Remarques :

Ce tutoriel nécessite un accès à Oracle Cloud. Pour vous inscrire à un compte gratuit, reportez-vous à Introduction au niveau gratuit d'Oracle Cloud Infrastructure.
Il utilise des exemples de valeur pour les informations d'identification, la location et les compartiments Oracle Cloud Infrastructure. A la fin de l'exercice, remplacez ces valeurs par des valeurs propres à votre environnement cloud.

Intégrer Oracle Cloud Infrastructure Resource Manager avec le processus d'automatisation

Introduction

Le service Oracle Cloud Infrastructure (OCI) Resource Manager automatise le déploiement et les opérations de toutes les ressources OCI. Grâce à l'utilisation du modèle Infrastructure-as-Code (IaC), le service est basé sur Terraform, une norme open source qui permet aux ingénieurs DevOps de développer et de déployer leur infrastructure n'importe où.

Une configuration Terraform encode votre infrastructure dans les fichiers de configuration déclaratifs. Le service OCI Resource Manager permet de partager et de gérer les fichiers de configuration et d'état de l'infrastructure entre plusieurs équipes et plateformes.

Via OCI Resource Manager, il est possible d'exécuter des scripts Terraform dans la console OCI. Il est également possible de passer un appel REST ou d'utiliser l'interface de ligne de commande Oracle Cloud Infrastructure (interface de ligne de commande OCI), élargissant ainsi les possibilités d'intégration avec des outils d'automatisation tels qu'OCI Devops, Jenkins, GitHub, etc.

architecture

Dans ce tutoriel, nous automatiserons le déploiement d'une instance Oracle Autonomous Database en obtenant le mot de passe d'administrateur de base de données en toute sécurité via les clés secrètes OCI Vault sans l'exposer dans les fichiers, de sorte que l'utilisateur d'exécution OCI Resource Manager dispose d'un accès approprié pour créer la base de données et le mot de passe stocké.

Objectifs

Configurez l'automatisation via Terraform afin de pouvoir créer des instances avec leurs informations d'identification d'accès appropriées, mais sans exposer d'informations sensibles telles que le mot de passe, elles doivent être stockées de sorte que seuls les utilisateurs autorisés puissent l'utiliser dans le script Terraform.

Prérequis

Utilisateur d'un groupe d'utilisateurs sans stratégie. Cet utilisateur bénéficie des droits d'accès appropriés pour exécuter Terraform dans OCI Resource Manager.
Bucket OCI Object Storage dans un compartiment spécifique (si vous voulez générer le script Terraform dans ce bucket).
Le script Terraform sera exécuté via OCI Resource Manager et l'utilisateur doit disposer des droits d'accès suivants :
- Créez des ressources dans le compartiment.
- Créez une instance Oracle Autonomous Database.
- Lisez un mot de passe OCI Vault.
- Exécutez le script Terraform.

Tâche 1 : création d'une clé secrète pour Oracle Autonomous Database dans OCI Vault

Nous allons créer un mot de passe dans OCI Vault pour illustrer la configuration d'une nouvelle ressource dans Terraform sans exposer les données confidentielles.

Les secrets sont les informations d'identification telles que les mots de passe, les certificats, les clés SSH ou les jetons d'authentification que vous utilisez avec les services OCI. Le stockage des secrets dans un coffre OCI offre plus de sécurité qu'un stockage dans un autre emplacement, par exemple dans des fichiers de configuration ou du code. Vous pouvez extraire les secrets à partir du service OCI Vault lorsque vous en avez besoin pour accéder aux ressources ou à d'autres services.

Vous pouvez créer des clés secrètes à l'aide de la console OCI, de l'interface de ligne de commande OCI ou de l' Le contenu d'une clé secrète est importé dans le service à partir d'une source externe. Le service OCI Vault stocke les secrets dans des coffres.

Remarque : pour cette tâche, nous devons nous connecter en tant qu'administrateur dans la console OCI. Vous devez être autorisé à créer un mot de passe dans OCI Vault.

Connectez-vous à la console OCI, cliquez sur Identité et sécurité et sur Coffre.
Sélectionnez le compartiment dans lequel stocker les clés secrètes, puis cliquez sur Créer un coffre.
Entrez le nom du coffre, confirmez le compartiment et cliquez sur Créer un coffre.
Vérifiez que le coffre est créé et créez une clé. Cliquez sur Clé de cryptage maître et Créer une clé.
Confirmez le compartiment et entrez le nom de la clé. Par exemple, entrez autonomouskey en tant que nom et cliquez sur Créer une clé.

