Gerenciando o Acesso do Usuário a Ambientes de Aplicativos

Configure usuários para trabalhar com ambientes de aplicativos na Console do Oracle Cloud.

Este tópico explica como configurar usuários adicionais para trabalhar com ambientes de aplicativos gerenciados na Console do Oracle Cloud. Se você precisar adicionar usuários para trabalhar no aplicativo, consulte a documentação do aplicativo.

O gerenciamento de ambientes de aplicativos integra-se ao serviço Identity and Access Management Service (IAM) para autenticação e autorização. O IAM usa políticas para conceder permissões a grupos. Os usuários têm acesso a recursos (como ambientes de aplicativos) com base nos grupos aos quais pertencem.

O usuário informado durante a etapa de criação da tenancy é o administrador padrão da tenancy. O administrador padrão pode executar todas as tarefas de todos os serviços, incluindo criar grupos, políticas e usuários para conceder acesso aos recursos.

Dica

Este tópico fornece os procedimentos básicos para a criação de tipos de usuário específicos na sua conta, a fim de que você comece com o gerenciamento do ambiente de aplicativos. Para obter detalhes completos sobre como gerenciar usuários na Console do Oracle Cloud, consulte Gerenciando Usuários.

Adicionar um Administrador da Tenancy

Você pode adicionar um administrador de tenancy criando um usuário e adicionando-o ao grupo Administradores de tenancy. Os membros do grupo Administradores têm acesso a todos os recursos e serviços na Console do Oracle Cloud.

Para adicionar um administrador da tenancy:

Na home page da Console do Oracle Cloud, clique em Adicionar um usuário à sua tenancy. A lista de Usuários no domínio atual é exibida.
Clique em Criar usuário.
Digite o Nome e o Sobrenome do usuário.
Para que o usuário faça login com seu endereço de e-mail:
- Deixe a caixa de seleção Usar o endereço de e-mail como nome de usuário marcada.
- No campo Nome do Usuário/E-mail, informe o endereço de e-mail da conta do usuário.
ou
Para que o usuário faça log-in com seu nome de usuário:
- Desmarque a caixa de seleção Usar o endereço de e-mail como nome de usuário.
- No campo Nome do Usuário, informe o nome que o usuário deverá utilizar para fazer log-in na Console.
- No campo E-mail, informe o endereço de e-mail da conta do usuário.
Em Selecionar grupos aos quais designar este usuário, marque a caixa de seleção Administradores.
Clique em Criar.

Um e-mail de boas-vindas é enviado ao endereço informado para o novo usuário. O novo usuário pode seguir as instruções de ativação da conta no e-mail para acessar e começar a usar a tenancy.

Adicionar um Usuário com Acesso Limitado

Para usuários que não devem ter acesso total de administrador, você pode criar políticas que definam o acesso permitido. Esse processo consiste em quatro etapas:

Localize o domínio de identidades.
Crie um grupo.
Criar uma política que conceda ao grupo acesso apropriado aos recursos.
Crie um usuário e adicione-o ao grupo.

Você pode criar políticas que concedam diferentes níveis de acesso para diferentes grupos. Por exemplo, você pode criar uma política que conceda permissões completas de gerenciamento de ambiente para um grupo chamado Environment-Admins. Você pode criar uma segunda política que conceda apenas recursos de monitoramento para um grupo chamado Visualizadores de Ambiente.

As tarefas a seguir orientam você na criação de um grupo, política e usuário no serviço IAM (Identity and Access Management). O administrador padrão pode executar essas tarefas ou outro usuário que tenha recebido acesso para administrar o IAM.

Localizar o domínio de identidades

Domínio de identidades é um contêiner para gerenciar usuários e atribuições, federar e provisionar usuários, proteger a integração de aplicativos por meio da configuração do Oracle Single Sign-On (SSO) e administração de OAuth. Ao criar uma política, você deve identificar a qual domínio de identidades o grupo pertence.

Para localizar os domínios de identidades em sua tenancy:

Abra o menu de navegação, em Infraestrutura, clique em Identidade e Segurança para expandir o menu e, em Identidade, clique em Domínios.

Todas as tenancies incluem um domínio Padrão. Sua tenancy também pode incluir o domínio OracleIdentityCloudService, bem como outros domínios criados por sua organização.

Amostra de lista de domínios de identidades

Criar um grupo

Navegue até a página Grupos do seu domínio de identidades: Abra o menu de navegação, em Infraestrutura, clique em Identidade e Segurança para expandir o menu e, em Identidade, clique em Domínios.
Clique no domínio em que você deseja adicionar o grupo. Neste exemplo, adicionaremos o grupo ao domínio Padrão.
Na lista de recursos à esquerda, clique em Grupos.
Clique em Criar grupo.
Informe o seguinte:
- Nome: Um nome exclusivo para o grupo, por exemplo, Environment-Admins. O nome deve ser exclusivo entre todos os grupos da tenancy. Você não pode alterar isso posteriormente.
- Descrição: uma descrição amigável. Você poderá alterar essa opção posteriormente, se quiser.
- Opções avançadas: Se desejar, você poderá aplicar tags. Se você tiver permissões para criar um recurso, também terá permissões para aplicar tags de formato livre a esse recurso. Para aplicar uma tag definida, você deverá ter permissões para usar o namespace de tag. Para obter mais informações sobre tags, consulte Tags de Recurso. Se você não tiver certeza se deverá aplicar tags, ignore essa opção (você poderá aplicar tags posteriormente) ou pergunte ao seu administrador.
Clique em Criar.

