Exadata Cloud Infrastructureのポリシー詳細

このトピックでは、Exadata Cloud Infrastructureリソースへのアクセスを制御するポリシーの作成の詳細を説明します。

ノート

ポリシーの詳細は、「ポリシーの仕組み」を参照してください。

サンプル・ポリシーは、「データベース管理者によるExadata Cloud Infrastructureインスタンスの管理」を参照してください。

リソース・タイプについて
ポリシーで使用できるリソース・タイプについて学習します。
Exadata Cloud Serviceインスタンスのリソース・タイプ
サポートされる変数
ポリシーに条件を追加する場合は、変数を使用します。
動詞+リソース・タイプの組合せの詳細
各動詞でカバーされる権限およびAPI操作のリストを確認します。

リソース・タイプについて

ポリシーで使用できるリソース・タイプについて学習します。

集約リソース・タイプは、すぐ後に続く個別リソース・タイプのリストをカバーします。たとえば、あるグループにdatabase-familyへのアクセスを許可するポリシーを記述することは、そのグループに対してcloud-exadata-infrastructures、cloud-vmclusters、db-nodes、db-homes、databases、database-software-imageおよびbackupsリソース・タイプへのアクセスを付与する個別のポリシーを記述することと同じです。詳細は、リソース・タイプを参照してください。

親トピック: Exadata Cloud Infrastructureのポリシー詳細

Exadata Cloud Serviceインスタンスのリソース・タイプ

集約リソース・タイプ

database-family
db-multi-cloud-family

個別リソース・タイプ:

database-family
- cloud-exadata-infrastructures
- cloud-vmclusters
- db-nodes
- db-homes
- databases
- pluggable-databases
- db-backups
- application-vips
- dbnode-console-connection
- scheduling-policies
- scheduling-windows
- scheduling-plan
- scheduling-action
- execution-windows
- execution-action
db-multi-cloud-family
- oracle-db-azure-connectors
- oracle-db-azure-blob-mounts
- oracle-db-azure-blob-containers
- oracle-db-mci-work-requests
- multi-cloud-resource-discoveries
- oracle-db-azure-vaults
- oracle-db-azure-keys
- oracle-db-azure-vault-associations

親トピック: Exadata Cloud Infrastructureのポリシー詳細

サポートされる変数

ポリシーに条件を追加する場合は、変数を使用します。

Exadata Cloud Infrastructureでは、一般的な変数のみがサポートされます。詳細は、「すべてのリクエストの一般的な変数」を参照してください。

関連トピック

すべてのリクエストの一般的な変数

親トピック: Exadata Cloud Infrastructureのポリシー詳細

動詞+リソース・タイプの組合せの詳細

各動詞でカバーされる権限およびAPI操作のリストを確認します。

詳細は、「権限」、「動詞」および「リソース・タイプ」を参照してください。

database-familyリソース・タイプ

アクセス・レベルは、inspect > read > use > manageの順に累積します。表のセルのプラス記号(+)は、そのすぐ上のセルと比較して増分アクセスを示しますが、「追加なし」は増分アクセスを示しません。

たとえば、vmclustersリソース・タイプに対するread動詞は、inspect動詞と比較して、追加の権限またはAPI操作をカバーしていません。ただし、use動詞は、1つの追加権限を含んでおり、1つの追加操作を全部カバーし、もう1つの追加操作を一部カバーしています。

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
inspect	`CLOUD_EXADATA_INFRASTRUCTURE_INSPECT`	`ListCloudExadataInfrastructures` `GetCloudExadataInfrastructures`	なし
read	増分なし	増分なし	なし
use	`CLOUD_EXADATA_INFRASTRUCTURE_UPDATE`	増分なし	`ChangeCloudExadataInfrastructureCompartment` (`use cloud-vmclusters, use db-homes, use databases`および`inspect db-backups`も必要)
manage	USE + `CLOUD_EXADATA_INFRASTRUCTURE_CREATE` `CLOUD_EXADATA_INFRASTRUCTURE_DELETE`	`UpdateCloudExadataInfrastructure`	`CreateCloudExadataInfrastructure, DeleteCloudExadataInfrastructure, AddStorageCapacityCloudExadataInfrastructure` (`use cloud-vmclusters`も必要)

