Creación de recursos de Oracle Cloud
Aprenda a crear un compartimento, una VCN, una subred, usuarios y grupos de usuarios antes de empezar a utilizar Oracle Cloud Infrastructure GoldenGate.
Creación de un compartimento
Los compartimentos le permiten organizar y controlar el acceso a sus recursos en la nube. Es un contenedor lógico que puede utilizar para agrupar recursos en la nube relacionados y permitir el acceso a grupos de usuarios específicos.
Cuando se registra en Oracle Cloud Infrastructure, Oracle crea un arrendamiento para usted, que es el compartimento raíz que contiene todos sus recursos en la nube. Posteriormente, puede crear compartimentos adicionales en su arrendamiento y las políticas correspondientes para controlar el acceso a los recursos de cada compartimento.
Para crear un compartimento:Creación de una red virtual en la nube y una subred
Una red virtual en la nube (VCN) es una red que se configura en los centros de datos de Oracle Cloud Infrastructure en una determinada región. Una subred es una subdivisión de una VCN.
- Abra el Menú de Navegación de la Consola de Oracle Cloud, haga clic en Red y, a continuación, seleccione Redes virtuales en la nube.
- En la página Redes virtuales en la nube, confirme la selección del compartimento o seleccione un compartimento diferente.
- En el menú Acciones, seleccione Iniciar asistente de VCN.
- En el panel de trabajo de Iniciar asistente de VCN, seleccione Crear VCN con conexión de Internet y, a continuación, haga clic en Iniciar asistente de VCN.
- En la página Configuración, en Información básica, introduzca un nombre de VCN.
- En Compartimento, seleccione el compartimento en la que desea crear esta VCN.
- Haga clic en Siguiente.
- En la página Revisar y crear, compruebe los detalles de configuración y, a continuación, haga clic en Crear.
Haga clic en Ver detalles de VCN para verificar que se ha creado una subred pública y una privada.
Crear Usuarios
Cree usuarios para agregarlos a grupos que puedan acceder a los recursos de OCI GoldenGate.
Antes de crear usuarios, debe comprender lo siguiente:
- La gestión de usuarios de despliegue de OCI GoldenGate depende de si su arrendamiento utiliza OCI IAM con dominios de identidad o no. Consulte Gestión de usuarios de despliegue.
- Los nombres de usuario deben ser únicos entre todos los usuarios de su arrendamiento
- Los nombres de usuario no se pueden cambiar
- Los usuarios no tienen ningún permiso hasta que se colocan en un grupo
- Abra el Menú de Navegación de la Consola de Oracle Cloud, haga clic en Identidad Y Seguridad y, a continuación, en Identidad, haga clic en Dominios.
- En la página Dominios, confirme la selección de Compartimento o cambie a otro compartimento.
- En la lista Dominios, haga clic en Valor por defecto para acceder al dominio por defecto o haga clic en Crear dominio para crear uno nuevo.
- Seleccione el dominio de la lista.
- En la página de detalles Dominios, haga clic en Gestión de usuarios.
- En la página Usuarios, haga clic en Creación de usuario.
- En la página Crear Usuario, complete los campos como se indica:
- Haga clic en Create.
Creación de grupos
Un grupo es una recopilación de usuarios que necesitan el mismo tipo de acceso a un juego de recursos o compartimentos.
- El nombre de grupo debe ser único dentro del arrendamiento.
- El nombre del grupo no se puede cambiar una vez creado.
- Un grupo no tiene ningún permiso a menos que escriba un permiso que otorgue al grupo permiso para un arrendamiento o compartimento.
- Abra el Menú de Navegación de la Consola de Oracle Cloud, haga clic en Identidad Y Seguridad y, a continuación, en Identidad, haga clic en Dominios.
- En la página Dominios, confirme la selección de Compartimento o cambie el compartimento.
- Seleccione un dominio de la lista.
- En la página de detalles del dominio, haga clic en Gestión de usuarios.
- En Grupos, haga clic en Crear grupo.
- En la página Crear grupo:
- Seleccione si un usuario puede solicitar acceso a este grupo.
- En la lista Usuarios, seleccione los usuarios que desea asignar a este grupo.
- Haga clic en Create.
Creación de políticas
Las políticas definen las acciones que pueden realizar los miembros de un grupo y en qué compartimentos.
Utilice la consola de Oracle Cloud para crear políticas. En el menú de navegación de la consola de Oracle Cloud, seleccione Identidad y seguridad y, a continuación, en Identidad, y seleccione Políticas. Las políticas se escriben con la siguiente sintaxis:
allow group <identity-domain>/<group-name> to <verb> <resource-type> in <location> where <condition>
Las definiciones de parámetros son las siguientes:
<identity-domain>
: (opcional) si utiliza OCI IAM para la gestión de identidad, incluya el dominio de identidad del grupo de usuarios. Si se omite, OCI utilizará el dominio por defecto.<group-name>
: nombre del grupo de usuarios al que está otorgando permisos.<verb>
: proporciona al grupo un determinado nivel de acceso a un tipo de recurso. A medida que los verbos pasan deinspect
aread
ause
amanage
, el nivel de acceso aumenta y los permisos otorgados se van acumulando.Obtenga más información sobre la relación entre .permisos y verbos.
<resource-type>
: tipo de recurso con el que está otorgando permiso de grupo para trabajar. Hay recursos individuales, comogoldengate-deployments
,goldengate-pipelines
ygoldengate-connections
, y hay familias de recursos, comogoldengate-family
, que incluye los recursos individuales mencionados anteriormente.Para obtener más información, consulte resource-types.
