Uso delle tag per gestire l'accesso

È possibile utilizzare il carattere * per trovare tutte le occorrenze di {tagNamespace}.{tagKeyDefinition} indipendentemente dal valore. Nel criterio è possibile posizionare * tra apici '*' o tra barre rovesciate /*/ . ad esempio

allow group GroupA to use all-resources in compartment HR where target.resource.tag.HR.Project= '*'

In questo esempio, GroupA può utilizzare tutte le risorse del compartimento HR alle quali è applicato un tag con lo spazio di nomi e la chiave di tag: HR.Project con qualsiasi valore.

Oltre al criterio di controllo dell'accesso basato su tag previsto per le risorse del gateway API, sarà necessario un criterio che consenta di gestire le autorizzazioni per api-workrequests.

Di seguito è riportato un criterio di esempio con autorizzazioni aggiuntive:

allow group TestGroup to manage api-workrequests in compartment Compartment1

Oltre al criterio di controllo dell'accesso basato su tag previsto per le risorse del servizio Big Data, sarà necessario un criterio che consenta di gestire le autorizzazioni per cluster-work-requests.

Di seguito è riportato un criterio di esempio con autorizzazioni aggiuntive:

allow group TestGroup to manage cluster-work-requests in compartment Compartment1

Scenari che richiedono criteri aggiuntivi:

Collegare un volume a blocchi a un'istanza di computazione:

Per collegare un volume a blocchi a un'istanza di computazione, oltre al criterio di controllo dell'accesso basato su tag per consentire il verbo use su volumi e istanze, saranno necessarie alcune autorizzazioni aggiuntive.

Ad esempio:

allow group TestGroup to use volumes in compartment Compartment1 where target.resource.tag.TagNS.TagKey = 'test'
allow group TestGroup to use instances in compartment Compartment1 where target.resource.tag.TagNS.TagKey = 'test'

Questi due criteri consentono ai membri di TestGroup di utilizzare volumi e istanze in Compartment1, quando le risorse dispongono della tag appropriata. Per consentire ai membri di collegare un volume a blocchi a un'istanza, saranno necessari anche criteri che consentano le autorizzazioni visualizzate nelle seguenti istruzioni:

allow group TestGroup to read instances in compartment Compartment1
allow group TestGroup to manage volume-attachments in compartment Compartment1 where any {request.permission='VOLUME_ATTACHMENT_CREATE', request.permission='VOLUME_ATTACHMENT_DELETE'}

Scenari che richiedono criteri aggiuntivi:

Collega istanza di computazione alla subnet:

Per gestire il collegamento della subnet di un'istanza di computazione, oltre al criterio di controllo dell'accesso basato su tag previsto per instances e subnets, mostrato qui:

allow group TestGroup to use subnets in compartment Compartment1 where target.resource.tag.TagNS.TagKey = 'test'
allow group TestGroup to manage instances in compartment Compartment1 where target.resource.tag.TagNS.TagKey = 'test'

Avrai bisogno di autorizzazioni aggiuntive su vnics:

allow group TestGroup to use vnics in compartment Compartment1 where ANY{request.permission='VNIC_ATTACH', request.permission='VNIC_CREATE'}

Eliminare una VNIC da un'istanza di computazione:

Per eliminare una VNIC da un'istanza di computazione, oltre al criterio di controllo dell'accesso basato su tag previsto per instances e subnets mostrati qui:

allow group TestGroup to manage instances in compartment Compartment1 where target.resource.tag.TagNS.TagKey = 'test'
allow group TestGroup to use subnets in compartment Compartment1 where target.resource.tag.TagNS.TagKey = 'test'

Avrai bisogno di un criterio che ti consenta le autorizzazioni su vnics:

allow group TestGroup to use vnics in compartment Compartment1 where ANY {request.permission='VNIC_DELETE', request.permission='VNIC_DETACH'}

Oltre al criterio di controllo dell'accesso basato su tag previsto per le risorse di Content Management, sarà necessario disporre di un criterio che consenta di gestire le autorizzazioni per oce-work-requests.

Di seguito è riportato un criterio di esempio con autorizzazioni aggiuntive:

allow group TestGroup to manage oce-requests in compartment Compartment1

Aggiorna tag per l'infrastruttura ExaData:

Non al momento supportato utilizzando criteri di controllo dell'accesso basati su tag.

