ログおよびログ・グループ

グループまたはオブジェクトを管理するには、log-groupsに対して動詞を使用します:

Allow group A to use log-groups in compartment C
Allow group B to manage log-groups in compartment C
Allow group D to read log-groups in compartment C

これにより、グループAのユーザーは、コンパートメントCのログ・グループおよびログ・オブジェクトを作成、更新または削除できます。

3つの異なるタイプのアクセス権が必要です:

1. 構成を操作するためのアクセス権。
2. ログ・グループを操作するためのアクセス権。
3. 動的グループまたはグループに対する検査機能。

Allow group B to use unified-configuration in compartment X

このポリシーにより、コンパートメントBのユーザーは、コンパートメントXの構成を作成、更新または削除できます。

Allow group B to use log-groups in compartment X

グループが索引付けされたログの内容を読み取ることができるようにするには:

allow group GroupA to read log-groups in tenancy
allow group GroupA to read log-content in tenancy

これらの例のポリシー・ステートメントでは、グループの名前としてGroupAを使用します。

グループがテナンシ(またはコンパートメント)のログ・グループを表示できるようにするには、inspectアクセス権が必要です:

allow group GroupA to inspect log-groups in tenancy

グループがログまたはログ・グループのメタデータを読み取ることができるようにするには、readアクセス権が必要です:

allow group GroupA to read log-groups in tenancy

グループがログ・グループまたはその中のログを更新できるようにするには、useアクセス権が必要です:

allow group GroupA to use log-groups in tenancy

リソースでログを有効にする(または、ログ・グループとその中のログを作成および削除する)には、manageアクセス権が必要です:

allow group GroupA to manage log-groups in tenancy

特定のログ・グループまたはグループの使用を許可するには、where句とtarget.loggroup.id変数を組み合せて使用します。例:

Allow group GroupA to manage loggroups in tenancy where 
target.loggroup.id='ocid1.loggroup.oc1.phx.<uniqueID>'

複数のログ・グループを指定するには:

Allow group GroupA to manage log-groups in tenancy where any {target.loggroup.id='ocid1.loggroup'}

カスタム・ログでは、次が必要です。このポリシーは、ユーザーがコンソールの「検索」ページでログを検索できるようにするために必要です:

allow group userGroup1 to read log-content in compartment c

allow group GroupA to read log-content in tenancy

仮想マシンのインスタンス・プリンシパルを使用してログを送信するエージェントには、次が必要です:

allow dynamic-group dynamicgroup1 to use log-content in compartment c

カスタム・ログで、allow dynamic-group dynamicGroup1 to use log-content in compartment cを使用すると、その動的グループ内のインスタンスは、構成のダウンロード、ログの送信およびログの検索を行う権限を取得します。