Documentação do Oracle Cloud Infrastructure

Políticas e Permissões Obrigatórias

Os grupos de usuários que gerenciam o Serviço HeatWave devem ter as políticas e permissões obrigatórias para acessar e gerenciar os recursos.

Políticas Obrigatórias

Defina as políticas obrigatórias no nível da tenancy para obter acesso a vários recursos do sistema de banco de dados.

Tabela 20-1 Políticas Obrigatórias

Política Descrição:
Allow group <group_name> to {COMPARTMENT_INSPECT} in compartment <compartment_name> Concede a permissão COMPARTMENT_INSPECT aos membros de <group_name>. A permissão permite que o grupo liste e leia o conteúdo do compartimento especificado.
Allow group <group_name> to {VCN_READ, SUBNET_READ, SUBNET_ATTACH, SUBNET_DETACH} in compartment <compartment_name> Concede as permissões VCN_READ, SUBNET_READ, SUBNET_ATTACH e SUBNET_DETACH aos membros de <group_name>. Essas permissões permitem que o grupo leia, anexe e desanexe sub-redes e leia VCNs no compartimento especificado. Você precisa dessa instrução de política para anexar um sistema de banco de dados ou uma réplica de leitura à sub-rede de uma VCN.
Allow group <group_name> to {VNIC_CREATE, VNIC_DELETE, VNIC_UPDATE, NETWORK_SECURITY_GROUP_UPDATE_MEMBERS, VNIC_ASSOCIATE_NETWORK_SECURITY_GROUP} in compartment <compartment_name> (Para o ponto final de leitura e o balanceador de carga de réplica de leitura) Concede as permissões VNIC_CREATE, VNIC_DELETE, VNIC_UPDATE, NETWORK_SECURITY_GROUP_UPDATE_MEMBERS e VNIC_ASSOCIATE_NETWORK_SECURITY_GROUP aos membros de <group_name>. Você precisa dessa instrução de política para criar automaticamente um balanceador de carga de réplica de leitura ao criar a primeira réplica de leitura de um sistema de BD ou para criar um ponto final de leitura de um sistema de BD.

Allow group <group_name> to {NETWORK_SECURITY_GROUP_READ, NETWORK_SECURITY_GROUP_UPDATE_MEMBERS} in compartment <NSG_compartment_name>

Allow group <group_name> to {VNIC_ASSOCIATE_NETWORK_SECURITY_GROUP, VNIC_DISASSOCIATE_NETWORK_SECURITY_GROUP} in compartment <compartment_name>

Allow any-user to {NETWORK_SECURITY_GROUP_UPDATE_MEMBERS} in compartment <NSG_compartment_name> where all {request.principal.type='mysqldbsystem', request.resource.compartment.id='<DBsystem_compartment_OCID>'}

Allow any-user to {VNIC_CREATE, VNIC_UPDATE, VNIC_ASSOCIATE_NETWORK_SECURITY_GROUP, VNIC_DISASSOCIATE_NETWORK_SECURITY_GROUP} in compartment <subnet_compartment_name> where all {request.principal.type='mysqldbsystem', request.resource.compartment.id='<DBsystem_compartment_OCID>'}		 (Para Grupos de Segurança de Rede (NSGs) no sistema de BD ou réplica de leitura)

Concede as permissões NETWORK_SECURITY_GROUP_READ e NETWORK_SECURITY_GROUP_UPDATE_MEMBERS para permitir que o grupo leia NSGs e atualize recursos pais de NSGs no compartimento especificado.

Concede as permissões VNIC_ASSOCIATE_NETWORK_SECURITY_GROUP e VNIC_DISASSOCIATE_NETWORK_SECURITY_GROUP para permitir que os sistemas de BD e a réplica de leitura no compartimento especificado sejam associados e desassociados de NSGs.

