Documentazione dell'infrastruttura Oracle Cloud

Principal risorsa

Oracle consiglia di utilizzare l'autenticazione basata sui principal delle risorse per Full Stack Disaster Recovery per utilizzare funzioni e funzionalità aggiuntive. Utilizza le identità delle risorse per autenticare e accedere ad altre risorse di Oracle Cloud Infrastructure. Per utilizzare le principal risorsa, l'utente o l'amministratore della tenancy deve definire i criteri e i gruppi dinamici di Oracle Cloud Infrastructure che consentono ai principal di accedere alle risorse di Oracle Cloud Infrastructure.

Per configurare l'autenticazione Resource Principal per Oracle Cloud Infrastructure (OCI) Full Stack Disaster Recovery, effettuare le operazioni riportate di seguito.

1. Creare un gruppo dinamico e definire le regole di corrispondenza come indicato di seguito.

Un gruppo dinamico consente di raggruppare le risorse OCI in modo che possano essere assegnate collettivamente alle autorizzazioni. La definizione delle regole di corrispondenza all'interno del gruppo dinamico specifica le risorse incluse.

Andare a OCI Console:
  1. Connettersi all'account OCI.
  2. Apri il menu di navigazione e seleziona Identità e sicurezza > Domini > [Il tuo dominio] > Gruppi > Gruppi dinamici.
Crea un nuovo gruppo dinamico:
  1. Fare clic su Crea gruppo dinamico.
  2. Fornire un nome e una descrizione significativi.
  3. Nella sezione Regole di corrispondenza, selezionare Corrispondenza con le regole definite di seguito. Questa impostazione garantisce che le risorse corrispondenti a una qualsiasi delle regole specificate vengano incluse nel gruppo dinamico.

Regole di corrispondenza gruppo dinamico:

Selezionare il pulsante di opzione Confronta qualsiasi regola e aggiungere singolarmente le regole riportate di seguito.
Rule 1: All {resource.type='drprotectiongroup', resource.compartment.id='<dr_protection_group_compartment_ocid>'}
Rule 2: Any {instance.compartment.id = '<instance_compartment_ocid>'}
Rule 3: All {resource.type='computecontainerinstance', resource.compartment.id='<mysql_compartment_ocid>'}
Rule 4: All {resource.type='computecontainerinstance', resource.compartment.id='<oke_cluster_compartment_ocid>'}

Salvare il gruppo dinamico:

Dopo aver definito le regole di corrispondenza, fare clic su Crea per salvare il gruppo dinamico.

Per ulteriori informazioni, vedere Linee guida per le regole di corrispondenza nei gruppi dinamici per Oracle Cloud Infrastructure (OCI) Full Stack Disaster Recovery.

2. Creare i criteri IAM per il gruppo dinamico come indicato di seguito.

I criteri IAM concedono le autorizzazioni necessarie al gruppo dinamico per la gestione delle risorse durante le operazioni DR.

Passa ai criteri:

In OCI Console, andare a Identità e sicurezza > Domini > [Dominio] > Criteri.

Creare un nuovo criterio:

  1. Fare clic su Crea criterio.
  2. Fornire il nome e la descrizione del criterio.
  3. Nella Costruzione guidata criteri aggiungere istruzioni per concedere le autorizzazioni necessarie.

Istruzioni criteri:

Le istruzioni dei criteri richieste dipendono dai tipi di risorse gestite da Full Stack DR.

Sostituire <dynamic_group_name> e <resource_compartment_name> con i nomi effettivi dei gruppi dinamici e dei compartimenti.

