Gestion des compartiments

Lorsque vous créez un compartiment, vous devez lui donner un nom (100 caractères au maximum, notamment des lettres, des chiffres, des points, des traits d'union et des traits de soulignement) qui soit unique dans son compartiment parent. Vous devez également fournir une description. Celle-ci doit comprendre entre 1 et 400 caractères, n'a pas besoin d'être unique et peut être modifiée. Oracle affecte également au compartiment un ID unique, appelé OCID (Oracle Cloud ID). Pour plus d'informations, reportez-vous à Identificateurs de ressource.

Vous pouvez créer des sous-compartiments dans les compartiments afin de créer des hiérarchies à six niveaux.

Pour plus d'informations sur le nombre de compartiments dont vous pouvez disposer, reportez-vous à Limites de service.

Une fois le compartiment créé, vous devez écrire au moins une stratégie  pour celui-ci. Sinon, aucun utilisateur ne peut y accéder (à l'exception des administrateurs ou des utilisateurs disposant de droits d'accès définis au niveau de la location). Lors de la création d'un compartiment à l'intérieur d'un autre, il hérite des droits d'accès des compartiments situés plus haut dans sa hiérarchie. Pour plus d'informations, reportez-vous à Héritage de stratégie.

Lorsque vous créez une stratégie d'accès, vous devez indiquer le compartiment auquel l'attacher. Cela permet de contrôler qui peut ensuite modifier ou supprimer la stratégie. En fonction de la façon dont vous avez conçu la hiérarchie de compartiment, vous pouvez l'attacher à la location, à un parent ou au compartiment spécifique lui-même. Pour plus d'informations, reportez-vous à Attachement de stratégie.

Pour placer une nouvelle ressource dans un compartiment, il vous suffit d'indiquer ce compartiment lors de la création de la ressource (le compartiment fait partie des informations requises pour créer une ressource). Si vous utilisez la console, assurez-vous que vous êtes d'abord en train d'afficher le compartiment dans lequel vous voulez créer la ressource. Gardez à l'esprit que la plupart des ressources IAM résident dans la location (y compris les utilisateurs, les groupes, les compartiments et toutes les stratégies attachées à la location) et ne peuvent pas être créées dans un compartiment spécifique ni gérées à partir de celui-ci.

La plupart des ressources peuvent être déplacées après leur création. Certaines ressources ne peuvent pas être déplacées d'un compartiment vers un autre. En outre, vous ne pouvez pas déplacer certaines ressources d'une zone de sécurité vers un compartiment qui n'appartient pas à la zone car celui-ci peut être moins sécurisé. Pour plus d'informations sur les restrictions applicables aux ressources dans les zones de sécurité, reportez-vous à Restrictions relatives aux mouvements de ressource.

Certaines ressources ont des dépendances de ressource attachées et d'autres non. Toutes les dépendances attachées ne se comportent pas de la même façon lorsque la ressource parent est déplacée.

Dans le cas de certaines ressources, les dépendances attachées sont déplacées avec la ressource parent vers le nouveau compartiment. La ressource parent est déplacée immédiatement, mais dans certains cas, les dépendances attachées sont déplacées de façon asynchrone et ne sont pas visibles dans le nouveau compartiment tant que le déplacement n'est pas terminé.

Pour d'autres ressources, les dépendances de ressource attachées ne sont pas déplacées vers le nouveau compartiment. Vous pouvez déplacer ces ressources attachées de manière indépendante.

Une fois que vous avez déplacé la ressource vers le nouveau compartiment, les stratégies qui régissent le nouveau compartiment s'appliquent immédiatement et ont une incidence sur l'accès à la ressource. En fonction de la structure de votre organisation de compartiments, la mesure, la facturation et les alarmes peuvent également être affectées.

Reportez-vous à la documentation de service de chaque ressource pour connaître leur comportement et celui de ses attachements.

Il est impossible d'obtenir la liste de toutes les ressources d'un compartiment en utilisant un seul appel d'API. Au lieu de cela, vous pouvez répertorier toutes les ressources d'un type donné dans le compartiment (par exemple, toutes les instances, tous les volumes de stockage de blocs, etc.).

Pour supprimer un compartiment, celui-ci ne doit contenir aucune ressource. Avant de lancer la suppression d'un compartiment, assurez-vous que toutes ses ressources ont été déplacées, supprimées ou terminées, y compris les stratégies attachées au compartiment.

