Gestione dell'accesso utente agli ambienti delle applicazioni

Impostare gli utenti in modo che utilizzino gli ambienti applicativi nella console di Oracle Cloud.

In questo argomento viene spiegato come impostare utenti aggiuntivi per utilizzare gli ambienti applicativi gestiti nella console di Oracle Cloud. Se è necessario aggiungere utenti per lavorare nell'applicazione, vedere la documentazione dell'applicazione.

Applications environment management integrates with the Identity and Access Management Service (IAM) service for authentication and authorization. IAM utilizza i criteri per concedere le autorizzazioni ai gruppi. Gli utenti hanno accesso alle risorse, ad esempio gli ambienti applicativi, in base ai gruppi a cui appartengono.

L'utente immesso durante il passo di creazione della tenancy è l'amministratore predefinito della tenancy. L'amministratore predefinito può eseguire tutti i task per tutti i servizi, inclusa la creazione di gruppi, criteri e utenti per concedere l'accesso alle risorse.

Suggerimento

In questo argomento vengono fornite le procedure di base per la creazione di tipi di utente specifici nell'account per iniziare a utilizzare la gestione dell'ambiente dell'applicazione. Per informazioni dettagliate complete sulla gestione degli utenti nella console di Oracle Cloud, vedere Gestione degli utenti.

Aggiungere un amministratore di tenancy

È possibile aggiungere un amministratore della tenancy mediante la creazione di un utente e l'aggiunta al gruppo di amministratori della tenancy. I membri del gruppo Amministratori hanno accesso a tutte le funzioni e a tutti i servizi nella console di Oracle Cloud.

Per aggiungere un amministratore della tenancy:

Nella home page della console di Oracle Cloud fare clic su Aggiungi un utente alla tenancy. Viene visualizzata la lista di utenti nel dominio corrente.
Fare clic su Crea utente.
Immettere il nome e il cognome dell'utente.
Per fare in modo che l'utente esegua il login con il proprio indirizzo e-mail:
- Lasciare selezionata la casella di controllo Usa indirizzo e-mail come nome utente.
- Immettere l'indirizzo di posta elettronica per l'account utente nel campo Nome utente/E-mail.
o
Per fare in modo che l'utente esegua il login con il proprio nome utente:
- Deselezionare la casella di controllo Utilizzare l'indirizzo di posta elettronica come nome utente.
- Nel campo Nome utente, immettere il nome utente che l'utente dovrà utilizzare per collegarsi alla console.
- Nel campo E-mail immettere l'indirizzo e-mail dell'account utente.
In Seleziona gruppi a cui assegnare questo utente, selezionare la casella di controllo per gli amministratori.
Fare clic su Crea.

Viene inviata un'e-mail di benvenuto all'indirizzo immesso per il nuovo utente. Il nuovo utente può seguire le istruzioni di attivazione dell'account nel messaggio di posta elettronica per collegarsi e iniziare a utilizzare la tenancy.

Aggiunta di un utente con accesso limitato

Per gli utenti che non devono disporre dell'accesso amministratore completo, è possibile creare criteri che definiscono l'accesso consentito. Questo processo è composto da quattro passi:

Trovare il dominio di Identity.
Creare un gruppo.
Creare un criterio che conceda al gruppo l'accesso appropriato alle risorse.
Creare un utente e aggiungerlo al gruppo.

È possibile creare criteri che concedono livelli di accesso diversi per gruppi diversi. Ad esempio, è possibile creare un criterio che concede autorizzazioni complete di gestione dell'ambiente per un gruppo denominato Amministratori dell'ambiente. È possibile creare un secondo criterio che conceda solo funzionalità di monitoraggio per un gruppo denominato Visualizzatori ambiente.

I task riportati di seguito illustrano come creare un gruppo, un criterio e un utente nel servizio IAM (Identity and Access Management). L'amministratore predefinito può eseguire questi task oppure un altro utente a cui è stato concesso l'accesso per amministrare IAM.