Criar a política

Antes de criar a política, você precisará saber o valor correto do tipo de recurso do seu aplicativo. O tipo de recurso é a que a política concede acesso. Consulte Referência de Política de Serviços de Aplicativos para localizar o tipo de recurso correto para seu aplicativo.

Se você ainda estiver na página Grupos da etapa anterior, clique em Domínios nos links de trilha de navegação na parte superior da página. Na página Domínios, clique em Políticas no lado esquerdo da página.

Caso contrário, abra o menu de navegação, em Infraestrutura, clique em Identidade e Segurança para expandir o menu e, em Identidade, clique em Políticas. A lista de políticas é exibida.
Clique em Criar Política.
Informe o seguinte:
- Nome: Um nome exclusivo para a política. O nome deve ser exclusivo entre todas as políticas da tenancy. Você não pode alterar isso posteriormente.
- Descrição: uma descrição amigável. Você poderá alterar essa opção posteriormente, se quiser.
- Compartimento: Certifique-se de que a tenancy (compartimento raiz) esteja selecionada.
No Policy Builder, ative Mostrar editor manual para exibir a caixa de texto para entrada de texto de formato livre.
Informe as instruções de política para conceder acesso aos recursos necessários.

As políticas seguem o formato:
```
Allow '<identity_domain_name>'/'<group-name>' to <verb> <resource-type> in <location> 
```
onde

<identity-domain-name> é o domínio de identidades no qual o grupo reside.

<your-group-name> é o grupo que você criou em uma etapa anterior.

<application-name> é o nome do recurso do serviço IAM apropriado para seu aplicativo. Para obter uma lista dos nomes de recursos, consulte Referência da Política de Serviços de Aplicativos.

<location> pode ser um nome de compartimento ou "tenancy" para indicar que a permissão é concedida a todos os compartimentos na tenancy.

Por exemplo, as instruções para criar um administrador de ambiente para o Maxymiser são:
```
Allow group 'Default'/'Environment-Admins' to manage maxymiser-environment-family in tenancy
Allow group 'Default'/'Environment-Admins' to read organizations-subscriptions in tenancy
Allow group 'Default'/'Environment-Admins' to read organizations-assigned-subscriptions in tenancy
Allow group 'Default'/'Environment-Admins'' to read organizations-subscription-regions in tenancy
Allow group 'Default'/'Environment-Admins' to read app-listing-environments in tenancy
Allow group 'Default'/'Environment-Admins' to read metrics in tenancy
Allow group 'Default'/'Environment-Admins' to inspect domains in tenancy
Allow group 'Default'/'Environment-Admins' to read announcements in tenancy 
```
Observação

Se o grupo estiver no domínio de identidades Padrão, você poderá omitir a especificação do <identity-domain-name> na política. Você só precisa especificar o nome do grupo. Por exemplo:
Allow group Environment-Admins to manage maxymiser-environment-family in tenancy
Clique em Criar.

Dica

Você pode usar a opção Copiar na amostra de política mostrada na Referência de Política de Serviços de Aplicativos para copiar o conjunto de instruções de política. Em seguida, você pode colar as instruções na caixa de texto Criador de Políticas para que só seja necessário atualizar os valores de <identity-domain-name> e <your-group-name>.

Criar um usuário

Na home page da Console de Aplicativos, em Ações Rápidas, clique em Adicionar um usuário à sua tenancy.
Clique em Criar Usuário.
Digite o Nome e o Sobrenome do usuário.
Para que o usuário faça login com seu endereço de e-mail:
- Deixe a caixa de seleção Usar o endereço de e-mail como nome de usuário marcada.
- No campo Nome do Usuário/E-mail, informe o endereço de e-mail da conta do usuário.
ou
Para que o usuário faça log-in com seu nome de usuário:
- Desmarque a caixa de seleção Usar o endereço de e-mail como nome de usuário.
- No campo Nome do Usuário, informe o nome que o usuário deverá utilizar para fazer log-in na Console.
- No campo E-mail, informe o endereço de e-mail da conta do usuário.
Para atribuir o usuário a um grupo, marque a caixa de seleção de cada grupo que você deseja atribuir à conta de usuário.
Clique em Criar.