Este é um controlador de recursos que concede a permissão NETWORK_SECURITY_GROUP_UPDATE_MEMBERS nos grupos de segurança de rede do compartimento <NSG_compartment_name> aos sistemas de BD no compartimento com o OCID <DBsystem_compartment_OCID>.

Este é um controlador de recursos que concede as permissões VNIC_CREATE, VNIC_UPDATE, VNIC_ASSOCIATE_NETWORK_SECURITY_GROUP e VNIC_DISASSOCIATE_NETWORK_SECURITY_GROUP em VNICs no compartimento <subnet_compartment_name> aos sistemas de BD no compartimento com o OCID <DBsystem_compartment_OCID>.

Allow group <group_name> to read leaf-certificates in compartment <certificate_compartment_name>

Allow any-user to read leaf-certificate-family in compartment <certificate_compartment_name> where all {request.principal.type = 'mysqldbsystem', request.resource.compartment.id='<DBsystem_compartment_OCID>'}		 (Para certificado definido pelo usuário ou trazer seu próprio certificado apenas)

Concede as permissões de leitura do tipo de recurso leaf-certificates aos membros de <group_name>. A permissão permite que o grupo designe um certificado de segurança no compartimento especificado a um sistema de BD.

Este é um controlador de recursos que concede as permissões de leitura do tipo de recurso agregado leaf-certificate-family no compartimento <certificate_compartment_name> aos sistemas de BD no compartimento com o OCID <DBsystem_compartment_OCID>.

Allow any-user to use key-delegate in compartment <key_compartment_name> where all {request.principal.type = 'mysqldbsystem', request.resource.compartment.id='<DBsystem_compartment_OCID>'}

Allow service blockstorage, objectstorage-<region> to use keys in compartment <key_compartment_name> where target.key.id='<key_OCID>'

Endorse any-user to {VOLUME_UPDATE, VOLUME_INSPECT, VOLUME_CREATE, VOLUME_BACKUP_READ, VOLUME_BACKUP_UPDATE, BUCKET_UPDATE, VOLUME_GROUP_BACKUP_CREATE, VOLUME_BACKUP_COPY, VOLUME_BACKUP_CREATE, TAG_NAMESPACE_INSPECT, TAG_NAMESPACE_USE} in any-tenancy where request.principal.type = 'mysqldbsystem'

Endorse any-user TO associate keys in tenancy with volumes in any-tenancy where request.principal.type = 'mysqldbsystem'

Endorse any-user to associate keys in tenancy with volume-backups in any-tenancy where request.principal.type = 'mysqldbsystem'

Endorse any-user to associate keys in tenancy with buckets in any-tenancy where request.principal.type = 'mysqldbsystem'

 (Para chave de criptografia gerenciada pelo usuário ou trazer apenas sua própria chave)

Este é um controlador de recursos que concede aos sistemas de BD no compartimento com o OCID <DBsystem_compartment_OCID> para delegar o uso de chaves de criptografia no compartimento <key_compartment_name> a outros serviços. Uma política complementar é necessária para que o outro serviço use as chaves de criptografia.

Concede ao serviço de volume em blocos e ao serviço de armazenamento de objetos na região <region> para usar a chave de criptografia com o valor do OCID igual a <key_OCID> no compartimento <key_compartment_name>.

Este é um controlador de recursos que endossa ou permite aos sistemas de BD nesta tenancy as permissões listadas para quaisquer tenancies que fornecem permissões ADMIT equivalentes nesta tenancy.

Este é um controlador de recursos que endossa ou permite que os sistemas de Banco de Dados nesta tenancy associem ou usem as chaves desta tenancy com volumes em quaisquer tenancies.

Este é um controlador de recursos que endossa ou permite que os sistemas de Banco de Dados nesta tenancy associem ou usem as chaves desta tenancy com volume-backups em quaisquer tenancies.

Este é um controlador de recursos que endossa ou permite que os sistemas de Banco de Dados nesta tenancy associem ou usem as chaves desta tenancy com buckets em quaisquer tenancies.