Vérifiez que la clé a été créée.
Cliquez sur Secrets et Create Secret.
Nous allons créer le mot de passe d'administrateur autonome. Entrez les informations suivantes et cliquez sur Créer une clé secrète.
- Compartiment : Sélectionner un compartiment.
- Nom : entrez le nom de la première clé secrète.
- Sélectionnez Génération manuelle de clé secrète pour inclure le mot de passe.
- Modèle de type de clé secrète : entrez Plain-Text.
- Contenu de la clé secrète : entrez votre mot de passe.
Vous aurez besoin de l'OCID de clé secrète. Pour copier l'OCID, cliquez sur Copy.

Tâche 2 : créer des stratégies pour l'utilisateur OCI

Dans ce tutoriel, considérez votre nom utilisateur TestUser inclus dans un groupe nommé TestGroup. Maintenant, créez une stratégie nommée TestPolicy.

Cette tâche est importante car elle contrôle tous les privilèges nécessaires pour garantir la sécurité de l'automatisation Terraform.

Remarque : pour cette tâche, nous devons nous connecter avec un utilisateur administrateur dans OCI.

Accédez à la console OCI, cliquez sur Identity & Security et Politiques.
Cliquez sur Créer une stratégie.
Dans la section Déclarations, entrez les stratégies suivantes.
- Ces stratégies donnent le droit de regrouper TestGroup créé précédemment pour gérer une pile et des travaux dans OCI Resource Manager.
```
- Allow group 'Default'/'TestGroup' to manage orm-stacks in compartment integration
- Allow group 'Default'/'TestGroup' to manage orm-jobs in compartment integration
- Allow group 'Default'/'TestGroup' to read orm-config-source-providers in tenancy
```
- Cette stratégie donne le droit de créer une instance Oracle Autonomous Database dans l'intégration de compartiment.
```
- Allow group 'Default'/'TestGroup' to manage autonomous-database in compartment integration
```
- Le groupe peut lire le mot de passe stocké dans OCI Vault via des scripts Terraform.
```
- Allow group 'Default'/'TestGroup' to use secret-family in tenancy
```
- Cette stratégie donne le droit d'enregistrer les scripts Terraform sur un compartiment spécifique.
```
- Allow group 'Default'/'TestGroup' to manage all-resources in compartment kubernetes
```
- Cette stratégie permet aux utilisateurs de TestGroup de modifier le code dans l'éditeur de code OCI.
```
- Allow group 'Default'/'TestGroup' to use cloud-shell in tenancy
```

Tâche 3 : créer une pile à partir d'un modèle

Créez une pile pour une instance Oracle Autonomous Database. Nous pouvons utiliser un modèle pour cela. La première étape consiste à se connecter en tant qu'utilisateur créé dans la tâche 2.

Accédez à la console OCI et cliquez sur le menu hamburger.
Cliquez sur Services de développeur et sur Piles.
Sélectionnez votre compartiment et cliquez sur Créer une pile.
Sur la page Informations sur la pile, sélectionnez Modèle et cliquez sur Sélectionner un modèle pour générer un script Terraform pour Oracle Autonomous Database.
Dans l'onglet Service, sélectionnez Autonomous Transaction Processing Database et cliquez sur Select template.
Vous pouvez générer les scripts Terraform et les stocker dans le bucket OCI Object Storage. Sélectionnez Utiliser des fournisseurs Terraform personnalisés, entrez le compartiment et le nom du bucket, puis enregistrez la pile.

Votre pile est enregistrée.
Ce modèle ne lit pas la clé secrète stockée dans OCI Vault. Pour que Terraform lise la clé secrète, nous devons modifier le code.

Cliquez sur Modifier et sélectionnez Modifier la configuration Terraform dans l'éditeur de code.
Vous pouvez modifier ce code. Le code par défaut génère une chaîne aléatoire pour le mot de passe.
- Fichier main.tf.
  
  Vous devez ajouter de nouvelles données nommées oci_secrets_secretbundle et les affecter aux attributs suivants :
  - admin_password dans les sections autonomous_data_warehouse et autonomous_database.
  - password à la section autonomous_database_wallet.
- main.tf : section autonomous_data_warehouse.
```
data "oci_secrets_secretbundle" "bundle" {
    secret_id = var.secret_ocid
}

admin_password = base64decode(data.oci_secrets_secretbundle.bundle.secret_bundle_content.0.content)
```
- main.tf : section autonomous_database.
- main.tf : section autonomous_database_wallet.
Ajoutez le code suivant dans le fichier variables.tf et remplacez l'OCID de la clé secrète générée dans la tâche 1.
```
variable "secret_ocid" {
    default = "ocid1.vaultsecret.oc1.iad.xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
}
```
- Fichier variables.tf.
Remarque : enregistrez vos fichiers. Placez le curseur de la souris sur votre pile (à droite de l'éditeur, dans le titre Autonomous Transaction Processing...), cliquez avec le bouton droit de la souris et enregistrez votre projet. Si vous quittez sans enregistrer, l'exécution suppose que vous utiliserez la chaîne aléatoire dans le script de code d'origine.

