Panoramica di Identity and Access Management

IAM utilizza i componenti descritti in questa sezione. Per comprendere meglio il modo in cui i componenti si integrano, vedere Scenario di esempio.

RISORSA

Gli oggetti cloud che i dipendenti della tua azienda creano e utilizzano durante l'interazione con Oracle Cloud Infrastructure. Ad esempio: istanze di computazione, volumi di storage a blocchi, reti cloud virtuali (VCN), subnet, tabelle di instradamento e così via.

UTENTE

Un singolo dipendente o sistema che deve gestire o utilizzare le risorse Oracle Cloud Infrastructure della tua azienda. Gli utenti potrebbero dover avviare istanze, gestire dischi remoti, utilizzare la rete cloud virtuale e così via. Gli utenti finali dell'applicazione non sono in genere utenti IAM. Gli utenti dispongono di una o più credenziali IAM (vedere Credenziali utente).

GRUPPO

Una raccolta di utenti che hanno tutti bisogno dello stesso tipo di accesso a un determinato set di risorse o compartimento.

GRUPPO DINAMICO

Un tipo speciale di gruppo che contiene risorse (ad esempio istanze di computazione) che corrispondono a regole definite dall'utente, pertanto l'appartenenza può cambiare dinamicamente quando vengono create o eliminate risorse corrispondenti. Queste istanze fungono da attori "principali" e possono effettuare chiamate API ai servizi in base ai criteri scritti per il gruppo dinamico.

ORIGINE DELLA RETE

Gruppo di indirizzi IP autorizzati ad accedere alle risorse nella tenancy. Gli indirizzi IP possono essere indirizzi IP pubblici o indirizzi IP da una VCN all'interno della tenancy. Dopo aver creato l'origine di rete, utilizzare i criteri per limitare l'accesso solo alle richieste che provengono dagli IP nell'origine di rete.

COMPARTIMENTO

Raccolta di risorse correlate. I compartimenti sono un componente fondamentale di Oracle Cloud Infrastructure per organizzare e isolare le tue risorse cloud. Li si utilizzano per separare chiaramente le risorse ai fini della misurazione dell'uso e della fatturazione, dell'accesso (mediante l'uso dei criteri) e dell'isolamento (separazione delle risorse per un progetto o un'unità aziendale da un altro). Un approccio molto diffuso consiste nel creare un compartimento per ogni settore principale dell'organizzazione. Per ulteriori informazioni, vedere Ulteriori informazioni sulle best practice per l'impostazione della tenancy.

TENANCY

Compartimento radice che contiene tutte le risorse Oracle Cloud Infrastructure della tua organizzazione. Oracle crea automaticamente la tenancy della tua azienda. Direttamente all'interno della tenancy sono presenti le entità IAM (utenti, gruppi, compartimenti e alcuni criteri; puoi anche inserire i criteri nei compartimenti all'interno della tenancy). Posiziona gli altri tipi di risorse cloud (ad esempio, istanze, reti virtuali, volumi di storage a blocchi e così via) all'interno dei compartimenti creati.

CRITERIO

Documento che specifica chi può accedere a quali risorse e in che modo. L'accesso viene concesso a livello di gruppo e compartimento. Ciò significa che è possibile scrivere un criterio che fornisce a un gruppo un tipo specifico di accesso all'interno di un compartimento specifico o alla tenancy stessa. Se si concede a un gruppo l'accesso alla tenancy, il gruppo ottiene automaticamente lo stesso tipo di accesso a tutti i compartimenti all'interno della tenancy. Per ulteriori informazioni, vedere Scenario di esempio e Funzionamento dei criteri. La parola "criterio" viene utilizzata dalle persone in diversi modi: per indicare una singola istruzione scritta nel linguaggio dei criteri; per indicare una raccolta di istruzioni in un singolo documento denominato "criterio" (a cui è assegnato un ID Oracle Cloud (OCID)); e per indicare il corpo complessivo dei criteri utilizzati dall'organizzazione per controllare l'accesso alle risorse.

Quando si applica una politica, potrebbe verificarsi un leggero ritardo prima che la politica sia efficace.

AREA ORIGINE

L'area in cui risiedono le tue risorse IAM. Tutte le risorse IAM sono globali e disponibili in tutte le aree, ma il set principale di definizioni risiede in un'unica area, l'area di origine. È necessario apportare modifiche alle risorse IAM nella propria area di origine. Le modifiche verranno propagate automaticamente a tutte le aree. Per ulteriori informazioni, vedere Gestione delle aree.

