Criteri IAM per Oracle AI Data Platform Workbench

37 Policy IAM per Oracle AI Data Platform Workbench

Oracle AI Data Platform Workbench è gestito in OCI e richiede i criteri IAM forniti.

Per creare nuove istanze di AI Data Platform Workbench, un utente deve abilitare almeno la funzione di gestione nei criteri IAM:

allow group <aidpAdminIdentityDomain>/<aidpAdminGroup> to manage ai-data-platforms in compartment id <aidpCompartmentId>

Dopo aver creato il workbench AI Data Platform, è possibile concedere le autorizzazioni use a tutti gli utenti a cui si desidera accedere all'istanza. manage è obbligatorio solo per l'utente che crea l'istanza.

allow group <aidpAdminIdentityDomain>/<aidpAdminGroup> to use ai-data-platforms in compartment id <aidpCompartmentId>

AI Data Platform Workbench consente agli utenti due diverse combinazioni di criteri tra cui possono scegliere per impostare la propria istanza.

Opzione 1: Criteri a livello di tenancy (ambito generale)

Con questa opzione, i criteri vengono definiti a livello di tenancy (root), offrendo al workbench AI Data Platform un ampio accesso tra i compartimenti.

Riduce al minimo la necessità di scrivere nuovi criteri IAM ogni volta che aggiungi nuovi carichi di lavoro, origini dati o compartimenti.
Esperienza di onboarding più semplice: richiede meno modifiche dopo l'impostazione iniziale.
Gli utenti hanno un ambito di autorizzazioni più ampio.
Potrebbe non soddisfare i requisiti minimi di privilegi in ambienti regolamentati.

Consenti al servizio workbench AI Data Platform di visualizzare le risorse IAM OCI per configurare il controllo dell'accesso basato sui ruoli delle risorse gestite da AI Data Platform:

allow any-user TO {AUTHENTICATION_INSPECT, DOMAIN_INSPECT, DOMAIN_READ, DYNAMIC_GROUP_INSPECT, GROUP_INSPECT, GROUP_MEMBERSHIP_INSPECT, USER_INSPECT, USER_READ} IN TENANCY where all {request.principal.type='aidataplatform'}

Consenti al servizio Workbench AI Data Platform di creare un gruppo di log di log OCI e fornire i log agli utenti:

allow any-user to manage log-groups in compartment id <aidpCompartmentId> where ALL { request.principal.type='aidataplatform' }
allow any-user to read log-content in compartment id <aidpCompartmentId> where ALL { request.principal.type='aidataplatform' }

Consenti al servizio workbench AI Data Platform di fornire le metriche agli utenti:

allow any-user to use metrics in compartment id <aidpCompartmentId> where ALL {request.principal.type='aidataplatform', target.metrics.namespace='oracle_aidataplatform'}

Consenti al servizio workbench AI Data Platform di creare e gestire il bucket dell'area di lavoro OCI e i dati gestiti nel catalogo principale:

allow any-user to manage buckets in tenancy where all { request.principal.type='aidataplatform', any {request.permission = 'BUCKET_CREATE', request.permission = 'BUCKET_INSPECT', request.permission = 'BUCKET_READ', request.permission = 'BUCKET_UPDATE'}}

Consenti al servizio workbench AI Data Platform di governare/gestire i dati nell'area di lavoro e nel catalogo principale con accesso limitato a livello di istanza di AI Data Platform workbench:

allow any-user to {TAG_NAMESPACE_USE} in tenancy where all {request.principal.type = 'aidataplatform'}
allow any-user to manage buckets in tenancy where all { request.principal.id=target.resource.tag.orcl-aidp.governingAidpId, any {request.permission = 'BUCKET_DELETE', request.permission = 'PAR_MANAGE', request.permission = 'RETENTION_RULE_LOCK', request.permission = 'RETENTION_RULE_MANAGE'} }
allow any-user to read objectstorage-namespaces in tenancy where all { request.principal.type='aidataplatform', any {request.permission = 'OBJECTSTORAGE_NAMESPACE_READ'}}
allow any-user to manage objects in tenancy where all { request.principal.id=target.bucket.system-tag.orcl-aidp.governingAidpId  }

Consenti al servizio workbench di AI Data Platform di chiamare i LLM ospitati sul servizio OCI GenAI:

