate-deployments

goldengate-deployment-backups

goldengate-deployment-upgrades

goldengate-connections

goldengate-connection-assignments

goldengate-pipelines

Las API cubiertas para el tipo de recurso goldengate-family agregado también cubren las API para cada uno de los tipos de recursos individuales. Por ejemplo,

allow group gg-admins to manage goldengate-family in compartment <compartment-name>

es lo mismo que escribir las siguientes políticas:

allow group gg-admins to manage goldengate-deployments in compartment <compartment-name>
allow group gg-admins to manage goldengate-connections in compartment <compartment-name>
allow group gg-admins to manage goldengate-connection-assignments in compartment <compartment-name>
allow group gg-admins to manage goldengate-deployment-upgrades in compartment <compartment-name>
allow group gg-admins to manage goldengate-deployment-backups in compartment <compartment-name>
allow group gg-admins to manage goldengate-pipelines in compartment <compartment-name>

Variables soportadas

Al agregar condiciones a las políticas, puede utilizar variables generales de Oracle Cloud Infrastructure o específicas del servicio.

Oracle Cloud Infrastructure GoldenGate soporta todas las variables generales. Para obtener más información, consulte Variables generales para todas las solicitudes.

Detalles de las combinaciones de verbo + tipo de recurso

Existen varios verbos y tipos de recurso de Oracle Cloud Infrastructure que puede utilizar al crear una política.

En las siguientes tablas se muestran los permisos y las operaciones de API que abarca cada verbo de Oracle Cloud Infrastructure GoldenGate. El nivel de acceso es acumulativo a medida que pasa de inspect a read a use a manage.

goldengate-deployments

Permiso	API totalmente cubiertas
INSPECT
GOLDENGATE_DEPLOYMENT_INSPECT	ListDeployments
GOLDENGATE_DEPLOYMENT_INSPECT	ListWorkRequests
READ
INSPECT +	INSPECT+
GOLDENGATE_DEPLOYMENT_READ	GetDeployment
	Obtener lista de solicitudes de trabajo
	Lista de errores de solicitud de trabajo
	Log de solicitud de trabajo
USE
READ +	READ +
GOLDENGATE_DEPLOYMENT_UPDATE	UpdateDeployment
	StartDeployment
	StopDeployment
	RestoreDeployment
MANAGE
USE +	USE +
GOLDENGATE_DEPLOYMENT_CREATE	CreateDeployment
GOLDENGATE_DEPLOYMENT_DELETE	DeleteDeployment
GOLDENGATE_DEPLOYMENT_MOVE	ChangeDeploymentCompartment

goldengate-connections

Permiso	API totalmente cubiertas
INSPECT
GOLDENGATE_CONNECTION_INSPECT	ListConnections
READ
INSPECT +	INSPECT+
GOLDENGATE_CONNECTION_READ	GetConnection
USE
READ +	READ +
GOLDENGATE_CONNECTION_UPDATE	UpdateConnection
MANAGE
USE +	USE +
GOLDENGATE_CONNECTION_CREATE	CreateConnection
GOLDENGATE_CONNECTION_DELETE	DeleteConnection
GOLDENGATE_CONNECTION_MOVE	ChangeConnectionCompartment

goldengate-conexión-asignaciones

Permiso	API totalmente cubiertas
INSPECT
GOLDENGATE_CONNECTION_ASSIGNMENT_INSPECT	Asignaciones de Conexión de Lista
READ
INSPECT +	INSPECT+
GOLDENGATE_CONNECTION_ASSIGNMENT_READ	Obtener asignación de conexión
USE
READ +	READ +
n/d	n/d
MANAGE
USE +	USE +
GOLDENGATE_CONNECTION_ASSIGNMENT_CREATE	Crear asignación de conexión
GOLDENGATE_CONNECTION_ASSIGNMENT_DELETE	Suprimir asignación de conexión

goldengate-deployment-backups

Permiso	API totalmente cubiertas
INSPECT
GOLDENGATE_DEPLOYMENT_BACKUP_INSPECT	ListDeploymentBackups
READ
INSPECT +	INSPECT+
GOLDENGATE_DEPLOYMENT_BACKUP_READ	GetDeploymentBackup
GOLDENGATE_DEPLOYMENT_BACKUP_READ	RestoreDeployment
USE
READ +	READ +
GOLDENGATE_DEPLOYMENT_BACKUP_UPDATE	UpdateDeploymentBackup
MANAGE
USE +	USE +
GOLDENGATE_DEPLOYMENT_BACKUP_CREATE	CreateDeploymentBackup
GOLDENGATE_DEPLOYMENT_BACKUP_DELETE	DeleteDeploymentBackup
GOLDENGATE_DEPLOYMENT_BACKUP_MOVE	ChangeDeploymentBackupCompartment

