Oracle Cloud Infrastructure GoldenGateポリシー

1. Oracle Cloudのナビゲーション・メニューで、「アイデンティティとセキュリティ」を選択し、「識別」で「ポリシー」をクリックします。
2. 「ポリシー」ページで、「ポリシーの作成」をクリックします。
3. ポリシーの作成ページで、ポリシーの名前および説明を入力します。
4. このポリシーを作成するコンパートメントを選択します。
5. 「ポリシー・ビルダー」セクションで、次のいずれかを実行できます
   • 「ポリシー・ユース・ケース」ドロップダウンから「GoldenGateサービス」を選択し、共通ポリシー・テンプレート(ユーザーがGoldenGateリソースを管理できるようにするために必要なポリシーなど)を選択します。
   • 「手動エディタの表示」をクリックして、ポリシー・ルールを次の形式で入力します:

     allow <subject> to <verb> <resource-type> in <location> where <condition>

     条件はオプションです。動詞+リソース・タイプの組合せの詳細を参照してください。

   ヒント:

   詳細は、最小推奨ポリシーを参照してください。
6. 「作成」をクリックします

少なくとも、次のポリシーが必要です:

• ユーザーにGoldenGateリソースの使用または管理を許可し、ユーザーがデプロイメントおよび接続を操作できるようにします。例:

  allow group <identity-domain>/<group-name> to manage goldengate-family in <location>

• ユーザーにネットワーク・リソースの管理を許可し、ユーザーがGoldenGateリソースの作成時にコンパートメントとサブネットを表示および削除し、プライベート・エンドポイントを作成および削除できるようにします。例:

  allow group <identity-domain>/<group-name> to manage virtual-network-family in <location>

  オプションで、粒度の細かいポリシーの組合せを使用して、ネットワーク・リソースをさらに保護できます。ネットワーク・リソースを保護するためのポリシーの例を参照してください。

• 動的グループの作成: 定義されたルールに基づいてリソースに権限を付与し、GoldenGateデプロイメントまたはパイプライン(あるいはその両方)がテナンシ内のリソースにアクセスできるようにします。<dynamic-group-name>を任意の名前に置き換えます。動的グループは必要な数だけ作成できます。たとえば、様々なコンパートメントまたはテナンシにわたるデプロイメントの権限を制御できます。

  name: <dynamic-group-name>
  Matching rule: ALL {resource.type = 'goldengatedeployment', resource.compartment.id = '<location>'}

  ヒント:

  このリストに続くポリシーは、<dynamic-group-name>を参照します。複数の動的グループを作成する場合は、後続のポリシーを追加するときに、正しい動的グループ名を参照していることを確認してください。

• パスワード・シークレットとの接続を使用する場合、接続に割り当てているデプロイメントは、接続のパスワード・シークレットにアクセスできる必要があります。ポリシーをコンパートメントまたはテナンシに追加してください:

  allow dynamic-group <identity-domain>/<dynamic-group-name> to read secret-bundles in <location>

• IAM対応テナンシーでの検証のために、ユーザーがIdentity and Access Management (IAM)ユーザーおよびグループを読むことを許可します。

  allow service goldengate to {idcs_user_viewer, domain_resources_viewer} in <location>

  allow dynamic-group <identity-domain>/<dynamic-group-name> to {idcs_user_viewer, domain_resources_viewer} in <location>

• Oracle Vaultで顧客管理暗号化キーとパスワード・シークレットにアクセスします。例:

  allow group <identity-domain>/<group-name> to manage secret-family in <location>
  allow group <identity-domain>/<group-name> to use keys in <location>
  allow group <identity-domain>/<group-name> to use vaults in <location>
  allow dynamic-group <identity-domain>/<dynamic-group-name> to use keys in <location>
  allow dynamic-group <identity-domain>/<dynamic-group-name> to use vaults in <location> 
  allow dynamic-group <identity-domain>/<dynamic-group-name> to read secret-bundles in <location>

