Stratégies IAM pour Autonomous AI Database

Fournit des informations sur les stratégies IAM requises pour les opérations d'API sur la base de données Autonomous AI.

Oracle Autonomous AI Database s'appuie sur le service IAM (Identity and Access Management) pour authentifier les utilisateurs cloud et les autoriser à effectuer les opérations employant l'une des interfaces Oracle Cloud Infrastructure (console, API REST, CLI ou kit SDK).

Vous pouvez affecter des rôles aux utilisateurs en fonction des activités de base de données spécifiques qu'ils sont autorisés à effectuer, telles que la sauvegarde et la récupération, la gestion des clés et les opérations de cycle de vie (telles que l'arrêt, le démarrage et le redimensionnement).

Le service IAM utilise les groupes, les compartiments et les stratégies pour contrôler quels utilisateurs cloud peuvent accéder à certaines ressources.

Détails de stratégie pour la base de données Autonomous AI

Cette rubrique traite de l'écriture de stratégies visant à contrôler l'accès aux ressources de base de données Autonomous AI,

Une stratégie définit le type d'accès dont dispose un groupe d'utilisateurs à une ressource spécifique dans un compartiment individuel. Pour plus d'informations, reportez-vous à Introduction aux stratégies.

Types de ressource

Le type agrégé de ressource couvre la liste des types individuels de ressource indiqués immédiatement après. Par exemple, écrire un seule stratégie pour permettre à un groupe d'accéder à autonomous-database-family équivaut à écrire quatre stratégies distinctes qui octroient l'accès aux types autonomous-databases et autonomous-backups à ce groupe. Pour plus d'informations, reportez-vous à Types de ressource.

Types de ressource pour la base de données Autonomous AI

Type agrégé de ressource:

autonomous-database-family

Types individuels de ressource :

autonomous-databases

autonomous-backups

Détails des combinaisons de verbe et de type de ressource

Le niveau d'accès est cumulatif à mesure que vous passez d'un verbe à l'autre, dans l'ordre suivant : inspect > read > use > manage. Le signe plus (+) dans une cellule de tableau indique un accès incrémentiel par rapport à la cellule directement au-dessus, alors que la référence "aucun autre élément supplémentaire" n'indique aucun accès incrémentiel.

Par exemple, le verbe read pour le Type de ressource autonomous-databases couvre les mêmes droits d'accès et opérations d'API que le verbe inspect, plus le droit d'accès AUTONOMOUS_DATABASE_CONTENT_READ. Le verbe read couvre partiellement l'opération CreateAutonomousDatabaseBackup, qui doit également disposer de droits d'accès de gestion pour autonomous-backups.

Les tableaux suivants indiquent les autorisations et les opérations d'API couvertes par chaque verbe. Pour plus d'informations sur les droits d'accès, reportez-vous à Droits d'accès.

Remarque

Remarque : la famille de ressources couverte par autonomous-database-family peut être utilisée pour octroyer un accès aux ressources de base de données associéesà tous les type de charge globale de base de données Autonomous AI.

types de ressource de bases de données autonomes

sauvegardes autonomes

Variables prises en charge

Toutes les variables OCI Identity and Access Management générales sont prises en charge. Pour plus d'informations, reportez-vous à Variables générales pour toutes les demandes.

En outre, vous pouvez utiliser la variable target.id avec l'OCID d'une base de données après la création d'une base de données et la variable target.workloadType avec une valeur, comme indiqué dans le tableau suivant :

Exemple de stratégie utilisant la variable target.id :

Allow group ADB-Admins to manage autonomous-databases in tenancy where target.id = 'OCID'

Exemple de stratégie utilisant la variable target.workloadType :

Allow group ADB-Admins to manage autonomous-databases in tenancy where target.workloadType = 'AJD'

Vous pouvez utiliser la variable request.operation.actiontype qui identifie la sous-opération ou la modification de configuration spécifique demandée dans une opération telle que updateAutonomousDatabase ou createAutonomousDatabase. Vous pouvez contrôler ces types d'action dans les stratégies à l'aide du paramètre request.operation.actiontype. Cela vous permet de contrôler les actions en détail, en vous assurant que vous disposez des droits d'accès requis pour votre rôle.

Exemple de stratégies utilisant la variable request.operation.actiontype :

Lorsqu'une stratégie accorde l'accès à un type d'action spécifique à l'aide de request.operation.actiontype, vous êtes limité à cette sous-opération et ne pouvez pas effectuer d'autres actions de mise à jour, sauf si celles-ci sont explicitement incluses dans la stratégie. Par exemple,

allow group MyGroup to manage autonomous-database-family where request.operation.actiontype =
      'adminPassword'

La stratégie ci-dessus accorde au groupe le droit de modifier le mot de passe ADMIN, mais pas d'autres attributs tels que le calcul, le stockage ou la configuration réseau.

De même, il est possible d'exclure une opération sensible tout en autorisant d'autres, par example :

allow group MyGroup to manage autonomous-database-family where request.operation.actiontype
      != 'adminPassword'

Le tableau suivant répertorie la variable ActionType, chacune représentant une sous-opération spécifique pouvant être utilisée avec CreateAutonomousDatabase ou UpdateAutonomousDatabase :

Stratégies IAM requises pour gérer une instance de base de données Autonomous AI

Droits d'accès IAM et opérations d'API pour la base de données Autonomous AI

Cette rubrique traite des droits d'accès IAM disponibles pour les opérations sur la base de données Autonomous AI.

