Preparando sua Tenancy

Para que o Compute Cloud@Customer seja instalado, sua tenancy deve ser configurada para usar um provedor de identidades federado para gerenciar a autenticação.

Quando a Oracle instala o Compute Cloud@Customer, a Oracle configura a infraestrutura do Compute Cloud@Customer para usar o mesmo provedor de identidades federado. Isso permite que você use as mesmas credenciais para acessar o Oracle Cloud Infrastructure e o Compute Cloud@Customer.

Se sua tenancy já estiver configurada para usar um provedor de identidades federado, incluindo o Identity Cloud Service da Oracle, você estará definido. Compartilhe suas informações de identidade federada com o representante da Oracle. Caso contrário, trabalhe com seu representante Oracle para estabelecer um provedor de identidades federado.

Você pode usar um provedor de identidades externo ou o Oracle Identity Cloud Service. O tipo de provedor de identidades que você pode usar depende do tipo de tenancy que você tem (uma tenancy com domínios de identidades do serviço IAM ou sem domínios de identidades do serviço IAM).

Para obter mais informações, consulte estes recursos:

• Determinando o Tipo de Tenancy
• Tenancies com Domínios de Identidade - Federando com Fornecedores de Identidade
• Tenancies sem Domínios de Identidade - Federando com Fornecedores de Identidade

Para obter informações sobre como proteger a Federação do IAM, consulte Federação do IAM.

Para preparar sua tenancy do Oracle Cloud Infrastructure, identifique usuários e crie grupos para as pessoas da sua organização que administram a infraestrutura do Compute Cloud@Customer.

Execute esta tarefa antes que o Compute Cloud@Customer esteja conectado ao Oracle Cloud Infrastructure.

Para obter informações sobre como adicionar usuários e grupos, consulte Gerenciando Usuários e Grupos do do Oracle Identity Cloud Service no Oracle Cloud Infrastructure Console.

1. Identifique o administrador da tenancy.

2. Crie pelo menos um grupo com usuários que possam executar estas tarefas administrativas:

   • Crie, atualize e exclua infraestruturas do Compute Cloud@Customer.
   • Crie, atualize e exclua programações de upgrade do Compute Cloud@Customer.
   • Execute o processo de registro baseado em certificado que estabelece a conexão segura da infraestrutura à sua tenancy. Recomendamos que você crie um grupo específico para esta tarefa administrativa e conceda apenas permissões limitadas à execução desta tarefa.

Os grupos são incluídos nas políticas definidas posteriormente. Consulte Adicionar Políticas Obrigatórias.

Quando o Compute Cloud@Customer está conectado ao Oracle Cloud Infrastructure, um ou mais compartimentos são necessários.

Um compartimento é uma coleção de recursos relacionados. Compartimentos são um componente fundamental do Oracle Cloud Infrastructure para organizar e isolar seus recursos na nuvem. Use-os para separar recursos com a finalidade de controlar o acesso (usando políticas) e o isolamento (separando os recursos de um projeto ou unidade de negócios de outro).

Para o Compute Cloud@Customer, pelo menos um compartimento é necessário para os seguintes itens:

• Conexão de infraestrutura do Compute Cloud@Customer com o Oracle Cloud Infrastructure.
• A VCN que você acabou de criar para a conexão com o Oracle Cloud Infrastructure.

O Compute Cloud@Customer pode ser conectado à sua tenancy (compartimento raiz), a um compartimento existente ou a um novo compartimento. Você pode usar vários compartimentos. Por exemplo, você pode usar um compartimento para a conexão de infraestrutura e outro para a VCN.

1. Crie ou escolha um compartimento com base em como você usa compartimentos para controlar o acesso aos recursos.

   Se você planeja criar um novo compartimento, acesse o OCI e use a Console do Oracle Cloud ou use a CLI ou a API do OCI para criar o compartimento em sua tenancy.

   Observação
   
   

   Os compartimentos usados para o Compute Cloud@Customer, incluindo compartimentos para a instalação, são criados e gerenciados no OCI. Os compartimentos não são gerenciados na infraestrutura do Compute Cloud@Customer. Todos os compartimentos na tenancy são sincronizados automaticamente com a infraestrutura do Compute Cloud@Customer, a cada dez minutos ou mais.

   Para obter uma introdução aos compartimentos e obter instruções sobre como gerenciar compartimentos, consulte Gerenciando Compartimentos.

Determinadas políticas do serviço IAM devem ser configuradas para que o Compute Cloud@Customer esteja conectado à sua tenancy.