次のサービスを使用するかどうかに応じて、次のポリシーの追加が必要になる場合があります:

• ソース・データベースまたはターゲット・データベース(あるいはその両方)のOracle AIデータベース。例:

  allow group <identity-domain>/<group-name> to read database-family in <location>

  allow group <identity-domain>/<group-name> to read autonomous-database-family in <location>

• 手動のOCI GoldenGateバックアップを格納するためのOracle Object Storage。例:

  allow group <identity-domain>/<group-name> to manage objects in <location>
  allow dynamic-group <identity-domain>/<dynamic-group-name> to manage objects in <location> where target.bucket.name = '<bucket-name>'
  allow group <identity-domain>/<group-name> to inspect buckets in <location>

• OCIロギング。ログ・グループにアクセスします。例:

  allow group <identity-domain>/<group-name> to read log-groups in <location>
  allow group <identity-domain>/<group-name> to read log-content in <location>

• Load Balancer(デプロイメント・コンソールへのパブリック・アクセスを有効にする場合):

  allow group <identity-domain>/<group-name> to manage load-balancers in <location>
  allow group <identity-domain>/<group-name> to manage public-ips in <location> 
   
  allow group <identity-domain>/<group-name> to manage network-security-groups in <location>
  allow group <identity-domain>/<group-name> to manage vcns in <location> where ANY {request.operation = 'CreateNetworkSecurityGroup', request.operation = 'DeleteNetworkSecurityGroup'}
  

• 作業リクエスト:

  allow group <identity-domain>/<group-name> to inspect work-requests in <location>

• Zero Trust Packet Routing (ZPR)。Required only If you've added security attributes to your VCN and/or Load Balancer to control access for your connections and public deployments, add the following policies to allow public internet traffic to the load balancer and traffic flow between the load balancer and private endpoints:

  • VCNとロード・バランサの両方にセキュリティ属性が追加された場合:

    in <vcn-sa-key>:<vcn-sa-value> VCN allow <lb-sa-key>:<lb-sa-value> endpoints to connect to <pe-sa-key>:<pe-sa-value> endpoints
    in <vcn-sa-key>:<vcn-sa-value> VCN allow all-endpoints to connect to <lb-sa-key>:<lb-sa-value> endpoints

  • セキュリティ属性がロード・バランサではなくVCNに対してのみ追加され、ロード・バランサがCIDR 10.0.1.0/24を持つパブリック・サブネット内にある場合:

    in <vcn-sa-key>:<vcn-sa-value> VCN allow '10.0.1.0/24' to connect to <pe-sa-key>:<pe-sa-value> endpoints

  ノート
  
  専用接続やプライベート・デプロイメントなどの他のリソースの場合、作成されたプライベート・エンドポイントにセキュリティ属性が追加されます。ロード・バランサはプライベート・デプロイメントではデフォルトでは作成されないため、前述のZPR例は適用されません。この場合、ZPRはプライベート・エンドポイントを保護するため、ZPRポリシーが必要な場合があります。正確なポリシーは、ユースケースによって異なります。

  ZPRポリシー構文についてさらに学習します。

次のステートメントは、ワークスペースのタグ・ネームスペースおよびタグを管理するためのグループ権限を付与します:

allow group <identity-domain>/<group-name> to manage tag-namespaces in <location>

定義済のタグを追加するには、タグ・ネームスペースを使用する権限が必要です。タグ付けの詳細は、リソース・タグを参照してください。

詳細および追加のポリシーの例は、OCI GoldenGateポリシーを参照してください。

ポリシーを使用して、コンパートメント内のネットワーク・リソースへのユーザー・アクセスを簡単に許可できます:

allow group <group-name> to use virtual-network-family in compartment <compartment-name>

または、次のポリシーを使用して、より詳細なレベルでネットワーク・リソースを保護することもできます: