Gestione dei compartimenti

Quando si crea un compartimento, è necessario fornire un nome per tale compartimento (massimo 100 caratteri, inclusi lettere, numeri, punti, trattini e caratteri di sottolineatura) univoco all'interno del proprio compartimento padre. È inoltre necessario fornire una descrizione, che sia una descrizione non univoca e modificabile per il compartimento, da 1 a 400 caratteri. Oracle assegnerà inoltre al compartimento un ID univoco denominato ID Oracle Cloud. Per ulteriori informazioni, vedere Identificativi delle risorse.

È possibile creare compartimenti secondari nei compartimenti per creare gerarchie con profondità di sei livelli.

Per informazioni sul numero di compartimenti che puoi avere, consulta la sezione relativa ai limiti del servizio.

Dopo aver creato un compartimento, è necessario scrivere almeno un criterio per tale compartimento, altrimenti nessuno potrà accedervi (ad eccezione degli amministratori o degli utenti con autorizzazioni impostate a livello di tenancy). Quando si crea un compartimento all'interno di un altro compartimento, il compartimento eredita le autorizzazioni di accesso dai compartimenti al di sopra della gerarchia. Per ulteriori informazioni, vedere Eredità dei criteri.

Quando crei un criterio di accesso, devi specificare a quale compartimento collegarlo. Questo determina chi può modificare o eliminare il criterio in un secondo momento. A seconda della modalità di progettazione della gerarchia del compartimento, è possibile collegarla alla tenancy, a un elemento padre o al compartimento specifico stesso. Per ulteriori informazioni, vedere Allegato ai criteri.

Per inserire una nuova risorsa in un compartimento, è sufficiente specificare tale compartimento durante la creazione della risorsa (il compartimento è una delle informazioni necessarie per creare una risorsa). Se si utilizza la console, è sufficiente assicurarsi di visualizzare per la prima volta il compartimento in cui si desidera creare la risorsa. Tenere presente che la maggior parte delle risorse IAM risiede nella tenancy (inclusi utenti, gruppi, compartimenti ed eventuali criteri collegati alla tenancy) e non può essere creata o gestita da un compartimento specifico.

La maggior parte delle risorse può essere spostata dopo la creazione. Sono disponibili alcune risorse che non è possibile spostare da un compartimento all'altro. Inoltre, non puoi spostare determinate risorse da una zona di sicurezza a un compartimento che non si trova nella stessa zona di sicurezza, perché potrebbe essere meno sicuro. Per informazioni dettagliate sulle limitazioni per le risorse nelle zone di sicurezza, vedere Limitare lo spostamento delle risorse.

Alcune risorse hanno dipendenze risorse collegate e altre no. Non tutte le dipendenze collegate si comportano allo stesso modo quando la risorsa padre si sposta.

Per alcune risorse, le dipendenze collegate vengono spostate con la risorsa padre nel nuovo compartimento. La risorsa padre si sposta immediatamente, ma in alcuni casi le dipendenze collegate si spostano in modo asincrono e non sono visibili nel nuovo compartimento fino al completamento dello spostamento.

Per le altre risorse, le dipendenze delle risorse collegate non vengono spostate nel nuovo compartimento. È possibile spostare queste risorse collegate in modo indipendente.

Dopo aver spostato la risorsa nel nuovo compartimento, i criteri che governano il nuovo compartimento vengono applicati immediatamente e influiscono sull'accesso alla risorsa. A seconda della struttura dell'organizzazione del compartimento, possono essere interessati anche misurazione, fatturazione e allarmi.

Per acquisire familiarità con il comportamento di ogni risorsa e dei relativi allegati, consultare la documentazione del servizio relativa alle singole risorse.

Non è possibile ottenere una lista di tutte le risorse in un compartimento utilizzando una singola chiamata API. Al contrario, puoi elencare tutte le risorse di un determinato tipo nel compartimento (ad esempio, tutte le istanze, tutti i volumi di storage a blocchi e così via).

Per eliminare un compartimento, deve essere vuoto tra tutte le risorse. Prima di avviare l'eliminazione di un compartimento, assicurarsi che tutte le relative risorse siano state spostate, eliminate o arrestate, inclusi i criteri collegati al compartimento.

