Informations détaillées sur le service GIA sans domaines d'identité

Cette rubrique présente des informations détaillées sur l'écriture de politiques permettant de contrôler l'accès au service GIA.

Types de ressource

authentication

authentication-policies

compartments

credentials

domain

dynamic-groups

groups

group-memberships

iamworkrequest

identity-providers

network-sources

oauth2-clients

policies

regions

service-principal

tag-defaults

tag-namespaces

tagRules

tasdomain

tagNamespaces

tenancies

users x

workrequest

Variables prises en charge

Le service GIA prend en charge toutes les variables générales (voir Variables générales pour toutes les demandes), plus les variables répertoriées ici :


Opérations pour ce type de ressource...	Peut utiliser ces variables...	Type de variable	Commentaires
`users`	`target.user.id`	Entité (OCID)	Non disponible pour utilisation avec CreateUser.
`users`	`target.user.name`	Chaîne
`groups`	`target.group.id`	Entité (OCID)	Non disponible pour utilisation avec CreateGroup.
	`target.group.name`	Chaîne
	`target.group.member`	Valeur booléenne	Valeur Vrai si request.user est membre du groupe target.group.
`policies`	`target.policy.id`	Entité (OCID)	Non disponible pour utilisation avec CreatePolicy.
`policies`	`target.policy.name`	Chaîne
`compartments`	`target.compartment.id`	Entité (OCID)	Pour CreateCompartment, il s'agit de la valeur du compartiment parent (par exemple, le compartiment racine). Il s'agit d'une variable universelle disponible pour toutes les demandes de tous les services (voir Variables générales pour toutes les demandes).
`compartments`	`target.compartment.name`	Chaîne
`tag-namespace`	`target.tag-namespace.id`	Entité (OCID)	Cette variable n'est prise en charge que dans les énoncés accordant des autorisations pour le type de ressource `tag-namespaces`. Pour un exemple, voir Concepts relatifs aux marqueurs et aux espaces de noms de marqueur. Non disponible pour utilisation avec CreateTagNamespace.
`tag-namespace`	`target.tag-namespace.name`	Chaîne

Informations détaillées sur les combinaisons Verbe + Type de ressource

Les tableaux suivants présentent les autorisations et les opérations d'API couvertes par chaque verbe. Le niveau d'accès est cumulatif depuis inspect > read > use > manage. Par exemple, un groupe qui peut utiliser une ressource peut également inspecter et lire cette ressource. Un signe plus (+) dans une cellule de tableau indique un accès incrémentiel comparé à la cellule directement au-dessus, alors que "aucun accès supplémentaire" indique qu'il n'y a aucun accès incrémentiel.

Par exemple, le verbe read pour les compartiments ne couvre pas d'autorisations ou d'opérations d'API supplémentaires par rapport au verbe inspect. Le verbe use couvre les mêmes autorisations que le verbe read, plus l'autorisation COMPARTMENT_UPDATE et l'opération d'API UpdateCompartment. Le verbe manage couvre les mêmes autorisations et opérations d'API que le verbe use, plus l'autorisation COMPARTMENT_CREATE et deux opérations d'API : CreateCompartment et DeleteCompartment

politiques d'authentification


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	AUTHENTICATION_POLICY_INSPECT	`GetAuthenticationPolicy`	aucune
read	aucun accès supplémentaire	aucun accès supplémentaire	aucune
use	aucun accès supplémentaire	aucun accès supplémentaire	aucune
manage	USE + AUTHENTICATION_POLICY_UPDATE	USE + `UpdateAuthenticationPolicy`	aucune

compartiments

Pour déplacer un compartiment (c'est-à-dire utiliser l'opération MoveCompartment), vous devez appartenir à un groupe ayant des autorisations manage all-resources sur le compartiment parent partagé le plus bas du compartiment courant et du compartiment de destination.


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	COMPARTMENT_INSPECT	`ListCompartments` `GetCompartment` `ListAvailabilityDomains` `ListFaultDomains`	aucune
read	aucun accès supplémentaire	aucun accès supplémentaire	aucune
use	READ + COMPARTMENT_UPDATE	READ + `UpdateCompartment` `GetWorkRequest`	aucune
manage	USE + COMPARTMENT_CREATE COMPARTMENT_DELETE COMPARTMENT_RECOVER	USE + `CreateCompartment` `DeleteCompartment` `RecoverCompartment`	aucune

données d'identification

Le type de ressource credentials fait référence uniquement aux données d'identification SMTP. Les autorisations nécessaires pour utiliser d'autres données d'identification pouvant être ajoutées à un utilisateur (notamment les jetons d'authentification, les clés d'API et les clés secrètes client) sont incluses avec les autorisations de ressource users.