Permisos necesarios para cada operación de API

A continuación se muestra una lista de las operaciones de API para Oracle Cloud Infrastructure GoldenGate en orden lógico, agrupadas por tipo de recurso.

Los tipos de recursos son goldengate-deployments, goldengate-connections y goldengate-deployment-backups.

Operación de API	Permiso
`ListDeployments`	GOLDENGATE_DEPLOYMENT_INSPECT
`CreateDeployment`	GOLDENGATE_DEPLOYMENT_CREATE
`GetDeployment`	GOLDENGATE_DEPLOYMENT_READ
`UpdateDeployment`	GOLDENGATE_DEPLOYMENT_UPDATE
`DeleteDeployment`	GOLDENGATE_DEPLOYMENT_DELETE
`StartDeployment`	GOLDENGATE_DEPLOYMENT_UPDATE
`StopDeployment`	GOLDENGATE_DEPLOYMENT_UPDATE
`RestoreDeployment`	GOLDENGATE_DEPLOYMENT_BACKUP_READ y GOLDENGATE_DEPLOYMENT_UPDATE
`ChangeDeploymentCompartment`	GOLDENGATE_DEPLOYMENT_MOVE
`UpgradeDeployment`	GOLDENGATE_DEPLOYMENT_UPDATE
`ListConnections`	GOLDENGATE_CONNECTION_INSPECT
`CreateConnection`	GOLDENGATE_CONNECTION_CREATE
`GetConnection`	GOLDENGATE_CONNECTION_READ
`UpdateConnection`	GOLDENGATE_CONNECTION_UPDATE
`DeleteConnection`	GOLDENGATE_CONNECTION_DELETE
`ChangeConnectionCompartment`	GOLDENGATE_CONNECTION_MOVE
`ListConnectionAssignments`	GOLDENGATE_CONNECTION_ASSIGNMENT_INSPECT
`CreateConnectionAssignment`	GOLDENGATE_CONNECTION_ASSIGNMENT_CREATE, GOLDENGATE_DEPLOYMENT_UPDATE, GOLDENGATE_CONNECTION_UPDATE
`GetConnectionAssignment`	GOLDENGATE_CONNECTION_ASSIGNMENT_READ
`DeleteConnectionAssignment`	GOLDENGATE_CONNECTION_ASSIGNMENT_DELETE, GOLDENGATE_DEPLOYMENT_UPDATE, GOLDENGATE_CONNECTION_UPDATE
`ListDeploymentBackups`	GOLDENGATE_DEPLOYMENT_BACKUP_INSPECT
`GetDeploymentBackup`	GOLDENGATE_DEPLOYMENT_BACKUP_READ
`CreateDeploymentBackup`	GOLDENGATE_DEPLOYMENT_BACKUP_CREATE, GOLDENGATE_DEPLOYMENT_READ
`UpdateDeploymentBackup`	GOLDENGATE_DEPLOYMENT_BACKUP_UPDATE
`CancelDeploymentBackup`	GOLDENGATE_DEPLOYMENT_BACKUP_UPDATE
`DeleteDeploymentBackup`	GOLDENGATE_DEPLOYMENT_BACKUP_DELETE
`ChangeDeploymentBackupCompartment`	GOLDENGATE_DEPLOYMENT_BACKUP_MOVE
`GetDeploymentUpgrade`	GOLDENGATE_DEPLOYMENT_UPGRADE_READ
`ListDeploymentUpgrades`	GOLDENGATE_DEPLOYMENT_UPGRADE_INSPECT
`GetWorkRequest`	GOLDENGATE_DEPLOYMENT_READ
`ListWorkRequests`	GOLDENGATE_DEPLOYMENT_INSPECT
`ListWorkRequestErrors`	GOLDENGATE_DEPLOYMENT_READ
`ListWorkRequestLogs`	GOLDENGATE_DEPLOYMENT_READ