Como Trabalhar com Instâncias

Se o grupo precisar criar instâncias com base em imagens do parceiro, elas precisarão ter a permissão de gerenciamento de app-catalog-listing para criar assinaturas de imagens do catálogo de Imagens do Parceiro. Consulte Permitir que os usuários listem e assinem imagens do catálogo de Imagens do Parceiro .

Para usuários: Para conectar-se a uma instância em execução com uma conexão do Secure Shell (SSH) ou da Área de Trabalho Remota, você não precisa de uma política do serviço IAM para conceder a você o acesso. No entanto, você precisa do endereço IP público da instância.

Para administradores: Se houver uma política que permita aos usuários iniciar uma instância, essa política provavelmente também permitirá que os usuários obtenham o endereço IP da instância. A política mais simples que permite ambas as coisas está listada em Permitir que os usuários iniciem instâncias de computação.

Aqui está uma política mais restritiva que permite que o grupo especificado obtenha o endereço IP de instâncias existentes e use ações de configuração nas instâncias (por exemplo, interromper ou iniciar a instância), mas não inicialize ou encerre instâncias. A política assume que as instâncias e a rede na nuvem estão juntas em um único compartimento (XYZ).

Allow group InstanceUsers to read virtual-network-family in compartment XYZ
Allow group InstanceUsers to use instance-family in compartment XYZ

Para usuários: Nenhuma política do IAM será necessária se você tiver feito log-in na instância e estiver usando o cURL para obter os metadados da instância.

Para administradores: Os usuários também podem obter metadados de instância por meio da API do serviço Compute (por exemplo, com GetInstance ). A política em Permitir que os usuários iniciem instâncias de computação abrange essa capacidade.

Para exigir que os pontos finais IMDSv1 legados sejam desativados em quaisquer novas instâncias criadas, use a seguinte política:

Allow group InstanceLaunchers to manage instances in compartment ABC
 where request.instanceOptions.areLegacyEndpointsDisabled= 'true'

Para administradores: Os exemplos a seguir mostram políticas típicas que dão acesso a reservas de capacidade. Crie a política na tenancy para que o acesso seja facilmente concedido a todos os compartimentos por meio da herança de política. Para reduzir o escopo de acesso apenas às reservas de capacidade em um compartimento em particular, especifique esse compartimento em vez da tenancy.

Tipo de acesso: Capacidade de iniciar uma instância em uma reserva.

Allow group InstanceLaunchers to use compute-capacity-reservations in tenancy

Tipo de acesso: Capacidade de gerenciar reservas de capacidade.

Allow group InstanceLaunchers to manage compute-capacity-reservations in tenancy

Para administradores: Para criar a política para o recurso do comando de execução:

1. Crie um grupo que inclua os usuários que você deseja permitir que emitam comandos, cancelem comandos e exibam a saída de comando das instâncias em um compartimento. Em seguida, crie a seguinte política para conceder acesso ao grupo:

   Allow group RunCommandUsers to manage instance-agent-command-family in compartment ABC

2. Crie um grupo dinâmico que inclua as instâncias nas quais você deseja permitir que os comandos sejam executados. Por exemplo, uma regra dentro do grupo dinâmico pode indicar:

   any { instance.id = 'ocid1.instance.oc1.phx.<unique_ID_1>', 'ocid1.instance.oc1.phx.<unique_ID_2>' }

3. Crie a seguinte política para conceder acesso ao grupo dinâmico:

   Observação
   
   Se você criar uma instância e adicioná-la a um grupo dinâmico, levará até 30 minutos para que a instância comece a sondar comandos. Se você criar o grupo dinâmico primeiro e, em seguida, criar a instância, ela começará a sondar comandos assim que for criada.

   Allow dynamic-group RunCommandDynamicGroup to use instance-agent-command-execution-family in compartment ABC where request.instance.id=target.instance.id

4. Para permitir que o grupo dinâmico acesse o arquivo de script de um bucket do serviço Object Storage e salve a resposta em um bucket do serviço Object Storage, crie as seguintes políticas:

   Allow dynamic-group RunCommandDynamicGroup to read objects in compartment ABC where all {target.bucket.name = '<bucket_with_script_file>'}
   Allow dynamic-group RunCommandDynamicGroup to manage objects in compartment ABC where all {target.bucket.name = '<bucket_for_command_output>'}