ポリシー

リソース・プリンシパル

DR保護グループ、コンピュート・インスタンスおよびコンピュート・コンテナ・インスタンスの一致ルールを含む動的グループを作成し、リカバリ中に管理されるDRおよびOCIサービスにIAMポリシーを割り当てることで、Full Stack Disaster Recoveryのリソース・プリンシパル認証を構成します。必要な権限はメンバー・タイプによって異なり、ディザスタ・リカバリ、コンピュート、ストレージ、ネットワーキング、データベース、OKE、ロード・バランサ、Vault、Functions、Integration、taggingおよびObject Storageアクセスを含めることができます。プレースホルダの動的グループおよびコンパートメントの値を実際の識別子に置き換えます。

続きを読む: リソース・プリンシパル

Full Stack Disaster Recoveryのポリシー

この章では、Full Stack Disaster Recoveryに必要なIAMポリシーを定義し、ポリシーの概念、リソース・タイプと権限、REST API操作要件、動詞の検査、読取り、使用および管理の累積アクセス・レベル、およびDR操作、構成および事前チェックを管理するためのポリシーの例について説明します。

続きを読む: Full Stack Disaster Recoveryのポリシー

ディザスタ・リカバリ用のIAMポリシーについて

ディザスタ・リカバリのIAMポリシーは、個々のリソース・タイプまたは完全なディザスタ・リカバリ・ファミリをターゲットにできます。ファミリには、保護グループ、プラン、プラン・プリチェック、プラン実行および作業リクエストが含まれており、管理者はきめ細かいアクセス制御またはファミリ全体のアクセス制御を選択できます。

続きを読む: ディザスタ・リカバリのIAMポリシーについて

リソース・タイプと権限

このページには、保護グループ、プラン、事前チェック、実行、作業リクエスト、ディザスタ・リカバリ・ファミリの集計など、各Full Stack Disaster Recoveryリソース・タイプに関連付けられた権限がリストされます。権限には、検査、読取り、作成、更新、削除および作業リクエストのモニタリングが含まれます。

続きを読む: リソース・タイプおよび権限

REST API操作の権限

フル・スタックDR REST API操作には、特定のIAM権限が必要であり、一部の操作は代替権限を受け入れます。マッピングには、DR計画および実行の作成、読取り、更新、削除、一時停止、再開、再試行または取消し、保護グループの管理、作業リクエストの検査または制御が含まれます。

続きを読む: REST API操作の権限

動詞およびリソース・タイプの組合せの詳細

アクセスは、inspect、read、useおよびmanage動詞全体にわたって累積されます。このページは、各動詞を増分権限にマップし、保護グループ、DR計画、計画実行、事前チェックおよび作業リクエストのREST APIをマップして、各アクセス・レベルで使用可能な操作を明確にします。

続きを読む: 動詞とリソース・タイプの組合せの詳細

ディザスタ・リカバリ用IAMポリシー定義の例

ポリシーの例は、テナンシ全体のDR管理、コンパートメント・スコープ構成および事前チェック実行、または構成専用アクセス権を付与する方法を示しています。例では、個別のグループを使用して、完全な管理、モニター対象のDR設定、および保護グループとプランの限定された作成を示します。

続きを読む: ディザスタ・リカバリ用のIAMポリシー定義の例

Full Stack Disaster Recoveryによって管理されるその他のサービスのポリシー

Full Stack DRはアプリケーション・スタック全体のリソースをオーケストレートするため、Compute、Block Volume、Networking、Functions、Database、Autonomous Database、Object Storage、Tags、Vault、File Systems、ロード・バランサ、OKE、MySQL、PostgreSQL、コンパートメント、Automatic DR、IntegrationおよびGenerative AIなどのサービスには追加のIAMポリシーが必要です。必要なポリシーは、選択したメンバー・タイプおよび認証方法によって異なります。

