Gestion des compartiments

Lors de la création d'un compartiment, vous devez fournir un nom pour ce dernier (100 caractères maximum, notamment des lettres, chiffres, points, tirets et traits de soulignement) qui est unique dans son compartiment parent. Vous devez également fournir une description non unique et modifiable pour le compartiment, comprenant entre 1 et 400 caractères. Oracle affectera également au compartiment un ID unique appelé ID Oracle Cloud. Pour plus d'informations, voir Identificateurs de ressource.

Vous pouvez créer des sous-compartiments dans des compartiments pour créer des hiérarchies à six niveaux.

Pour plus d'informations sur le nombre de compartiments que vous pouvez avoir, voir Limites de service.

Après avoir créé un compartiment, vous devez écrire au moins une politique pour celui-ci; sinon, personne ne peut y accéder (sauf les administrateurs ou les utilisateurs ayant les autorisations définies au niveau de la location). Lors de la création d'un compartiment à l'intérieur d'un autre compartiment, le compartiment hérite des autorisations d'accès des compartiments supérieurs dans sa hiérarchie. Pour plus d'informations, voir Héritage des politiques.

Lorsque vous créez une politique d'accès, vous devez spécifier le compartiment auquel l'associer. Cela contrôle qui peut ensuite modifier ou supprimer la politique. Selon la manière dont vous avez conçu votre hiérarchie de compartiments, vous pouvez l'associer à la location, à un parent ou au compartiment lui-même. Pour plus d'informations, voir Association de politique.

Pour placer une nouvelle ressource dans un compartiment, vous spécifiez simplement ce compartiment lors de la création de la ressource (le compartiment est l'un des éléments d'informations requis pour créer une ressource). Si vous travaillez dans la console, assurez-vous de consulter le compartiment dans lequel vous voulez créer la ressource. Gardez à l'esprit que la plupart des ressources GIA résident dans la location (il s'agit d'utilisateurs, de groupes, de compartiments et de politiques associées à la location) et ne peuvent pas être créées dans un compartiment spécifique ou gérées à partir d'un compartiment particulier.

La plupart des ressources peuvent être déplacées après leur création. Certaines ressources ne peuvent pas être déplacées d'un compartiment à un autre. De plus, vous ne pouvez pas déplacer certaines ressources d'une zone de sécurité vers un compartiment qui ne se trouve pas dans la même zone de sécurité, car elle pourrait être moins sécurisée. Pour plus de détails sur les restrictions applicables aux ressources dans les zones de sécurité, voir Restreindre le déplacement des ressources.

Certaines ressources comportent des dépendances de ressources associées et d'autres non. Les dépendances associées n'ont pas toutes le même comportement lorsque la ressource parent est déplacée.

Pour certaines ressources, les dépendances associées sont déplacées avec la ressource parent vers le nouveau compartiment. La ressource parent est déplacée immédiatement, mais dans certains cas, les dépendances associées sont déplacées de manière asynchrone et ne sont pas visibles dans le nouveau compartiment tant que le déplacement n'est pas terminé.

Pour d'autres ressources, les dépendances de ressources associées ne sont pas déplacées vers le nouveau compartiment. Vous pouvez déplacer ces ressources associées de manière indépendante.

Après avoir déplacé la ressource vers le nouveau compartiment, les politiques qui régissent le nouveau compartiment s'appliquent immédiatement et ont une incidence sur l'accès à la ressource. Selon la structure de l'organisation de vos compartiments, les mesures, la facturation et les alarmes peuvent également être touchées.

Voir la documentation du service sur les ressources individuelles afin de vous familiariser avec le comportement de chaque ressource et ses associations.

Il est impossible d'obtenir une liste de toutes les ressources d'un compartiment à l'aide d'un seul appel d'API. Vous pouvez, à la place, répertorier toutes les ressources d'un type donné dans le compartiment (par exemple, toutes les instances, tous les volumes de stockage par blocs, etc.).

Pour supprimer un compartiment, celui-ci ne doit contenir aucune ressource. Avant de lancer la suppression d'un compartiment, assurez-vous que toutes ses ressources ont été déplacées, supprimées ou ont pris fin, y compris les politiques associées au compartiment.

