Preparando sua Tenancy

Antes da instalação do Compute Cloud@Customer, sua tenancy deve ser configurada para usar um provedor de identidades federado para gerenciar a autenticação.

Quando o serviço Oracle instala o Compute Cloud@Customer, o sistema Oracle configura a infraestrutura do Compute Cloud@Customer para usar o mesmo provedor de identidades federado. Isso permite que você use as mesmas credenciais para acessar o Oracle Cloud Infrastructure e o Compute Cloud@Customer.

Se a sua tenancy já estiver configurada para usar um provedor de identidades federado, incluindo o Identity Cloud Service da Oracle, você estará tudo definido. Compartilhe suas informações de identidade federada com seu representante Oracle. Caso contrário, trabalhe com seu representante Oracle para estabelecer um provedor de identidades federado.

Você pode usar um provedor de identidades externo ou o Oracle Identity Cloud Service. O tipo de provedor de identidades que você pode usar depende do tipo de tenancy que você tem (uma tenancy com domínios de identidades do IAM ou sem domínios de identidades do IAM).

Para obter mais informações, consulte estes recursos:

• Determinando o Tipo de Tenancy
• Tenancies com Domínios de Identidades - Federando com Provedores de Identidades
• Tenancies sem Domínios de Identidades – Federando com Provedores de Identidades

Para obter informações sobre como proteger a Federação do IAM, consulte Federação do IAM.

Para preparar sua tenancy do Oracle Cloud Infrastructure, identifique usuários e crie grupos para as pessoas da sua organização que administram a infraestrutura do Compute Cloud@Customer.

Execute esta tarefa antes de o Compute Cloud@Customer estar conectado ao Oracle Cloud Infrastructure.

Para obter informações sobre como adicionar usuários e grupos, consulte Gerenciando Usuários e Grupos no Oracle Identity Cloud Service na Console do Oracle Cloud Infrastructure.

1. Identifique o administrador da tenancy.

2. Crie pelo menos um grupo com usuários que possam executar estas tarefas administrativas:

   • Crie, atualize e exclua infraestruturas do Compute Cloud@Customer.
   • Crie, atualize e exclua programações de upgrade do Compute Cloud@Customer.
   • Execute o processo de registro baseado em certificado que estabelece a conexão segura da infraestrutura à sua tenancy. Recomendamos que você crie um grupo específico para esta tarefa administrativa e conceda apenas permissões limitadas à execução desta tarefa.

Os grupos são incluídos nas políticas definidas posteriormente. Consulte Adicionar Políticas Obrigatórias.

Quando o Compute Cloud@Customer está conectado à Oracle Cloud Infrastructure, um ou mais compartimentos são necessários.

Um compartimento é uma coleção de recursos relacionados. Compartimentos são um componente fundamental do Oracle Cloud Infrastructure para organizar e isolar seus recursos na nuvem. Use-os para separar recursos para fins de controle de acesso (usando políticas) e isolamento (separando os recursos para um projeto ou unidade de negócios de outro).

Para o Compute Cloud@Customer, pelo menos um compartimento é necessário para os seguintes itens:

• Conexão de infraestrutura do Compute Cloud@Customer com o Oracle Cloud Infrastructure.
• A VCN que você acabou criando para a conexão com o Oracle Cloud Infrastructure.

O Compute Cloud@Customer pode ser conectado à sua tenancy (compartimento raiz), a um compartimento existente ou a um novo compartimento. Você pode usar vários compartimentos. Por exemplo, você pode usar um compartimento para a conexão de infraestrutura e outro para a VCN.

1. Crie ou escolha um compartimento com base em como você usa compartimentos para controlar o acesso a recursos.

   Se você planeja criar um novo compartimento, acesse o OCI e use a Console do Oracle Cloud ou use a CLI ou a API para criar o compartimento em sua tenancy.

   Observação
   
   

   Os compartimentos usados para o Compute Cloud@Customer, incluindo compartimentos para a instalação, são criados e gerenciados no OCI. Os compartimentos não são gerenciados na infraestrutura do Compute Cloud@Customer. Todos os compartimentos na tenancy são sincronizados automaticamente com a infraestrutura do Compute Cloud@Customer, a cada dez minutos ou mais.

   Para obter uma introdução aos compartimentos e instruções sobre como gerenciar compartimentos, consulte Gerenciando Compartimentos.

Determinadas políticas do serviço IAM devem ser configuradas para que o Compute Cloud@Customer esteja conectado à sua tenancy.