続きを読む: Full Stack Disaster Recoveryによって管理されるその他のサービスのポリシー

Compute ServiceおよびOracle Cloud Agentのポリシー

DRでは、移動可能インスタンス、移動不可インスタンス、ボリューム、ネットワーキング、容量予約、イメージおよびエージェント・コマンドを管理するために、ComputeおよびOracle Cloud Agentの権限が必要です。リソース・プリンシパル構成では動的グループが使用され、ユーザー認証ではグループ・ポリシーが使用されます。Oracle Cloud Agentでは、動的グループ内のインスタンス・メンバーシップとコマンド実行の管理者権限も必要です。

続きを読む: Compute ServiceおよびOracle Cloud Agentのポリシー

ブロック・ボリューム・サービスのポリシー

ブロック・ボリュームおよびボリューム・グループ・リカバリでは、リソース・プリンシパル認証が使用されるときに、ボリューム・ファミリを管理し、ボールトおよびシークレットを読み取るための権限が必要です。同等のユーザー認証ポリシーは、ターゲット・コンパートメント内のボリューム・リソース、ボールトおよびシークレットへの適切なグループ・アクセス権を付与します。

続きを読む: Block Volume Serviceのポリシー

ネットワーキング・サービスのポリシー

ネットワーク・ポリシーにより、Full Stack DRは仮想ネットワーキングを検査し、サブネット、VNIC、ネットワーク・セキュリティ・グループおよびプライベートIPを使用できます。同等のリソース・プリンシパルおよびユーザー認証文は、アプリケーション・ネットワーキング・リソースを含むコンパートメントにスコープ指定できます。

続きを読む: ネットワーキング・サービスのポリシー

ファンクション・サービスのポリシー

ユーザー定義DR計画ステップからファンクションを起動するには、DRプリンシパルまたはユーザー・グループがターゲット・アプリケーションおよびファンクションを読み取り、関連するコンパートメントでファンクション起動権限を使用する必要があります。

続きを読む: Functionsサービスのポリシー

Oracle Databaseのポリシー

Oracleベース・データベースおよびExadataデータベース・リカバリでは、リソース・プリンシパルを使用する場合、データベースを管理し、ボールトおよびシークレットを読み取る権限が必要です。ユーザーベースのポリシーは、完全なデータベース・ファミリ管理を付与したり、スイッチオーバーおよびフェイルオーバーの更新操作へのアクセスを制限したり、データベース・ホーム、Data GuardアソシエーションおよびサポートされているVMクラスタ・タイプに対する追加の権限を付与できます。

続きを読む: Oracle Databaseのポリシー

Oracle Autonomous Databaseのポリシー

Autonomous Databaseリカバリでは、自律型データベース・ファミリの管理、ボールトとシークレットの読取り、および該当する場合はAutonomous Container Databaseの管理を行うためのリソース・プリンシパルが必要です。ユーザー・ポリシーは、サーバーレスおよび専用Exadataデプロイメントに対して、完全な管理を提供したり、更新操作およびData Guard操作へのアクセスを制限したりできます。

続きを読む: Oracle Autonomous Databaseのポリシー

操作ログのログの場所のポリシー

Full Stack DRには、DR計画の実行中に操作ログを書き込むためのオブジェクト・ストレージ・バケットおよびオブジェクト管理権限が必要です。同じバケットおよびオブジェクト権限を、DR動的グループまたは選択したコンパートメント内のユーザー・グループに付与できます。

続きを読む: 操作ログのログの場所のポリシー

オブジェクト・ストレージのポリシー

オブジェクト・ストレージ・ポリシーにより、DRはDR保護グループに参加するバケットを管理し、実行ログを書き込むことができます。リソース・プリンシパルはオブジェクト・ファミリ管理権限を使用し、ユーザー認証は指定されたグループに同等の権限を付与します。

続きを読む: オブジェクト・ストレージのポリシー

タグ・サービスのポリシー

DRでは、計画の実行中にコンピュート・インスタンスを起動するときにタグ・ネームスペースを使用する権限が必要です。このアクセス権は、リソース・プリンシパル動的グループまたはテナンシ・レベルのユーザー・グループに付与できます。

