動的グループおよびポリシーの作成について

管理エージェントをテナンシに初めてデプロイするには、管理エージェントがOCI管理エージェント・サービス(MACS)と通信できるようにする動的グループを作成します。動的グループはテナンシ固有で、ポリシーはコンパートメント固有です。

動的グループの作成

PeopleSoftアプリケーションを検出するコンパートメントにポリシーを作成します。動的グループを作成するには:

「Oracle Cloud」メニューに移動します。
「アイデンティティとセキュリティ」を選択します。
「アイデンティティ」で、「動的グループ」を選択します。

ノート:
必要なテナンシ管理権限がない場合は、組織のテナンシ管理者に動的グループを作成してもらいます。

次のルールは、リソース・タイプmanagementagentの動的グループを定義します。これは、管理エージェントのインストール元となる特定のコンパートメントに属し、そのメトリックをアップロードします。

ALL {resource.type='managementagent', resource.compartment.id='ocid1.compartment.oc1.examplecompartmentid'}

たとえば次のようにします。

ALL {resource.type='managementagent', resource.compartment.id='ocid1.compartment.oc1..aaaaaaaa7uzcx73agiwphhr4t4yhjrtyvpq zyyixd4xxxyyymo3byg2ofogq'}

管理の作成およびグループの表示

テナンシにまだ存在しない場合は、管理およびビュー・グループを作成する必要があります。

開始する前に、作成する必要があるグループを考慮する必要があります。次のようなことが理想的です。

StackMonitoringAdminGrp
StackMonitoringUserGrp

これらのグループを作成するには、次の手順を実行します。

「Oracle Cloud」メニューに移動します。
「アイデンティティとセキュリティ」、「グループ」の順に選択します。
目的の管理者およびユーザー・グループを作成します。
「ユーザー」に移動して、そのグループにユーザーを追加します。
グループが作成されると、次のようになります。
- StackMonitoringAdminGrp
- StackMonitoringUserGrp
ユーザーを編集し、必要なアクセス・レベルに基づいてこれらのグループをユーザーに割り当てます。

ノート:

必要なテナンシ管理権限がない場合は、組織のテナンシ管理者にグループを作成してもらいます。

必要なポリシーの作成

次に、必要なポリシーを作成する必要があります。IAMポリシーでは、事前定義済の4つの動詞(inspect、read、useおよびmanage)を使用できます。Inspectは最小権限を許可し、manageは最大値を許可します。

ポリシーを作成するには、コンパートメントに移動し、「アイデンティティ」で「ポリシー」、「ポリシー」の順に選択します。

動的グループの場合、これらのポリシーを追加します。動的グループ名およびコンパートメントOCIDを置き換えます。

ALLOW DYNAMIC-GROUP Management_Agent_Dynamic_Group TO USE METRICS IN COMPARTMENT compartment_name where target.metrics.namespace = 'oracle_appmgmt'
ALLOW DYNAMIC-GROUP Management_Agent_Dynamic_Group TO {STACK_MONITORING_DISCOVERY_JOB_RESULT_SUBMIT} IN COMPARTMENT compartment_name

ユーザーおよびグループに対して、これらのポリシーを追加します。compartment_nameを適切な値に置き換えてください。

ALLOW GROUP StackMonitoringAdminGrp TO {MGMT_AGENT_DEPLOY_PLUGIN_CREATE, MGMT_AGENT_INSPECT, MGMT_AGENT_READ} IN COMPARTMENT compartment_name
ALLOW GROUP StackMonitoringAdminGrp TO READ metrics IN COMPARTMENT compartment_name
ALLOW GROUP StackMonitoringAdminGrp to READ instances IN COMPARTMENT compartment_name
ALLOW GROUP StackMonitoringAdminGrp to MANAGE external-database-family IN COMPARTMENT compartment_name
ALLOW GROUP StackMonitoringAdminGrp to MANAGE alarms IN COMPARTMENT compartment_name
ALLOW GROUP StackMonitoringAdminGrp to USE ons-topics IN COMPARTMENT compartment_name
ALLOW GROUP StackMonitoringAdminGrp to USE ons-topics IN COMPARTMENT compartment_name

PeopleSoftアプリケーションに必要なポリシーの詳細は、OCIドキュメントの「スタート・ガイド」および「IAMセキュリティ・ポリシー」を参照してください。これらのドキュメントには、このプレイブックの他の場所にある「詳細を見る」からアクセスできます。