Ces opérations sont regroupées dans des droits d'accès permettant aux rôles standard d'effectuer ces opérations. Si des autorisations plus détaillées sont nécessaires, elles peuvent être combinées avec des sous-opérations et des types d'action. UpdateAutonomousDatabase a inclus plusieurs opérations, mais elles peuvent être limitées en fonction des types d'action décrits dans la section précédente.

Les droits d'accès IAM pour Autonomous AI Database sont les suivants :

• AUTONOMOUS_DATABASE_CONTENT_READ

• AUTONOMOUS_DATABASE_CONTENT_WRITE

• AUTONOMOUS_DATABASE_CREATE

  Reportez-vous à Droits d'accès de clonage pour connaître les limites de clonage supplémentaires.

• AUTONOMOUS_DATABASE_DELETE

• AUTONOMOUS_DATABASE_INSPECT

• AUTONOMOUS_DATABASE_UPDATE

• AUTONOMOUS_DB_BACKUP_CONTENT_READ

• AUTONOMOUS_DB_BACKUP_CREATE

• AUTONOMOUS_DB_BACKUP_INSPECT

• NETWORK_SECURITY_GROUP_UPDATE_MEMBERS

• VNIC_ASSOCIATE_NETWORK_SECURITY_GROUP

Exemple de stratégie permettant à un groupe de disposer des droits d'accès permettant de créer Oracle Autonomous AI Database dans un compartiment :

Allow group group-name to manage autonomous-database in compartment id compartment-ocid
    where all{request.permission = 'AUTONOMOUS_DATABASE_UPDATE'}

Clonage des autorisations

Les droits d'accès IAM généraux sont pris en charge pour Autonomous AI Database. En outre, vous pouvez utiliser target.autonomous-database.cloneType avec les valeurs de droit d'accès prises en charge pour contrôler le niveau d'accès, comme indiqué dans le tableau suivant.

Exemples de stratégie avec les valeurs de droit d'accès target.autonomous-database.cloneType prises en charge :

Allow group group-name to manage autonomous-databases in compartment id compartment-ocid
    where all {request.permission =  'AUTONOMOUS_DATABASE_CREATE', target.autonomous-database.cloneType = 'CLONE-FULL'}

Allow group group-name to manage autonomous-databases in compartment id compartment-ocid
    where all {request.permission =  'AUTONOMOUS_DATABASE_CREATE', target.autonomous-database.cloneType = 'CLONE-METADATA'}

Allow group group-name to manage autonomous-databases in compartment id compartment-ocid
    where all {request.permission =  'AUTONOMOUS_DATABASE_CREATE', target.autonomous-database.cloneType = 'CLONE-REFRESHABLE'}

Allow group group-name to manage autonomous-databases in compartment id compartment-ocid
    where all {request.permission =  'AUTONOMOUS_DATABASE_CREATE', target.autonomous-database.cloneType = /CLONE*/}

Pour plus d'informations, reportez-vous à Autorisations.

Fournir des privilèges spécifiques dans les stratégies IAM pour gérer une base de données d'IA autonome

Répertorie les stratégies IAM que vous pouvez utiliser avec un verbe d'autorisation et une condition pour accorder des opérations plus détaillées à un groupe.

Par exemple, pour autoriser le groupe MyGroup à démarrer des bases de données Autonomous AI à l'aide de l'API StartAutonomousDatabase, procédez comme suit :

Allow MyGroup to manage autonomous-databases where request.operation = 'StartAutonomousDatabase'

Pour plus d'informations, reportez-vous à Verbes et à Conditions.

• autonomousDatabaseManualRefresh
• changeAutonomousDatabaseCompartment
• changeAutonomousDatabaseSubscription
• changeDisasterRecoveryConfiguration
• configureAutonomousDatabaseVaultKey
• configureSaasAdminUser
• createAutonomousDatabase
• createAutonomousDatabaseBackup
• deleteAutonomousDatabase
• deleteAutonomousDatabaseBackup
• deregisterAutonomousDatabaseDataSafe
• disableAutonomousDatabaseManagement
• disableAutonomousDatabaseOperationsInsights
• enableAutonomousDatabaseManagement
• enableAutonomousDatabaseOperationsInsights
• failOverAutonomousDatabase
• generateAutonomousDatabaseWallet
• getAutonomousDatabase
• getAutonomousDatabaseBackup
• getAutonomousDatabaseRegionalWallet
• getAutonomousDatabaseWallet
• listAutonomousDatabaseBackups
• listAutonomousDatabaseCharacterSets
• listAutonomousDatabaseClones
• listAutonomousDatabaseMaintenanceWindows
• listAutonomousDatabasePeers
• listAutonomousDatabaseRefreshableClones
• listAutonomousDatabases
• registerAutonomousDatabaseDataSafe
• resourcePoolShapes
• restartAutonomousDatabase
• restoreAutonomousDatabase
• rotateAutonomousDatabaseEncryptionKey
• SaasAdminUserStatus
• shrinkAutonomousDatabase
• startAutonomousDatabase
• stopAutonomousDatabase
• switchoverAutonomousDatabase
• updateAutonomousDatabase
• updateAutonomousDatabaseBackup
• updateAutonomousDatabaseRegionalWallet
• updateAutonomousDatabaseWallet

Le verbe d'autorisation updateAutonomousDatabase regroupe les privilèges pour utiliser plusieurs opérations d'API.

• DeregisterAutonomousDatabaseDataSafe
• DisableAutonomousDatabaseOperationsInsights
• DisableDatabaseManagement
• EnableAutonomousDatabaseOperationsInsights
• RegisterAutonomousDatabaseDataSafe

Par exemple :

Allow MyGroup to manage autonomous-databases where request.operation =  'updateAutonomousDatabase'