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
inspect	`CLOUD_VM_CLUSTER_INSPECT`	`ListCloudVmClusters` `GetCloudVmCluster` `ListCloudVmClusterUpdates` `ListCloudVmClusterUpdateHistoryEntries` `GetCloudVmClusterUpdate` `GetCloudVmClusterUpdateHistoryEntry`	なし
read	増分なし	増分なし	なし
use	READ + `CLOUD_VM_CLUSTER_UPDATE` `CLOUD_VM_CLUSTER_UPDATE_TAGS` `CLOUD_VM_CLUSTER_UPDATE_COMPARTMENT` `CLOUD_VM_CLUSTER_UPDATE_SSH_KEY` `CLOUD_VM_CLUSTER_UPDATE_LICENSE` `CLOUD_VM_CLUSTER_UPDATE_CPU` `CLOUD_VM_CLUSTER_UPDATE_MEMORY` `CLOUD_VM_CLUSTER_UPDATE_LOCAL_STORAGE` `CLOUD_VM_CLUSTER_UPDATE_EXADATA_STORAGE` `CLOUD_VM_CLUSTER_UPDATE_GI_SOFTWARE` `CLOUD_VM_CLUSTER_UPDATE_GUEST_OS_SOFTWARE` `CLOUD_VM_CLUSTER_UPDATE_FILE_SYSTEM` `CLOUD_VM_CLUSTER_UPDATE_DIAGNOSTIC_LOGS` `CLOUD_VM_CLUSTER_UPDATE_IORM`	増分なし	`ChangeCloudVmClusterCompartment` (`use db-homes, use databases`および`inspect db-backups`も必要)
manage	USE + `CLOUD_VM_CLUSTER_CREATE` `CLOUD_VM_CLUSTER_DELETE`	`UpdateCloudVmCluster`	`CreateCloudVmCluster, DeleteCloudVmCluster` (両方とも`manage db-homes, manage databases, use vnics`および`use subnets`も必要) ; `RemoveVmFromCloudVmCluster, AddVmToCloudVmCluster` (両方とも`use cloud_exadata_infrastructure_update`も必要)

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
inspect	`DB_NODE_INSPECT` `DB_NODE_QUERY`	`GetDbNode`	なし
read	増分なし	増分なし	なし
use	`DB_NODE_UPDATE`	`UpdateDbNode`	なし
manage	USE + `DB_NODE_POWER_ACTIONS`	`DbNodeAction`	なし

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
inspect	`DBNODE_CONSOLE_CONNECTION_INSPECT`	`GetDbNodeConsoleConnection` `ListDbNodeConsoleConnections`	なし
read	増分なし	増分なし	なし
use	READ + `DBNODE_CONSOLE_CONNECTION_UPDATE` `PLUGGABLE_DATABASE_UPDATE`	`UpdateDbNodeConsoleConnection`	なし
manage	USE + `DBNODE_CONSOLE_CONNECTION_CREATE` `DBNODE_CONSOLE_CONNECTION_DELETE`	`CreateDbNodeConsoleConnection` `DeleteDbNodeConsoleConnection`	なし