Trovare il dominio di Identity

Un dominio di identità è un contenitore per la gestione di utenti e ruoli, la federazione e il provisioning degli utenti, l'integrazione sicura delle applicazioni tramite la configurazione Oracle Single Sign-On (SSO) e l'amministrazione OAuth. Quando si scrive un criterio, è necessario identificare il dominio di Identity a cui appartiene il gruppo.

Per trovare i domini di Identity nella tenancy:

Aprire il menu di navigazione in Infrastruttura e fare clic su identità e sicurezza per espandere il menu, quindi in identità fare clic su Domini.

Tutte le tenancy includono un dominio predefinito. La tenancy potrebbe includere anche il dominio OracleIdentityCloudService, nonché altri domini creati dall'organizzazione.

Lista di domini di Identity di esempio

Crea un gruppo

Passare alla pagina Gruppi del dominio di Identity: aprire il menu di navigazione in Infrastruttura e fare clic su Identità e sicurezza per espandere il menu, quindi in Identità fare clic su Domini.
Fare clic sul dominio in cui si desidera aggiungere il gruppo. In questo esempio, il gruppo verrà aggiunto al dominio predefinito.
Nella lista di risorse a sinistra fare clic su Gruppi.
Fare clic su Crea gruppo.
Immettere:
- Nome: un nome univoco per il gruppo, ad esempio Environment-Admins. Il nome deve essere univoco in tutti i gruppi della tenancy. Non è possibile modificare in seguito.
- Descrizione: una descrizione descrittiva. Se lo si desidera, è possibile modificarlo in seguito.
- Opzioni avanzate - Tag: facoltativamente, è possibile applicare le tag. Se si dispone delle autorizzazioni per creare una risorsa, si dispone anche delle autorizzazioni per applicare tag in formato libero a tale risorsa. Per applicare una tag definita, è necessario disporre delle autorizzazioni per utilizzare lo spazio di nomi tag. Per ulteriori informazioni sull'applicazione di tag, vedere Tag delle risorse. Se non si è certi di applicare le tag, saltare questa opzione (è possibile applicare le tag in un secondo momento) o chiedere all'amministratore.
Fare clic su Crea.

Creare il criterio

Prima di creare il criterio, è necessario conoscere il valore corretto per il tipo di risorsa dell'applicazione. Il tipo di risorsa è ciò a cui il criterio concede l'accesso. Vedere Applications Services Policy Reference per trovare il tipo di risorsa corretto per l'applicazione.

Se ci si trova ancora nella pagina Gruppi del passo precedente, fare clic su Domini nei collegamenti dell'indicatore di percorso nella parte superiore della pagina. Nella pagina Domini, fare clic su Criteri sul lato sinistro della pagina.

In caso contrario, aprire il menu di navigazione in Infrastruttura e fare clic su Identità e sicurezza per espandere il menu, quindi in Identità fare clic su Criteri. Viene visualizzata la lista di criteri.
Fare clic su Create Policy.
Immettere:
- Nome: un nome univoco per il criterio. Il nome deve essere univoco in tutti i criteri nella tenancy. Non è possibile modificare in seguito.
- Descrizione: una descrizione descrittiva. Se lo si desidera, è possibile modificarlo in seguito.
- Compartimento: assicurarsi che la tenancy (compartimento radice) sia selezionata.
In Costruzione guidata criteri, attivare Mostra editor manuale per visualizzare la casella di testo per l'immissione di testo in formato libero.
Immettere le istruzioni dei criteri per concedere l'accesso alle risorse richieste.

I criteri seguono il formato:
```
Allow '<identity_domain_name>'/'<group-name>' to <verb> <resource-type> in <location> 
```
Dove

<identity-domain-name> è il dominio di identità in cui risiede il gruppo.

<your-group-name> è il gruppo creato in un passo precedente.

<application-name> è il nome di risorsa IAM appropriato per l'applicazione. Per un elenco dei nomi delle risorse, vedere Applications Services Policy Reference.

<location> può essere un nome di compartimento o una "tenancy" per indicare che l'autorizzazione viene concessa a tutti i compartimenti della tenancy.