Nota
Se stai eseguendo l'upgrade dell'istanza per accedere alle funzioni AI, puoi includere entrambi i criteri elencati o selezionare quello pertinente all'istanza. È possibile determinare il tipo di principal (datalake o aidataplatform) rilevante per l'istanza analizzando l'OCID dell'istanza.
```
allow any-user to use generative-ai-family in tenancy where all { request.principal.type='aidataplatform'}
allow any-user to use generative-ai-family in tenancy where all { request.principal.type='datalake'}
```
Consenti agli utenti federati in domini di identità diversi di accedere alle risorse della famiglia di intelligenza artificiale generativa:
```
Allow group <your-domain>/<your-group> to use generative-ai-family in tenancy
```
Consenti al gruppo di amministratori del workbench di AI Data Platform di creare, aggiornare ed eliminare le risorse di Oracle Autonomous AI Lakehouse in un determinato compartimento:
```
allow group <aidpAdminGroup> to manage autonomous-databases in <aidp compartment>
```
Nota
Le istanze di Oracle Autonomous AI Lakehouse devono essere di 26ai o superiori per abilitare le funzioni AI in AI Data Platform Workbench.
Consenti al servizio workbench AI Data Platform di accedere e utilizzare le istanze esistenti di Oracle Autonomous AI Lakehouse in un determinato compartimento:
```
allow group <aidpAdminGroup> to use autonomous-databases in <aidp compartment>
```
Nota
Le istanze di Oracle Autonomous AI Lakehouse devono essere di 26ai o superiori per abilitare le funzioni AI in AI Data Platform Workbench.

Consenti al servizio workbench AI Data Platform di configurare il cluster di calcolo per l'accesso AI dati in una rete privata (facoltativo):

allow any-user to manage vnics in compartment id <aidpCompartmentId> where all { request.principal.type='aidataplatform'}
allow any-user to use subnets in compartment id <aidpCompartmentId> where all { request.principal.type='aidataplatform'}
allow any-user to use network-security-groups in compartment id <aidpCompartmentId> where all { request.principal.type='aidataplatform'}

Consente al servizio di storage degli oggetti di applicare automaticamente le azioni del ciclo di vita (ad esempio l'eliminazione permanente o l'archiviazione) AI dati dell'area di lavoro del workbench AI Data Platform, riducendo le attività di manutenzione manuale e supportando la conformità alle best practice di conservazione dei dati (facoltativo):
```
allow service objectstorage-<<region_identifier>> to manage object-family in compartment id <<aidp-compartment-ocid>>
```

Opzione 2: Criteri a livello di compartimento (ambito con filtro)

Con questa opzione, i criteri vengono definiti a livello di compartimento, ovvero il compartimento in cui viene creata l'istanza di AI Data Platform.

Offre un limite di sicurezza più stretto; limita l'accesso del workbench AI Data Platform a un singolo compartimento per impostazione predefinita.
È possibile aggiungere nuovi criteri di compartimento in modo incrementale quando i flussi di lavoro devono estendersi su compartimenti aggiuntivi.
Richiede di eseguire aggiornamenti manuali IAM ogni volta che è necessario il workbench AI Data Platform per accedere a un compartimento diverso.
Richiede più sovraccarico operativo durante l'espansione.

Consenti al servizio workbench AI Data Platform di visualizzare le risorse IAM OCI per configurare il controllo dell'accesso basato sui ruoli delle risorse gestite da AI Data Platform:

allow any-user TO {AUTHENTICATION_INSPECT, DOMAIN_INSPECT, DOMAIN_READ, DYNAMIC_GROUP_INSPECT, GROUP_INSPECT, GROUP_MEMBERSHIP_INSPECT, USER_INSPECT, USER_READ} IN TENANCY where all {request.principal.type='aidataplatform'}

Consenti al servizio Workbench AI Data Platform di creare un gruppo di log di log OCI e fornire i log agli utenti:

allow any-user to manage log-groups in compartment id <aidpCompartmentId> where ALL { request.principal.type='aidataplatform' }
allow any-user to read log-content in compartment id <aidpCompartmentId> where ALL { request.principal.type='aidataplatform' }

Consenti al servizio workbench AI Data Platform di fornire le metriche agli utenti:

allow any-user to use metrics in compartment id <aidpCompartmentId> where ALL {request.principal.type='aidataplatform', target.metrics.namespace='oracle_aidataplatform'}