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
inspect	`DB_HOME_INSPECT`	`ListDBHome` `GetDBHome` `ListDbHomePatches` `ListDbHomePatchHistoryEntries` `GetDbHomePatch` `GetDbHomePatchHistoryEntry`	なし
read	増分なし	増分なし	なし
use	`DB_HOME_UPDATE`	`UpdateDBHome`	`ChangeCloudVmClusterCompartment` (`use cloud-vmclusters, use databases`および`inspect backups`も必要)
manage	USE + `DB_HOME_CREATE` `DB_HOME_DELETE`	追加なし	`CreateCloudVmCluster, DeleteCloudVmCluster`(両方とも`manage cloud-vmclusters, manage databases, use vnics`および`use subnets`も必要)。自動バックアップがデフォルト・データベースで有効になっている場合、`manage backups`も必要 `CreateDbHome` (`use cloud-vmclusters`および`manage databases`も必要)。バックアップからリストアしてデータベース・ホームを作成する場合は、`read backups`も必要 `DeleteDbHome` (`use cloud-vmclusters`および`manage databases`も必要)。自動バックアップがデフォルト・データベースで有効になっている場合、`manage backups`も必要。`performFinalBackup`オプションを選択した場合、`manage backups`および`read databases`も必要。

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
INSPECT	`EXADATA_INFRASTRUCTURE_INSPECT`	なし	`GetDbServer` `ListDbServers`
READ	増分なし	増分なし	なし
USE	READ + `VM_CLUSTER_UPDATE` `EXADATA_INFRASTRUCTURE_UPDATE`	なし	`AddVirtualMachineToVmCluster`, `RemoveVirtualMachineFromVmCluster`
MANAGE	追加なし	追加なし	なし

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
inspect	`DB_SOFTWARE_IMG_INSPECT`	`ListDatabaseSoftwareImages` `GetDatabaseSoftwareImage`	なし
read	追加なし	なし	なし
use	READ + `DB_SOFTWARE_IMG_UPDATE`	`UpdateDatabaseSoftwareImage` `ChangeDatabaseSoftwareImageCompartment`	なし
manage	USE + `DB_SOFTWARE_IMG_CREATE` `DB_SOFTWARE_IMG_DELETE`	`CreateDatabaseSoftwareImage` `DeleteDatabaseSoftwareImage`	なし

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
inspect	`PLUGGABLE_DATABASE_INSPECT`	`ListPluggableDatabases` `GetPluggableDatabase`	`UpdatePluggableDatabase` `StartPluggableDatabase` `StopPluggableDatabase` `LocalClonePluggableDatabase` `RemoteClonePluggableDatabase` `RefreshPluggableDatabase` `ConvertRefreshablePluggableDatabase`
inspect	`DATABASE_INSPECT`	増分なし	`CreatePluggableDatabase` `DeletePluggableDatabase` `LocalClonePluggableDatabase` `RemoteClonePluggableDatabase`
read	INSPECT + `PLUGGABLE_DATABASE_CONTENT_READ`	増分なし	`CreatePluggableDatabase` (CDBで自動バックアップが有効で、このPDBが含まれる場合、追加の権限が必要です。) `UpdatePluggableDatabase` (CDBで自動バックアップが有効で、このPDBが含まれる場合、追加の権限が必要です。) `LocalClonePluggableDatabase` `RemoteClonePluggableDatabase`
use	READ + `PLUGGABLE_DATABASE_CONTENT_WRITE`	増分なし	`LocalClonePluggableDatabase` `RemoteClonePluggableDatabase`
	`PLUGGABLE_DATABASE_UPDATE`	増分なし	`UpdatePluggableDatabase` `StartPluggableDatabase` `StopPluggableDatabase` `LocalClonePluggableDatabase` `RemoteClonePluggableDatabase` `RefreshPluggableDatabase` `ConvertRefreshablePluggableDatabase`
	`DATABASE_UPDATE`	増分なし	`CreatePluggableDatabase` `DeletePluggableDatabase` `LocalClonePluggableDatabase` `RemoteClonePluggableDatabase`
manage	USE + `PLUGGABLE_DATABASE_CREATE`	増分なし	`CreatePluggableDatabase` `LocalClonePluggableDatabase` `RemoteClonePluggableDatabase`
manage	`PLUGGABLE_DATABASE_DELETE`	増分なし	`DeletePluggableDatabase`