L'action de suppression est asynchrone et lance une demande de travail. L'état du compartiment passe à Suppression lors de l'exécution de la demande de travail. L'exécution de la demande de travail prend généralement quelques minutes. Pendant qu'il a l'état de suppression, le compartiment ne s'affiche pas dans le sélecteur de compartiment. Si la demande de travail échoue, le compartiment n'est pas supprimé et repasse à l'état Actif.

Lorsqu'un compartiment est supprimé, son état est mis à jour à Supprimé et une chaîne de caractères aléatoires est ajoutée à son nom, par exemple, CompartmentA peut devenir CompartmentA.qR5hP2BD. La modification du nom du compartiment vous permet de réutiliser le nom initial pour un autre compartiment. Oracle affiche le compartiment supprimé dans la page Compartiments pendant 90 jours. Le compartiment supprimé est retiré du sélecteur de compartiment. Si des énoncés de politique référencent le compartiment supprimé, le nom dans l'énoncé de politique est mis à jour en fonction du nouveau nom.

Pour récupérer un compartiment, vous devez d'abord le sélectionner dans la liste de la page Compartiment. Vous devrez peut-être utiliser le filtre d'état pour voir le compartiment supprimé. Gardez à l'esprit que les compartiments supprimés sont renommés et qu'une chaîne de caractères aléatoires est ajoutée au nom du compartiment initial. Par exemple, CompartmentA peut devenir CompartmentA.qR5hP2BD. Oracle affiche le compartiment supprimé dans la page Compartiments pendant 90 jours.

Lorsque vous récupérez un compartiment supprimé, le nom n'est pas modifié. Par exemple, si vous récupérez un compartiment supprimé nommé CompartmentA.qR5hP2BD, le nom demeure le même. Comme les énoncés de politique sont mis à jour pour utiliser les nouveaux noms des compartiments supprimés, tous les énoncés de politique qui référençaient le compartiment supprimé référencent maintenant le compartiment récupéré.

Les valeurs par défaut des marqueurs vous permettent de spécifier des marqueurs à appliquer automatiquement à toutes les ressources, au moment de la création, dans le compartiment courant. Pour plus d'informations, voir Gestion des marqueurs par défaut.

Pour déplacer un compartiment, vous devez appartenir à un groupe ayant les autorisations manage all-resources sur le compartiment parent partagé le plus bas du compartiment courant et du compartiment de destination.

• Vous ne pouvez pas déplacer un compartiment si la source ou la destination fait partie d'une zone de sécurité. Vous devez utiliser la console Zones de sécurité pour gérer les compartiments dans une zone de sécurité.

• Vous ne pouvez pas déplacer un compartiment vers un compartiment de destination portant le même nom que le compartiment à déplacer.

  Par exemple, supposons que le compartiment A et le compartiment B se trouvent tous les deux sous le compartiment racine. Dans le compartiment A, se trouve un sous-compartiment, également nommé B. Vous ne pouvez pas déplacer le compartiment B vers le compartiment parent B.

  

• Deux compartiments au sein du même parent ne peuvent pas avoir le même nom. Par conséquent, vous ne pouvez pas déplacer un compartiment vers un compartiment de destination où un compartiment portant le même nom existe déjà.

Une fois un compartiment déplacé vers un nouveau compartiment parent, les politiques d'accès du nouveau parent entrent en vigueur et les politiques du parent précédent ne s'appliquent plus. Avant de déplacer un compartiment, assurez-vous que :

• Vous connaissez les politiques qui régissent l'accès au compartiment dans sa position courante.
• Vous connaissez les politiques dans le nouveau compartiment parent qui s'appliqueront lorsque vous déplacerez le compartiment.

Dans certains cas, lors du déplacement de compartiments imbriqués avec des politiques qui spécifient la hiérarchie, les politiques sont mises à jour automatiquement pour assurer la cohérence.

L'illustration suivante présente une hiérarchie de compartiments dans laquelle le compartiment C, un enfant de A:B est déplacé vers la hiérarchie A:D.

La location a les politiques suivantes définies pour les compartiments B et D :

Politique 1 : Allow group G1 to manage instance-family in compartment A:B

Politique 2 : Allow group G2 to manage instance-family in compartment A:D

Incidence lorsque le compartiment C est déplacé de B vers D :

Le groupe G1 ne peut plus gérer les familles d'instances dans le compartiment C.

