Configurando o Provedor

Por padrão, o provedor Terraform usa autenticação de Chave de API, mas você pode especificar isso explicitamente definindo o atributo auth como "APIKey" na definição do seu provedor. As chamadas para o OCI usando a autenticação de Chave de API exigem que você forneça as seguintes credenciais:

• tenancy_ocid - OCID da sua tenancy. Para obter o valor, consulte Onde Obter o OCID da Tenancy e o OCID do Usuário.
• user_ocid - OCID do usuário que chama a API. Para obter o valor, consulte Onde Obter o OCID da Tenancy e o OCID do Usuário.
• private_key - O conteúdo do arquivo de chave privada. Obrigatório se private_key_path não estiver definido e terá precedência sobre private_key_path se ambos estiverem definidos. Para obter detalhes sobre como criar e configurar chaves, consulte Como Gerar uma Chave de Assinatura de API e Como Fazer Upload da Chave Pública.
• private_key_path - O caminho (incluindo o nome do arquivo) da chave privada armazenada no computador. Obrigatório se private_key não estiver definido. Para obter detalhes sobre como criar e configurar chaves, consulte Como Gerar uma Chave de Assinatura de API e Como Fazer Upload da Chave Pública.
• private_key_password - (Opcional) Frase-senha usada para a chave, se ela for criptografada.
• fingerprint - Impressão digital do par de chaves que está sendo usado. Para obter o valor, consulte Como Obter a Impressão Digital da Chave.
• region - Uma região do OCI. Consulte Regiões e Domínios de Disponibilidade.
• config_file_profile - O nome do perfil se você quiser usar um perfil personalizado no arquivo de configuração do OCI para fornecer as credenciais de autenticação. Consulte Usando o Arquivo de Configuração do SDK e da CLI para obter mais informações.

Por exemplo, forneça esses valores como variáveis de ambiente ou dentro de variáveis de configuração do Terraform.

A autorização do controlador de instâncias permite que seu provedor faça chamadas de API em uma instância de computação do OCI sem precisar dos atributos tenancy_ocid, user_ocid, private_key_path e fingerprint na definição do provedor.

Para ativar a autorização do controlador de instâncias nos provedores Terraform do OCI, defina o atributo auth como "InstancePrincipal" na definição do provedor, conforme mostrado no seguinte exemplo:

variable "region" {}

provider "oci" {
   auth = "InstancePrincipal"
   region = var.region
}

Para obter mais informações, consulte Chamando os Serviços em uma Instância.

A autorização do controlador de recursos, como autorização do controlador de instâncias, permite que o provedor faça chamadas de API sem a necessidade de fornecer credenciais dentro da definição do provedor. A autorização do controlador de recursos é usada para permitir que recursos como uma função em execução acessem outros recursos do Oracle Cloud Infrastructure. Para obter mais informações, consulte Acessando Outros Recursos do Oracle Cloud Infrastructure pelas Funções em Execução.

Para ativar a autorização do controlador de recursos para provedores Terraform do OCI:

1. Crie o grupo dinâmico e as políticas necessárias à função em execução para gerenciar outros recursos do OCI. Siga as instruções em Usando a Console em Acessando Outros Recursos do Oracle Cloud Infrastructure nas Funções em Execução e certifique-se de que a política permita o gerenciamento de outros recursos.

2. Defina as seguintes variáveis de ambiente:

   • OCI_RESOURCE_PRINCIPAL_VERSION, contendo o valor 2.2.

     Quando o valor é 1, a substituição de região não é suportada.

   • OCI_RESOURCE_PRINCIPAL_RPST, contendo o conteúdo bruto do arquivo rpst ou o caminho absoluto para o arquivo rpst, incluindo o nome do arquivo.

   • OCI_RESOURCE_PRINCIPAL_PRIVATE_PEM, contendo o caminho absoluto para o arquivo private.pem (incluindo o nome do arquivo).

   • OCI_RESOURCE_PRINCIPAL_REGION, contendo o identificador de região no qual o provedor está implantado (por exemplo, us-phoenix-1).

3. Defina o atributo auth como "ResourcePrincipal" na definição do provedor.

   Observação
   
   

   O valor de region no bloco do provedor substitui o valor da região definido pela variável de ambiente OCI_RESOURCE_PRINCIPAL_REGION. Essa alteração, introduzida no Provedor Terraform versão 5.0.0, não é compatível com versões inferiores.

   Quando o valor da variável de ambiente OCI_RESOURCE_PRINCIPAL_VERSION é 1, a substituição de região não é suportada.

   Por exemplo:

   provider "oci" {
      auth = "ResourcePrincipal"
      region = var.region
   }

A autenticação de Token de Segurança permite executar o Terraform usando um token gerado com Autenticação baseada em Token para a CLI. Para ativar a autenticação do Token de Segurança, atualize a definição do provedor da seguinte forma:

Por exemplo:

# Configure the Oracle Cloud Infrastructure provider to use Security Token authentication
provider "oci" {
  auth = "SecurityToken"
  config_file_profile = "PROFILE"
  region = var.region
}

No Kubernetes, uma carga de trabalho é um aplicativo em execução em um cluster do Kubernetes. Uma carga de trabalho pode ser um componente de aplicativo em execução dentro de um único pod ou vários componentes de aplicativo em execução dentro de um conjunto de pods que funcionam juntos. Todos os pods na carga de trabalho são executados no mesmo namespace.