Consenti al servizio workbench AI Data Platform di creare e gestire il bucket dell'area di lavoro OCI e i dati gestiti nel catalogo principale:

allow any-user to manage buckets in compartment id <aidpCompartmentId> where all { request.principal.type='aidataplatform', any {request.permission = 'BUCKET_CREATE', request.permission = 'BUCKET_INSPECT', request.permission = 'BUCKET_READ', request.permission = 'BUCKET_UPDATE'}}

Consenti al servizio workbench AI Data Platform di governare/gestire i dati nell'area di lavoro e nel catalogo principale con accesso limitato a livello di istanza di AI Data Platform workbench:

allow any-user to {TAG_NAMESPACE_USE} in tenancy where all {request.principal.type = 'aidataplatform'}
allow any-user to manage buckets in compartment id <aidpCompartmentId> where all { request.principal.id=target.resource.tag.orcl-aidp.governingAidpId, any {request.permission = 'BUCKET_DELETE', request.permission = 'PAR_MANAGE', request.permission = 'RETENTION_RULE_LOCK', request.permission = 'RETENTION_RULE_MANAGE'} }
allow any-user to read objectstorage-namespaces in compartment id <aidpCompartmentId> where all { request.principal.type='aidataplatform', any {request.permission = 'OBJECTSTORAGE_NAMESPACE_READ'}}
allow any-user to manage objects in compartment id <aidpCompartmentId> where all { request.principal.id=target.bucket.system-tag.orcl-aidp.governingAidpId  }

Consenti al servizio workbench AI Data Platform di configurare il cluster di calcolo per l'accesso AI dati in una rete privata (facoltativo):

allow any-user to manage vnics in compartment id <aidpCompartmentId> where all { request.principal.type='aidataplatform'}
allow any-user to use subnets in compartment id <aidpCompartmentId> where all { request.principal.type='aidataplatform'}
allow any-user to use network-security-groups in compartment id <aidpCompartmentId> where all { request.principal.type='aidataplatform'}

Consente al servizio di storage degli oggetti di applicare automaticamente le azioni del ciclo di vita (ad esempio l'eliminazione permanente o l'archiviazione) AI dati dell'area di lavoro del workbench AI Data Platform, riducendo le attività di manutenzione manuale e supportando la conformità alle best practice di conservazione dei dati (facoltativo):
```
allow service objectstorage-<<region_identifier>> to manage object-family in compartment id <<aidp-compartment-ocid>>
```

Criteri aggiuntivi per tabelle esterne

Se l'istanza del workbench di AI Data Platform deve accedere AI dati memorizzati in un compartimento diverso, è necessario concedere criteri aggiuntivi per tale compartimento esterno. Questi criteri consentono al workbench di AI Data Platform di ispezionare, leggere e gestire bucket e oggetti nel compartimento esterno per utilizzarli nell'area di lavoro del workbench di AI Data Platform.

allow any-user to manage buckets in compartment id <external-data-CompartmentId> where all { request.principal.type='aidataplatform', any {request.permission = 'BUCKET_INSPECT', request.permission = 'BUCKET_READ', request.permission = 'BUCKET_UPDATE'}} 
allow any-user to manage buckets in compartment id <external-data-CompartmentId> where all { request.principal.id=target.resource.tag.orcl-aidp.governingAidpId, any {request.permission = 'PAR_MANAGE', request.permission = 'RETENTION_RULE_LOCK', request.permission = 'RETENTION_RULE_MANAGE'} } 
allow any-user to manage objects in compartment id <external-data-CompartmentId> where all { request.principal.id=target.bucket.system-tag.orcl-aidp.governingAidpId } 
allow service objectstorage-<<region_identifier>> to manage object-family in compartment id <external-data-CompartmentId>

Nota

Se si utilizza un dominio di Identity personalizzato (non predefinito), è necessario anteporre al nome del gruppo il nome del dominio nel criterio IAM. Ad esempio:

allow group <aidpAdminIdentityDomain>/<aidpAdminGroup> to manage ai-data-platforms in compartment id <aidpCompartmentId>

Per ulteriori informazioni sui criteri IAM, vedere Panoramica dei criteri IAM.

Per visualizzare ed eseguire il login a un workbench AI Data Platform, l'amministratore deve concedere l'accesso a tale workbench AI Data Platform.