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
inspect	`DATABASE_INSPECT`	`ListDatabases` `GetDatabase` `ListDataGuardAssociations` `GetDataGuardAssociation`	`enableDatabaseManagement` `disableDatabaseManagement` `updateDatabaseManagement`
read	INSPECT+ `DATABASE_CONTENT_READ`	増分なし	増分なし
use	READ + `DATABASE_CONTENT_WRITE` `DATABASE_UPDATE`	`UpdateDatabase` `SwitchoverDataGuardAssociation` `FailoverDataGuardAssociation` `ReinstateDataGuardAssociation`	`CreateDataGuardAssociation` `ChangeCloudVmClusterCompartment` (`use cloud-vmclusters, use db-homes`および`inspect db-backups`も必要) `enableDatabaseManagement` `disableDatabaseManagement` `updateDatabaseManagement`
manage	USE + `DATABASE_CREATE` `DATABASE_DELETE`	増分なし	`CreateDatabase` (`use cloud-vmclusters, use db-homes`も必要。自動バックアップを有効にする場合は`manage backups`も必要) `DeleteDatabase` (`use cloud-vmclusters, use db-homes`も必要。自動バックアップを有効にする場合は`manage backups`も必要) `CreateCloudVmCluster, DeleteCloudVmCluster`(両方とも`manage cloud-vmclusters, manage db-homes, use vnics,`および`use subnets`も必要)

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
inspect	`DB_BACKUP_INSPECT`	`GetBackup` `ListBackups`	`ChangeCloudVmClusterCompartment` (`use cloud-vmclusters, use db-homes,`および`use databases`も必要)
read	INSPECT + `DB_BACKUP_CONTENT_READ`	なし	`RestoreDatabase` (`use databases`も必要)
use	増分なし	増分なし	なし
manage	USE + `DB_BACKUP_CREATE` `DB_BACKUP_DELETE`	`DeleteBackup`	`CreateBackup` (`read databases`も必要)

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
inspect	`ONEOFF_PATCH_INSPECT`	`DownloadOneoffPatch` `GetOneoffPatch` `ListOneoffPatches`	`CreateOneoffPatch` `DeleteOneoffPatch` `UpdateOneoffPatch` `ChangeOneoffPatchCompartment`
read	INSPECT + 増分なし	`DownloadOneoffPatch`	なし
use	READ + `ONEOFF_PATCH_UPDATE`	増分なし	`UpdateOneoffPatch` `ChangeOneoffPatchCompartment`
manage	USE + `ONEOFF_PATCH_CREATE` `ONEOFF_PATCH_DELETE`	増分なし	`CreateOneoffPatch` `DeleteOneoffPatch`

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
INSPECT	`SCHEDULING_POLICY_INSPECT`	`ListSchedulingPolicies` `GetSchedulingPolicy` `ListRecommendedScheduledActions`	`CreateSchedulingPolicy` `UpdateSchedulingPolicy` `DeleteSchedulingPolicy` `ChangeSchedulingPolicyCompartment`
READ	増分なし	増分なし	なし
USE	READ+ `SCHEDULING_POLICY_UPDATE`	増分なし	`UpdateSchedulingPolicy` `ChangeSchedulingPolicyCompartment`
MANAGE	USE + `SCHEDULING_POLICY_CREATE` `SCHEDULING_POLICY_DELETE`	増分なし	`CreateSchedulingPolicy` `DeleteSchedulingPolicy`