FEDERAZIONE

Relazione configurata da un amministratore tra un provider di identità e un provider di servizi. Quando si federa Oracle Cloud Infrastructure con un provider di identità, si gestiscono utenti e gruppi nel provider di identità. L'autorizzazione viene gestita nel servizio IAM di Oracle Cloud Infrastructure. Le tenancy di Oracle Cloud Infrastructure sono federate con Oracle Identity Cloud Service per impostazione predefinita.

Puoi scrivere criteri per controllare l'accesso a tutti i servizi all'interno di Oracle Cloud Infrastructure.

Quando l'azienda si registra a un account Oracle e a un dominio di Identity, Oracle imposta un amministratore predefinito per l'account. Questa persona sarà il primo utente IAM dell'azienda e sarà responsabile dell'impostazione iniziale di amministratori aggiuntivi. La tenancy viene fornita con un gruppo denominato Amministratori e l'amministratore predefinito appartiene automaticamente a questo gruppo. Impossibile eliminare questo gruppo. Deve essere sempre presente almeno un utente.

Inoltre, la tenancy dispone automaticamente di un criterio che consente al gruppo Administrators di accedere a tutte le operazioni API Oracle Cloud Infrastructure e a tutte le risorse cloud della tenancy. Non è possibile modificare né eliminare questo criterio. Qualsiasi altro utente inserito nel gruppo Amministratori avrà accesso completo a tutti i servizi. Ciò significa che possono creare e gestire risorse IAM, ad esempio gruppi, criteri e compartimenti. Inoltre, possono creare e gestire le risorse cloud come le reti cloud virtuali (VCN), le istanze, i volumi di storage a blocchi e qualsiasi altro nuovo tipo di risorse Oracle Cloud Infrastructure che diventeranno disponibili in futuro.

L'obiettivo di questo scenario è mostrare come i diversi componenti IAM interagiscono e le funzionalità di base dei criteri.

In questo scenario, Acme Company ha due team che utilizzeranno le risorse di Oracle Cloud Infrastructure per l'infrastruttura: Project A e Project B. In realtà, la tua azienda potrebbe avere molti altri.

L'azienda Acme prevede di utilizzare una singola rete cloud virtuale (VCN) per entrambi i team e desidera che un amministratore di rete gestisca la VCN.

Acme Company desidera inoltre che il team di Project A e il team di Project B ciascuno disponga di un proprio set di istanze e volumi di storage a blocchi. Il team di Project A e il team di Project B non dovrebbero essere in grado di utilizzare le rispettive istanze. Inoltre, a questi due team non dovrebbe essere consentito modificare alcuna impostazione sulla VCN impostata dall'amministratore di rete. Acme Company desidera che ogni team disponga di amministratori per le risorse di tale team. Gli amministratori del team Project A possono decidere chi può utilizzare le risorse cloud Project A e come. Lo stesso vale per il team di Project B.

L'azienda Acme inizia a utilizzare Oracle Cloud Infrastructure

L'azienda Acme si iscrive per utilizzare Oracle Cloud Infrastructure e comunica a Oracle che un dipendente denominato Wenpei sarà l'amministratore predefinito. In risposta, Oracle:

• Crea una tenancy per Acme Company (vedere il diagramma riportato di seguito).
• Crea un account utente IAM per Wenpei nella tenancy.
• Crea il gruppo Administrators nella tenancy e inserisce Wenpei in tale gruppo.
• Crea un criterio nella tenancy dell'azienda Acme che fornisce al gruppo Administrators l'accesso per gestire tutte le risorse della tenancy. Ecco la politica:

Allow group Administrators to manage all-resources in tenancy

L'amministratore predefinito crea alcuni gruppi e un altro amministratore

Wenpei crea diversi gruppi e utenti (vedere il seguente diagramma). Ella:

• Crea gruppi denominati NetworkAdmins, A-Admins e B-Admins (gli ultimi due sono per il progetto A e il progetto B all'interno dell'azienda).
• Crea un utente chiamato Alex e lo inserisce nel gruppo Administrators.
• Lascia vuoti i nuovi gruppi.

Per informazioni su come creare i gruppi, vedere Utilizzo dei gruppi. Per informazioni su come creare utenti e inserirli in gruppi, vedere Utilizzo degli utenti.

L'amministratore predefinito crea alcuni compartimenti e criteri

Wenpei crea i compartimenti per raggruppare le risorse (vedere il diagramma seguente). Ella:

• Crea un compartimento denominato Rete per controllare l'accesso alla VCN, alle subnet, alla VPN da sito a sito e ad altri componenti della rete dell'azienda Acme.
• Crea un compartimento denominato Project-A per organizzare le risorse cloud del team di progetto A e controllarne l'accesso.
• Crea un compartimento denominato Project-B per organizzare le risorse cloud del team di progetto B e controllarne l'accesso.

