Gestione dei compartimento

Quando si crea un compartimento, è necessario fornire un nome al suo interno (massimo 100 caratteri, inclusi lettere, numeri, punti, trattini e caratteri di sottolineatura) univoco all'interno del relativo compartimento padre. È inoltre necessario fornire una descrizione, che è una descrizione non univoca e modificabile per il compartimento, da 1 a 400 caratteri. Oracle assegnerà inoltre al compartimento un ID univoco denominato ID Oracle Cloud. Per ulteriori informazioni, vedere Identificativi risorse.

È possibile creare compartimenti secondari nei compartimenti per creare gerarchie con profondità di sei livelli.

Per informazioni sul numero di compartimenti che è possibile avere, vedere Limiti per servizio.

Dopo aver creato un compartimento, è necessario scrivere almeno un criterio per tale compartimento, altrimenti nessuno potrà accedervi (ad eccezione degli amministratori o degli utenti con autorizzazioni impostate a livello di tenancy). Quando si crea un compartimento all'interno di un altro compartimento, il compartimento eredita le autorizzazioni di accesso dai compartimenti più in alto nella relativa gerarchia. Per ulteriori informazioni, vedere Eredità dei criteri.

Quando crei un criterio di accesso, devi specificare a quale compartimento collegarlo. Controlla chi può modificare o eliminare il criterio in un secondo momento. A seconda della modalità di progettazione della gerarchia di compartimenti, è possibile collegarla alla tenancy, a un elemento padre o al compartimento specifico stesso. Per ulteriori informazioni, vedere Allegato criteri.

Per posizionare una nuova risorsa in un compartimento, è sufficiente specificare tale compartimento durante la creazione della risorsa (il compartimento è una delle informazioni necessarie per creare una risorsa). Se si sta lavorando nella Console, è sufficiente assicurarsi che si stia visualizzando prima il compartimento in cui si desidera creare la risorsa. Tenere presente che la maggior parte delle risorse IAM risiede nella tenancy (compresi utenti, gruppi, compartimenti e qualsiasi criterio collegato alla tenancy) e non può essere creata o gestita da un compartimento specifico.

La maggior parte delle risorse può essere spostata dopo la creazione. Sono presenti alcune risorse che non è possibile spostare da un compartimento all'altro. Inoltre, non è possibile spostare determinate risorse da una zona di sicurezza a un compartimento che non si trova nella stessa zona di sicurezza perché potrebbe essere meno sicuro. Per informazioni dettagliate sulle restrizioni per le risorse nelle zone di sicurezza, vedere Limitare lo spostamento delle risorse.

Alcune risorse sono associate a dipendenze di risorse e altre no. Non tutte le dipendenze collegate si comportano allo stesso modo quando la risorsa padre si sposta.

Per alcune risorse, le dipendenze collegate vengono spostate con la risorsa padre nel nuovo compartimento. La risorsa padre si sposta immediatamente, ma in alcuni casi le dipendenze collegate si spostano in modo asincrono e non sono visibili nel nuovo compartimento fino al completamento dello spostamento.

Per altre risorse, le dipendenze delle risorse collegate non si spostano nel nuovo compartimento. È possibile spostare queste risorse collegate in modo indipendente.

Dopo aver spostato la risorsa nel nuovo compartimento, i criteri che governano il nuovo compartimento vengono applicati immediatamente e influiscono sull'accesso alla risorsa. A seconda della struttura dell'organizzazione del compartimento, possono essere interessati anche la misurazione, la fatturazione e gli allarmi.

Per acquisire familiarità con il funzionamento di ogni risorsa e dei relativi allegati, consultare la documentazione del servizio relativa alle singole risorse.

Non è possibile ottenere una lista di tutte le risorse in un compartimento utilizzando una singola chiamata API. Puoi invece elencare tutte le risorse di un determinato tipo nel compartimento (ad esempio tutte le istanze, tutti i volumi di storage a blocchi e così via).

Per eliminare un compartimento, deve essere vuoto di tutte le risorse. Prima di avviare l'eliminazione di un compartimento, accertarsi che tutte le relative risorse siano state spostate, eliminate o terminate, inclusi eventuali criteri collegati al compartimento.

