Visão Geral do Serviço IAM

É sua responsabilidade:

• Entender as políticas, as configurações e os artefatos do Oracle Cloud Infrastructure Identity and Access Management (IAM).
• Implementar suas próprias políticas, configurações e artefatos para todos os recursos do serviço IAM.
• Criar e administrar usuários, políticas, configurações e artefatos usando o serviço IAM.
• Cumprir todos os requisitos e diretrizes do NIST 800-63, incluindo o IAL3, AAL3 e FAL3.

Para todos os recursos do serviço IAM, você deve usar seus próprios valores de configuração e configurar seus próprios artefatos.

O serviço IAM usa os componentes descritos nesta seção. Para entender melhor como os componentes se encaixam, consulte Exemplo de Cenário.

COMPARTIMENTO

Um conjunto de recursos relacionados. Os compartimentos são um componente fundamental do Oracle Cloud Infrastructure para organizar e isolar seus recursos na nuvem. Use-os para separar claramente recursos para fins de medição de uso e faturamento, acesso (pelo uso das políticas) e isolamento (separando os recursos de um projeto ou unidade de negócios de outro). Uma abordagem comum é criar um compartimento para cada parte principal da sua organização. Para obter mais informações, consulte Conheça as Melhores Práticas para Configurar a Sua Tenancy.

GRUPOS DINÂMICOS

Um tipo especial de grupo que contém recursos (como instâncias do serviço Compute) que correspondem às regras definidas por você (portanto, a associação pode ser alterada dinamicamente à medida que os recursos correspondentes são criados ou excluídos). Essas instâncias atuam como atores "principais" e podem fazer chamadas de API para serviços de acordo com as políticas gravadas para o grupo dinâmico.

FEDERAÇÃO

Uma relação na qual um administrador configura entre um provedor de identidades e um provedor de serviços. Quando você federa o Oracle Cloud Infrastructure com um provedor de identidades, você gerencia usuários e grupos no provedor de identidades. Você gerencia a autorização no serviço IAM do Oracle Cloud Infrastructure.

GRUPO

Um conjunto de usuários que compartilha um conjunto semelhante de privilégios de acesso. Os administradores podem conceder políticas de acesso que autorizam um grupo a consumir ou gerenciar recursos em uma tenancy. Todos os usuários de um grupo herdam o mesmo conjunto de privilégios.

REGIÃO HOME

A região na qual residem os recursos do serviço IAM. Todos os recursos do serviço IAM são globais e estão disponíveis em todas as regiões, mas o conjunto mestre de definições reside em uma única região, a região local. Você deverá fazer alterações nos recursos do serviço IAM na sua região local. As alterações serão propagadas automaticamente para todas as regiões. Para obter mais informações, consulte Gerenciando Regiões.

DOMÍNIO DE IDENTIDADES

Domínio de identidades é um contêiner para gerenciar usuários e atribuições, federar e provisionar usuários, proteger a integração de aplicativos por meio da configuração do Oracle Single Sign-On (SSO) e da administração OAuth. Ele representa uma população de usuários do Oracle Cloud Infrastructure e suas configurações e definições de segurança associadas (como MFA).

PROVEDOR DE IDENTIDADE

Uma relação confiável com um provedor de identidades federado. Os usuários federados que tentam autenticar a console do Oracle Cloud Infrastructure são redirecionados para o provedor de identidades configurado. Após a autenticação bem-sucedida, os usuários federados poderão gerenciar recursos do Oracle Cloud Infrastructure na console, como um usuário nativo do serviço IAM.

MFA

Autenticação multifator (MFA) é um método de autenticação que exige o uso de mais de um fator para verificar a identidade de um usuário.

ORIGEM DE REDE

Um grupo de endereços IP com permissão para acessar recursos em sua tenancy. Os endereços IP podem ser endereços IP públicos ou endereços IP de uma VCN em sua tenancy. Depois de criar a origem da rede, você usa a política para restringir o acesso apenas às solicitações originadas dos IPs na origem da rede.

RECURSO

Um objeto de nuvem que você cria e usa ao interagir com os serviços do Oracle Cloud Infrastructure. Por exemplo, instâncias de computação, volumes de armazenamento em blocos, redes virtuais na nuvem (VCNs ), sub-redes, bancos de dados, aplicativos de terceiros, aplicativos Software-as-a-Service (SaaS), software local e aplicativos Web de varejo.

ATRIBUIÇÃO

Um conjunto de privilégios administrativos que podem ser atribuídos a um usuário em um domínio de identidades.

POLÍTICA DE SEGURANÇA

Um documento que especifica quem pode acessar quais recursos e como. Você pode gravar políticas para controlar o acesso a todos os serviços no Oracle Cloud Infrastructure. O acesso é concedido no nível de grupo e compartimento, o que significa que você pode gravar uma política que dá a um grupo um tipo específico de acesso em um compartimento específico ou à própria tenancy. Se você conceder a um grupo acesso à tenancy, o grupo obterá automaticamente o mesmo tipo de acesso a todos os compartimentos na tenancy. Para obter mais informações, consulte Exemplo de Cenário e Como as Políticas Funcionam. A palavra "política" é usada pelas pessoas de maneiras distintas: para se referir a uma instrução individual escrita na linguagem da política; para se referir a um conjunto de instruções em um único documento chamado de "política" (que tem um OCID (Oracle Cloud ID) designado a ele); e para indicar o conjunto completo das políticas que sua organização usa para controlar o acesso aos recursos.