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
INSPECT	`ORACLE_DB_AZURE_CONNECTOR_INSPECT`	`ListOracleDbAzureConnectors`	なし
READ	INSPECT+ `ORACLE_DB_AZURE_CONNECTOR_READ`	`GetOracleDbAzureConnector`	なし
USE	READ+ `ORACLE_DB_AZURE_CONNECTOR_UPDATE`	`UpdateOracleDbAzureConnector`	なし
MANAGE	USE + `ORACLE_DB_AZURE_CONNECTOR_CREATE` `ORACLE_DB_AZURE_CONNECTOR_MOVE` `ORACLE_DB_AZURE_CONNECTOR_DELETE`	増分なし	`CreateOracleDbAzureConnector` `ChangeOracleDbAzureConnectorCompartment` `DeleteOracleDbAzureConnector`

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
INSPECT	`ORACLE_DB_AZURE_BLOB_MOUNT_INSPECT`	`ListOracleDbAzureBlobMounts`	なし
READ	INSPECT+ `ORACLE_DB_AZURE_BLOB_MOUNT_READ`	`GetOracleDbAzureBlobMount`	なし
USE	READ+ `ORACLE_DB_AZURE_BLOB_MOUNT_UPDATE`	`UpdateOracleDbAzureBlobMount`	なし
MANAGE	USE + `ORACLE_DB_AZURE_BLOB_MOUNT_CREATE` `ORACLE_DB_AZURE_BLOB_MOUNT_MOVE` `ORACLE_DB_AZURE_BLOB_MOUNT_DELETE`	増分なし	`CreateOracleDbAzureBlobMount` `ChangeOracleDbAzureBlobMountCompartment` `DeleteOracleDbAzureBlobMount`

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
INSPECT	`DATABASE_INSPECT`	`ListDataGuardAssociations, GetDataGuardAssociation`	`CreateDataGuardAssociation`
READ	増分なし	増分なし	なし
USE	READ + `VM_CLUSTER_UPDATE` + `DB_HOME_UPDATE` `DATABASE_UPDATE`	`DeleteDatabase` `SwitchoverDataGuardAssociation`、`FailoverDataGuardAssociation`、`ReinstateDataGuardAssociation`	`CreateDataGuardAssociation`
MANAGE	USE + `DATABASE_DELETE`	`DeleteDatabase`	なし

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
INSPECT	`DATABASE_INSPECT`	`ListDataGuardAssociations, GetDatabase`	`CreateDatabase`
READ	増分なし	増分なし	なし
USE	READ + スタンバイ: `CLOUD_VM_CLUSTER_INSPECT` + `DB_HOME_INSPECT` + `DATABASE_CREATE` プライマリ: `DATABASE_INSPECT` + `DATABASE_CONTENT_READ` + `DATABASE_UPDATE`	`CreateDatabase` (スタンバイ・データベース) `DeleteDatabase`	DataguardAction (スイッチオーバー、フェイルオーバー、回復、UpdateDatabase) `DATABASE_INSPECT` + `DATABASE_UPDATE`のみ必要
MANAGE	USE + `DATABASE_DELETE`	`DeleteDatabase`	なし

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
INSPECT	`KEY_STORE_INPSECT`	`GetKeyStore`	`ChangeKeyStoreCompartment`
READ	増分なし	増分なし	なし
USE	READ + `KEY_STORE_UPDATE`	`UpdateKeyStore`	`ChangeKeyStoreCompartment`
MANAGE	USE + `KEY_STORE_CREATE` `KEY_STORE_DELETE`	`CreateKeyStore` `DeleteKeyStore`	なし

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
inspect	`APPLICATION_VIP_INSPECT`	`ListApplicationVips` `GetApplicationVips`	なし
read	INSPECT +	増分なし	なし
use	READ +	増分なし	なし
manage	USE + `APPLICATION_VIP_CREATE` `APPLICATION_VIP_DELETE`	`CreateApplicationVip` `DeleteApplicationVip`	なし

