Documentation sur Oracle Cloud Infrastructure

Accès interlocation

Vos utilisateurs peuvent travailler dans plusieurs locations, c'est-à-dire qu'ils peuvent effectuer des opérations dans une autre location que celle à laquelle ils appartiennent.

Par exemple, vous pouvez utiliser le service de flux de données dans une location tout en liant les objets stockés dans une autre location.
  • L'utilisateur du service de flux de données appartient au groupe tenancy-a-group dans une location nommée Tenancy_A.
  • Le service de flux de données est exécuté dans Tenancy_A.
  • Les objets à lire se trouvent dans une location nommée Tenancy_B.

Vous devez autoriser tenancy-a-group à lire les seaux et les objets dans Tenancy_B.

Appliquez les politiques suivantes dans le compartiment racine de Tenancy_A : 
define tenancy Tenancy_B as tenancy-b-ocid
endorse group tenancy-a-group to read buckets in tenancy Tenancy_B
endorse group tenancy-a-group to read objects in tenancy Tenancy_B

Le premier énoncé de définition ("define") sert à affecter une étiquette conviviale à l'OCID de Tenancy_B. Les deuxième et troisième énoncés autorisent le groupe de l'utilisateur, tenancy-a-group, à lire les seaux et les objets dans Tenancy_B.

Appliquez les politiques suivantes dans le compartiment racine de Tenancy_B :
define tenancy Tenancy_A as tenancy-a-ocid
define group tenancy-a-group as tenancy-a-group-ocid
admit group tenancy-a-group of tenancy Tenancy_A to read buckets in tenancy
admit group tenancy-a-group of tenancy Tenancy_A to read objects in tenancy

Les premier et deuxième énoncés define affectent une étiquette conviviale à l'OCID de Tenancy_A et tenancy-a-group. Les troisième et quatrième énoncés autorisent tenancy-a-group à lire les seaux et les objets dans Tenancy_B. Le mot admit indique que l'accès s'applique à un groupe extérieur à la location dans laquelle se trouvent les seaux et les objets.

Vous pouvez restreindre davantage l'accès en limitant la politique de lecture des seaux à un compartiment. Par exemple, à un compartiment nommé your_compartment :
admit group tenancy-a-group of tenancy Tenancy_A to read buckets in compartment <your_compartment>
Vous pouvez également limiter la politique de lecture des objets à un seau. Par exemple, au seau your_bucket dans your_compartment :
admit group tenancy-a-group of tenancy Tenancy_A to read objects in compartment <your_compartment> where target.bucket.name = '<your_bucket>'