続きを読む: タグ・サービスのポリシー

Vaultサービスのポリシー

Vaultポリシーにより、DRはボールトおよびシークレットを読み取ることができ、プランの実行中に必要なデータベース資格証明の取得が可能になります。同等の権限は、DR動的グループまたは関連するコンパートメント内の認証済ユーザー・グループに割り当てることができます。

続きを読む: Vaultサービスのポリシー

ファイル・システムのポリシー

ファイル・システム・リカバリでは、ファイル・ファミリを管理し、資格証明アクセスが必要なボールトおよびシークレットを読み取るためにリソース・プリンシパルが必要です。ユーザー認証では、ターゲット・コンパートメントのfile-familyを管理するために指定されたグループが必要です。

続きを読む: ファイル・システムのポリシー

ロード・バランサのポリシー

DRロード・バランサ管理では、アプリケーションのロード・バランサを含むコンパートメント内のロード・バランサを管理するために、動的グループまたは認証済ユーザー・グループが必要です。

続きを読む: ロード・バランサのポリシー

Kubernetes Engine (OKE)のポリシー

OKEリカバリには、コンピュート・コンテナ、オブジェクト・ストレージ、クラスタおよび仮想ノード・プールを管理するための権限が必要です。追加のワークロード・アイデンティティ・ポリシーでは、仮想ノード・プールのBrieサービス・アカウントがサポートされますが、管理対象ノード・プール、コンテナ・インスタンスおよびジャンプ・ホストでは、クラスタおよびバケットへのアクセスに適した動的グループおよびポリシーが必要です。

続きを読む: Kubernetes Engine (OKE)のポリシー

MySQL Heatwave DB Systemのポリシー

MySQL HeatWaveリカバリには、MySQLリソース・ファミリの管理と、必要に応じて、資格証明および実行ログ用のVaultシークレットおよびオブジェクト・ストレージへの読取りアクセスが必要です。ポリシーは、動的グループまたはユーザー・グループを介して、コンパートメント固有のスコープを使用してリソース・プリンシパルに割り当てることができます。

続きを読む: MySQL Heatwave DB Systemのポリシー

PostgreSQL DB Systemのポリシー

PostgreSQLリカバリには、ターゲット・コンパートメント内のPostgreSQL DBシステム、バックアップ、構成および作業リクエストを管理するための動的グループが必要です。

続きを読む: PostgreSQL DB Systemのポリシー

ネットワーク・ロード・バランサのポリシー

ネットワーク・ロード・バランサ・リカバリでは、関連するコンパートメント内のネットワーク・ロード・バランサを管理するために、リソース・プリンシパル動的グループまたは認証済ユーザー・グループが必要です。

続きを読む: ネットワーク・ロード・バランサのポリシー

コンパートメントのポリシー

コンパートメント・ポリシーは、指定されたコンパートメントまたはテナンシ全体のすべてのリソースへの読取りアクセスをDRに提供します。アクセスは、リソース・プリンシパルの動的グループ、またはコンパートメント・スコープまたはテナンシ・スコープの文を使用してユーザー・グループに付与できます。

続きを読む: コンパートメントのポリシー

自動DR構成のポリシー

リソース・プリンシパル認証は、自動ディザスタ・リカバリを構成するための前提条件です。

続きを読む: 自動DR構成のポリシー

統合インスタンスのポリシー

統合インスタンス・リカバリでは、ターゲット・コンパートメント内の統合インスタンス・リソースを管理するために、リソース・プリンシパル動的グループまたは認証済ユーザー・グループが必要です。

続きを読む: 統合インスタンスのポリシー

生成AIのポリシー

生成AI統合では、関連するコンパートメントでgenerative-AI-familyを使用するには、DR動的グループまたは認証済ユーザー・グループが必要です。既存のフル・スタックDR動的グループでは、一致ルールの変更は必要ありません。追加のポリシー・ステートメントのみが必要です。

続きを読む: 生成AIのポリシー