Tâche 4 : tester les autorisations

Vous pouvez tester les stratégies et voir comment vous contrôlez les instances OCI Resource Manager, OCI Vault et Oracle Autonomous Database dans un compartiment spécifique.

Connectez-vous à la console OCI avec vos informations d'identification d'utilisateur administrateur et enlevez toutes les stratégies du groupe TestGroup dans la stratégie TestPolicy. Cliquez sur Supprimer et confirmez l'opération.
Maintenant, connectez-vous avec votre utilisateur dans le groupe TestGroup et vous ne pouvez pas voir la pile. Vous ne pouvez donc pas l'exécuter.

Ajoutez les instructions suivantes avec l'administrateur.

Allow group 'Default'/'TestGroup' to manage orm-stacks in compartment integration
Allow group 'Default'/'TestGroup' to manage orm-jobs in compartment integration
Allow group 'Default'/'TestGroup' to read orm-config-source-providers in tenancy
Allow group 'Default'/'TestGroup' to manage all-resources in compartment kubernetes

Les instructions suivantes accordent à l'utilisateur dans TestGroup les droits d'accès permettant d'utiliser la pile OCI Resource Manager.

CleanShot 2024-04-15 à 20.12.55.png

Nous avons enlevé l'autorisation accordée à l'utilisateur de créer une instance Oracle Autonomous Database et de lire la clé secrète dans OCI Vault. Vous pouvez donc exécuter votre pile sans succès. Pour effectuer un test, cliquez sur Appliquer sur la page de détails de la pile.

Ajoutez des droits d'accès Oracle Autonomous Database et OCI Vault sur TestPolicy.

Allow group 'Default'/'TestGroup' to manage all-resources in compartment kubernetes
Allow group 'Default'/'TestGroup' to manage autonomous-database in compartment integration

Cliquez sur Appliquer sur la page de détails de la pile pour voir que vous avez le contrôle de toutes les ressources sans exposer de mot de passe.

Tâche 5 : appeler l'automatisation OCI Resource Manager avec REST

Toutes les ressources dans OCI disposent d'une API REST OCI ou d'une commande d'interface de ligne de commande OCI pour appeler les services tels qu'ils sont exécutés dans la console OCI.

Pour plus d'informations sur l'API REST OCI, reportez-vous à API REST OCI. Vous pouvez consulter la liste des commandes de l'interface de ligne de commande OCI ici : Référence des commandes de l'interface de ligne de commande Oracle Cloud Infrastructure.

Désormais, nous pouvons choisir d'exécuter la pile OCI Resource Manager avec une API REST OCI ou une commande d'interface de ligne de commande OCI. Pour créer un travail, reportez-vous à CreateJob ou vous pouvez utiliser l'exemple de code suivant curl-oci.zip avec curl-oci.sh préparé avec les paramètres OCI.

Vous devez créer la signature pour vos demandes REST. Pour plus d'informations, reportez-vous à Procédure pas à pas d'appel REST Oracle Cloud Infrastructure (OCI) avec curl.

Créez un fichier nommé STACK-RUN.sh. Il s'agit de votre demande REST utilisant curl-oci.sh (cet outil préparera votre chaîne d'autorisation avec vos informations OCI).
Créez un fichier nommé request.json avec votre ID de pile et votre ID de compartiment.
Ouvrez le fichier curl-oci.sh et modifiez les paramètres suivants. Ces paramètres sont identiques à ceux de l'installation de l'interface de ligne de commande OCI.

Exécutez le script.

Vous pouvez voir les résultats de la réussite.

Remerciements

Auteur - Cristiano Hoshikawa (ingénieur solutions Oracle LAD A-Team)

Ressources de formation supplémentaires

Parcourez d'autres ateliers sur docs.oracle.com/learn ou accédez à davantage de contenus de formation gratuits sur le canal Oracle Learning YouTube. De plus, rendez-vous sur education.oracle.com/learning-explorer pour devenir un explorateur Oracle Learning.

Pour obtenir de la documentation sur le produit, visitez Oracle Help Center.

Informations relatives au titre et au copyright

Integrate Oracle Cloud Infrastructure Resource Manager with Automation Process

F98155-01

May 2024

Oracle et/ou ses affiliés