Scenari che richiedono criteri aggiuntivi:

Elimina un sistema DB:

Per eliminare o aggiornare un sistema DB, oltre al criterio di controllo dell'accesso basato su tag previsto per DB-systems, mostrato qui:

allow group TestGroup to manage db-systems in compartment Compartment1 where target.resource.tag.TagNS.TagKey= 'test'

Avrai bisogno di un criterio che ti consenta le autorizzazioni per db-backups, db-homes, vnics, subnets e databases. Di seguito è riportato un criterio di esempio che mostra le autorizzazioni aggiuntive.

allow group TestGroup to manage db-backups in compartment Compartment1 where ANY {request.permission='DB_BACKUP_DELETE', request.permission='DB_BACKUP_INSPECT'}
allow group TestGroup to manage db-homes in compartment Compartment1 where request.permission='DB_HOME_DELETE'
allow group TestGroup to manage vnics in compartment Compartment1 where ANY {request.permission='VNIC_DELETE', request.permission='VNIC_DETACH'}
allow group TestGroup to manage subnets in compartment Compartment1 where request.permission='SUBNET_DETACH'
allow group TestGroup to manage databases in compartment compartment1

Spostare un sistema DB in un altro compartimento:

Per spostare un sistema DB in un altro compartimento, oltre al criterio di controllo dell'accesso basato su tag previsto per DB-systems mostrato qui:

allow group TestGroup to manage db-systems in compartment Compartment1 where target.resource.tag.TagNS.TagKey= 'test'

Avrai bisogno di un criterio che ti consenta le autorizzazioni per databases, db-homes e db-backups. Di seguito è riportato un criterio di esempio con le autorizzazioni aggiuntive.

allow group TestGroup to use databases in compartment Compartment1 where request.permission='DATABASE_UPDATE'
allow group TestGroup to manage db-backups in compartment Compartment1 where request.permission='DB_BACKUP_INSPECT'
allow group TestGroup to manage db-homes in compartment Compartment1 where request.permission='DB_HOME_UPDATE'

Eliminazione del database per il sistema DB Exadata:

Per eliminare una risorsa di database per un sistema DB Exadata, sarà necessario il criterio di controllo dell'accesso basato su tag previsto per DB-systems e databases mostrato qui:

allow group TestGroup to manage db-systems in compartment Compartment1 where target.resource.tag.TagNS.TagKey= 'test'
allow group TestGroup to manage databases in compartment Compartment1 where target.resource.tag.TagNS.TagKey= 'test'

Sarà inoltre necessario disporre delle autorizzazioni per db-homes e db-backups. Di seguito è riportato un criterio di esempio con autorizzazioni aggiuntive:

allow group TestGroup to manage db-homes in compartment Compartment1 where request.permision='DB_HOME_UPDATE'
allow group TestGroup to manage db-backups in compartment Compartment1 where ANY {request.permission='DB_BACKUP_DELETE', request.permission='DB_BACKUP_INSPECT'}

Elimina database:

L'eliminazione di un database per un sistema DB Bare Metal o Virtual Machine non è supportata utilizzando criteri basati su tag nella risorsa di destinazione.

Creazione backup database:

Per creare un backup del database, avrai bisogno del criterio di controllo dell'accesso basato su tag previsto per databases:

allow group TestGroup to manage databases in compartment Compartment1 where target.resource.tag.TagNS.TagKey= 'test'

È inoltre necessario disporre delle autorizzazioni per db-backups. Di seguito è riportato un criterio di esempio con autorizzazioni aggiuntive:

allow group TestGroup to manage db-backups in compartment Compartment1 where request.permission='DB_BACKUP_CREATE'

Ripristino database:

Per ripristinare un backup del database, avrai bisogno del criterio di controllo dell'accesso basato su tag previsto per databases:

allow group TestGroup to manage databases in compartment Compartment1 where target.resource.tag.TagNS.TagKey= 'test'

È inoltre necessario disporre delle autorizzazioni per backups, come quella mostrata qui:

allow group TestGroup to manage db-backups in compartment Compartment1 where ANY {request.permission='DB_BACKUP_INSPECT', request.permission='DB_BACKUP_CONTENT_READ'}

Crea associazione Data Guard:

La creazione di un'associazione Data Guard non è supportata utilizzando criteri basati su tag per la risorsa di destinazione.

Oltre al criterio di controllo dell'accesso basato su tag previsto per le risorse Data Catalog, per data-catalog-family saranno necessari i criteri aggiuntivi riportati di seguito.

allow group resource_managers to read data-catalog-family in tenancy where request.operation = 'GetWorkRequest'
allow group resource_managers to read data-catalog-family in tenancy where request.operation = 'ListWorkRequestErrors'
allow group resource_managers to read data-catalog-family in tenancy where request.operation = 'listworkrequestlogs'

Oltre al criterio di controllo dell'accesso basato su tag previsto per le risorse Data Science, sarà necessario un criterio che consenta di gestire le autorizzazioni per data-science-work-requests.