<location>
: asigna la política a un compartimento o arrendamiento. Puede especificar un único compartimento o ruta de compartimento por nombre u OCID, o bien especificartenancy
para cubrir todo el arrendamiento.<condition>
: opcional. Una o más condiciones para las que se aplicará esta política.
Más información sobre la sintaxis de las políticas.
Cómo crear una política
Para obtener más información sobre las políticas, consulte cómo funcionan las políticas, la sintaxis de las políticas y la referencia de políticas.
Mínimo de políticas recomendadas
Sugerencia:
Para utilizar una plantilla de política común para agregar todas las políticas necesarias:- En Casos de uso de política, seleccione Servicio GoldenGate en la lista desplegable.
- En Plantillas de uso común, seleccione Políticas necesarias para permitir a los usuarios gestionar recursos GoldenGate en la lista desplegable.
Como mínimo, necesita políticas para:
- Permitir a los usuarios utilizar o gestionar recursos GoldenGate para que puedan trabajar con despliegues y conexiones. Por ejemplo:
allow group <identity-domain>/<group-name> to manage goldengate-family in <location>
- Permitir a los usuarios gestionar recursos de red para que puedan ver y seleccionar compartimentos y subredes, y crear y suprimir puntos finales privados al crear recursos GoldenGate. Por ejemplo:
allow group <identity-domain>/<group-name> to manage virtual-network-family in <location>
De manera opcional, puede proteger aún más los recursos de red mediante una combinación de políticas granulares. Consulte Ejemplos de políticas para proteger recursos de red.
- Cree un grupo dinámico para otorgar permisos a recursos basados en reglas definidas, lo que permite que los despliegues y/o pipelines GoldenGate accedan a los recursos de su arrendamiento. Sustituya
<dynamic-group-name>
por un nombre que haya elegido. Puede crear tantos grupos dinámicos como necesite, por ejemplo, para controlar permisos en despliegues en diferentes compartimentos o arrendamientos.name: <dynamic-group-name> Matching rule: ALL {resource.type = 'goldengatedeployment', resource.compartment.id = '<location>'}
Sugerencia:
Las políticas que aparecen en esta lista hacen referencia a
<dynamic-group-name>
. Si crea más de un grupo dinámico, asegúrese de hacer referencia al nombre de grupo dinámico correcto al agregar cualquiera de las políticas siguientes. - Si utiliza conexiones con secretos de contraseña, el despliegue que está asignando a la conexión debe poder acceder a los secretos de contraseña de la conexión. Asegúrese de agregar la política al compartimento o arrendamiento:
allow dynamic-group <identity-domain>/<dynamic-group-name> to read secret-bundles in <location>
- Permitir a los usuarios leer el usuario y el grupo de Identity and Access Management (IAM) para validaciones en arrendamientos con IAM activado:
allow service goldengate to {idcs_user_viewer, domain_resources_viewer} in <location>
allow dynamic-group <identity-domain>/<dynamic-group-name> to {idcs_user_viewer, domain_resources_viewer} in <location>
- Oracle Vault, para acceder a las claves y secretos de contraseñas de cifrado gestionadas por los clientes. Por ejemplo:
allow group <identity-domain>/<group-name> to manage secret-family in <location> allow group <identity-domain>/<group-name> to use keys in <location> allow group <identity-domain>/<group-name> to use vaults in <location> allow dynamic-group <identity-domain>/<dynamic-group-name> to use keys in <location> allow dynamic-group <identity-domain>/<dynamic-group-name> to use vaults in <location> allow dynamic-group <identity-domain>/<dynamic-group-name> to read secret-bundles in <location>
En función de si tiene previsto utilizar los siguientes servicios, puede que también deba agregar políticas para:
- Bases de datos Oracle, para sus bases de datos de origen y/o destino. Por ejemplo:
allow group <identity-domain>/<group-name> to read database-family in <location>
allow group <identity-domain>/<group-name> to read autonomous-database-family in <location>
- Oracle Object Storage, para almacenar copias de seguridad manuales de OCI GoldenGate. Por ejemplo:
allow group <identity-domain>/<group-name> to manage objects in <location> allow dynamic-group <identity-domain>/<dynamic-group-name> to manage objects in <location> allow group <identity-domain>/<group-name> to inspect buckets in <location>
- OCI Logging, para acceder a grupos de logs. Por ejemplo:
allow group <identity-domain>/<group-name> to read log-groups in <location> allow group <identity-domain>/<group-name> to read log-content in <location>
- Equilibrador de carga, si activa el acceso público a la consola de despliegue:
allow group <identity-domain>/<group-name> to manage load-balancers in <location> allow group <identity-domain>/<group-name> to manage public-ips in <location> allow group <identity-domain>/<group-name> to manage network-security-groups in <location> allow group <identity-domain>/<group-name> to manage vcns in <location> where ANY {request.operation = 'CreateNetworkSecurityGroup', request.operation = 'DeleteNetworkSecurityGroup'}
- Solicitudes de trabajo:
allow group <identity-domain>/<group-name> to inspect work-requests in <location>
La siguiente sentencia proporciona un permiso de grupo para gestionar etiquetas y espacios de nombres de etiquetas para los espacios de trabajo:
allow group <identity-domain>/<group-name> to manage tag-namespaces in <location>
Para agregar una etiqueta definida, debe tener permiso para utilizar el espacio de nombres de etiqueta. Para obtener más información sobre el etiquetado, consulte Etiquetas de recurso.
Para obtener más información y políticas de ejemplo adicionales, consulte la sección sobre políticas de OCI GoldenGate.