Tutte le istruzioni della polizza:

Allow dynamic-group <dynamic_group_name> to manage disaster-recovery-family in compartment <dr_protection_group_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage object-family in compartment <object_storage_bucket_compartment_name>
Allow dynamic-group <dynamic_group_name> to use tag-namespaces in tenancy
Allow dynamic-group <dynamic_group_name> to read all-resources in tenancy
Allow dynamic-group <dynamic_group_name> to manage instance-family in compartment <instance_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage instance-agent-command-execution-family in compartment <instance_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage instance-agent-command-family in compartment <instance_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage instance-agent-plugins in compartment <instance_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage virtual-network-family in compartment <network_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage volume-family in compartment <volume_group_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage file-family in compartment <file_system_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage database-family in compartment <database_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage autonomous-database-family in compartment <autonomous_database_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage autonomous-database-family in compartment <autonomous_container_database_compartment_name>
Allow dynamic-group <dynamic_group_name> to update autonomous-vmclusters in compartment <autonomous_container_database_compartment_name>
Allow dynamic-group <dynamic_group_name> to update autonomousContainerDatabaseDataguardAssociations in compartment <autonomous_container_database_compartment_name>
Allow dynamic-group <dynamic_group_name> to update cloud-autonomous-vmclusters in compartment <autonomous_container_database_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage mysql-family in compartment <mysql_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage load-balancers in compartment <load_balancer_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage network-load-balancers in compartment <network_load_balancer_compartment_name>
Allow dynamic-group <dynamic_group_name> to read secret-family in compartment <vault_compartment_name>
Allow dynamic-group <dynamic_group_name> to read vaults in compartment <vault_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage cluster-family in compartment <oke_cluster_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage cluster-virtualnode-pools in compartment <oke_cluster_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage compute-container-family in compartment <oke_cluster_compartment_name>
Allow any-user to manage objects in compartment <object_storage_bucket_compartment_name> where all { request.principal.type = 'workload', request.principal.namespace = 'brie', request.principal.service_account = 'brie-creator', request.principal.cluster_id = '<cluster_ocid>'}
Allow any-user to manage objects in compartment <object_storage_bucket_compartment_name> where all { request.principal.type = 'workload', request.principal.namespace = 'brie', request.principal.service_account = 'brie-reader', request.principal.cluster_id = '<cluster_ocid>'}
Allow dynamic-group <dynamic_group_name> to read fn-app in compartment <function_compartment_name>
Allow dynamic-group <dynamic_group_name> to read fn-function in compartment <function_compartment_name>
Allow dynamic-group <dynamic_group_name> to use fn-invocation in compartment <function_compartment_name>

Per ulteriori informazioni, consulta le linee guida per le istruzioni dei criteri per Oracle Cloud Infrastructure (OCI) Full Stack Disaster Recovery

Rivedi e crea:

Dopo aver aggiunto le istruzioni necessarie, rivedere il criterio e fare clic su Crea per applicarlo.

Seguendo questi passaggi, puoi impostare l'autenticazione Resource Principal per OCI Full Stack Disaster Recovery, consentendo una gestione sicura ed efficiente delle tue operazioni di disaster recovery.

Di riferimento:

Linee guida per le regole di corrispondenza nei gruppi dinamici per Oracle Cloud Infrastructure (OCI) Full Stack Disaster Recovery

Definisci regole di corrispondenza:

Allinea le regole di corrispondenza delle risorse in base al tipo di risorsa che desideri proteggere con il servizio Full Stack Disaster Recovery.

Regole di corrispondenza gruppo di protezione DR:

Questo è un passo obbligatorio, poiché si tratta del principal risorsa utilizzato principalmente per la configurazione e l'esecuzione DR utilizzando il principal risorsa

Tutti i gruppi di protezione DR in un compartimento specifico:

All {resource.type='drprotectiongroup', resource.compartment.id='<dr_protection_group_compartment_ocid>'}
Replace <dr_protection_group_compartment_ocid> with your DR protection group compartment OCID.

Tutti i gruppi di protezione DR in più compartimenti:

All {resource.type='drprotectiongroup', resource.compartment.id='<dr_protection_group_compartment_ocid1>'}
All {resource.type='drprotectiongroup', resource.compartment.id='<dr_protection_group_compartment_ocid2>'}

Tutti i gruppi di protezione DR in tutti i compartimenti:

All {resource.type='drprotectiongroup'}

Regole corrispondenza istanza di computazione:

Questa operazione è necessaria se nel gruppo di protezione DR sono presenti istanze di computazione, membri mobili o non mobili. Utilizzare le regole riportate di seguito per includere le istanze di computazione nella configurazione DR.

