Documentação do Oracle Cloud Infrastructure

Políticas de Serviço do Oracle Cloud Migrations

As políticas de serviço do Oracle Cloud Migrations são necessárias para usar o serviço de migração.

Uma sintaxe de política é a seguinte: 

allow <subject> to <verb>
                    <resource-type> in <location> where <conditions>

Para obter detalhes completos, consulte Sintaxe de Política. Para mais informações sobre a criação de políticas, veja como funcionam as políticas, Referência de Políticas e detalhes da política para o Object Storage .

Consulte as instruções para criar políticas usando a Console.

Construtor de Políticas

O Oracle Cloud Migrations oferece suporte ao Policy Builder. O construtor de políticas na Console do Cloud ajuda você a criar rapidamente políticas comuns sem a necessidade de digitar manualmente as instruções de política. Para criar políticas usando o Policy Builder, consulte Criando Instruções de Política com o Policy Builder.

No Policy Builder, selecione os casos de uso de política para o Oracle Cloud Migrations. Os seguintes modelos de política predefinidos estão disponíveis para a criação de políticas de serviço:

Políticas de Migração

Grupos dinâmicos e políticas do IAM para o serviço de migração.

  • Crie grupos dinâmicos para o serviço de migração. Você pode nomear o grupo dinâmico como, por exemplo, MigrationDynamicGroup, e substituir compartmentOCID pelo OCID do seu compartimento de migração: 
    ALL {resource.type = 'ocmmigration', resource.compartment.id = '<migration_compartment_ocid>'}

    Para obter mais informações sobre grupos dinâmicos, incluindo as permissões necessárias para criá-los, consulte Gerenciando Grupos Dinâmicos e Criando Políticas para Grupos Dinâmicos.

  • Crie todas as seguintes políticas do serviço IAM para permitir que o serviço Migration leia ou gerencie seus recursos do OCI em compartimentos específicos ou em sua tenancy: 
    Allow dynamic-group MigrationDynamicGroup to manage instance-family in compartment <migration_compartment_name>
Allow dynamic-group MigrationDynamicGroup to manage compute-image-capability-schema in compartment <migration_compartment_name>
Allow dynamic-group MigrationDynamicGroup to manage virtual-network-family in compartment <migration_compartment_name>
Allow dynamic-group MigrationDynamicGroup to manage volume-family in compartment <migration_compartment_name>
Allow dynamic-group MigrationDynamicGroup to manage object-family in compartment <migration_compartment_name>
Allow dynamic-group MigrationDynamicGroup to read ocb-inventory in tenancy
Allow dynamic-group MigrationDynamicGroup to read ocb-inventory-asset in compartment <migration_compartment_name>
Allow dynamic-group MigrationDynamicGroup to {OCB_CONNECTOR_READ, OCB_CONNECTOR_DATA_READ, OCB_ASSET_SOURCE_READ, OCB_ASSET_SOURCE_CONNECTOR_DATA_UPDATE } in compartment <migration_compartment_name>
Allow dynamic-group MigrationDynamicGroup to {INSTANCE_IMAGE_INSPECT, INSTANCE_IMAGE_READ} in tenancy
Allow dynamic-group MigrationDynamicGroup to {INSTANCE_INSPECT} in tenancy where any {request.operation='ListShapes'}
Allow dynamic-group MigrationDynamicGroup to {DEDICATED_VM_HOST_READ} in tenancy where any {request.operation='GetDedicatedVmHost'}
Allow dynamic-group MigrationDynamicGroup to {CAPACITY_RESERVATION_READ} in tenancy where any {request.operation='GetComputeCapacityReservation'}
Allow dynamic-group MigrationDynamicGroup to {ORGANIZATIONS_SUBSCRIPTION_INSPECT} in tenancy where any {request.operation='ListSubscriptions'}
Allow dynamic-group MigrationDynamicGroup to read rate-cards in tenancy
Allow dynamic-group MigrationDynamicGroup to read metrics in tenancy where target.metrics.namespace='ocb_asset'
Allow dynamic-group MigrationDynamicGroup to read tag-namespaces in tenancy
Allow dynamic-group MigrationDynamicGroup to use tag-namespaces in tenancy where target.tag-namespace.name='CloudMigrations'

Políticas de Descoberta

Grupo dinâmico e política de IAM para o serviço De Descoberta.