No Oracle Cloud Infrastructure, uma carga de trabalho em execução em um cluster do Kubernetes gerenciado pelo Container Engine for Kubernetes (também conhecido como OKE) é considerada um recurso por si só. Um recurso de carga de trabalho é identificado pela combinação exclusiva de cluster, namespace e conta de serviço do Kubernetes. Essa combinação exclusiva é chamada de identidade da carga de trabalho.

A Autenticação de Identidade da Carga de Trabalho do OKE permite que cargas de trabalho em execução em clusters do Kubernetes gerenciados pelo Serviço Container Engine for Kubernetes acessem outros recursos do Oracle Cloud Infrastructure. Para obter mais informações, consulte Concedendo às Cargas de Trabalho Acesso aos Recursos do OCI.

Para ativar a Autenticação de Identidade da Carga de Trabalho do OKE para provedores Terraform do OCI, defina o atributo auth como "OKEWorkloadIdentity" na definição do provedor, conforme mostrado no seguinte exemplo:

variable "region" {}
provider "oci" {
   auth = "OKEWorkloadIdentity"
   region = var.region
}

Você pode exportar os valores de autenticação necessários como variáveis de ambiente ou originá-los em diferentes perfis bash ao executar comandos do Terraform.

Se você trabalha principalmente em um único compartimento, considere exportar o OCID do compartimento como variável de ambiente. O OCID da tenancy também é o OCID do compartimento raiz e pode ser usado onde qualquer OCID de compartimento é necessário.

Exemplo de Exportação do UNIX e do Linux

O exemplo UNIX e Linux bash_profile a seguir se aplica quando a configuração do Terraform é limitada a um único compartimento ou usuário.

export OCI_DEFAULT_CERTS_PATH=<certificates_path>
export TF_VAR_tenancy_ocid=<tenancy_OCID>
export TF_VAR_compartment_ocid=<compartment_OCID>
export TF_VAR_user_ocid=<user_OCID>
export TF_VAR_fingerprint=<key_fingerprint>
export TF_VAR_private_key_path=<private_key_path>
export TF_VAR_region=<region>
export USER_AGENT_PROVIDER_NAME=<custom_user_agent>
export OCI_SDK_APPEND_USER_AGENT=<custom_user_agent>
export TF_APPEND_USER_AGENT=<custom_user_agent>

Depois de definir esses valores, abra um novo terminal ou origine as alterações de perfil:

$ source ~/.bash_profile

Para ambientes mais complexos, considere a manutenção de vários conjuntos de variáveis de ambiente.

Exemplo de Exportação do Windows

Observação

Certifique-se do formato PEM para chaves. Consulte Como Gerar uma Chave de Assinatura de API para obter mais informações.

O exemplo do Windows a seguir se aplica quando a configuração do Terraform é limitada a um único compartimento ou usuário.

setx OCI_DEFAULT_CERTS_PATH=<certificates_path>
setx TF_VAR_tenancy_ocid <tenancy_OCID>
setx TF_VAR_compartment_ocid <compartment_OCID>
setx TF_VAR_user_ocid <user_OCID>
setx TF_VAR_fingerprint <key_fingerprint>
setx TF_VAR_private_key_path <private_key_path>
setx TF_VAR_region=<region>
setx USER_AGENT_PROVIDER_NAME=<custom_user_agent>
setx OCI_SDK_APPEND_USER_AGENT=<custom_user_agent>
setx TF_APPEND_USER_AGENT=<custom_user_agent>

Depois de definir esses valores, saia e reabra o terminal. (As variáveis não estão definidas para a sessão atual.)

Para usar um agente de usuário personalizado, exporte uma das variáveis de ambiente a seguir. Somente uma variável de ambiente é considerada de cada vez, seguindo esta ordem de prioridade:

• USER_AGENT_PROVIDER_NAME
• OCI_SDK_APPEND_USER_AGENT
• TF_APPEND_USER_AGENT

Acesse com segurança buckets de armazenamento no serviço Object Storage com pontos finais dedicados usando o provedor Terraform do OCI. Ao configurar o provedor, use uma variável de ambiente, um parâmetro no bloco do provedor ou ambos. Se você usar ambos, o parâmetro de bloco do provedor terá precedência.

A variável de ambiente é OCI_REALM_SPECIFIC_SERVICE_ENDPOINT_TEMPLATE_ENABLED. O valor padrão é false. Defina o valor como true para usar um ponto final dedicado.

O parâmetro de bloco do provedor é realm_specific_service_endpoint_template_enabled. O valor padrão é false. Defina o valor como true para usar um ponto final dedicado.