Per informazioni su come gestire i compartimenti, vedere Utilizzo dei compartimenti.

Wenpei crea quindi un criterio per assegnare agli amministratori di ogni compartimento il livello di accesso richiesto. Collega il criterio alla tenancy, il che significa che solo gli utenti con accesso per gestire i criteri nella tenancy possono aggiornare o eliminare il criterio in un secondo momento. In questo scenario, si tratta solo del gruppo Amministratori. Il criterio include più istruzioni che:

• Fornire al gruppo NetworkAdmins l'accesso per gestire le reti e le istanze (al fine di eseguire facilmente il test della rete) nel compartimento Reti
• Consente ai gruppi A-Admins e B-Admins di accedere per utilizzare le reti nel compartimento Reti (in modo che possano creare istanze nella rete).
• Consente di concedere al gruppo di amministratori A l'accesso per gestire tutte le risorse nel compartimento Progetto-A.
• Consente di concedere al gruppo B-Admins l'accesso per gestire tutte le risorse nel compartimento Progetto-B.

Di seguito viene descritto l'aspetto di tale criterio (si noti che contiene più istruzioni):

Allow group NetworkAdmins to manage virtual-network-family in compartment Networks
Allow group NetworkAdmins to manage instance-family in compartment Networks

Allow group A-Admins,B-Admins to use virtual-network-family in compartment Networks

Allow group A-Admins to manage all-resources in compartment Project-A

Allow group B-Admins to manage all-resources in compartment Project-B

Si noti la differenza tra i verbi (manage, use) e le risorse (virtual-network-family, instance-family, all-resources). Per ulteriori informazioni, vedere Verbi e Tipi di risorse. Per informazioni su come creare i criteri, vedere Per creare un criterio.

Importante

Gli amministratori A e B possono utilizzare la famiglia di rete virtuale nelle reti del compartimento. Tuttavia, non possono creare istanze in tale compartimento. Possono creare istanze solo nel compartimento Project-A o Project-B. Tenere presente che un compartimento è un raggruppamento logico e non fisico, pertanto le risorse che costituiscono o risiedono nella stessa VCN possono appartenere a compartimenti diversi.

Acme Company desidera consentire agli amministratori dei compartimenti Project-A e Project-B di decidere quali utenti possono utilizzare le risorse in tali compartimenti. Quindi Wenpei crea altri due gruppi: A-Utenti e B-Utenti. Aggiunge quindi altre sei istruzioni che forniscono agli amministratori del compartimento l'accesso necessario di cui hanno bisogno per aggiungere e rimuovere utenti da tali gruppi:

Allow group A-Admins to use users in tenancy where target.group.name='A-Users'
Allow group A-Admins to use groups in tenancy where target.group.name='A-Users'

Allow group B-Admins to use users in tenancy where target.group.name='B-Users'
Allow group B-Admins to use groups in tenancy where target.group.name='B-Users'

Allow group A-Admins,B-Admins to inspect users in tenancy
Allow group A-Admins,B-Admins to inspect groups in tenancy

Questo criterio non consente agli amministratori del progetto di creare nuovi utenti o di gestire le credenziali per gli utenti. Consente loro di decidere quali utenti esistenti possono essere nei gruppi A-Users e B-Users. Le ultime due istruzioni sono necessarie per A-Admins e B-Admins per elencare tutti gli utenti e i gruppi e confermare quali utenti sono in quali gruppi.

Elemento

descrizione;

Criteri collegati alla tenancy: Allow group Administrators to manage all-resources in tenancy Allow group NetworkAdmins to manage virtual-network-family in compartment Networks Allow group NetworkAdmins to manage instance-family in compartment Networks Allow group A-Admins, B-Admins to use virtual-network-family in compartment Networks Allow group A-Admins to manage all-resources in compartment Project-A Allow group B-Admins to manage all-resources in compartment Project-B Allow group A-Admins to use users in tenancy where target.group.name='A-Users' Allow group A-Admins to use groups in tenancy where target.group.name='A-Users' Allow group B-Admins to use users in tenancy where target.group.name='B-Users' Allow group B-Admins to use groups in tenancy where target.group.name='B-Users' Allow group A-Admins, B-Admins to inspect users in tenancy Allow group A-Admins, B-Admins to inspect groups in tenancy

Un amministratore crea nuovi utenti

A questo punto, Alex fa parte del gruppo Administrators e ora ha accesso per creare nuovi utenti. Così provvede gli utenti di nome Leslie, Jorge e Cheri e li colloca nei gruppi NetworkAdmins, A-Admins e B-Admins, rispettivamente. Alex crea anche altri utenti che alla fine verranno inseriti nei gruppi A-Users e B-Users dagli amministratori per il Progetto A e il Progetto B.