L'azione di eliminazione è asincrona e avvia una richiesta di lavoro. Lo stato del compartimento viene modificato in Eliminazione durante l'esecuzione della richiesta di lavoro. Il completamento della richiesta di lavoro richiede in genere alcuni minuti. Mentre è in stato Eliminazione, non viene visualizzato nel selettore compartimento. Se la richiesta di lavoro non riesce, il compartimento non viene eliminato e torna allo stato Attivo.

Dopo l'eliminazione di un compartimento, lo stato viene aggiornato su Eliminato e al nome viene aggiunta una stringa casuale di caratteri, ad esempio CompartmentA potrebbe diventare CompartmentA.qR5hP2BD. La ridenominazione del compartimento consente di riutilizzare il nome originale per un altro compartimento. Oracle visualizza il compartimento eliminato nella pagina Compartimenti per il compartimento eliminato 90 days.The rimosso dal selettore compartimento. Se qualsiasi istruzione dei criteri fa riferimento al compartimento eliminato, il nome nell'istruzione dei criteri viene aggiornato al nuovo nome.

Per recuperare un compartimento, è necessario prima selezionarlo dalla lista nella pagina Compartimento. Potrebbe essere necessario utilizzare il filtro di stato per visualizzare il compartimento eliminato. Tenere presente che i compartimenti eliminati vengono rinominati aggiungendo una stringa casuale di caratteri al nome del compartimento originale. Ad esempio, CompartmentA potrebbe diventare CompartmentA.qR5hP2BD. Oracle visualizza il compartimento eliminato nella pagina Compartimenti per 90 giorni.

Quando si recupera un compartimento eliminato, il nome non viene modificato. Ad esempio, se si recupera un compartimento eliminato denominato CompartmentA.qR5hP2BD, il nome rimane invariato. Poiché le istruzioni dei criteri vengono aggiornate per utilizzare i nuovi nomi dei compartimenti eliminati, qualsiasi istruzione dei criteri che faceva riferimento al compartimento eliminato ora fa riferimento al compartimento recuperato.

I valori predefiniti delle tag consentono di specificare le tag da applicare automaticamente a tutte le risorse, al momento della creazione, nel compartimento corrente. Per ulteriori informazioni, vedere Gestione dei valori predefiniti delle tag.

Per spostare un compartimento, è necessario appartenere a un gruppo che dispone delle autorizzazioni manage all-resources sul compartimento padre condiviso più basso del compartimento corrente e del compartimento di destinazione.

• Non è possibile spostare un compartimento se l'origine o la destinazione fa parte di una zona di sicurezza. È necessario utilizzare la console Security Zones per gestire i compartimenti all'interno di una zona di sicurezza.

• Non è possibile spostare un compartimento in un compartimento di destinazione con lo stesso nome del compartimento in fase di spostamento.

  Ad esempio, si supponga che il compartimento A e il compartimento B si trovino entrambi sotto il compartimento radice. Sotto il compartimento A si trova un sottocompartimento, chiamato anche compartimento B. Impossibile spostare il compartimento B nel compartimento padre B.

  

• Due compartimenti all'interno dello stesso padre non possono avere lo stesso nome. Pertanto, non è possibile spostare un compartimento in un compartimento di destinazione in cui esiste già un compartimento con lo stesso nome.

Dopo aver spostato un compartimento in un nuovo compartimento padre, i criteri di accesso del nuovo padre diventano effettivi e i criteri del padre precedente non vengono più applicati. Prima di spostare un compartimento, assicurarsi che:

• Sei a conoscenza dei criteri che regolano l'accesso al compartimento nella sua posizione corrente.
• Si è consapevoli dei criteri nel nuovo compartimento padre che diventeranno effettivi quando si sposta il compartimento.

In alcuni casi, quando si spostano compartimenti nidificati con criteri che specificano la gerarchia, i criteri vengono aggiornati automaticamente per garantire la coerenza.

La figura seguente mostra una gerarchia di compartimenti in cui il compartimento C, figlio di A:B, viene spostato nella gerarchia A:D.

La tenancy prevede i criteri seguenti definiti per i compartimenti B e D:

Policy1: Allow group G1 to manage instance-family in compartment A:B

Policy2: Allow group G2 to manage instance-family in compartment A:D

Impatto quando il compartimento C viene spostato da B a D:

Il gruppo G1 non è più in grado di gestire le famiglie di istanze nel compartimento C.