L'azione di eliminazione è asincrona e avvia una richiesta di lavoro. Lo stato del compartimento diventa Eliminazione durante l'esecuzione della richiesta di lavoro. Il completamento della richiesta di lavoro richiede in genere alcuni minuti. Lo stato In fase di eliminazione non viene visualizzato nel selettore compartimento. Se la richiesta di lavoro non riesce, il compartimento non viene eliminato e torna allo stato Attivo.

Dopo l'eliminazione di un compartimento, il relativo stato viene aggiornato in Eliminato e al nome viene aggiunta una stringa casuale di caratteri, ad esempio CompartmentA può diventare CompartmentA.qR5hP2BD. La ridenominazione del compartimento consente di riutilizzare il nome originale per un altro compartimento. Oracle visualizza il compartimento eliminato nella pagina Compartimenti per il compartimento eliminato 90 days.The che viene rimosso dal selettore compartimento. Se le istruzioni dei criteri fanno riferimento al compartimento eliminato, il nome nell'istruzione dei criteri viene aggiornato al nuovo nome.

Per recuperare un compartimento, è necessario prima selezionarlo dalla lista nella pagina del compartimento. Potrebbe essere necessario utilizzare il filtro di stato per visualizzare il compartimento eliminato. Tenere presente che i compartimenti eliminati vengono rinominati aggiungendo una stringa casuale di caratteri al nome del compartimento originale. Ad esempio, CompartmentA potrebbe diventare CompartmentA.qR5hP2BD. Oracle visualizza il compartimento eliminato nella pagina Compartimenti per 90 giorni.

Quando si recupera un compartimento eliminato, il nome non viene modificato. Ad esempio, se si recupera un compartimento eliminato denominato CompartmentA.qR5hP2BD, il nome rimane invariato. Poiché le istruzioni dei criteri vengono aggiornate per utilizzare i nuovi nomi dei compartimenti eliminati, tutte le istruzioni dei criteri che avevano fatto riferimento al compartimento eliminato fanno ora riferimento al compartimento recuperato.

Le impostazioni predefinite delle tag consentono di specificare le tag da applicare automaticamente a tutte le risorse, al momento della creazione, nel compartimento corrente. Per ulteriori informazioni, vedere Gestione dei valori predefiniti delle tag.

Per spostare un compartimento, è necessario appartenere a un gruppo che dispone delle autorizzazioni manage all-resources sul compartimento padre condiviso più basso del compartimento corrente e del compartimento di destinazione.

• Non è possibile spostare un compartimento se l'origine o la destinazione fa parte di una zona di sicurezza. È necessario utilizzare la console Security Zones per gestire i compartimenti all'interno di una zona di sicurezza.

• Non è possibile spostare un compartimento in un compartimento di destinazione con lo stesso nome del compartimento in fase di spostamento.

  Ad esempio, si supponga che il compartimento A e il compartimento B si trovino entrambi sotto il compartimento radice. Sotto il compartimento A si trova un sottocompartimento, chiamato anche compartimento B. Non è possibile spostare il compartimento B nel compartimento padre B.

  

• Due compartimenti all'interno dello stesso padre non possono avere lo stesso nome. Pertanto, non è possibile spostare un compartimento in un compartimento di destinazione in cui esiste già un compartimento con lo stesso nome.

Dopo aver spostato un compartimento in un nuovo compartimento padre, i criteri di accesso del nuovo padre diventano effettivi e i criteri del padre precedente non vengono più applicati. Prima di spostare un compartimento, assicurarsi che:

• Si è consapevoli dei criteri che regolano l'accesso al compartimento nella posizione corrente.
• Si è consapevoli dei criteri nel nuovo compartimento padre che diventeranno effettivi quando si sposta il compartimento.

In alcuni casi, quando si spostano compartimenti nidificati con criteri che specificano la gerarchia, i criteri vengono aggiornati automaticamente per garantire la coerenza.

La figura seguente mostra una gerarchia di compartimenti in cui il compartimento C, un figlio di A:B, viene spostato nella gerarchia A:D.

La tenancy dispone dei criteri seguenti definiti per i compartimenti B e D:

Policy1: Allow group G1 to manage instance-family in compartment A:B

Policy2: Allow group G2 to manage instance-family in compartment A:D

Impatto quando il compartimento C viene spostato da B a D:

Il gruppo G1 non può più gestire le famiglie di istanze nel compartimento C.