Elemento

descrizione;

Criteri collegati alla tenancy: Allow group Administrators to manage all-resources in tenancy Allow group NetworkAdmins to manage virtual-network-family in compartment Networks Allow group NetworkAdmins to manage instance-family in compartment Networks Allow group A-Admins, B-Admins to use virtual-network-family in compartment Networks Allow group A-Admins to manage all-resources in compartment Project-A Allow group B-Admins to manage all-resources in compartment Project-B Allow group A-Admins to use users in tenancy where target.group.name='A-Users' Allow group A-Admins to use groups in tenancy where target.group.name='A-Users' Allow group B-Admins to use users in tenancy where target.group.name='B-Users' Allow group B-Admins to use groups in tenancy where target.group.name='B-Users' Allow group A-Admins, B-Admins to inspect users in tenancy Allow group A-Admins, B-Admins to inspect groups in tenancy

Gli amministratori dei compartimenti impostano i relativi compartimenti

Jorge e Cheri devono ora impostare i rispettivi compartimenti. Ogni amministratore deve effettuare le operazioni riportate di seguito.

• Avvia istanze nel proprio compartimento
• Inserisci gli utenti nel loro gruppo "utenti" (ad esempio, A-Utenti)
• Decidere il tipo di accesso per concedere tali utenti e, di conseguenza, collegare un criterio al proprio compartimento

Jorge e Cheri avviano entrambe le istanze nella subnet nella VCN nei compartimenti del rispettivo team. Creano e collegano volumi a blocchi alle istanze. Solo gli amministratori del compartimento possono avviare/terminare le istanze o collegare/scollegare i volumi a blocchi nei compartimenti del rispettivo team.

Importante

La topologia di rete e l'accesso al compartimento sono concetti diversi

È importante comprendere la differenza tra la topologia di rete della VCN e il controllo dell'accesso fornito dai compartimenti. Le istanze avviate da Jorge risiedono nella VCN dal punto di vista della topologia di rete. Tuttavia, dal punto di vista dell'accesso, si trovano nel compartimento Project-A, non nel compartimento Reti in cui si trova la VCN. Leslie (l'amministratore di Networks) non può terminare o riavviare le istanze di Jorge o avviarne di nuove nel compartimento Project-A. Ma Leslie controlla la rete delle istanze, quindi controlla quale traffico verrà indirizzato a loro. Se Jorge avesse specificato il compartimento Reti invece del compartimento Progetto-A all'avvio delle sue istanze, la sua richiesta sarebbe stata negata. La storia è simile per Cheri e il compartimento Project-B.

Tuttavia, è anche importante notare che Wenpei e Alex nel gruppo Administrators hanno accesso alle risorse all'interno dei compartimenti, in quanto dispongono dell'accesso per gestire tutti i tipi di risorse presenti nella tenancy. I compartimenti ereditano tutti i criteri collegati al proprio compartimento padre (la tenancy), pertanto l'accesso degli amministratori si applica anche a tutti i compartimenti all'interno della tenancy.

Successivamente, Jorge mette diversi degli utenti che Alex ha creato nel gruppo A-Users. Cheri fa lo stesso per gli utenti B.

Successivamente, Jorge scrive un criterio che fornisce agli utenti il livello di accesso di cui hanno bisogno nel compartimento Project-A.

Allow group A-Users to use instance-family in compartment Project-A
Allow group A-Users to use volume-family in compartment Project-A
Allow group A-Users to inspect virtual-network-family in compartment Networks

Ciò consente loro di utilizzare le istanze esistenti (con volumi a blocchi collegati) che gli amministratori del compartimento hanno già avviato nel compartimento e di arrestarle, avviarle o riavviarle. Non consente agli utenti A di creare/eliminare o collegare/scollegare i volumi. Per dare tale possibilità, il criterio dovrebbe includere manage volume-family.

Jorge collega questo criterio al compartimento Progetto-A. Ora chiunque sia in grado di gestire i criteri nel compartimento può modificare o eliminare questo criterio. In questo momento, si tratta solo del gruppo A-Admins (e del gruppo Administrators, che può eseguire qualsiasi operazione in tutta la tenancy).