L'action de suppression est asynchrone et lance une demande de travail. L'état du compartiment passe à Suppression lorsque la demande de travail est en cours d'exécution. L'exécution de la demande de travail prend généralement plusieurs minutes. Tant que le compartiment a l'état Suppression, il n'est pas affiché dans le sélecteur de compartiment. En cas d'échec de la demande de travail, le compartiment n'est pas supprimé et revient à l'état Actif.

Une fois le compartiment supprimé, son état est mis à jour vers Supprimé et une chaîne aléatoire de caractères est ajoutée à la fin de son nom. Par exemple, CompartmentA peut devenir CompartmentA.qR5hP2BD. Le changement de nom du compartiment vous permet de réutiliser le nom d'origine pour un autre compartiment. Oracle affiche le compartiment supprimé sur la page Compartiments pendant 90 jours. Le compartiment supprimé est enlevé du sélecteur de compartiment. Si une instruction de stratégie fait référence au compartiment supprimé, le nom de cette instruction est mis à jour.

Pour récupérer un compartiment, vous devez d'abord le sélectionner dans la liste sur la page Compartiment. Vous devrez peut-être utiliser le filtre d'état pour voir le compartiment supprimé. N'oubliez pas que les compartiments supprimés sont renommés : une chaîne de caractères aléatoire est ajoutée au nom initial du compartiment. Par exemple, CompartmentA peut devenir CompartmentA.qR5hP2BD. Oracle affiche le compartiment supprimé sur la page Compartiments pendant 90 jours.

Lorsque vous récupérez un compartiment supprimé, il garde le même nom. Par exemple, si vous récupérez un compartiment supprimé nommé CompartmentA.qR5hP2BD, le nom reste identique. Les instructions de stratégie étant mises à jour afin d'utiliser les nouveaux noms des compartiments supprimés, toutes les instructions de stratégie qui référençaient le compartiment supprimé référencent désormais le compartiment récupéré.

Les valeurs de balise par défaut vous permettent d'indiquer les balises à appliquer automatiquement à toutes les ressources au moment de la création, dans le compartiment en cours. Pour plus d'informations, reportez-vous à Gestion des valeurs de balise par défaut.

Pour déplacer un compartiment, vous devez appartenir à un groupe disposant des droits d'accès manage all-resources sur le compartiment parent partagé le plus bas du compartiment en cours et du compartiment de destination.

• Vous ne pouvez pas déplacer un compartiment si la source ou la destination fait partie d'une zone de sécurité. Vous devez utiliser la console Security Zones pour gérer les compartiments au sein d'une zone de sécurité.

• Vous ne pouvez pas déplacer un compartiment vers un compartiment de destination portant le même nom.

  Par exemple, supposons que les compartiments A et B figurent tous deux sous le compartiment racine. Sous le compartiment A se trouve un sous-compartiment, également appelé compartiment B. Vous ne pouvez pas déplacer le compartiment B vers le compartiment parent B.

  

• Deux compartiments du même parent ne peuvent pas porter le même nom. Par conséquent, vous ne pouvez pas déplacer un compartiment vers un compartiment de destination dans lequel un compartiment portant le même nom existe déjà.

Une fois que vous avez déplacé un compartiment vers un nouveau compartiment parent, les stratégies d'accès du nouveau parent prennent effet et les stratégies du parent précédent ne s'appliquent plus. Avant de déplacer un compartiment, vérifiez les points suivants :

• Vous connaissez les stratégies qui régissent l'accès au compartiment à son emplacement actuel.
• Vous connaissez les stratégies du nouveau compartiment parent qui prendront effet lors du déplacement du compartiment.

Dans certains cas, lorsque vous déplacez des compartiments imbriqués avec des stratégies qui indiquent la hiérarchie, les stratégies sont automatiquement mises à jour pour garantir la cohérence.

La figure suivante illustre une hiérarchie de compartiment dans laquelle le compartiment C (l'enfant de A:B) est déplacé vers la hiérarchie A:D.

La location comporte les stratégies définies pour les compartiments B et D suivantes :

Stratégie 1 : Allow group G1 to manage instance-family in compartment A:B

Stratégie 2 : Allow group G2 to manage instance-family in compartment A:D

Conséquences du déplacement du compartiment C de B vers D :

Le groupe G1 ne peut plus gérer les familles d'instances dans le compartiment C.

