Documentation sur Oracle Cloud Infrastructure

Configuration de politiques d'identité

Le service de flux de données nécessite que des politiques soient définies dans le service IAM pour accéder aux ressources afin de pouvoir gérer les points d'extrémité SQL.

Vous pouvez créer les politiques manuellement. Pour plus d'informations sur le fonctionnement des politiques IAM, voir Gestion des identités et des accès. Pour plus d'informations sur les marqueurs et les espaces de noms de marqueurs à ajouter à vos politiques, voir Gestion des balises et des espaces de noms de marqueurs.

Créer manuellement des politiques

Plutôt que d'utiliser les modèles GIA pour créer les politiques du service de flux de données, vous pouvez les créer vous-même dans le générateur de politiques GIA.

Pour créer manuellement les politiques suivantes, suivez les étapes décrites dans la section Gestion des politiques du service IAM avec des domaines d'identité ou sans domaines d'identité :

Politiques d'utilisateur

Appliquer les politiques des utilisateurs dans IAM.

Pour les utilisateurs de type administration des points d'extrémité SQL :
  • Créez un groupe dans votre service d'identité appelé dataflow-sql-endpoints-admin et ajoutez des utilisateurs à ce groupe.
  • Créez une politique nommée dataflow-sql-endpoints-admin et ajoutez les énoncés suivants :
    ALLOW GROUP dataflow-sql-endpoints-admin TO MANAGE dataflow-sqlendpoint IN compartment <compartment-id>
ALLOW GROUP dataflow-sql-endpoints-admin TO INSPECT data-catalog-metastores IN compartment <compartment-id>
Pour tous les autres utilisateurs, qui ne sont autorisés qu'à se connecter et à exécuter SQL au moyen de points d'extrémité SQL :
  • Créez un groupe dans votre service d'identité appelé dataflow-sqlendpoint-users et ajoutez des utilisateurs à ce groupe.
  • Créez une politique nommée dataflow-sqlendpoint-users et ajoutez l'énoncé suivant après avoir créé un point d'extrémité SQL :
    ALLOW GROUP dataflow-sqlendpoint-users TO USE dataflow-sqlendpoint IN compartment <compartment-id> WHERE target.dataflow-sqlendpoint.id = <sql-endpoint-ocid>
Fédération à l'aide d'un fournisseur d'identités

Vous pouvez activer l'authentification unique pour les grappes SQL du service de flux de données avec un fournisseur d'identités conforme à SAML 2.0.

Si vous utilisez des systèmes SAML 2.0 de fédération d'identités, tels qu'Oracle Identity Cloud Service, Microsoft Active Directory, Okta ou tout autre fournisseur prenant en charge SAML 2.0, vous pouvez utiliser un nom d'utilisateur et un mot de passe sur de nombreux systèmes, notamment la console Oracle Cloud Infrastructure. Pour activer cette expérience d'authentification unique, l'administrateur du locataire (ou un autre utilisateur disposant de privilèges égaux) doit configurer l'approbation de fédération dans IAM. Pour plus de détails appropriés pour le fournisseur d'identités, voir :

Lorsque vous avez configuré l'approbation de fédération, utilisez la console Oracle Cloud Infrastructure pour mapper le groupe d'utilisateurs approprié du fournisseur d'identités au groupe requis d'utilisateurs du service de flux de données requis dans le service d'identité.

Politique de magasin de métadonnées

Les points d'extrémité SQL du service de flux de données doivent être autorisés à effectuer des actions au nom de l'utilisateur ou du groupe sur le magasin de métadonnées de la location.

Vous pouvez accorder l'accès aux points d'extrémité SQL de deux manières :
  • Créez une politique, dataflow-sqlendpoint-metastore, et ajoutez l'énoncé suivant :
    ALLOW any-user to {CATALOG_METASTORE_EXECUTE} in tenancy where request.principal.type = 'dataflowsqlendpoint'
  • Créer un groupe dynamique :
    ALL {resource.compartment.id = '<compartment_id>'}
    et ajoutez la politique suivante :
    ALLOW DYNAMIC-GROUP <dynamic-group-name> to {CATALOG_METASTORE_EXECUTE, CATALOG_METASTORE_INSPECT, CATALOG_METASTORE_READ}
in tenancy WHERE ALL {request.principal.type='dataflowsqlendpoint'}
Note

Un seul magasin de métadonnées est autorisé par location.
Politiques de points d'extrémité privés

Vous avez besoin de politiques pour utiliser des points d'extrémité SQL du service de flux de données avec des points d'extrémité privés.

Pour créer, modifier ou gérer des points d'extrémité privés, vous avez besoin des politiques suivantes.
  • Pour autoriser l'utilisation de virtual-network-family :
    ALLOW GROUP dataflow-sql-endpoint-admin TO USE virtual-network-family IN compartment <compartment-name>
  • Pour autoriser l'accès à des ressources plus spécifiques :
    ALLOW GROUP dataflow-sql-endpoint-admin TO MANAGE vnics IN compartment <compartment-name>
ALLOW GROUP dataflow-sql-endpoint-admin TO USE subnets IN compartment <compartment-name>
ALLOW GROUP dataflow-sql-endpoint-admin TO USE network-security-groups IN compartment <compartment-name>
  • Pour autoriser l'accès à des opérations spécifiques :
    ALLOW GROUP dataflow-sql-endpoint-admin TO MANAGE virtual-network-family IN compartment <compartment-name>
   WHERE any {request.operation='CreatePrivateEndpoint',
              request.operation='UpdatePrivateEndpoint',
              request.operation='DeletePrivateEndpoint'}

Bien que ces exemples accordent les politiques à dataflow-sql-endpoint-admin, vous pouvez choisir d'accorder ces politiques à un sous-ensemble d'utilisateurs. Cela limite les utilisateurs qui peuvent effectuer des opérations sur des points d'extrémité privés.

Seuls les utilisateurs du groupe dataflow-sql-endpoint-admin peuvent créer des points d'extrémité SQL qui peuvent soit activer une configuration de point d'extrémité privé, soit revenir à la configuration de réseau Internet. Voir Sécurité pour le jeu de privilèges approprié. Un utilisateur du groupe dataflow-sql-endpoint-users peut se connecter à un point d'extrémité SQL et exécuter SQL.
Note

Lorsque la configuration est correcte, les points d'extrémité privés peuvent accéder à une combinaison de ressources privées sur le VCN et de ressources Internet. Indiquez une liste de ces ressources dans la section Zones DNS lorsque vous configurez un point d'extrémité privé.
Pour plus d'informations sur les points d'extrémité privés, voir Configuration d'un réseau privé.