Allow service mysql_dp_auth to {AUTHENTICATION_INSPECT, GROUP_MEMBERSHIP_INSPECT, DYNAMIC_GROUP_INSPECT} in tenancy (Somente para o plug-in authentication_oci) Concede a permissão AUTHENTICATION_INSPECT, GROUP_MEMBERSHIP_INSPECT e DYNAMIC_GROUP_INSPECT para mapear usuários MySQL no sistema de banco de dados para usuários e grupos existentes definidos no serviço IAM. Consulte Autenticando com o Uso do Plug-in authentication_oci.
Allow group <group_name> to read metrics in compartment <compartment_name> (Somente para leitura de métricas) Concede acesso aos membros de <group_name> para ler métricas na Console. Além dessa política, você também precisa da seguinte política para ler métricas:

Allow group <group name> to read mysql-family in compartment <compartment_name>

Tabela 20-2 Serviços Associados

Serviço Associado Descrição:
Certificados (Traga seu próprio certificado)

Você precisa definir políticas para designar certificados de segurança a sistemas de BD.

Você precisa definir um controlador de recursos para permitir que os sistemas de BD acessem certificados de segurança. Consulte Principais de Recursos.

Serviço Database Management

Você precisa definir políticas para ativar e usar o Database Management. Consulte Permissões Necessárias para Usar o Serviço Database Management.

Permissões Obrigatórias

Os grupos de usuários do Serviço HeatWave devem ter as permissões obrigatórias para ler o conteúdo dos compartimentos, usar Redes Virtuais na Nuvem e gerenciar o Serviço HeatWave.

Tabela 20-3 Permissões Obrigatórias

Permissão Descrição:
COMPARTMENT_INSPECT Concede os direitos para ler e exibir o conteúdo dos compartimentos.
VCN_READ, SUBNET_READ, SUBNET_ATTACH, SUBNET_DETACH Concede os direitos para ler, anexar e desanexar sub-redes e ler VCNs. Não é possível anexar um sistema de banco de dados a uma rede sem esses tipos de recursos.
NETWORK_SECURITY_GROUP_READ, NETWORK_SECURITY_GROUP_UPDATE_MEMBERS, VNIC_ASSOCIATE_NETWORK_SECURITY_GROUP, VNIC_DISASSOCIATE_NETWORK_SECURITY_GROUP (Para Grupos de Segurança de Rede) Concede direitos para associar e desassociar grupos de segurança de rede a um sistema de BD ou réplica de leitura.
CERTIFICATE_READ (Para certificado definido pelo usuário ou trazer seu próprio certificado) Concede o direito de ler certificados de segurança no Serviço de Certificados. Você não pode designar um certificado de segurança a um sistema de banco de dados sem essa permissão.
AUTHENTICATION_INSPECT, GROUP_MEMBERSHIP_INSPECT, DYNAMIC_GROUP_INSPECT (Para o plug-in authentication_oci) Concede os direitos para mapear usuários MySQL no sistema de banco de dados para usuários e grupos existentes definidos no serviço IAM.
VNIC_CREATE, VNIC_DELETE,VNIC_UPDATE, NETWORK_SECURITY_GROUP_UPDATE_MEMBERS,VNIC_ASSOCIATE_NETWORK_SECURITY_GROUP (Para ponto final de leitura e balanceador de carga de réplica de leitura) Concede os direitos de criar um ponto final de leitura ou um balanceador de carga de réplica de leitura.

Tabela 20-4 Serviços Associados

Permissões Descrição:
Certificados (Traga seu próprio certificado)

Você precisa de permissões para ler os certificados de segurança.

Os sistemas de banco de dados precisam de permissões para acessar os certificados de segurança. Consulte Principais de Recursos.

Serviço Database Management

Você precisa de permissões para ativar e usar o Database Management. Consulte Permissões Necessárias para Usar o Serviço Database Management.