Journaux et groupes de journaux

Outre les autorisations pour utiliser le groupe de journaux, pour ajouter des journaux de service à une ressource, vous devez disposer de l'autorisation de mise à jour pour cette ressource. Pour de nombreuses ressources, l'autorisation de mise à jour est accordée avec le verbe use. Par exemple, les utilisateurs qui peuvent use les seaux du CompartmentA peuvent également activer la journalisation pour un seau du CompartmentA.

Toutefois, certaines ressources n'incluent pas l'autorisation de mettre à jour une ressource avec le verbe use. Par exemple, pour mettre à jour une règle pour le service d'événements, vous devez disposer de l'autorisation manage complète. Pour activer un journal pour une règle d'événements (ou toute autre ressource qui n'inclut pas l'autorisation de mise à jour avec le verbe use), vous devez disposer de l'autorisation manage.

Pour autoriser un groupe à activer la journalisation pour ces ressources, sans accorder les autorisations complètes de manage, vous pouvez ajouter un énoncé de politique pour accorder seulement l'autorisation <RESOURCE>_UPDATE (ou, dans le cas du service d'événements, <RESOURCE>_MODIFY) à partir du verbe manage. Par exemple, pour autoriser un groupe EventUsers à activer des journaux pour des règles d'événements du CompartmentA, vous pouvez écrire une politique comme suit :

Allow group EventUsers to read cloudevents-rules in compartment CompartmentA
Allow group EventUsers to manage cloudevents-rules in compartment CompartmentA 
 where request.permission='EVENTRULE_MODIFY'

Pour des informations sur les autorisations d'accès aux ressources, voir Informations de référence sur les politiques.

Outre les autorisations requises pour l'utilisation des journaux et des groupes de journaux, les autorisations de lecture et de mise à jour pour le sous-réseau sont requises pour gérer les journaux des flux dans le réseau en nuage virtuel.

Pour fournir des autorisations pour le sous-réseau, utilisez l'une des politiques suivantes, listées dans l'ordre des privilèges les plus larges aux privilèges les plus limités :

Allow group FlowLogsEnablers to manage virtual-network-family in tenancy 

Ou :

Allow group FlowLogsEnablers to manage subnets in tenancy

Ou :

Allow group FlowLogsEnablers to {SUBNET_READ, SUBNET_UPDATE} in tenancy

Ce groupe est similaire à ce qui est décrit pour EventUsers sous Exigences de politique GIA pour les ressources.

Votre société dispose d'un service Opérations. Ce service comprend plusieurs centres de coûts. Vous voulez pouvoir spécifier des marqueurs pour les ressources qui appartiennent au service avec le centre de coûts approprié.

1. Créez un groupe de journaux nommé "confidentiel". Évitez d'entrer des informations confidentielles.
2. Ajoutez les journaux contenant des données sensibles au groupe de journaux "confidentiel".

Une employée nommée Alice appartient déjà au groupe BucketManagers. Alice peut gérer les seaux du CompartmentA. Vous voulez qu'Alice et d'autres membres du groupe BucketManagers puissent activer des journaux pour les seaux du CompartmentA.

Pour accorder au groupe BucketManagers l'accès au groupe de journaux de données sensibles (et uniquement à ce groupe de journaux de données sensibles), ajoutez les énoncés suivants à la politique BucketManagers :

Allow group BucketManagers to manage log-groups in compartment CompartmentA where 
target.loggroups.id='ocid1.lumloggroup.oc1.phx.<uniqueID>'

Alice peut maintenant activer les journaux pour les ressources des seaux du CompartmentA.