Tutte le istanze all'interno di un compartimento specifico:
Any {instance.compartment.id = '<instance_compartment_ocid>'}
Replace <instance_compartment_ocid> with your compute instance compartment OCID

Istanze in più compartimenti:

Any {instance.compartment.id = '<instance_compartment_ocid1>'}
Any {instance.compartment.id = '<instance_compartment_ocid2>'}

Regole di corrispondenza del cluster OKE e del sistema DB MySQL:

Questa operazione è necessaria se nel gruppo di protezione DR sono presenti membri del cluster OKE o del sistema DB MySQL.

Per proteggere i cluster OKE e i sistemi DB MySQL, utilizzare:
Nota

Le configurazioni e le esecuzioni del disaster recovery vengono eseguite tramite istanze di container di computazione

Tutte le istanze cluster OKE in un compartimento specifico:

All {resource.type='computecontainerinstance', resource.compartment.id='<oke_cluster_compartment_ocid>'}
Replace <oke_cluster_compartment_ocid> with your OKE cluster compartment OCID

Tutti i sistemi DB MySQL in un compartimento specifico:

All {resource.type='computecontainerinstance', resource.compartment.id='<mysql_compartment_ocid>'}
Replace <mysql_compartment_ocid> with the relevant MySQL compartment OCID

Tutte le istanze dei container di computazione indipendentemente dal compartimento (si applicano a tutte le risorse rilevanti):

All {resource.type='computecontainerinstance'}

Queste regole garantiscono che qualsiasi condizione specificata possa corrispondere, consentendo flessibilità nell'inclusione delle risorse.

Regole per le istruzioni dei criteri per Oracle Cloud Infrastructure (OCI) Full Stack Disaster Recovery:

Per consentire una gestione trasparente delle risorse con Full Stack DR, imposta i criteri IAM per il tuo gruppo dinamico. Di seguito sono riportati alcuni esempi di tipi di membri diversi.

Criteri risorse comuni (applicabili tra tipi di membri)

Networking (per: istanze di computazione, Autonomous DB, load balancer, file system, cluster OKE):

Allow dynamic-group <dynamic_group_name> to use virtual-network-family in compartment <network_compartment_name>
Allow dynamic-group <dynamic_group_name> to use subnets in compartment <network_compartment_name>
Allow dynamic-group <dynamic_group_name> to use vnics in compartment <network_compartment_name>
Allow dynamic-group <dynamic_group_name> to use network-security-groups in compartment <network_compartment_name>
Allow dynamic-group <dynamic_group_name> to use private-ips in compartment <network_compartment_name>
Allow dynamic-group <dynamic_group_name> to use public-ips in compartment <network_compartment_name>
Allow dynamic-group <dynamic_group_name> to use tag-namespaces in compartment <tag_compartment_name>

Vault (per: istanze di computazione, Autonomous DB, gruppi di volumi, file system, cluster OKE):

Allow dynamic-group <dynamic_group_name> to read vaults in compartment <vault_compartment_name>
Allow dynamic-group <dynamic_group_name> to read secret-family in compartment <vault_compartment_name
Applicazione di tag (per: tutte le risorse):
Allow dynamic-group <dynamic_group_name> to use tag-namespaces in
    tenancy

Per le risorse del servizio di disaster recovery (configurazione e azioni DR):