Referência da Política de Serviços de Aplicativos

Observação

Os serviços de aplicativos mostrados aqui suportam provisionamento e gerenciamento do ambiente de autoatendimento. Para obter ajuda na gravação de políticas para serviços de aplicativos que não suportam provisionamento de autoatendimento, consulte Adicionando Usuários da Console do Oracle Cloud.

As seções a seguir fornecem exemplos de políticas que você pode usar para criar uma atribuição de administrador de ambiente e uma atribuição de visualizador de ambiente. Para criar um usuário com o acesso concedido por meio dessas políticas, você pode copiar e colar a política fornecida para seu serviço, substituindo o nome do seu grupo. Para obter detalhes, consulte a Dica na tarefa Criar a política acima.

Nível de Permissão

O nível de permissão é especificado pelo verbo na instrução. Para conceder a outro usuário acesso para interagir com seus ambientes na Console do Oracle Cloud, use um dos seguintes verbos nas instruções de política:

manage - permite que o usuário execute todas as tarefas de gerenciamento de um ambiente, incluindo criar e excluir (quando houver suporte).
use - permite que o usuário atualize um ambiente existente; o usuário não pode criar ou excluir um ambiente.
read - permite que o usuário exiba todas as informações sobre o ambiente.
inspect - permite que o usuário liste apenas os ambientes; o usuário não pode exibir as páginas de detalhes.

Para obter mais informações sobre as operações permitidas por cada um desses verbos, consulte Referência da Política de IAM do Application Environment Management.

Instruções Necessárias

As atribuições de administrador do ambiente e de visualizador do ambiente exigem acesso aos recursos do ambiente do aplicativo. O administrador exige permissões manage, enquanto o visualizador só precisa de permissões read. Além disso, ambas as atribuições exigem permissões para assinaturas de aplicativos read.

Instruções Obrigatórias para Administrador do Ambiente

O administrador do ambiente pode executar todas as tarefas necessárias para criar e gerenciar ambientes. O administrador também pode exibir as assinaturas em sua tenancy e acessar dados de métricas. Consulte Exemplos de Política Específica do Aplicativo para obter o valor <application> do seu aplicativo.

Allow group '<identity-domain-name>'/'<your-group-name>' to manage <application>-environment-family in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-subscriptions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read subscriptions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-assigned-subscriptions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-subscription-regions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read app-listing-environments in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read metrics in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to inspect domains in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read announcements in tenancy

Detalhes de cada instrução de política:


Declaração da apólice	Para que
`Allow group '<identity-domain-name>'/'<your-group-name>' to manage <application>-environment-family in tenancy`	Concede permissões completas de gerenciamento para os ambientes de aplicativos especificados. Inclui acesso à documentação de conformidade.
Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-subscriptions in tenancy Allow group '<identity-domain-name>'/'<your-group-name>' to read subscriptions in tenancy Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-assigned-subscriptions in tenancy Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-subscription-regions in tenancy Allow group '<identity-domain-name>'/'<your-group-name>' to read app-listing-environments in tenancy	Concede permissões para ler informações relacionadas a inscrições para acessar suas assinaturas de aplicativos na Console. Obrigatório para exibir suas assinaturas; deve estar no nível da tenancy.
`Allow group '<identity-domain-name>'/'<your-group-name>' to read metrics in tenancy`	Concede acesso a gráficos de métricas e dados de métricas para recursos do OCI.
`Allow group '<identity-domain-name>'/'<your-group-name>' to read announcements in tenancy`	Concede acesso a anúncios lidos.
`Allow group '<identity-domain-name>'/'<your-group-name>' to inspect domains in tenancy`	Concede acesso à lista de domínios de identidades.

Instruções Obrigatórias para Visualizador de Ambiente

Este usuário pode exibir detalhes e monitorar os ambientes na Console do Oracle Cloud. Esta função não pode fazer nenhuma atualização. O visualizador de ambiente também pode exibir as assinaturas em sua tenancy e acessar dados de métricas. Consulte Exemplos de Política Específica do Aplicativo para obter o valor <application> do seu aplicativo.

Allow group '<identity-domain-name>'/'<your-group-name>' to read <application>-environment-family in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-subscriptions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read subscriptions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-assigned-subscriptions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read organizations-subscription-regions in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read app-listing-environments in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read metrics in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to inspect domains in tenancy
Allow group '<identity-domain-name>'/'<your-group-name>' to read announcements in tenancy

A única diferença entre essa política e a política do administrador é o verbo read do recurso environment-family.

Exemplos de Política Específica do Aplicativo

Use os exemplos nesta seção para criar atribuições de administrador de ambiente e visualizador de ambiente para seu aplicativo.

Políticas do Oracle B2C Service

B2C Administrador ou Visualizador de Serviço

O administrador ou visualizador do Serviço B2C pode exibir detalhes e monitorar ambientes na Console do Oracle Cloud. O administrador ou o visualizador também pode acessar dados de métricas e exibir as assinaturas e os ambientes de aplicativos em sua tenancy.