Il gruppo G2 ora può gestire le famiglie di istanze nel compartimento C.

Assicurarsi di essere consapevoli non solo dei gruppi che perdono le autorizzazioni quando si sposta un compartimento, ma anche dei gruppi che otterranno le autorizzazioni.

Quando si sposta un compartimento, alcuni criteri verranno aggiornati automaticamente. I criteri che specificano la gerarchia del compartimento in basso nel compartimento da spostare verranno aggiornati automaticamente quando il criterio viene collegato a un predecessore condiviso del padre corrente e di destinazione. Esaminare gli esempi riportati di seguito.

Esempio 1: criterio aggiornato automaticamente

In questo esempio il compartimento A viene spostato da Operations:Test a Operations:Dispositivo. Il criterio che regola il compartimento A è collegato all'elemento padre condiviso, Operations. Quando il compartimento viene spostato, l'istruzione dei criteri viene aggiornata automaticamente dal servizio IAM per specificare la nuova posizione del compartimento.

Il criterio

Allow group G1 to manage buckets in compartment Test:A 

aggiornata al

Allow group G1 to manage buckets in compartment Dev:A

Non è necessario alcun intervento manuale per consentire al gruppo G1 di continuare ad accedere al compartimento A nella relativa posizione.

Esempio 2: criterio non aggiornato

In questo esempio il compartimento A viene spostato da Operations:Test a Operations:Dispositivo. Tuttavia, il criterio che regola il compartimento A qui viene collegato direttamente al compartimento di test. Quando il compartimento viene spostato, il criterio non viene aggiornato automaticamente. Il criterio che specifica il compartimento A non è più valido e deve essere rimosso manualmente. Il gruppo G1 non ha più accesso al compartimento A nella nuova posizione in Sviluppo. A meno che un altro criterio esistente non conceda l'accesso al gruppo G1, è necessario creare un nuovo criterio per consentire a G1 di continuare a gestire i bucket nel compartimento A.

Esempio 3: il criterio collegato alla tenancy viene aggiornato

In questo esempio il compartimento A viene spostato da Operations:Test a HR:Prod. Il criterio che regola il compartimento A è collegato alla tenancy, ovvero un predecessore condiviso dal compartimento padre originale e dal nuovo compartimento padre. Pertanto, quando il compartimento viene spostato, l'istruzione dei criteri viene aggiornata automaticamente dal servizio IAM per specificare la nuova posizione del compartimento.

L'istruzione criterio:

Allow group G1 to manage buckets in compartment Operations:Test:A 

aggiornata al

Allow group G1 to manage buckets in compartment HR:Prod:A

Non è necessario alcun intervento manuale per consentire al gruppo G1 di continuare ad accedere al compartimento A.

Quando si sposta un compartimento in un altro, le quote di risorse nel compartimento di destinazione non vengono verificate e non vengono applicate. Pertanto, se lo spostamento del compartimento determina una violazione della quota nel compartimento di destinazione, lo spostamento non viene bloccato. Una volta completato lo spostamento, lo stato del compartimento di destinazione sarà Over-quota. Non sarà possibile creare nuove risorse che superano la quota fino a quando non si adeguano le quote per il compartimento di destinazione o si rimuovono le risorse per garantire la conformità alla quota esistente. Per ulteriori informazioni sulla gestione delle quote del compartimento, vedere Panoramica delle quote del compartimento.

Le tag non vengono aggiornate automaticamente dopo lo spostamento di un compartimento. Se è stata implementata una strategia di applicazione tag basata sul compartimento, è necessario aggiornare le tag nelle risorse dopo lo spostamento. Si supponga, ad esempio, che CompartmentA abbia un compartimento figlio, CompartmentB. CompartmentA è impostato con i valori predefiniti delle tag in modo che ogni risorsa in CompartmentA sia contrassegnata con TagA. Pertanto, CompartmentB e tutte le relative risorse vengono contrassegnate con la tag predefinita TagA. Quando si sposta CompartmentB in CompartmentC, verranno comunque visualizzate le tag predefinite da CompartmentA. Se hai impostato le tag predefinite per CompartmentC, dovrai aggiungerle alle risorse nel compartimento spostato.