Journaux et groupes de journaux

En plus des droits d'accès permettant d'utiliser le groupe de journaux, afin d'ajouter des journaux de service à une ressource, vous devez disposer des droits d'accès de mise à jour pour la ressource en question. Pour de nombreuses ressources, le droit d'accès de mise à jour est accordé avec le verbe use. Par exemple, les utilisateurs qui disposent du droit d'accès use pour les buckets dans CompartmentA peuvent également activer la journalisation sur un bucket dans CompartmentA.

Toutefois, certaines ressources ne sont pas autorisées à mettre à jour une ressource avec le verbe use. Par exemple, afin de mettre à jour une règle pour le service Events, vous devez disposer du droit d'accès manage complet. Pour activer un journal sur une règle Events (ou toute autre ressource qui n'inclut pas le droit d'accès de mise à jour avec le verbe use), vous devez disposer du droit d'accès manage.

Afin d'autoriser un groupe à activer la journalisation pour ces ressources, sans accorder les droits d'accès manage complets, vous pouvez ajouter une instruction de stratégie permettant d'accorder uniquement le droit <RESOURCE>_UPDATE (ou, dans le cas du service Events, <RESOURCE>_MODIFY) grâce au verbe manage. Par exemple, pour autoriser un groupe EventUsers à activer des journaux sur les règles du service Events dans CompartmentA, vous pouvez rédiger une stratégie du type :

Allow group EventUsers to read cloudevents-rules in compartment CompartmentA
Allow group EventUsers to manage cloudevents-rules in compartment CompartmentA 
 where request.permission='EVENTRULE_MODIFY'

Pour plus d'informations sur les droits d'accès aux ressources, reportez-vous à Référence de stratégie.

En plus des droits d'accès requis afin d'utiliser les journaux et les groupes de journaux, des droits d'accès en lecture et de mise à jour de sous-réseau sont requis pour la gestion des journaux de flux de réseau cloud virtuel.

Pour fournir des droits d'accès de sous-réseau, utilisez l'une des stratégies suivantes, répertoriées dans l'ordre, de celles qui offrent les privilèges les plus importants à celles qui offrent les privilèges les plus restreints :

Allow group FlowLogsEnablers to manage virtual-network-family in tenancy 

Ou :

Allow group FlowLogsEnablers to manage subnets in tenancy

Ou :

Allow group FlowLogsEnablers to {SUBNET_READ, SUBNET_UPDATE} in tenancy

Ce groupe est semblable à la description qui est faite d'EventUsers dans Exigences relatives à la stratégie IAM pour les ressources.

Votre entreprise dispose d'un service nommé Operations. Le service Operations regroupe plusieurs centres de coûts. Vous souhaitez pouvoir baliser les ressources appartenant au service Operations avec le centre de coûts approprié.

1. Créez un groupe de journaux nommé "confidentiel". Evitez de saisir des informations confidentielles.
2. Ajoutez des journaux contenant des données confidentielles au groupe de journaux "confidentiel".

Une employée nommée Alice appartient déjà au groupe BucketManagers. Alice peut gérer les buckets dans CompartmentA. Vous voulez qu'Alice et les autres membres du groupe BucketManagers puissent activer les journaux sur les buckets dans CompartmentA.

Pour accorder au groupe BucketManagers l'accès au groupe de journaux de données confidentielles, et uniquement à ce groupe, ajoutez les instructions suivantes à la stratégie BucketManagers :

Allow group BucketManagers to manage log-groups in compartment CompartmentA where 
target.loggroups.id='ocid1.lumloggroup.oc1.phx.<uniqueID>'

Alice peut désormais activer les journaux pour les ressources de bucket dans CompartmentA.