OCIキャッシュIAMポリシー

すべてのOCIキャッシュ・リソースに権限を割り当てるには、redis-family集計タイプを使用します。詳細は、権限を参照してください。

次の表に、redis-familyのすべてのリソースを示します。

<verb> redis-familyを使用するポリシーは、個々のリソース・タイプごとに個別の<verb> <resource-type>ステートメントでポリシーを記述することと同等です。

アクセスのレベルは、inspectからread、use、manageの順に累積します。表のセルのプラス記号(+)は、前のセルと比較した場合に増分アクセスを示します。

アクセス権の付与の詳細は、権限を参照してください。

次の表は、OCIキャッシュのAPI操作を論理的な順序で、リソース・タイプ別にグループ化したものです。

次のポリシー・ステートメントを使用すると、グループClusterAdminsでOCIキャッシュ・リソースを使用および管理できます。

• VCNs、コンパートメントおよびサブネットへの使用専用アクセスのみを許可します。

  • Allow group ClusterAdmins to use compartments in tenancy

  • Allow group ClusterAdmins to use vcns in compartment <USER_NETWORK_COMPARTMENT_NAME>

  • Allow group ClusterAdmins to use subnet in compartment <USER_NETWORK_COMPARTMENT_NAME>

  • Allow group ClusterAdmins to use network-security-groups in compartment <USER_NETWORK_COMPARTMENT_NAME>

  • Allow group ClusterAdmins to use vcns in compartment <USER_ENGINEERING_COMPARTMENT_NAME>

  ノート
  
  VCNsはネットワーク・コンパートメントにあり、クラスタはエンジニアリング・コンパートメントにあります。

• エンジニアリング・コンパートメント内のVNICへの使用専用アクセスを許可します。たとえば:

  Allow group ClusterAdmins to use VNICs in compartment <USER_ENGINEERING_COMPARTMENT_NAME>

• プライベート・エンドポイントを作成または更新する権限の管理を許可します。たとえば:

  • Allow group ClusterAdmins to manage redis-family in compartment <USER_ENGINEERING_COMPARTMENT_NAME>

  • Allow group ClusterAdmins to manage redis-work-requests in compartment <USER_ENGINEERING_COMPARTMENT_NAME>

  • Allow group ClusterAdmins to manage vcns in compartment <USER_NETWORK_COMPARTMENT_NAME> where ALL{ ANY
    { request.operation = 'CreatePrivateEndpoint', request.operation = 'UpdatePrivateEndpoint', request.operation ='DeletePrivateEndpoint', request.operation = 'EnableReverseConnection', request.operation = 'ModifyReverseConnection', request.operation = 'DisableReverseConnection' }
    , ANY {request.operation = 'CreateRedisCluster', request.operation = 'DeleteRedisCluster' , request.operation = 'UpdateRedisCluster' } }

• (オプション)Redisポートのトラフィックを許可します。たとえば:

  Allow group ClusterAdmins to manage security-lists in compartment <USER_NETWORK_COMPARTMENT_NAME> where ANY
  { request.operation = 'CreateRedisCluster', request.operation = 'DeleteRedisCluster' , request.operation = 'UpdateRedisCluster' }

  ノート
  
  ポリシーが指定されていない場合は、セキュリティ・ルールを追加し、ポート6379のTCPトラフィックを許可する必要があります。

次のポリシー・ステートメントを使用すると、グループClusterUsersはクラスタを使用できますが、他のアクセスは制限されます。

Allow group ClusterUsers to use redis-clusters in compartment <USER_COMPARTMENT>

次のポリシー・ステートメントを使用すると、グループCacheUsersでOCIキャッシュ・ユーザーを使用できます:

Allow group CacheUsers to use oci-cache-users in compartment <USER_COMPARTMENT>

次のポリシー・ステートメントでは、プライベート・エンドポイントをアタッチおよびデタッチするための管理権限が許可されます:

Allow group ClusterAdmins to manage vcns in compartment <USER_NETWORK_COMPARTMENT_NAME> where ALL{ ANY
{ request.operation = 'CreatePrivateEndpoint', request.operation = 'UpdatePrivateEndpoint', request.operation ='DeletePrivateEndpoint', request.operation = 'EnableReverseConnection', request.operation = 'ModifyReverseConnection', request.operation = 'DisableReverseConnection' }
, ANY {request.operation = 'CreateRedisCluster', request.operation = 'DeleteRedisCluster' , request.operation = 'UpdateRedisCluster', request.operation = 'AttachOciCacheUsers', request.operation = 'DetachOciCacheUsers' } }