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
INSPECT	`SCHEDULING_WINDOW_INSPECT`	`ListSchedulingWindows` `GetSchedulingWindow`	`CreateSchedulingWindow` `UpdateSchedulingWindow` `DeleteSchedulingWindow`
READ	増分なし	増分なし	なし
USE	READ+ `SCHEDULING_WINDOW_UPDATE`	増分なし	`UpdateSchedulingWindow`
MANAGE	USE + `SCHEDULING_WINDOW_CREATE` `SCHEDULING_WINDOW_DELETE`	増分なし	`CreateSchedulingWindow` `DeleteSchedulingWindow`

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
INSPECT	`ORACLE_DB_AZURE_BLOB_CONTAINER_INSPECT`	`ListOracleDbAzureBlobContainers`	なし
READ	INSPECT+ `ORACLE_DB_AZURE_BLOB_CONTAINER_READ`	`GetOracleDbAzureBlobContainer`	なし
USE	READ+ `ORACLE_DB_AZURE_BLOB_CONTAINER_UPDATE`	`UpdateOracleDbAzureBlobContainer`	なし
MANAGE	USE + `ORACLE_DB_AZURE_BLOB_CONTAINER_CREATE` `ORACLE_DB_AZURE_BLOB_CONTAINER_MOVE` `ORACLE_DB_AZURE_BLOB_CONTAINER_DELETE`	増分なし	`CreateOracleDbAzureBlobContainer` `ChangeOracleDbAzureBlobContainerCompartment` `DeleteOracleDbAzureBlobContainer`

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
INSPECT	`ORACLE_DB_MULTI_CLOUD_WORK_REQUEST_INSPECT`	増分なし	`ListWorkRequests` `ListWorkRequestErrors` `ListWorkRequestLogs`
READ	INSPECT+ `ORACLE_DB_MULTI_CLOUD_WORK_REQUEST_READ`	`GetWorkRequest`	なし
USE	増分なし	増分なし	なし
MANAGE	USE + `ORACLE_DB_MULTI_CLOUD_WORK_REQUEST_CANCEL`	`CancelWorkRequest`	なし

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
INSPECT	`MULTICLOUD_DISCOVERY_INSPECT`	`ListMultiCloudResourceDiscoveries`	なし
READ	INSPECT+ `MULTICLOUD_DISCOVERY_READ`	`GetMultiCloudResourceDiscovery`	なし
USE	READ+ `MULTICLOUD_DISCOVERY_UPDATE`	`UpdateMultiCloudResourceDiscovery`	なし
MANAGE	USE + `MULTICLOUD_DISCOVERY_CREATE` `MULTICLOUD_DISCOVERY_MOVE` `MULTICLOUD_DISCOVERY_DELETE`	増分なし	`CreateMultiCloudResourceDiscovery` `ChangeMultiCloudResourceDiscoveryCompartment` `DeleteMultiCloudResourceDiscovery`

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
INSPECT	`ORACLE_DB_AZURE_VAULT_INSPECT`	`ListOracleDbAzureVaults`	なし
READ	INSPECT+ `ORACLE_DB_AZURE_VAULT_READ`	`GetOracleDbAzureVault`	なし
USE	READ+ `ORACLE_DB_AZURE_VAULT_UPDATE` `ORACLE_DB_AZURE_VAULT_REFRESH`	増分なし	`UpdateOracleDbAzureVault` `RefreshOracleDbAzureVault`
MANAGE	USE + `ORACLE_DB_AZURE_VAULT_CREATE` `ORACLE_DB_AZURE_VAULT_MOVE` `ORACLE_DB_AZURE_VAULT_DELETE`	増分なし	`CreateOracleDbAzureVault` `ChangeOracleDbAzureVaultCompartment` `DeleteOracleDbAzureVault`

動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
INSPECT	`ORACLE_DB_AZURE_KEY_INSPECT`	`ListOracleDbAzureKeys`	なし
READ	INSPECT+ `ORACLE_DB_AZURE_KEY_READ`	`GetOracleDbAzureKey`	なし
USE	増分なし	増分なし	なし
MANAGE	増分なし	増分なし	なし

Oracle Cloud Infrastructureドキュメント