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	CREDENTIAL_INSPECT	`ListSmtpCredentials`	aucune
read	aucun accès supplémentaire	aucun accès supplémentaire	aucune
use	aucun accès supplémentaire	aucun accès supplémentaire	aucune
manage	USE + CREDENTIAL_ADD CREDENTIAL_UPDATE CREDENTIAL_REMOVE	USE + `CreateSmtpCredential` `UpdateSmtpCredential` `DeleteSmtpCredential`	aucune

groupes dynamiques


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	DYNAMIC_GROUP_INSPECT	`ListDynamicGroups` `GetDynamicGroup`	Aucun accès supplémentaire
read	aucun accès supplémentaire	aucun accès supplémentaire	aucun accès supplémentaire
use	READ + DYNAMIC_GROUP_UPDATE	READ + `UpdateDynamicGroup`	aucun accès supplémentaire
manage	USE + DYNAMIC_GROUP_CREATE DYNAMIC_GROUP_DELETE	USE + `CreateDynamicGroup` `DeleteDynamicGroup`	aucun accès supplémentaire

groupes


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	GROUP_INSPECT	`ListGroups` `GetGroup`	`GetUserGroupMembership` (requiert également `inspect users`) `ListIdpGroupMappings`, `GetIdpGroupMapping` (les deux requièrent également `inspect identity-providers`)
read	aucun accès supplémentaire	aucun accès supplémentaire	aucun accès supplémentaire
use	READ + GROUP_UPDATE	READ + `UpdateGroup`	READ + `AddUserToGroup` (requiert également `use users`) `RemoveUserFromGroup` (requiert également `use users`) `AddIdpGroupMapping`, `DeleteIdpGroupMapping` (les deux requièrent également `manage identity-providers`)
manage	USE + GROUP_CREATE GROUP_DELETE	USE + `CreateGroup` `DeleteGroup`	aucun accès supplémentaire

fournisseurs d'identités


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	IDENTITY_PROVIDER_INSPECT	`ListIdentityProviders` `GetIdentityProvider`	`ListIdpGroupMappings`, `GetIdpGroupMapping` (requièrent également `inspect groups`)
read	aucun accès supplémentaire	aucun accès supplémentaire	aucun accès supplémentaire
use	aucun accès supplémentaire	aucun accès supplémentaire	aucun accès supplémentaire
manage	USE + IDENTITY_PROVIDER_UPDATE IDENTITY_PROVIDER_CREATE IDENTITY_PROVIDER_DELETE	USE + `UpdateIdentityProvider` `CreateIdentityProvider` `DeleteIdentityProvider`	USE + `AddIdpGroupMapping`, `DeleteIdpGroupMapping` (requièrent également `use groups`)

sources de réseau


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	NETWORK_SOURCE_INSPECT	`ListNetworkSources` `GetNetworkSource`	Aucun accès supplémentaire
read	aucun accès supplémentaire	aucun accès supplémentaire	aucun accès supplémentaire
use	READ + NETWORK_SOURCE_UPDATE	READ + `UpdateNetworkSource`	aucun accès supplémentaire
manage	USE + NETWORK_SOURCE_CREATE NETWORK_SOURCE_DELETE	USE + `CreateNetworkSource` `DeleteNetworkSource`	aucun accès supplémentaire

politiques


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	POLICY_READ	`ListPolicies` `GetPolicy`	aucune
read	aucun accès supplémentaire	aucun accès supplémentaire	aucune
use	aucun accès supplémentaire	aucun accès supplémentaire Note : Il n'est possible de mettre à jour des politiques qu'avec `manage policies`.	aucune
manage	USE + POLICY_UPDATE POLICY_CREATE POLICY_DELETE	USE + `UpdatePolicy` `CreatePolicy` `DeletePolicy`	aucune

