高度なポリシーの機能

ポリシー・ステートメントの一部として、アクセスを付与するために満たす必要のある1つ以上の条件を指定できます。

各条件は、ポリシー・ステートメントで値を指定する1つ以上の事前定義変数で構成されます。後で、他のユーザーが問題のリソースへのアクセスをリクエストしたときに、ポリシーの条件が満たされた場合はtrueと評価され、リクエストが許可されます。条件が満たされない場合はfalseと評価され、リクエストは許可されません。

変数には、リクエスト自体に関連する変数と、リクエストで処理されるリソースに関連する変数(ターゲットとも呼ばれる)の2種類があります。変数の名前の前にはrequestまたはtarget、その後にピリオドが付きます。たとえば、リクエストされているAPI操作を表すrequest.operationというリクエスト変数があります。この変数により、広範なポリシー・ステートメントを作成し、特定のAPI操作に基づいて条件を追加できます。例は、ユーザーによるオブジェクトのオブジェクト・ストレージ・バケットへの書込みを参照してください。

権限は、ユーザーがリソースに対して操作を実行できるかどうかを制御する、アトミックな認可単位です。Oracleは、ポリシー言語でのすべての権限を定義します。特定の動詞およびリソース・タイプへのグループ・アクセスを付与するポリシーを記述する場合、実際にはそのグループに1つ以上の事前定義済権限へのアクセス権が付与されます。動詞の目的は、広範なアクセスのセットまたは特定の操作シナリオに対応する複数の関連する権限を付与するプロセスを簡略化することです。次の各項では、さらに詳細と例を示します。

ポリシー・ステートメントでは、権限またはAPI操作と組み合せた条件を使用して、特定の動詞によって付与されるアクセスの範囲を減らすことができます。

たとえば、グループXYZをリスト、取得、作成または更新(つまり、説明の変更)でき、削除はできないとします。グループをリスト、取得、作成および更新するには、動詞およびリソース・タイプとしてmanage groupsを含むポリシーが必要です。動詞とリソース・タイプの組合せの詳細の表によると、対象の権限は次のとおりです。

• GROUP_INSPECT
• GROUP_UPDATE
• GROUP_CREATE
• GROUP_DELETE

目的の権限のみにアクセスを制限するには、許可する権限を明示的に示す条件を追加します。

Allow group XYZ to manage groups in tenancy

 where any {request.permission='GROUP_INSPECT',
            request.permission='GROUP_CREATE',
            request.permission='GROUP_UPDATE'}

かわりに、GROUP_DELETEを除くすべての権限が許可されるポリシーがあります。

Allow group XYZ to manage groups in tenancy where request.permission != 'GROUP_DELETE'

ただし、この方法では、サービスによって将来追加されるすべての新しい権限が、グループXYZに自動的に付与されることに注意してください。GROUP_DELETEのみが省略されます。

別の方法は、特定のAPI操作に基づいて条件を記述することです。各API操作に必要な権限の表によると、ListGroupsとGetGroupの両方にはGROUP_INSPECT権限のみが必要です。ポリシーは次のとおりです:

Allow group XYZ to manage groups in tenancy

 where any {request.operation='ListGroups',  
            request.operation='GetGroup',
            request.operation='CreateGroup',
            request.operation='UpdateGroup'}

条件にAPI操作ではなく権限を使用すると有益です。将来、前述の権限ベースのポリシーにリストされているいずれかの権限を必要とする新しいAPI操作が追加された場合、そのポリシーによって、XYZグループのその新しいAPI操作へのアクセスがすでに制御されています。

ただし、API操作に基づく条件も指定することで、ユーザーの権限へのアクセスをさらにスコープ設定できることに注意してください。たとえば、GROUP_INSPECTへのアクセス権をユーザーに付与し、その後ListGroupsのみに絞り込むことができます。

Allow group XYZ to manage groups in tenancy

 where all {request.permission='GROUP_INSPECT',  
            request.operation='ListGroups'}

アクセスの範囲を、許可されたIPアドレスのセットのみに設定できます。たとえば、特定のパブリックIP範囲で発生したリクエストのみに特定のオブジェクト・ストレージ・バケットへのアクセスを許可するポリシーを記述したり、特定のVCNの特定のサブネットのみにサービス・ゲートウェイを介したリクエスト発行を許可することができます。

アクセスをIPアドレス・セットに制限するには、次のことを実行します:

1. 許可されたIPアドレスを指定するネットワーク・ソース・オブジェクトを作成します。詳細は、ネットワーク・ソースの管理を参照してください。
2. そのネットワーク・ソース・オブジェクトを使用するポリシーを条件内に記述します。

ポリシーでは次の変数を使用します:

request.networkSource.name='<network_source_name>'

例:

allow group GroupA to manage object-family in tenancy where request.networkSource.name='corpnet'

ポリシーで時間ベースの変数を使用すると、ポリシーで付与されるアクセス権を特定の時間枠のみに制限できます。この機能によって、リソースに対するアクションを特定の時間に制限できます。たとえば、指定した日付までのアクセスのみを許可するポリシーを作成できます。このようなポリシーは、会社が契約社員を採用し、その契約終了日を過ぎた後はアクセスを許可しない場合に役立ちます。または、営業時間中(月曜日から金曜日の午前9:00から午後5:00など)にのみリソースへのアクセスを許可できます。この制限により、悪意のあるアクターが、気づかれない可能性が高い状態で変更を行うリスクを軽減できます。

時間に基づいてアクセスの範囲を設定するために使用できる変数は:

これらの変数の使用方法は、後続の項で詳しく説明します。

Allow group Contractors to manage instance-family in tenancy where request.utc-timestamp before '2022-01-01T00:00Z'

Allow group SummerInterns to manage instance-family in tenancy where ANY {request.utc-timestamp.month-of-year in ('6', '7', '8')}

Allow group ComplianceAuditors to read all-resources in tenancy where request.utc-timestamp.day-of-month = '1'

Allow group WorkWeek to manage instance-family where ANY {request.utc-timestamp.day-of-week in ('monday', 'tuesday', 'wednesday', 'thursday', 'friday')}

Allow group DayShift to manage instance-family where request.utc-timestamp.time-of-day between '17:00:00Z' and '01:00:00Z'

Allow group NightShift to manage instance-family where request.utc-timestamp.time-of-day between '01:00:00Z' and '17:00:00Z'