アクセス制御

仮想クラウド・ネットワーク(VCN)やコンピュート・インスタンスなどのクラウド・リソースを作成する際は、リソースを配置するIAMコンパートメントを指定する必要があります。コンパートメントは、組織の管理者から権限を付与された特定のグループのみがアクセスできる関連リソースの集合です。管理者は、コンパートメントおよび組織のどのユーザーがどのコンパートメントにアクセスするかを制御するIAMポリシーを作成します。最終的に、各ユーザーが必要なリソースのみにアクセスできるようにすることが目標です。

Oracle Cloud Infrastructureの試用の場合は、VCNおよびそのコンポーネントの作成および管理、VCNへのインスタンスの起動およびこれらのインスタンスへのブロック・ストレージ・ボリュームのアタッチを必要とするのはほんの数人のみです。この数人のユーザーは、これらのすべてのリソースにアクセスする必要があるため、これらのリソースのすべてが同じコンパートメント内に配置されます。

VCNを使用した企業の本番環境では、特定のタイプのリソースへのアクセスの制御を容易にするために複数のコンパートメントを使用できます。たとえば、管理者は、VCNおよび他のネットワーキング・コンポーネント用にCompartment_Aを作成します。また、HR組織が使用するすべてのコンピュート・インスタンスおよびブロック・ストレージ・ボリューム用にCompartment_Bを作成し、マーケティング組織が使用するすべてのインスタンスおよびブロック・ストレージ・ボリューム用にCompartment_Cを作成します。この場合、管理者は、各コンパートメントでユーザーが必要とするレベルのアクセスのみをユーザーに付与するIAMポリシーを作成します。たとえば、HRインスタンスの管理者は既存のクラウド・ネットワークを変更する権限は付与されません。そのため、Compartment_Bに対しては完全な権限を持ちますが、Compartment_Aへのアクセスは制限されます(ネットワークにインスタンスを起動するのに必要な権限のみ)。Compartment_A内の他のリソースを変更しようとすると、リクエストは拒否されます。

VCN、サブネット、ルート表、セキュリティ・リスト、サービス・ゲートウェイ、NATゲートウェイ、VPN接続およびFastConnect接続などのネットワーク・リソースは、あるコンパートメントから別のコンパートメントに移動できます。リソースを新しいコンパートメントに移動すると、固有のポリシーがただちに適用されます。

コンパートメントとクラウド・リソースへのアクセスの制御方法の詳細は、テナンシを設定するためのベスト・プラクティスについて学習およびIdentity and Access Managementの概要を参照してください。

ネットワーキングにアクセス権を付与する最も簡単な方法は、ネットワーク管理者によるクラウド・ネットワークの管理で示されているポリシーです。この対象は、クラウド・ネットワークおよびその他すべてのネットワーキング・コンポーネント(サブネット、セキュリティ・リスト、ルート表、ゲートウェイなど)です。ネットワーク管理者が(ネットワーク接続をテストするための)インスタンスを起動できるようにするには、ユーザーによるコンピュート・インスタンスの起動を参照してください。

ポリシーを初めて使用する場合は、ポリシーの開始と共通ポリシーを参照してください。

ネットワーキングに対する詳細なポリシーを記述するための参照資料については、コア・サービスの詳細を参照してください。