espaces de noms de marqueur


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	TAG_NAMESPACE_INSPECT	`BulkEditTags` `ListTagNamespaces` `GetTagNamespace` `ListTags` `ListCostTrackingTags` `GetTag` `GetTaggingWorkRequest` `ListTaggingWorkRequest` `ListTaggingWorkRequestErrors` `ListTaggingWorkRequestLogs`	aucune
read	aucun accès supplémentaire	aucun accès supplémentaire	aucune
use	READ + TAG_NAMESPACE_USE Note : Pour appliquer, mettre à jour ou supprimer les marqueurs définis pour une ressource, un utilisateur doit disposer d'autorisations sur la ressource et d'autorisations pour utiliser l'espace de noms de marqueur.	READ + `CreateTag` `UpdateTag`	aucune
manage	USE + TAG_NAMESPACE_UPDATE TAG_NAMESPACE_CREATE TAG_NAMESPACE_MOVE TAG_NAMESPACE_DELETE	USE + `UpdateTagNamespace` `CreateTagNamespace` `ChangeTagNamespaceCompartment` `CascadeDeleteTagNamespace` `DeleteTagNamespace` `DeleteTag` `BulkDeleteTags`	aucune

valeurs par défaut de marqueur


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	TAG_DEFAULT_INSPECT TAG_NAMESPACE_READ (Utiliser les deux autorisations)	`ListTagDefaults` `GetTagDefault`	aucune
read	aucun accès supplémentaire	aucun accès supplémentaire	aucune
use	aucun accès supplémentaire	aucun accès supplémentaire	aucune
manage	INSPECT + TAG_DEFAULT_CREATE TAG_DEFAULT_UPDATE TAG_DEFAULT_DELETE	USE + `CreateTagDefault` `UpdateTagDefault` `DeleteTagDefault`	aucune

locations


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	TENANCY_INSPECT	`ListRegionSubscriptions` `GetTenancy` `ListRegions`	aucune
read	aucun accès supplémentaire	aucun accès supplémentaire	aucune
use	READ + TENANCY_UPDATE	aucun accès supplémentaire	aucune
manage	USE + TENANCY_UPDATE	USE + `CreateRegionSubscription`	aucune

utilisateurs

Notez que pour utiliser les données d'identification SMTP d'un utilisateur, vous devez disposer d'autorisations pour le type de ressource credentials.


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	USER_INSPECT	`ListUsers` `GetUser`	`GetUserGroupMembership` (requiert également `inspect groups`)
read	INSPECT + USER_READ	INSPECT + `ListApiKeys` `ListSwiftPasswords` `ListAuthTokens` `ListCustomerSecretKeys` `ListOAuthClientCredentials` `ListMfaTotpDevices`	aucun accès supplémentaire
use	READ + USER_UPDATE	READ + `UpdateUser`	READ + `AddUserToGroup` (requiert également `use groups`) `RemoveUserFromGroup` (requiert également `use groups`)
manage	USE + USER_CREATE USER_DELETE USER_UNBLOCK USER_APIKEY_ADD USER_APIKEY_REMOVE USER_UIPASS_SET USER_UIPASS_RESET USER_SWIFTPASS_SET USER_SWIFTPASS_RESET USER_SWIFTPASS_REMOVE USER_AUTHTOKEN_SET USER_AUTHTOKEN_RESET USER_AUTHTOKEN_REMOVE USER_OAUTH2_CLIENT_CRED_CREATE USER_OAUTH2_CLIENT_CRED_UPDATE USER_OAUTH2_CLIENT_CRED_REMOVE USER_SECRETKEY_ADD USER_SECRETKEY_UPDATE USER_SECRETKEY_REMOVE USER_SUPPORT_ACCOUNT_LINK USER_SUPPORT_ACCOUNT_UNLINK USER_TOTPDEVICE_ADD USER_TOTPDEVICE_REMOVE USER_TOTPDEVICE_UPDATE	USE + `CreateUser` `DeleteUser` `UpdateUserState` `UploadApiKey` `DeleteApiKey` `CreateOrResetUIPassword` `UpdateSwiftPassword` `CreateSwiftPassword` `DeleteSwiftPassword` `UpdateAuthToken` `CreateAuthToken` `DeleteAuthToken` `CreateOAuthClientCredential` `UpdateOAuthClientCredential` `DeleteOAuthClientCredential` `CreateSecretKey` `UpdateCustomerSecretKey` `DeleteCustomerSecretKey` `CreateOAuthClientCredential` `UpdateAuthClientCredential` `DeleteOAuthClientCredential` `LinkSupportAccount` `UnlinkSupportAccount` `CreateMfaTotpDevice` `ActivateMfaTotpDevice` `DeleteMfaTotpDevice`	aucun accès supplémentaire

Autorisations requises pour chaque opération d'API

Le tableau suivant répertorie les opérations d'API dans un ordre logique, regroupées par type de ressource.