1. Configure as políticas a seguir em sua tenancy.

   Para obter informações sobre como trabalhar com políticas, consulte Gerenciando Políticas.

   Se sua tenancy suportar Domínios de Identidade, você poderá criar políticas que especifiquem o grupo dinâmico. Para determinar se sua tenancy tem ou não Domínios de Identidade, consulte Determinando o Tipo de Tenancy.

   Observação
   
   

   Diferentes declarações de política podem ser construídas para atingir o mesmo nível de acesso aos recursos. A lista de políticas a seguir fornece exemplos. Você pode usar o exemplo ou criar variações de política, desde que as políticas permitam o acesso ao usuário ou grupo correto para o recurso específico.

   Política 1 – Permite que os usuários criem, leiam, atualizem e excluam infraestruturas do Compute Cloud@Customer e programações de upgrade.

   Importante
   
   Especifique um grupo do serviço IAM que inclua apenas os usuários que exigem permissões para gerenciar infraestruturas e programações de upgrade. A administração desses recursos é essencial para a funcionalidade do Compute Cloud@Customer e não deve ser permitida para usuários não autorizados.

   Exemplo de política para o serviço IAM com ou sem Domínios de Identidades:

   allow group <group_name> to manage ccc-family in tenancy

   Política 2 – Permite que o Compute Cloud@Customer use seus dados do IAM para gerenciamento de identidade e acesso nos recursos do Compute Cloud@Customer.

   Exemplo de política para o serviço IAM com ou sem Domínios de Identidades:

   allow any-user to {COMPARTMENT_INSPECT, USER_INSPECT, GROUP_INSPECT, DYNAMIC_GROUP_INSPECT, POLICY_READ, TAG_NAMESPACE_INSPECT, USER_READ, TAG_DEFAULT_INSPECT, TAG_NAMESPACE_READ, DOMAIN_READ, DOMAIN_INSPECT } in tenancy where all { request.principal.id='<ccc-infrastructure_OCID>', request.principal.type='cccinfrastructure' }

   Exemplo de política para o serviço IAM com Domínios de Identidade:

   allow dynamic-group <dynamic-group> to {COMPARTMENT_INSPECT, USER_INSPECT, GROUP_INSPECT, DYNAMIC_GROUP_INSPECT, POLICY_READ, TAG_NAMESPACE_INSPECT, USER_READ, TAG_DEFAULT_INSPECT, TAG_NAMESPACE_READ, DOMAIN_READ, DOMAIN_INSPECT} in tenancy

   Política 3 – Permite que o serviço de infraestrutura do Compute Cloud@Customer envie notificações sobre upgrades.

   Para obter mais informações sobre notificações de upgrade e como se inscrever para recebê-las, consulte Inscrevendo-se em Notificações de Upgrade.

   Os exemplos a seguir mostram políticas para o serviço IAM com ou sem Domínios de Identidades:

   allow any-user to manage ons-topics in tenancy where request.principal.type ='cccinfrastructurenotifier'

   A política pode ser modificada para restringir o acesso ao compartimento raiz, conforme mostrado no seguinte exemplo:

   allow any-user to manage ons-topics in tenancy where all {request.principal.type='cccinfrastructurenotifier', target.compartment.name = 'root_compartment' }

   Se você restringir o acesso a um compartimento, ele deverá ser ao compartimento raiz (tenancy).

   Política 4 – Permite que um usuário do grupo especificado inicie o processo de registro que permite que a infraestrutura se comunique com sua tenancy do OCI.

   Observação
   
   

   Não especifique um grupo de administradores regular. Em vez disso, crie um grupo com um usuário cujo único objetivo seja executar o processo de registro.

   Para obter mais informações, consulte Conexão de uma Infraestrutura do Compute Cloud@Customer com o OCI.

   Os exemplos de política a seguir são para o serviço IAM com ou sem Domínios de Identidade.

   Este exemplo define a política no nível da tenancy:

   allow group <group_name> to { CCC_CERTIFICATE_REGISTER } in tenancy

   Este exemplo define a política no nível do compartimento. O compartimento deve ser o compartimento associado à infraestrutura:

   allow group <group_name> to { CCC_CERTIFICATE_REGISTER } in compartment '<compartment_name>'

Para obter informações sobre as políticas do Compute Cloud@Customer que você pode usar para controlar o acesso à infraestrutura do Compute Cloud@Customer e as operações de programação de upgrade, consulte Referência de Política do Compute Cloud@Customer.

Antes de o Compute Cloud@Customer estar conectado à sua tenancy, crie uma VCN com uma sub-rede na tenancy.