Gérer les principaux de ressource

Autoriser l'accès en lecture seule à des buckets spécifiques de la location pour le cluster Big Data Service

allow any-user to read buckets in tenancy where ALL{request.principal.id='<BDS Cluster OCID>',target.bucket.name='<bucket-name>'}
allow any-user to read objects in tenancy where ALL{request.principal.id='<BDS Cluster OCID>',target.bucket.name='<bucket-name>'}

Autoriser l'accès en lecture seule aux objets et aux buckets de la location pour tous les clusters Big Data Service provenant d'un compartiment spécifique

allow any-user to read buckets in tenancy where ALL{request.resource.compartment.id='<Compartment OCID of BDS Clusters>', request.principal.type='bigdataservice'}
allow any-user to read objects in tenancy where ALL{request.resource.compartment.id='<Compartment OCID of BDS Clusters>', request.principal.type='bigdataservice'}

Autoriser l'accès en lecture seule aux objets et aux buckets dans différents locataires pour le cluster Big Data Service (accès inter-locations, par exemple)

Stratégies requises dans la location source dans laquelle le cluster Big Data Service réel a été créé.

Define tenancy <Target-Tenancy-Name> as <Target-Tenancy-OCID>
Endorse any-user to read object-family in tenancy <Target-Tenancy-Name>
Endorse any-user to read buckets in tenancy <Target-Tenancy-Name>
Endorse any-user to read objects in tenancy <Target-Tenancy-Name>

Stratégies requises dans la location cible dans laquelle les ressources sont accessibles.

Define tenancy <Source-BDS-Cluster-Tenancy-Name> as <Source-BDS-Cluster-Tenancy-OCID>
Admit any-user of tenancy <Source-BDS-Cluster-Tenancy-Name> to read object-family in tenancy where request.principal.id='<BDS Cluster OCID>'
Admit any-user of tenancy <Source-BDS-Cluster-Tenancy-Name> to read buckets in tenancy where request.principal.id='<BDS Cluster OCID>'
Admit any-user of tenancy <Source-BDS-Cluster-Tenancy-Name> to read objects in tenancy where request.principal.id='<BDS Cluster OCID>'

Stratégie IAM requise pour le principal de ressource

Pour surveiller les mesures liées au principal de ressource (RPST), vous devez disposer du type d'accès requis accordé via une stratégie écrite par un administrateur. La stratégie doit autoriser l'accès au service Monitoring et aux compartiments Big Data Service spécifiques surveillés.

Si vous recevez une erreur d'autorisation refusée ou non autorisée, vérifiez :

• La stratégie d'accès inclut les droits d'accès oci_monitoring.
• Vous travaillez dans le bon compartiment.

Référence : reportez-vous à Stratégie IAM Monitoring pour obtenir des détails sur les droits d'accès requis et sur l'accès au compartiment.

Mesure : ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold

Objectif :

Utilisé pour surveiller de manière proactive les jetons RPST qui arrivent à expiration (au-delà de 80 % de leur durée de vie) sur une base par nœud.

Utilisez cette mesure lorsque :

• Vous voulez identifier les jetons qui expirent bientôt.
• Vous devez déclencher des alertes avant l'expiration réelle du jeton pour éviter toute interruption.
• Vous souhaitez autoriser le temps de mémoire tampon pour la régénération de jeton automatique ou manuelle.

Exemple de requête:

ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold[2h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqa7h57hcu6f5pvxpwl6j5u2ipl3qqdcavjlqyixtgjjiva"}.count()

Mesure : ResourcePrincipalSessionTokenStatus

Objectif :

Utilisé pour détecter les problèmes de jetons critiques, tels que l'expiration du jeton RPST ou l'absence d'un jeton par noeud.

Utilisez cette mesure lorsque :

• Vous souhaitez effectuer des vérifications de l'état en temps réel de la disponibilité des jetons.
• Vous voulez prendre des mesures immédiates si un noeud a un jeton rompu ou expiré.
• Vous voulez classer le type d'échec : 1 pour expiré, 2 pour manquant.

Exemple de requête:

ResourcePrincipalSessionTokenStatus[30m]{resourceId = "ocid1.instance.oc1.iad.anuwcljtanx7lvqc7uvyibak2qlvjwvzz4mtb6qiusn6x4zsvpx4kpfydczq"}.count()

Mesure : ResourcePrincipalTokenRefreshedInLast30Mins

Objectif :

Utilisé pour savoir si les jetons RPST ont été actualisés récemment, évalués au niveau du cluster. Cela doit être vrai au cas où ResourcePrincipalSessionTokenStatus donnerait expiré ou manquant pour un noeud.

Utilisez cette mesure lorsque :

• Vous voulez vous assurer que les travaux de renouvellement de jeton périodique sont en cours d'exécution.

• Vous souhaitez un signal d'activité au niveau du cluster indiquant que la gestion des jetons fonctionne correctement.

• Vous voulez détecter les jetons obsolètes sur tous les noeuds si cette mesure a la valeur False.

Exemple de requête:

ResourcePrincipalTokenRefreshedInLast30Mins[30m]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqac7xojchf2vjmbeudlixrqmjvjct7oioj34otatnibfka"}.max()

Surveillance proactive + Remédiation immédiate

Objectif : détecte les jetons arrivant à expiration et s'assure qu'aucun n'est manquant ou n'a expiré.

Utilisez les mesures suivantes ensemble :

• ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold
• ResourcePrincipalSessionTokenStatus

Exemple de requête (agrégez les requêtes ci-dessous) :

Requête 1 :

 ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold[12h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.grouping().count()

Requête 2 :

ResourcePrincipalSessionTokenStatus[12h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.count()

Vérification de l'état avec validation de l'actualisation

Objectif : vérifiez que tous les jetons sont actualisés régulièrement et qu'il n'y a aucun jeton expiré/manquant.

Utilisez les mesures suivantes ensemble :

• ResourcePrincipalTokenRefreshedInLast30Mins
• ResourcePrincipalSessionTokenStatus

Exemple de requête (agrégez les requêtes ci-dessous) :

Requête 1 :

ResourcePrincipalTokenRefreshedInLast30Mins[30m]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqac7xojchf2vjmbeudlixrqmjvjct7oioj34otatnibfka"}.max()

Requête 2 :

ResourcePrincipalSessionTokenStatus[12h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.count()

Vérification de la préparation du cluster

Objectif : assurez-vous que tous les noeuds sont prêts (jetons actifs, récemment actualisés, pas d'expiration à venir).

Utilisez les trois mesures ensemble :

• ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold
• ResourcePrincipalSessionTokenStatus
• ResourcePrincipalTokenRefreshedInLast30Mins

Exemple de requête (agrégez les requêtes ci-dessous) :

Requête 1 :

ResourcePrincipalTokenExpiryTimeExceeding80PercentThreshold[12h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.grouping().count()

Requête 2 :

ResourcePrincipalSessionTokenStatus[12h]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.count()

Requête 3 :

ResourcePrincipalTokenRefreshedInLast30Mins[30m]{clusterOcid = "ocid1.preprod-bigdataservice.oc1.iad.amaaaaaamn67ujqalm2xprcarkhihwcnih3lkinktmmjmqqrutqzkukpswiq"}.max()