Pour plus d'informations sur les autorisations, voir Autorisations.


Opération d'API	Autorisations requises pour utiliser l'opération
`ListRegions`	TENANCY_INSPECT
`ListRegionSubscriptions`	TENANCY_INSPECT
`CreateRegionSubscription`	TENANCY_UPDATE
`GetTenancy`	TENANCY_INSPECT
`GetAuthenticationPolicy`	AUTHENTICATION_POLICY_INSPECT
`UpdateAuthenticationPolicy`	AUTHENTICATION_POLICY_UPDATE
`ListAvailabilityDomains`	COMPARTMENT_INSPECT
`ListFaultDomains`	COMPARTMENT_INSPECT
`ListCompartments`	COMPARTMENT_INSPECT
`GetCompartment`	COMPARTMENT_INSPECT
`UpdateCompartment`	COMPARTMENT_UPDATE
`CreateCompartment`	COMPARTMENT_CREATE
`RecoverCompartment`	COMPARTMENT_RECOVER
`DeleteCompartment`	COMPARTMENT_DELETE
`MoveCompartment`	Aucune autorisation unique n'est associée à l'opération `MoveCompartment`. Cette opération requiert des autorisations `manage all-resources` sur le compartiment parent partagé le plus bas du compartiment courant et du compartiment de destination.
`GetWorkRequest`	COMPARTMENT_READ
`ListUsers`	USER_INSPECT
`GetUser`	USER_INSPECT
`UpdateUser`	USER_UPDATE
`UpdateUserState`	USER_UPDATE et USER_UNBLOCK
`CreateUser`	USER_CREATE
`DeleteUser`	USER_DELETE
`CreateOrResetUIPassword`	USER_UPDATE et USER_UIPASS_RESET
`ListApiKeys`	USER_READ
`UploadApiKey`	USER_UPDATE et USER_APIKEY_ADD
`DeleteApiKey`	USER_UPDATE et USER_APIKEY_REMOVE
`ListAuthTokens`	USER_READ
`UpdateAuthToken`	USER_UPDATE et USER_AUTHTOKEN_RESET
`CreateAuthToken`	USER_UPDATE et USER_AUTHTOKEN_SET
`DeleteAuthToken`	USER_UPDATE et USER_AUTHTOKEN_REMOVE
`ListSwiftPasswords`	USER_READ
`UpdateSwiftPassword`	USER_UPDATE et USER_SWIFTPASS_RESET
`CreateSwiftPassword`	USER_UPDATE et USER_SWIFTPASS_SET
`DeleteSwiftPassword`	USER_UPDATE et USER_SWIFTPASS_REMOVE
`ListCustomerSecretKeys`	USER_READ
`CreateSecretKey`	USER_UPDATE et USER_SECRETKEY_ADD
`UpdateCustomerSecretKey`	USER_UPDATE et USER_SECRETKEY_UPDATE
`DeleteCustomerSecretKey`	USER_UPDATE et USER_SECRETKEY_REMOVE
`CreateOAuthClientCredential`	USER_UPDATE et USER_OAUTH2_CLIENT_CRED_CREATE
`UpdateOAuthClientCredential`	USER_UPDATE et USER_OAUTH2_CLIENT_CRED_UPDATE
`ListOAuthClientCredentials`	USER_READ
`DeleteOAuthClientCredential`	USER_UPDATE et USER_OAUTH2_CLIENT_CRED_REMOVE
`LinkSupportAccount`	USER_SUPPORT_ACCOUNT_LINK
`UnlinkSupportAccount`	USER_SUPPORT_ACCOUNT_UNLINK
`CreateSmtpCredential`	CREDENTIAL_ADD
`ListSmtpCredentials`	CREDENTIAL_INSPECT
`UpdateSmtpCredential`	CREDENTIAL_UPDATE
`DeleteSmtpCredential`	CREDENTIAL_REMOVE
`ListUserGroupMemberships`	GROUP_INSPECT et USER_INSPECT
`GetUserGroupMembership`	USER_INSPECT et GROUP_INSPECT
