Gestion des principaux de ressource

Autoriser l'accès en lecture seule à des seaux spécifiques de la location pour la grappe du service de mégadonnées

allow any-user to read buckets in tenancy where ALL{request.principal.id='<BDS Cluster OCID>',target.bucket.name='<bucket-name>'}
allow any-user to read objects in tenancy where ALL{request.principal.id='<BDS Cluster OCID>',target.bucket.name='<bucket-name>'}

Autoriser un accès en lecture seule aux objets et aux seaux de la location pour toutes les grappes du service de mégadonnées provenant d'un compartiment spécifique

allow any-user to read buckets in tenancy where ALL{request.resource.compartment.id='<Compartment OCID of BDS Clusters>', request.principal.type='bigdataservice'}
allow any-user to read objects in tenancy where ALL{request.resource.compartment.id='<Compartment OCID of BDS Clusters>', request.principal.type='bigdataservice'}

Autoriser l'accès en lecture seule aux objets et aux seaux de différents locataires pour la grappe du service de mégadonnées (accès interlocation, par exemple)

Politiques requises dans la location source où la grappe du service de mégadonnées réelle a été créée.

Define tenancy <Target-Tenancy-Name> as <Target-Tenancy-OCID>
Endorse any-user to read object-family in tenancy <Target-Tenancy-Name>
Endorse any-user to read buckets in tenancy <Target-Tenancy-Name>
Endorse any-user to read objects in tenancy <Target-Tenancy-Name>
                    

Politiques requises dans la location cible où les ressources sont accessibles.

Define tenancy <Source-BDS-Cluster-Tenancy-Name> as <Source-BDS-Cluster-Tenancy-OCID>
Admit any-user of tenancy <Source-BDS-Cluster-Tenancy-Name> to read object-family in tenancy where request.principal.id='<BDS Cluster OCID>'
Admit any-user of tenancy <Source-BDS-Cluster-Tenancy-Name> to read buckets in tenancy where request.principal.id='<BDS Cluster OCID>'
Admit any-user of tenancy <Source-BDS-Cluster-Tenancy-Name> to read objects in tenancy where request.principal.id='<BDS Cluster OCID>'

Politique IAM relative au principal de ressource requis

Pour surveiller les mesures liées au principal de ressource (RPST), vous devez disposer du type d'accès requis accordé au moyen d'une politique écrite par un administrateur. La politique doit autoriser l'accès au service de surveillance et aux compartiments spécifiques du service de mégadonnées surveillés.

Si vous recevez une autorisation refusée ou une erreur non autorisée, vérifiez :

• La politique d'accès inclut les autorisations oci_monitoring.
• Vous travaillez dans le compartiment approprié.

Référence : Pour plus de détails sur les autorisations requises et l'accès au compartiment, voir Surveillance de la politique IAM.

Mesure : ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold

Utilisation :

Utilisé pour surveiller de manière proactive les jetons RPST qui arrivent à expiration (au-delà de 80 % de leur durée de vie) sur une base par noeud.

Utilisez cette mesure lorsque :

• Vous voulez identifier les jetons qui expirent bientôt.
• Vous devez déclencher des alertes avant l'expiration réelle du jeton pour éviter les interruptions.
• Vous souhaitez autoriser le temps tampon pour la régénération automatique ou manuelle des jetons.

Exemple d'interrogation :

ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold[2h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqa7h57hcu6f5pvxpwl6j5u2ipl3qqdcavjlqyixtgjjiva"}.count()

Mesure : ResourcePrincipalSessionTokenStatus

Utilisation :

Utilisé pour détecter les problèmes de jeton critiques, tels que le jeton RPST a expiré ou est manquant au niveau par noeud.

Utilisez cette mesure lorsque :

• Vous voulez effectuer des vérifications d'état en temps réel de la disponibilité du jeton.
• Vous voulez agir immédiatement si un noeud a un jeton rompu ou expiré.
• Vous voulez classer le type d'échec : 1 pour expiré, 2 pour manquant.

Exemple d'interrogation :

ResourcePrincipalSessionTokenStatus[30m]{resourceId = "ocid1.instance.oc1.iad.anuwcljtanx7lvqc7uvyibak2qlvjwvzz4mtb6qiusn6x4zsvpx4kpfydczq"}.count()

Mesure : ResourcePrincipalTokenRefreshedInLast30Mins

Utilisation :

Permet de suivre si les jetons RPST ont été actualisés récemment, évalués au niveau de la grappe. Cela doit être vrai si ResourcePrincipalSessionTokenStatus indique expiré ou manquant pour un noeud.

Utilisez cette mesure lorsque :

• Vous voulez vous assurer que les tâches périodiques de renouvellement de jeton sont exécutées avec succès.

• Vous voulez qu'une pulsation au niveau de la grappe indique que la gestion des jetons fonctionne correctement.

• Vous souhaitez détecter les jetons obsolètes sur tous les noeuds si cette mesure est fausse.

Exemple d'interrogation :

ResourcePrincipalTokenRefreshedInLast30Mins[30m]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqac7xojchf2vjmbeudlixrqmjvjct7oioj34otatnibfka"}.max()

Surveillance proactive + mesures correctives immédiates

Objectif : Détectez les jetons dont l'expiration approche et assurez-vous qu'aucun n'est manquant ou expiré.

Utilisez les mesures suivantes ensemble :

• ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold
• ResourcePrincipalSessionTokenStatus

Exemple d'interrogation (agréger ci-dessous les interrogations) :

Interrogation 1 :

 ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold[12h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.grouping().count()

Interrogation 2 :

ResourcePrincipalSessionTokenStatus[12h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.count()

Vérification de l'état avec la validation d'actualisation

Objectif : Vérifiez que tous les jetons sont actualisés périodiquement et qu'il n'y a aucun jeton expiré ou manquant.

Utilisez les mesures suivantes ensemble :

• ResourcePrincipalTokenRefreshedInLast30Mins
• ResourcePrincipalSessionTokenStatus

Exemple d'interrogation (agréger ci-dessous les interrogations) :

Interrogation 1 :

ResourcePrincipalTokenRefreshedInLast30Mins[30m]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqac7xojchf2vjmbeudlixrqmjvjct7oioj34otatnibfka"}.max()

Interrogation 2 :

ResourcePrincipalSessionTokenStatus[12h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.count()

Vérification de l'état de préparation de la grappe

Objectif : Assurez-vous que tous les noeuds sont prêts (jetons actifs, récemment actualisés, aucune expiration à venir).

Utiliser les trois mesures ensemble :

• ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold
• ResourcePrincipalSessionTokenStatus
• ResourcePrincipalTokenRefreshedInLast30Mins

Exemple d'interrogation (agréger ci-dessous les interrogations) :

Interrogation 1 :

ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold[12h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.grouping().count()

Interrogation 2 :

ResourcePrincipalSessionTokenStatus[12h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.count()

Interrogation 3 :

ResourcePrincipalTokenRefreshedInLast30Mins[30m]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.max()