Documentação do Oracle Cloud Infrastructure

Sintaxe da Política

Uma política ZPR (Zero Trust Packet Routing) consiste em uma ou mais instruções de política. Uma instrução de política é uma expressão de intenção gravada em uma sintaxe específica.

As instruções de política ZPR usam a seguinte sintaxe e regras:

<src-location> <command> <endpoint> to <verb> <endpoint>
  • <src-location> é obrigatório e deve estar no formato in <security attribute> VCN. <security attribute> deve ser especificado, e pode ser apenas um único atributo de segurança.
  • <command> deve ser permitido.
  • <endpoint> deve ser security attribute, ip address, all-endpoints ou osn-services-ip-endpoints.
  • <verb> deve estar conectado.

Por exemplo, a seguinte instrução de política expressa a intenção de permitir tráfego de ou para pontos finais dentro da mesma VCN identificada por um local de origem:

in app:fin-network VCN allow app:web endpoints to connect to app:store endpoints
Observação

Ao entrar ou sair fora da VCN, a política ZPR deve se referir aos clientes usando endereços IP em vez de atributos de segurança. Os atributos de segurança só podem ser usados ao fazer referência a pontos finais na mesma VCN.

O local de origem identifica a VCN por seu atributo de segurança e está sujeito à política que faz referência a ela. A instrução allow se aplica a cada VCN com esse atributo de segurança.

O atributo de segurança identifica uma VCN de assunto e pontos finais dentro da VCN de assunto. O atributo de segurança é composto por um namespace de atributo de segurança e uma chave de atributo de segurança separada por um ponto e um valor separado por dois-pontos:

Diagrama de sintaxe que ilustra a sintaxe descrita no texto.

Por exemplo, em applications.app:fin-network, os valores são os seguintes:
  • applications é o namespace do atributo de segurança
  • app é a chave do atributo de segurança
  • fin-network é o valor

Namespaces de atributo de segurança, chaves de atributo de segurança e valores são restritos por limites específicos. É importante ressaltar que os namespaces de atributo de segurança e as chaves de atributo de segurança não contêm um caractere de espaço ou ponto. No entanto, os valores podem conter espaços, pontos e aspas simples. Se for feita referência a um atributo de segurança cujo valor contenha mais do que os caracteres permitidos, toda a cláusula do atributo de segurança será colocada entre aspas simples. Qualquer caractere de aspas simples no valor deve ter escape com outro caractere de aspas simples. Por exemplo:

app:fin-network

oracle-zpr.app:fe-nodes

my-corp.biz:hr

'my-corp.biz:dev and test db'

Observação

Se o namespace de um atributo de segurança for omitido, o ZPR assumirá como padrão o namespace oracle-zpr.

A cláusula de ponto final identifica a origem ou o destino do tráfego com o conjunto de atributos de segurança especificado, dentro de uma VCN de assunto. A palavra-chave all-endpoints significa qualquer ponto final dentro ou fora da VCN do assunto, independentemente de ela conter ou não atributos de segurança:

app:fe-nodes endpoints

oracle-zpr.app:store endpoints

my-corp.biz:hr-web endpoints

'my-corp.biz:dev and test database' endpoints

Observação

A origem e o destino não podem ser all-endpoint. Um deve ser identificado (Lista de Atributos de Ponto Final).
Diagrama de sintaxe que ilustra a sintaxe descrita no texto.

O tráfego de/para pontos finais pode ser ainda mais limitado em uma política por meio da filtragem na palavra-chave ip-address e em um ou mais dos atributos de filtro de rede permitidos: protocol, protocol.icmp.type, protocol.icmp.code e connection-state.

Diagrama de sintaxe que ilustra a sintaxe descrita no texto.

ip-address ou osn-services-ip-addresses pode ser um destino ou uma origem. No entanto, você não pode usar ip-address e osn-services-ip-addresses nos pontos finais de origem e destino; ip-address e osn-services-ip-addresses devem ser a origem ou o destino. Por exemplo:

in apps:app1 VCN allow '10.0.0.0/16' to connect to apps:app1 endpoints