Criando um Grupo Dinâmico

Crie um grupo dinâmico para o serviço de descoberta. Você pode nomear o grupo dinâmico como, por exemplo, DiscoveryDynamicGroup.

ALL { resource.type = 'ocbassetsource' }

Criando uma Política do Serviço IAM

Crie a política do IAM a seguir para conceder ao serviço de descoberta as permissões necessárias para executar migrações.

Allow dynamic-group DiscoveryDynamicGroup to inspect compartments in compartment <migration_compartment_name>
Allow dynamic-group DiscoveryDynamicGroup to read ocb-environments in compartment <migration_compartment_name>
Allow dynamic-group DiscoveryDynamicGroup to read ocb-inventory in tenancy
Allow dynamic-group DiscoveryDynamicGroup to manage ocb-inventory-asset in compartment <migration_compartment_name>
Allow dynamic-group DiscoveryDynamicGroup to {TENANCY_INSPECT} in tenancy
Allow dynamic-group DiscoveryDynamicGroup to read secret-family in compartment <migrationsecret_compartment_name>
Allow dynamic-group DiscoveryDynamicGroup to use metrics in compartment <migration_compartment_name> where target.metrics.namespace='ocb_asset'

Para obter mais informações sobre grupos dinâmicos, incluindo as permissões necessárias para criá-los, consulte Gerenciando Grupos Dinâmicos e Criando Políticas para Grupos Dinâmicos.

Políticas do agente de hidratação

Grupos dinâmicos e políticas do IAM para o agente de hidratação.

  • Crie grupos dinâmicos para o agente de hidratação. Você pode nomear o grupo dinâmico como, por exemplo, HydrationAgentDynamicGroup, e substituir compartmentOCID pelo OCID do seu compartimento de migração: 
    ALL {instance.compartment.id = '<migration_compartment_ocid>'}

  • Para obter mais informações sobre grupos dinâmicos, incluindo as permissões necessárias para criá-los, consulte Gerenciando Grupos Dinâmicos e Criando Políticas para Grupos Dinâmicos.

  • Crie as seguintes políticas do serviço IAM em compartimentos específicos ou em sua tenancy para fornecer permissões ao agente de hidratação para extrair snapshots do OCI Object Storage e chamar as APIs de hidratação do serviço de migração: 
    Define tenancy OCM-SERVICE AS <ocm_service_tenancy_ocid_for_realm>     
Endorse dynamic-group HydrationAgentDynamicGroup to { OBJECT_CREATE } in tenancy OCM-SERVICE where all { target.bucket.name = 'tenancy_ocid' }
Allow dynamic-group HydrationAgentDynamicGroup to {OCM_HYDRATION_AGENT_TASK_INSPECT, OCM_HYDRATION_AGENT_TASK_UPDATE, OCM_HYDRATION_AGENT_REPORT_STATUS} in compartment <migration_compartment_name>
Allow dynamic-group HydrationAgentDynamicGroup to manage objects in compartment <migration_compartment_name>
Allow dynamic-group HydrationAgentDynamicGroup to read secret-family in compartment <migrationsecret_compartment_name>
Observação

O valor de ocm_service_tenancy_for_realm para o realm OC1 é mencionado abaixo. Se sua tenancy estiver localizada em um realm diferente de OC1, entre em contato com o Suporte Técnico da Oracle para obter o OCID correto da tenancy de serviço. ocid1.tenancy.oc1..aaaaaaaartv6j5muce2s4djz7rvfn2vwceq3cnue33d72isntnlfmi7huv7q