Allow dynamic-group <dynamic_group_name> to manage disaster-recovery-family in compartment <dr_protection_group_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage objects in compartment <dr_protection_group_compartment_name>
Allow dynamic-group <dynamic_group_name> to read all-resources in tenancy
Storage di log (per: cluster OKE, sistemi DB MySQL, esecuzione del piano DR):
Allow dynamic-group <dynamic_group_name> to manage object-family in compartment
      <object_storage_bucket_compartment_name>
Criteri specifici del tipo di membro della risorsa:
  1. Istanze di computazione (movable e non rimovibile):
    Allow dynamic-group <dynamic_group_name> to manage instance-family in compartment <instance_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage volume-family in compartment <volume_group_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage virtual-network-family in compartment <instance_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage instance-agent-command-execution-family in compartment <instance_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage instance-agent-command-family in compartment <instance_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage instance-agent-plugins in compartment <instance_compartment_name>
  2. Gruppi di volumi
    Allow dynamic-group <dynamic_group_name> to manage volume-family in compartment <volume_group_compartment_name>(Include Vault policies from above)
  3. File system
    Allow dynamic-group <dynamic_group_name> to manage file-family in compartment <file_system_compartment_name>(Include Vault policies from above)
  4. Bucket di storage degli oggetti
    Allow dynamic-group <dynamic_group_name> to manage object-family in compartment <object_storage_bucket_compartment_name>
  5. Database
    Allow dynamic-group <dynamic_group_name> to manage databases in compartment <database_compartment_name>(Include Vault policies from above)
  6. Autonomous Database
    Allow dynamic-group <dynamic_group_name> to manage autonomous-database-family in compartment <autonomous_database_compartment_name>
(Include Vault policies from above)
  7. Autonomous Container Database
    Allow dynamic-group <dynamic_group_name> to manage autonomous-database-family in compartment <autonomous_container_database_compartment_name>
Allow dynamic-group <dynamic_group_name> to update cloud-autonomous-vmclusters in compartment <autonomous_container_database_compartment_name>
Allow dynamic-group <dynamic_group_name> to update autonomous-vmclusters in compartment <autonomous_container_database_compartment_name>
Allow dynamic-group <dynamic_group_name> to update autonomousContainerDatabaseDataguardAssociations in compartment <autonomous_container_database_compartment_name>
  8. Sistemi DB MySQL
    Allow dynamic-group <dynamic_group_name> to manage mysql-family in compartment <mysql_compartment_name>
  9. Load balancer
    Allow dynamic-group <dynamic_group_name> to manage load-balancers in compartment <load_balancer_compartment_name>
  10. Load balancer di rete
    Allow dynamic-group <dynamic_group_name> to manage network-load-balancers in compartment <network_load_balancer_compartment_name>
  11. Cluster OKE
    Allow dynamic-group <dynamic_group_name> to manage cluster-family in compartment <oke_cluster_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage cluster-virtualnode-pools in compartment <oke_cluster_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage compute-container-family in compartment <oke_cluster_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage object-family in compartment <object_storage_bucket_compartment_name>
With Virtual Node Pool:
Allow any-user to manage objects in compartment <object_storage_bucket_compartment_name> where all { request.principal.type = 'workload', request.principal.namespace = 'brie', request.principal.service_account = 'brie-reader', request.principal.cluster_id = '<cluster_ocid>'}
Allow any-user to manage objects in compartment <object_storage_bucket_compartment_name> where all { request.principal.type = 'workload', request.principal.namespace = 'brie', request.principal.service_account = 'brie-creator', request.principal.cluster_id = '<cluster_ocid>'}
  12. Passi definiti dall'utente
    Allow dynamic-group <dynamic_group_name> to manage instance-agent-command-execution-family in compartment <instance_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage instance-agent-command-family in compartment <instance_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage instance-agent-plugins in compartment <instance_compartment_name>
Allow dynamic-group <dynamic_group_name> to manage objects in compartment <object_storage_bucket_compartment_name>
  13. Funzioni (Tipo fase: FUNZIONI)
    Allow dynamic-group <dynamic_group_name> to read fn-app in compartment <function_compartment_name>
Allow dynamic-group <dynamic_group_name> to read fn-function in compartment <function_compartment_name>
Allow dynamic-group <dynamic_group_name> to use fn-invocation in compartment <function_compartment_name>

Sostituire <Dynamic_Group_Name> con il nome del gruppo dinamico e <resource_compartment_name> con il nome del compartimento appropriato per ogni tipo di risorsa.

Per ulteriori dettagli sui criteri creati nel passo precedente, fare riferimento alle Policy per altri servizi gestiti da Full Stack Disaster Recovery.

Per ulteriori dettagli su come aggiungere regole di corrispondenza nei gruppi dinamici creati nel passo precedente, vedere Scrittura di regole di corrispondenza per definire i gruppi dinamici.

Per ulteriori dettagli su come aggiungere istruzioni dei criteri nei criteri per il gruppo dinamico creato nel passo precedente, vedere Scrittura dei criteri per i gruppi dinamici.

Argomento padre: Criteri