Ad esempio, le istruzioni per creare un amministratore di ambiente per Maxymiser sono le seguenti:
```
Allow group 'Default'/'Environment-Admins' to manage maxymiser-environment-family in tenancy
Allow group 'Default'/'Environment-Admins' to read organizations-subscriptions in tenancy
Allow group 'Default'/'Environment-Admins' to read organizations-assigned-subscriptions in tenancy
Allow group 'Default'/'Environment-Admins'' to read organizations-subscription-regions in tenancy
Allow group 'Default'/'Environment-Admins' to read app-listing-environments in tenancy
Allow group 'Default'/'Environment-Admins' to read metrics in tenancy
Allow group 'Default'/'Environment-Admins' to inspect domains in tenancy
Allow group 'Default'/'Environment-Admins' to read announcements in tenancy 
```
Nota

Se il gruppo si trova nel dominio di Identity predefinito, è possibile omettere di specificare il valore <identity-domain-name> nel criterio. È sufficiente specificare il nome del gruppo. Ad esempio:
Allow group Environment-Admins to manage maxymiser-environment-family in tenancy
Fare clic su Crea.

Suggerimento

È possibile utilizzare l'opzione Copia nell'esempio di criteri visualizzato nel manuale Applications Services Policy Reference per copiare il set di istruzioni di criteri. È quindi possibile incollare le istruzioni nella casella di testo Costruzione guidata criteri in modo da aggiornare solo i valori per <identity-domain-name> e <your-group-name>.

Crea un utente

Nella home page della console delle applicazioni, in Azioni rapide, fare clic su Aggiungi un utente alla tenancy.
Fare clic su Crea utente.
Immettere il nome e il cognome dell'utente.
Per fare in modo che l'utente esegua il login con il proprio indirizzo e-mail:
- Lasciare selezionata la casella di controllo Usa indirizzo e-mail come nome utente.
- Immettere l'indirizzo di posta elettronica per l'account utente nel campo Nome utente/E-mail.
o
Per fare in modo che l'utente esegua il login con il proprio nome utente:
- Deselezionare la casella di controllo Utilizzare l'indirizzo di posta elettronica come nome utente.
- Nel campo Nome utente, immettere il nome utente che l'utente dovrà utilizzare per collegarsi alla console.
- Nel campo E-mail immettere l'indirizzo e-mail dell'account utente.
Per assegnare l'utente a un gruppo, selezionare la casella di controllo per ogni gruppo che si desidera assegnare all'account utente.
Fare clic su Crea.

Riferimento ai criteri di Applications Services

Nota

I servizi applicativi mostrati qui supportano il provisioning e la gestione degli ambienti self-service. Per informazioni sulla scrittura dei criteri per i servizi delle applicazioni che non supportano il provisioning self-service, vedere Aggiunta di utenti della console di Oracle Cloud.

Nelle sezioni riportate di seguito vengono forniti criteri di esempio che è possibile utilizzare per creare un ruolo di amministratore dell'ambiente e un ruolo di visualizzatore dell'ambiente. Per creare un utente con l'accesso concesso tramite questi criteri, è possibile copiare e incollare il criterio fornito per il servizio, sostituendo il nome del gruppo. Per i dettagli, vedere il suggerimento nel task Crea il criterio sopra riportato.

Livello di autorizzazione

Il livello di autorizzazione è specificato dal verbo nell'istruzione. Per concedere a un altro utente l'accesso per interagire con gli ambienti nella console di Oracle Cloud, utilizzare uno dei verbi riportati di seguito nelle istruzioni dei criteri.

manage: consente all'utente di eseguire tutti i task di gestione per un ambiente, incluse le operazioni di creazione ed eliminazione (se supportate).
use: consente all'utente di aggiornare un ambiente esistente. L'utente non può creare o eliminare un ambiente.
read: consente all'utente di visualizzare tutte le informazioni sull'ambiente.
inspect: consente all'utente di elencare solo gli ambienti. L'utente non può visualizzare le pagine dei dettagli.