`AddUserToGroup`	GROUP_UPDATE et USER_UPDATE
`RemoveUserFromGroup`	GROUP_UPDATE et USER_UPDATE
`ListGroups`	GROUP_INSPECT
`GetGroup`	GROUP_INSPECT
`UpdateGroup`	GROUP_UPDATE
`CreateGroup`	GROUP_CREATE
`DeleteGroup`	GROUP_DELETE
`ListDynamicGroups`	DYNAMIC_GROUP_INSPECT
`GetDynamicGroup`	DYNAMIC_GROUP_INSPECT
`UpdateDynamicGroup`	DYNAMIC_GROUP_UPDATE
`CreateDynamicGroup`	DYNAMIC_GROUP_CREATE
`DeleteDynamicGroup`	DYNAMIC_GROUP_DELETE
`GetNetworkSource`	NETWORK_SOURCE_INSPECT
`ListNetworkSources`	NETWORK_SOURCE_INSPECT
`CreateNetworkSource`	NETWORK_SOURCE_CREATE
`UpdateNetworkSource`	NETWORK_SOURCE_UPDATE
`DeleteNetworkSource`	NETWORK_SOURCE_DELETE
`ListPolicies`	POLICY_READ
`GetPolicy`	POLICY_READ
`UpdatePolicy`	POLICY_UPDATE
`CreatePolicy`	POLICY_CREATE
`DeletePolicy`	POLICY_DELETE
`ListIdentityProviders`	IDENTITY_PROVIDER_INSPECT
`GetIdentityProvider`	IDENTITY_PROVIDER_INSPECT
`UpdateIdentityProvider`	IDENTITY_PROVIDER_UPDATE
`CreateIdentityProvider`	IDENTITY_PROVIDER_CREATE
`DeleteIdentityProvider`	IDENTITY_PROVIDER_DELETE
`ListIdpGroupMappings`	IDENTITY_PROVIDER_INSPECT et GROUP_INSPECT
`GetIdpGroupMapping`	IDENTITY_PROVIDER_INSPECT et GROUP_INSPECT
`AddIdpGroupMapping`	IDENTITY_PROVIDER_UPDATE et GROUP_UPDATE
`DeleteIdpGroupMapping`	IDENTITY_PROVIDER_UPDATE et GROUP_UPDATE
`ListTagNamespaces`	TAG_NAMESPACE_INSPECT
`ListTaggingWorkRequest`	TAG_NAMESPACE_INSPECT
`ListTaggingWorkRequestErrors`	TAG_NAMESPACE_INSPECT
`ListTaggingWorkRequestLogs`	TAG_NAMESPACE_INSPECT
`GetTaggingWorkRequest`	TAG_NAMESPACE_INSPECT
`GetTagNamespace`	TAG_NAMESPACE_INSPECT
`CreateTagNamespace`	TAG_NAMESPACE_CREATE
`UpdateTagNamespace`	TAG_NAMESPACE_UPDATE
`ChangeTagNamespaceCompartment`	TAG_NAMESPACE_MOVE
`CascadeDeleteTagNamespace`	TAG_NAMESPACE_DELETE
`DeleteTagNamespace`	TAG_NAMESPACE_DELETE
`ListTags`	TAG_NAMESPACE_INSPECT
`BulkEditTags`	TAG_NAMESPACE_INSPECT
`ListCostTrackingTags`	TAG_NAMESPACE_INSPECT
`GetTag`	TAG_NAMESPACE_INSPECT
`CreateTag`	TAG_NAMESPACE_USE
`UpdateTag`	TAG_NAMESPACE_USE
`DeleteTag`	TAG_NAMESPACE_DELETE
`BulkDeleteTags`	TAG_NAMESPACE_DELETE
`ListTagDefaults`	TAG_DEFAULT_INSPECT
`GetTagDefault`	TAG_DEFAULT_INSPECT
`CreateTagDefault`	TAG_DEFAULT_MANAGE
`UpdateTagDefault`	TAG_DEFAULT_MANAGE
`DeleteTagDefault`	TAG_DEFAULT_MANAGE

Documentation sur Oracle Cloud Infrastructure

Informations détaillées sur le service GIA sans domaines d'identité

Types de ressource

Variables prises en charge

Informations détaillées sur les combinaisons Verbe + Type de ressource

Autorisations requises pour chaque opération d'API