次のポリシー・ステートメントは、Redisポートのトラフィックにアタッチおよびデタッチを許可します。

Allow group ClusterAdmins to manage security-lists in compartment <USER_NETWORK_COMPARTMENT_NAME> where ANY
{ request.operation = 'CreateRedisCluster', request.operation = 'DeleteRedisCluster' , request.operation = 'UpdateRedisCluster',  request.operation = 'AttachOciCacheUsers', request.operation = 'DetachOciCacheUsers'}

次のポリシー・ステートメントを使用すると、グループClusterConfigでOCIキャッシュ構成を使用できます:

Allow group ClusterConfig to use oci-cache-configsets in compartment <USER_COMPARTMENT>

次のポリシー・ステートメントを使用すると、グループSecurityAdminsのユーザーは、テナンシ全体のすべてのZero Trust Packet Routingポリシーを作成、更新および削除できます:

Allow group SecurityAdmins to manage zpr-configuration in tenancy
Allow group SecurityAdmins to manage security-attribute-namespace in tenancy
Allow group SecurityAdmins to manage zpr-policy in tenancy

次のポリシー・ステートメントにより、グループcluster-adminは、Zero Trust Packet Routingポリシーのセキュリティ属性ネームスペースcache-applicationsのみを管理できます。

Allow group cluster-admin to manage security-attribute-namespace where target.security-attribute-namespace.name = 'cache-applications'

次のポリシー・ステートメントでは、バックアップを作成する管理権限が許可されます。次に例を示します。

Allow group CacheBackupUsers to manage redis-family in compartment <USER_COMPARTMENT>

次のポリシー・ステートメントは、OCIキャッシュ・バックアップのエクスポートおよびインポート操作のオブジェクト・ストレージ・リソースを管理する権限を提供します。

• 次のポリシーは、バックアップのエクスポートおよびインポート操作のために、OCIキャッシュ・サービスおよびオブジェクト・ストレージ・サービスへのアクセスを特定のバケットに付与します:

  Allow service redis-service to manage object-family in compartment <USER_COMPARTMENT> where target.bucket.name='<USER_BUCKET>'
  Allow any-user to manage object-family in compartment <USER_COMPARTMENT> where all { request.principal.type = 'service', request.service.name = /objectstorage-*/, target.bucket.name = '<USER_BUCKET>' }

• 次のポリシーは、OCIキャッシュ・サービスおよびオブジェクト・ストレージ・サービスに、OCIキャッシュ・バックアップ操作など、コンパートメント内のすべてのオブジェクト・ストレージ・リソースへの幅広いアクセス権を付与します:

  Allow service redis-service to manage object-family in compartment <USER_COMPARTMENT>
  Allow any-user to manage object-family in compartment <USER_COMPARTMENT> where all { request.principal.type = 'service', request.service.name = /objectstorage-*/ }

次のポリシー・ステートメントにより、CrossRegionReplicationAdminsグループは異なるコンパートメント内のクラスタでリージョン間レプリケーション操作を実行できます:

Allow group CrossRegionReplicationAdmins to manage redis-clusters in compartment <PRIMARY_CLUSTER_COMPARTMENT>
                        Allow group CrossRegionReplicationAdmins to manage redis-clusters in compartment <SECONDARY_CLUSTER_COMPARTMENT>

IAMポリシーは、OCIリージョンにスコープ設定されません。プライマリ・クラスタとセカンダリ・クラスタが同じコンパートメントにある場合、1つのコンパートメント・レベル・ポリシーが両方のクラスタに適用されます。クラスタが異なるコンパートメントにある場合は、両方のコンパートメントで必要な権限を付与します。

次のポリシー・ステートメントにより、グループCrossRegionReplicationAdminsはテナンシ全体でOCI Cacheクラスタを管理できます:

Allow group CrossRegionReplicationAdmins to manage redis-clusters in tenancy

次のポリシー・ステートメントにより、グループCrossRegionReplicationAdminsは、両方のクラスタが同じコンパートメントにある場合にリージョン間レプリケーションを管理できます:

Allow group CrossRegionReplicationAdmins to manage redis-clusters in compartment <CLUSTER_COMPARTMENT>

クラスタをセカンダリ・クラスタとして作成するには、選択した構成、VCN、サブネットおよびネットワーク・セキュリティ・グループへのアクセスなど、OCI Cacheクラスタの作成に必要な権限も付与します。

ポリシーを初めて使用する場合は、ポリシーの開始および共通ポリシーを参照してください。