Per ulteriori informazioni sulle operazioni consentite da ciascuno di questi verbi, vedere Applications Environment Management IAM Policy Reference.

Istruzioni obbligatorie

Sia il ruolo di amministratore dell'ambiente che quello di visualizzatore dell'ambiente richiedono l'accesso alle risorse dell'ambiente dell'applicazione. L'amministratore richiede le autorizzazioni manage, mentre il visualizzatore richiede solo le autorizzazioni read. Inoltre, entrambi i ruoli richiedono autorizzazioni per le sottoscrizioni alle applicazioni read.

Istruzioni obbligatorie per l'amministratore dell'ambiente

L'amministratore dell'ambiente può eseguire tutti i task necessari per creare e gestire gli ambienti. L'amministratore può anche visualizzare le sottoscrizioni nella tenancy e accedere ai dati delle metriche. Vedere Esempi di criteri specifici dell'applicazione per il valore <application> dell'applicazione.

Allow group '<identity-domain-name>'/'<your-group-name>' to manage <application>-environment-family in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-subscriptions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read subscriptions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-assigned-subscriptions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-subscription-regions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read app-listing-environments in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read metrics in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to inspect domains in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read announcements in tenancy

Dettagli per ogni istruzione dei criteri:


Istruzione criteri	A cosa serve
`Allow group '<identity-domain-name>'/'<your-group-name>' to manage <application>-environment-family in tenancy`	Concede autorizzazioni di gestione complete per gli ambienti dell'applicazione specificati. Include l'accesso alla documentazione sulla conformità.
Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-subscriptions in tenancy Allow group '<identity-domain-name>'/'<your-group-name>' to read subscriptions in tenancy Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-assigned-subscriptions in tenancy Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-subscription-regions in tenancy Allow group '<identity-domain-name>'/'<your-group-name>' to read app-listing-environments in tenancy	Concede le autorizzazioni per leggere le informazioni relative alle sottoscrizioni per accedere alle sottoscrizioni delle applicazioni nella console. Obbligatorio per la visualizzazione delle sottoscrizioni; deve essere a livello di tenancy.
`Allow group '<identity-domain-name>'/'<your-group-name>' to read metrics in tenancy`	Concede l'accesso ai grafici delle metriche e ai dati delle metriche per le risorse OCI.
`Allow group '<identity-domain-name>'/'<your-group-name>' to read announcements in tenancy`	Concede l'accesso agli annunci di lettura.
`Allow group '<identity-domain-name>'/'<your-group-name>' to inspect domains in tenancy`	Concede l'accesso alla lista dei domini di Identity.

Istruzioni obbligatorie per Visualizzatore ambiente

Questo utente può visualizzare i dettagli e monitorare gli ambienti nella console di Oracle Cloud. Questo ruolo non può effettuare aggiornamenti. Il visualizzatore dell'ambiente può anche visualizzare le sottoscrizioni nei dati della tenancy e delle metriche di accesso. Vedere Esempi di criteri specifici dell'applicazione per il valore <application> dell'applicazione.

Allow group '<identity-domain-name>'/'<your-group-name>' to read <application>-environment-family in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-subscriptions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read subscriptions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-assigned-subscriptions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-subscription-regions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read app-listing-environments in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read metrics in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to inspect domains in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read announcements in tenancy

L'unica differenza tra questo criterio e il criterio di amministratore è il verbo read per la risorsa environment-family.

Esempi di criteri specifici dell'applicazione

Utilizzare gli esempi riportati in questa sezione per creare i ruoli di amministratore dell'ambiente e visualizzatore dell'ambiente per l'applicazione.

Criteri di Oracle B2C Service

B2C Amministratore servizi o Visualizzatore

L'amministratore o il visualizzatore del servizio B2C può visualizzare i dettagli e monitorare gli ambienti nella console di Oracle Cloud. L'amministratore o il visualizzatore può anche accedere ai dati delle metriche e visualizzare le sottoscrizioni e gli ambienti delle applicazioni nella tenancy.