Le groupe G2 peut maintenant gérer les familles d'instances dans le compartiment C.

Assurez-vous de bien comprendre quels groupes perdent des autorisations lorsque vous déplacez un compartiment, et quels groupes en gagneront.

Lorsque vous déplacez un compartiment, certaines politiques sont mises à jour automatiquement. Les politiques qui spécifient la hiérarchie des compartiments jusqu'au compartiment déplacé seront automatiquement mises à jour si la politique est associée à un ancêtre partagé du parent courant et cible. Étudions les exemples suivants :

Exemple 1 : Politique mise à jour automatiquement

Dans cet exemple, vous déplacez le compartiment A des opérations Test vers des opérations Dev. La politique qui régit le compartiment A est associée au parent partagé, Opérations. Quand le compartiment est déplacé, l'énoncé de la politique est automatiquement mis à jour par le service GIA pour spécifier le nouvel emplacement du compartiment.

La politique

Allow group G1 to manage buckets in compartment Test:A 

fait l'objet d'une mise à jour à

Allow group G1 to manage buckets in compartment Dev:A

Aucune intervention manuelle n'est requise pour permettre au groupe G1 de continuer d'accéder au compartiment A dans son emplacement.

Exemple 2 : Politique non mise à jour

Dans cet exemple, vous déplacez le compartiment A des opérations Test vers des opérations Dev. Toutefois, la politique qui régit le compartiment A ici est associée directement au compartiment Test. Lorsque le compartiment est déplacé, la politique n'est pas automatiquement mise à jour. La politique spécifiant le compartiment A n'est plus valide et doit être supprimée manuellement. Le groupe G1 n'a plus accès au compartiment A dans son nouvel emplacement sous Dev. Si une autre politique existante n'accorde pas l'accès au groupe G1, vous devez créer une nouvelle politique pour permettre à G1 de continuer à gérer les seaux dans le compartiment A.

Exemple 3 : La politique associée à la location est mise à jour

Dans cet exemple, vous déplacez le compartiment A des opérations Test vers des opérations HR. La politique qui régit le compartiment A est associée à la location, qui est un ancêtre partagé par le compartiment parent initial et le nouveau compartiment parent. Par conséquent, lorsque le compartiment est déplacé, l'énoncé de la politique est automatiquement mis à jour par le service GIA pour spécifier le nouvel emplacement du compartiment.

L'énoncé de la politique :

Allow group G1 to manage buckets in compartment Operations:Test:A 

fait l'objet d'une mise à jour à

Allow group G1 to manage buckets in compartment HR:Prod:A

Aucune intervention manuelle n'est requise pour permettre au groupe G1 de continuer d'accéder au compartiment A.

Lorsque vous déplacez un compartiment vers un autre, les quotas de ressource du compartiment de destination ne sont pas vérifiés et ne sont pas appliqués. Par conséquent, si le déplacement du compartiment produit une violation de quota dans le compartiment de destination, le déplacement n'est pas bloqué. Une fois le déplacement terminé, le compartiment de destination sera à l'état de dépassement de quota. Vous ne pourrez pas créer de nouvelles ressources avec dépassement de quota avant d'ajuster les quotas pour le compartiment de destination ou de supprimer les ressources pour qu'elles soient conformes au quota existant. Pour plus d'informations sur la gestion des quotas de compartiment, voir Aperçu des quotas de compartiment.

Les marqueurs ne sont pas automatiquement mis à jour après le déplacement d'un compartiment. Si vous avez mis en oeuvre une stratégie de marquage basée sur compartiment, vous devez mettre à jour les marqueurs sur les ressources après le déplacement. Par exemple, supposons que CompartmentA ait un compartiment enfant, CompartmentB. CompartmentA est configuré avec les valeurs par défaut de marqueur afin que chaque ressource qu'il contient soit marquée avec TagA. Par conséquent, CompartmentB et toutes ses ressources sont marquées avec le marqueur par défaut, TagA. Lorsque vous déplacez CompartmentB vers le CompartmentC, il garde les marqueurs par défaut de CompartmentA. Si vous avez configuré des marqueurs par défaut pour CompartmentC, vous devrez les ajouter aux ressources du compartiment déplacé.