Di seguito è riportato un criterio di esempio con autorizzazioni aggiuntive:

allow group TestGroup to manage data-science-work-requests in compartment Compartment1

Oltre al criterio di controllo dell'accesso basato su tag previsto per le risorse Oracle Digital Assistant, saranno necessari i criteri aggiuntivi riportati di seguito per oda-instances.

allow group TestGroup to inspect oda-instances in compartment Compartment1
allow group TestGroup to read oda-instances in compartment Compartment1 request.operation = 'GetWorkRequest'
allow group TestGroup to read oda-instances in compartment Compartment1 request.operation = 'ListWorkRequestErrors'
allow group TestGroup to read oda-instances in compartment Compartment1 request.operation = 'listworkrequestlogs'

Scenari che richiedono criteri aggiuntivi:

Aggiorna load balancer:

Per eseguire qualsiasi aggiornamento dei load balancer, oltre al criterio di controllo dell'accesso basato su tag previsto per load-balancers:

allow group TestGroup to manage load-balancers in compartment Compartment1 where target.resource.tag.TagNS.TagKey= 'test'

Avrai bisogno di un criterio che consenta l'operazione API GetWorkRequest. Di seguito è riportato un criterio di esempio con l'autorizzazione aggiuntiva:

allow group TestGroup to read load-balancers in compartment Compartment1 where request.operation = 'GetWorkRequest'
network-security-group

Elimina load balancer:

Per eliminare un load balancer, oltre al criterio di controllo dell'accesso basato su tag previsto per load-balancers, subnets e network-security-group:

allow group TestGroup to manage load-balancers in compartment Compartment1 where target.resource.tag.TagNS.TagKey= 'test'
allow group TestGroup to use subnets in compartment Compartment1 where target.resource.tag.TagNS.TagKey= 'test'
allow group TestGroup to use network-security-group in compartment Compartment1 where target.resource.tag.TagNS.TagKey= 'test'

Sono necessarie queste autorizzazioni aggiuntive per vnics :

allow group TestGroup to use vnics in compartment Compartment1 where ANY {request.permission = 'VNIC_DETACH', request.permission = 'VNIC_DELETE', request.permission='VNIC_DISASSOCIATE_NETWORK_SECURITY_GROUP'}

Collega gateway di servizio o gateway NAT a una tabella di instradamento:

Il collegamento di un gateway di servizi o di un gateway NAT a una tabella di instradamento non è supportato mediante criteri basati su tag nella risorsa di destinazione.

Scenari che richiedono criteri aggiuntivi:

Collega DRG a VCN:

Per collegare il gateway DRG alla rete VCN, oltre al seguente criterio di controllo dell'accesso basato su tag previsto per virtual-network-family e vcns:

			allow group TestGroup to use virtual-network-family in compartment Compartment1 where target.resource.tag.TagNS.TagKey = 'test'

Avrai bisogno di un criterio che ti consenta le autorizzazioni manage per drgs. Di seguito è riportato un criterio di esempio con le autorizzazioni aggiuntive.

allow group TestGroup to manage drgs in compartment Compartment1

Le risorse supportate sono: nosql-tables, nosql-rows e nosql-indexes.

Oltre al criterio di controllo dell'accesso basato su tag previsto per le risorse NoSQL Database Cloud, saranno necessari i criteri aggiuntivi riportati di seguito.

allow group TestGroup to read nosql-tables in compartment Compartment1 where request.operation='ListWorkRequests'

allow group TestGroup to read nosql-tables in compartment Compartment1 where request.operation='ListWorkRequestErrors'

allow group TestGroup to read nosql-tables in compartment Compartment1 where request.operation='ListWorkRequestLogs'

Tenere presente che i criteri precedenti sono necessari per navigare tra le risorse di NoSQL Database Cloud nella console.

Oltre al criterio di controllo dell'accesso basato su tag previsto per le risorse dns, sarà necessario disporre di un criterio che consenta le autorizzazioni manage per dns-records. Di seguito è riportato un criterio di esempio con le autorizzazioni aggiuntive.

allow group TestGroup to manage dns-records in compartment Compartment1

I criteri che concedono a un utente l'accesso a uno spazio di nomi tag basato su una tag nello spazio di nomi non consentono all'utente di creare o eliminare definizioni chiavi di tag in tale spazio di nomi tag.

Ad esempio, il criterio:

allow group TestGroup to manage tag-namespaces in compartment Compartment1 where target.resource.tag.TagNS.TagKey='test'

non consente agli utenti in TestGroup di creare o eliminare le definizioni delle chiavi di tag negli spazi di nomi tag contrassegnati con TagNS.TagKey='test'.

Oltre al criterio di controllo dell'accesso basato su tag previsto per le risorse WAF, sarà necessario disporre di un criterio che consenta di gestire le autorizzazioni per waas-work-request. Di seguito è riportato un criterio di esempio con le autorizzazioni aggiuntive.

allow group TestGroup to manage waas-work-request in compartment Compartment1

In questo esempio, ogni compartimento di progetto dell'organizzazione contiene due compartimenti figlio: Test e Prod. Si desidera consentire ai tecnici di test di accedere ai compartimenti di test in tutti e tre i progetti. A tale scopo, si crea un tag:

ResourceGroup.Role='Test'

e applicarla ai compartimenti di test in ogni compartimento del progetto.

È quindi possibile utilizzare un criterio come:

allow group Testers to use all-resources in tenancy where target.resource.compartment.tag.ResourceGroup.Role='Test'

per consentire al tuo gruppo Testers di accedere alle risorse in tutti e tre i compartimenti di test.