Quando você aplica uma política, pode haver um ligeiro atraso antes de a política ser efetiva.

POLÍTICA DE SIGN-ON

Uma política de sign-on permite que administradores de domínio de identidades, administradores de segurança e administradores de aplicativos definam critérios que determinem se um usuário poderá acessar um domínio de identidades.

TAGS

As tags permitem que você organize recursos em vários compartimentos para fins de geração de relatórios ou para executar ações em massa.

TENANCY

O compartimento raiz que contém todos os recursos do Oracle Cloud Infrastructure da organização. O sistema Oracle cria automaticamente a tenancy de sua empresa para você. Diretamente na tenancy estão suas entidades do serviço IAM (usuários, grupos, compartimentos e algumas políticas; você também pode colocar políticas em compartimentos dentro da tenancy). Você coloca os outros tipos de recursos de nuvem (por exemplo, instâncias, redes virtuais, volumes de armazenamento em blocos etc.) nos compartimentos que você cria.

Os administradores da tenancy podem criar usuários e grupos e designá-los a um acesso menos privilegiado a recursos particionados em compartimentos.

USUÁRIO

Um funcionário individual ou sistema que precisa gerenciar ou usar os recursos do Oracle Cloud Infrastructure da sua empresa. Os usuários podem precisar iniciar instâncias, gerenciar discos remotos, trabalhar com sua rede virtual na nuvem etc. Os usuários finais do seu aplicativo não são normalmente usuários do serviço IAM. Os usuários têm uma ou mais credenciais do serviço IAM (consulte Credenciais do Usuário).

Quando sua empresa se inscreve em uma conta da Oracle e no domínio de identidades, a Oracle configura um administrador padrão para a conta. Essa pessoa será o primeiro usuário do serviço IAM de sua empresa e será responsável pela configuração inicial dos administradores adicionais. Sua tenancy vem com um grupo chamado Administradores, e o administrador padrão pertence automaticamente a esse grupo. Não é possível excluir este grupo, e sempre deve haver pelo menos um usuário.

Sua tenancy também tem automaticamente uma política que oferece ao grupo Administradores acesso a todas as operações da API do Oracle Cloud Infrastructure e a todos os recursos de nuvem em sua tenancy. Não é possível alterar nem excluir esta política. Qualquer outro usuário que você colocar no grupo Administradores terá acesso total a todos os serviços. Isso possibilita criar e gerenciar recursos do serviço IAM, como grupos, políticas e compartimentos. E poder criar e gerenciar recursos da nuvem, como redes virtuais na nuvem (VCNs), instâncias, volumes de armazenamento em blocos e qualquer outro novo tipo de recursos do Oracle Cloud Infrastructure que se torne disponível no futuro.

Além do administrador padrão e da política padrão, você pode designar contas de usuário a atribuições predefinidas de administrador para delegar responsabilidades administrativas. Existem atribuições de administrador nos domínios de identidade. Você pode designar qualquer conta de usuário de um domínio de identidades a uma ou mais atribuições de administrador nesse domínio de identidades. Embora as políticas forneçam acesso a compartimentos e aos recursos desses compartimentos, se você usar atribuições de administrador, poderá conceder acesso a recursos sem saber o idioma da política ou criar e manter políticas.

O serviço IAM avalia políticas e atribuições de administrador ao determinar se um usuário tem acesso a recursos e o que ele pode fazer com esses recursos. Se a tenancy já depender de políticas, você poderá continuar usando-as. Você pode até mesmo criar políticas para conceder acesso a domínios de identidade específicos. No entanto, a Oracle recomenda que você comece a usar atribuições de administrador para conceder aos usuários acesso a recursos em domínios de identidade que estão se movendo para frente.

Você pode acessar o Oracle Cloud Infrastructure usando a Console (uma interface baseada em browser) ou a REST API. As instruções referentes à Console estão incluídas nos tópicos deste guia. Para ver uma lista de SDKs disponíveis, consulte Software Development Kits e Interface de Linha de Comando.

Para acessar a Console, você deve usar um navegador suportado. Para acessar a página de acesso da Console, abra o menu de navegação na parte superior desta página e clique em Console de Infraestrutura. Será solicitado que você digite seu tenant na nuvem, seu nome de usuário e sua senha.

Para a Referência de API REST da API do serviço IAM, consulte API do Serviço Identity and Access Management. Para a Referência de API REST da API de Domínios de Identidade do serviço IAM, consulte API de Domínios de Identidade do Serviço IAM. Para obter informações gerais sobre o uso da API, consulte APIs REST.