1. Configure as políticas a seguir em sua tenancy.

   Para obter informações sobre como trabalhar com políticas, consulte Gerenciando Políticas.

   Se sua tenancy suportar Domínios de Identidades, você poderá criar políticas que especifiquem o grupo dinâmico. Para determinar se sua tenancy tem Domínios de Identidades ou não, consulte Determinando o Tipo de Tenancy.

   Observação
   
   

   Diferentes instruções de política podem ser construídas para atingir o mesmo nível de acesso aos recursos. A lista de políticas a seguir fornece exemplos. Você pode usar o exemplo ou criar variações de política, desde que as políticas permitam acesso ao usuário ou grupo correto para o recurso específico.

   Política 1 – Permite que os usuários criem, leiam, atualizem e excluam infraestruturas e programações de upgrade do Compute Cloud@Customer.

   Importante
   
   Especifique um grupo do serviço IAM que inclua apenas os usuários que exigem permissões para gerenciar infraestruturas e programações de upgrade. A administração desses recursos é fundamental para a funcionalidade do Compute Cloud@Customer e não deve ser permitida para usuários não autorizados.

   Exemplo de política do serviço IAM com ou sem Domínios de Identidade:

   allow group <group_name> to manage ccc-family in tenancy

   Política 2 – Permite que o Compute Cloud@Customer use seus dados do IAM para gerenciamento de identidade e acesso nos recursos do Compute Cloud@Customer.

   Exemplo de política do serviço IAM com ou sem Domínios de Identidade:

   allow any-user to {COMPARTMENT_INSPECT, USER_INSPECT, GROUP_INSPECT, DYNAMIC_GROUP_INSPECT, POLICY_READ, TAG_NAMESPACE_INSPECT, USER_READ, TAG_DEFAULT_INSPECT, TAG_NAMESPACE_READ, DOMAIN_READ, DOMAIN_INSPECT } in tenancy where all { request.principal.id='<ccc-infrastructure_OCID>', request.principal.type='cccinfrastructure' }

   Exemplo de política do serviço IAM com Domínios de Identidade:

   allow dynamic-group <dynamic-group> to {COMPARTMENT_INSPECT, USER_INSPECT, GROUP_INSPECT, DYNAMIC_GROUP_INSPECT, POLICY_READ, TAG_NAMESPACE_INSPECT, USER_READ, TAG_DEFAULT_INSPECT, TAG_NAMESPACE_READ, DOMAIN_READ, DOMAIN_INSPECT} in tenancy

   Política 3 – Permite que o serviço de infraestrutura do Compute Cloud@Customer envie notificações sobre upgrades.

   Para obter mais informações sobre notificações de upgrade e como se inscrever para recebê-las, consulte Inscrevendo-se em Notificações de Upgrade.

   Os exemplos a seguir mostram políticas para o serviço IAM com ou sem Domínios de Identidade:

   allow any-user to manage ons-topics in tenancy where request.principal.type ='cccinfrastructurenotifier'

   A política pode ser modificada para restringir o acesso ao compartimento raiz, conforme mostrado no seguinte exemplo:

   allow any-user to manage ons-topics in tenancy where all {request.principal.type='cccinfrastructurenotifier', target.compartment.name = 'root_compartment' }

   Se você restringir o acesso a um compartimento, ele deverá ser ao compartimento raiz (tenancy).

   Política 4 – Permite que um usuário do grupo especificado inicie o processo de registro que permite que a infraestrutura se comunique com sua tenancy do OCI.

   Observação
   
   

   Não especifique um grupo de administradores regular. Em vez disso, crie um grupo com um usuário cujo único objetivo seja executar o processo de registro.

   Para obter mais informações, consulte Conexão de uma Infraestrutura do Compute Cloud@Customer com o OCI.

   Os exemplos de política a seguir são para o serviço IAM com ou sem Domínios de Identidade.

   Este exemplo define a política no nível da tenancy:

   allow group <group_name> to { CCC_CERTIFICATE_REGISTER } in tenancy

   Este exemplo define a política no nível do compartimento. O compartimento deve ser o compartimento associado à infraestrutura:

   allow group <group_name> to { CCC_CERTIFICATE_REGISTER } in compartment '<compartment_name>'

Para obter informações sobre políticas do Compute Cloud@Customer que você pode usar para controlar o acesso à infraestrutura do Compute Cloud@Customer e as operações de programação de upgrade, consulte Referência de Política do Compute Cloud@Customer.

Antes de o Compute Cloud@Customer estar conectado à sua tenancy, crie uma VCN com uma sub-rede na tenancy.