Cheri crea e associa il proprio criterio al compartimento Project-B, in modo simile al criterio di Jorge:

Allow group B-Users to use instance-family in compartment Project-B
Allow group B-Users to use volume-family in compartment Project-B
Allow group B-Users to inspect virtual-network-family in compartment Networks

Ora gli utenti A-Users e B-Users possono lavorare con le istanze esistenti e i volumi collegati rispettivamente nei compartimenti Project-A e Project-B. Di seguito viene descritto l'aspetto del layout.

Elemento	descrizione;
	Criteri collegati alla tenancy: Allow group Administrators to manage all-resources in tenancy Allow group NetworkAdmins to manage virtual-network-family in compartment Networks Allow group NetworkAdmins to manage instance-family in compartment Networks Allow group A-Admins, B-Admins to use virtual-network-family in compartment Networks Allow group A-Admins to manage all-resources in compartment Project-A Allow group B-Admins to manage all-resources in compartment Project-B Allow group A-Admins to use users in tenancy where target.group.name='A-Users' Allow group A-Admins to use groups in tenancy where target.group.name='A-Users' Allow group B-Admins to use users in tenancy where target.group.name='B-Users' Allow group B-Admins to use groups in tenancy where target.group.name='B-Users' Allow group A-Admins, B-Admins to inspect users in tenancy Allow group A-Admins, B-Admins to inspect groups in tenancy
	Politica allegata e gestita da Jorge: Allow group A-Users to use instance-family in compartment Project-A Allow group A-Users to use volume-family in compartment Project-A Allow group A-Users to use virtual-network-family in compartment Project-A
	Policy allegata e gestita da Cheri: Allow group B-Users to use instance-family in compartment Project-B Allow group B-Users to use volume-family in compartment Project-B Allow group B-Users to use virtual-network-family in compartment Project-B

Per ulteriori informazioni sulle funzioni di base e avanzate dei criteri, vedere Funzionamento dei criteri. Per esempi di altri criteri tipici che l'organizzazione potrebbe utilizzare, vedere Criteri comuni.

Nella console, puoi visualizzare le risorse cloud in base al compartimento. Ciò significa che dopo aver effettuato l'accesso alla console, sceglierai in quale compartimento lavorare (c'è una lista dei compartimenti a cui hai accesso sul lato sinistro della pagina). Si noti che i compartimenti possono essere nidificati all'interno di altri compartimenti. La pagina verrà aggiornata per mostrare le risorse del compartimento che si trovano all'interno dell'area corrente. Se non sono presenti risorse o se non si dispone dell'accesso alla risorsa in tale compartimento, verrà visualizzato un messaggio.

Questa esperienza è diversa quando si visualizzano gli elenchi di utenti, gruppi, gruppi dinamici e provider di federazione. Questi risiedono nella tenancy stessa (il compartimento radice), non in un singolo compartimento.

Per quanto riguarda i criteri, possono risiedere nella tenancy o in un compartimento, a seconda della posizione in cui il criterio è collegato. Dove sono allegati i controlli che dispongono dell'accesso per modificarli o eliminarli. Per ulteriori informazioni, vedere Allegato ai criteri.

Oracle Cloud Infrastructure utilizza i concetti di aree e domini di disponibilità (vedere Aree e domini di disponibilità). Alcune risorse sono disponibili a livello regionale, mentre altre sono disponibili solo all'interno di un determinato dominio di disponibilità. Le risorse IAM (utenti, gruppi, gruppi dinamici, compartimenti, spazi di nomi tag, provider di federazione e criteri) sono globali e disponibili in tutte le aree. Vedere Gestione delle aree.

Puoi creare l'automazione in base alle modifiche di stato per le risorse Oracle Cloud Infrastructure utilizzando tipi di evento, regole e azioni. Per ulteriori informazioni, vedere Panoramica degli eventi.

Le seguenti risorse IAM emettono eventi: 

• Criteri di autenticazione
• Credenziali
• Gruppi dinamici
• Gruppi
• Provider di identità
• Dispositivi TOTP di autenticazione a più fattori
• Criteri
• Utenti

La maggior parte dei tipi di risorse Oracle Cloud Infrastructure ha un identificativo univoco assegnato da Oracle chiamato OCID (Oracle Cloud ID). Per informazioni sul formato OCID e su altri modi per identificare le risorse, vedere Identificativi risorsa.

Per informazioni generali sull'uso dell'interfaccia API, vedere API REST.

Per un elenco dei limiti applicabili e delle istruzioni per richiedere un aumento del limite, consulta la sezione relativa ai limiti dei servizi. Per impostare limiti specifici del compartimento per una risorsa o una famiglia di risorse, gli amministratori possono utilizzare le quote dei compartimenti.