Il gruppo G2 ora può gestire le famiglie di istanze nel compartimento C.

Assicurarsi di sapere non solo quali gruppi perdono le autorizzazioni quando si sposta un compartimento, ma anche quali gruppi otterranno le autorizzazioni.

Quando si sposta un compartimento, alcuni criteri verranno aggiornati automaticamente. I criteri che specificano la gerarchia dei compartimenti fino al compartimento da spostare verranno aggiornati automaticamente quando il criterio viene collegato a un predecessore condiviso dell'elemento padre corrente e di destinazione. Esaminare gli esempi riportati di seguito.

Esempio 1: criterio aggiornato automaticamente

In questo esempio, si sposta il compartimento A da Operations:Test a Operations:Dev. Il criterio che regola il compartimento A è collegato all'elemento padre condiviso Operations. Quando il compartimento viene spostato, l'istruzione dei criteri viene aggiornata automaticamente dal servizio IAM per specificare la nuova posizione del compartimento.

Il criterio

Allow group G1 to manage buckets in compartment Test:A 

aggiornata al

Allow group G1 to manage buckets in compartment Dev:A

Non è necessario alcun intervento manuale per consentire al gruppo G1 di continuare ad accedere al compartimento A nella relativa posizione.

Esempio 2: criterio non aggiornato

In questo esempio, si sposta il compartimento A da Operations:Test a Operations:Dev. Tuttavia, il criterio che regola il compartimento A qui è collegato direttamente al compartimento di test. Quando il compartimento viene spostato, il criterio non viene aggiornato automaticamente. Il criterio che specifica il compartimento A non è più valido e deve essere rimosso manualmente. Il gruppo G1 non dispone più dell'accesso al compartimento A nella nuova posizione in Dev. A meno che un altro criterio esistente non conceda l'accesso al gruppo G1, è necessario creare un nuovo criterio per consentire a G1 di continuare a gestire i bucket nel compartimento A.

Esempio 3: il criterio collegato alla tenancy viene aggiornato

In questo esempio, si sposta il compartimento A da Operations:Test a HR:Prod. Il criterio che regola il compartimento A è collegato alla tenancy, che è un predecessore condiviso dal compartimento padre originale e dal nuovo compartimento padre. Pertanto, quando il compartimento viene spostato, l'istruzione dei criteri viene aggiornata automaticamente dal servizio IAM per specificare la nuova posizione del compartimento.

Dichiarazione politica:

Allow group G1 to manage buckets in compartment Operations:Test:A 

aggiornata al

Allow group G1 to manage buckets in compartment HR:Prod:A

Per consentire al gruppo G1 di continuare ad accedere al compartimento A, non è necessario alcun intervento manuale.

Quando si sposta un compartimento in un altro, le quote delle risorse nel compartimento di destinazione non vengono verificate e non vengono applicate. Pertanto, se lo spostamento del compartimento comporta una violazione della quota nel compartimento di destinazione, lo spostamento non viene bloccato. Una volta completato lo spostamento, il compartimento di destinazione si troverà in uno stato di quota eccessiva. Non sarà possibile creare nuove risorse oltre quota fino a quando non si adeguano le quote per il compartimento di destinazione o non si rimuovono le risorse in modo da rispettare la quota esistente. Per ulteriori informazioni sulla gestione delle quote di compartimento, vedere Panoramica delle quote di compartimento.

Le tag non vengono aggiornate automaticamente dopo lo spostamento di un compartimento. Se hai implementato una strategia di applicazione tag basata sul compartimento, devi aggiornare le tag nelle risorse dopo lo spostamento. Ad esempio, si supponga che CompartmentA disponga di un compartimento figlio, CompartmentB. CompartmentA viene impostato con le impostazioni predefinite delle tag in modo che ogni risorsa in CompartmentA venga contrassegnata con TagA. Pertanto, CompartmentB e tutte le relative risorse sono contrassegnate con il tag predefinito TagA. Quando si sposta CompartmentB in CompartmentC, saranno comunque presenti le tag predefinite da CompartmentA. Se sono state impostate tag predefinite per CompartmentC, sarà necessario aggiungerle alle risorse nel compartimento spostato.