Le groupe G2 peut désormais gérer les familles d'instances dans le compartiment C.

Veillez à savoir quels sont les groupes qui perdent des droits d'accès et quels sont ceux qui en obtiennent lorsque vous déplacez un compartiment.

Lorsque vous déplacez un compartiment, certaines stratégies sont automatiquement mises à jour. Les stratégies qui indiquent la hiérarchie de compartiment de manière descendante jusqu'au compartiment déplacé sont automatiquement mises à jour lorsqu'elles sont attachées à un ancêtre partagé du parent en cours et du parent cible. Prenons les exemples suivants :

Exemple 1: la stratégie est mise à jour automatiquement

Dans cet exemple, vous déplacez le compartiment A d'Operations:Test vers Operations:Dev. La stratégie qui régit le compartiment A est attachée au parent partagé, Operations. Lorsque le compartiment est déplacé, l'instruction de stratégie est automatiquement mise à jour par le service IAM pour indiquer l'emplacement du nouveau compartiment.

La stratégie

Allow group G1 to manage buckets in compartment Test:A 

est mise à jour vers

Allow group G1 to manage buckets in compartment Dev:A

Aucune intervention manuelle n'est nécessaire pour autoriser le groupe G1 à accéder au compartiment A à son emplacement.

Exemple 2 : la stratégie n'est pas mise à jour

Dans cet exemple, vous déplacez le compartiment A d'Operations:Test vers Operations:Dev. Cependant, la stratégie qui régit le compartiment A est attachée directement au compartiment Test. Lorsque le compartiment est déplacé, la stratégie n'est pas automatiquement mise à jour. La stratégie indiquant le compartiment A n'est plus valide et doit être enlevée manuellement. Le groupe G1 n'a plus accès au compartiment A dans son nouvel emplacement sous Dev. A moins qu'une autre stratégie existante ne donne accès au groupe G1, vous devez créer une stratégie pour autoriser G1 à continuer de gérer les buckets dans le compartiment A.

Exemple 3 : la stratégie attachée à la location est mise à jour

Dans cet exemple, vous déplacez le compartiment A d'Operations:Test vers HR:Prod. La stratégie qui régit le compartiment A est attachée à la location, qui est un ancêtre partagé par le compartiment parent d'origine et le nouveau compartiment parent. Par conséquent, lorsque le compartiment est déplacé, l'instruction de stratégie est automatiquement mise à jour par le service IAM pour indiquer l'emplacement du nouveau compartiment.

L'instruction de stratégie :

Allow group G1 to manage buckets in compartment Operations:Test:A 

est mise à jour vers

Allow group G1 to manage buckets in compartment HR:Prod:A

Aucune intervention manuelle n'est nécessaire pour autoriser le groupe G1 à accéder au compartiment A.

Lorsque vous déplacez un compartiment vers un autre, les quotas de ressource du compartiment de destination ne sont pas vérifiés ni appliqués. Par conséquent, si le déplacement du compartiment entraîne une violation de quota dans le compartiment de destination, le déplacement n'est pas bloqué. Une fois le déplacement terminé, le compartiment de destination sera dans un état de dépassement de quota. Vous ne pourrez plus créer de ressources qui dépassent le quota tant que vous n'aurez pas ajusté les quotas du compartiment de destination ou enlevé des ressources pour vous conformer au quota existant. Pour plus d'informations sur la gestion des quotas de compartiment, reportez-vous à Présentation des quotas de compartiment.

Les balises ne sont pas automatiquement mises à jour après le déplacement d'un compartiment. Si vous avez implémenté une stratégie de balisage basée sur un compartiment, vous devez mettre à jour les balises sur les ressources après le déplacement. Par exemple, supposons que CompartmentA possède un compartiment enfant, CompartmentB. CompartmentA est configuré avec des valeurs de balise par défaut de sorte que toutes les ressources de CompartmentA soient balisées avec TagA. Par conséquent, CompartmentB et toutes ses ressources sont balisés avec la balise par défaut, TagA. Lorsque vous déplacez CompartmentB vers CompartmentC, il comporte toujours les balises par défaut de CompartmentA. Si vous avez configuré des balises par défaut pour CompartmentC, vous devrez les ajouter aux ressources du compartiment déplacé.