La tenda ha un manager di identità, operatori di produzione e sviluppatori. Possono tutti effettuare il login, ma ognuno ha bisogno di fare diversi compiti.
Concetti Chiave
Autenticazione (AuthN) Controlla chi sta facendo una richiesta. Autorizzazione (ACZ) determina quali operazioni possono condurre tale identità. A password corretta e MFA consentono agli utenti di essere controllati. Non dare automaticamente autorizzazioni per creare reti o volumi chiari.
A dominio di identità gestire identitÃ, gruppi, autenticazione e altre funzioni di identità . The utenti rappresentano persone amministrate o identità. e gruppi di gruppi raccogliere gli utenti che si desidera dare autorizzazioni a. In una politica, Principale è l'identità o l'insieme di identità a cui si applica autorizzazione. L'utente ottiene l'accesso alle politiche per i suoi gruppi.
The Federazione federativa consente di fare affidamento su un fornitore di identità esterno. MFA aggiunge un fattore di monitoraggio. Egli utilizza le identità individuali per essere in grado di assegnare azioni e rivedere i gruppi come cambiano le loro responsabilità. Non trasformare un account amministrativo condiviso nel solito metodo di lavoro.
Valvole e domini di identità
La tensione include i comparti delle radici. È possibile creare scomparti e sottocomparti per organizzare progetti o ambienti. A risorsa appartiene a un vano alla volta. il suo risorse può essere in diverse regioni. A politica di livello superiore può dare accesso risorse ai suoi discendenti: rivedere l'eredità prima di presumere che un subcompartments sono isolati.
Per essere a dominio di identità manager consente di gestire le funzioni di dominio in base al ruolo assegnato. Non è, di per sé, la quantità di somministrare tutti risorse OCI di tenancy. Questa distinzione spiega una dimostrazione tipica: il manager può creare utenti e gruppi, ma non elencare un VCN fino a quando non abbiamo la politica necessaria.
La configurazione iniziale identifica il dominio utilizzato per effettuare il login, protegge gli account dedicati, crea gruppi per funzione e separa i comparti di produzione e di test. Quando si crea un nuovo dominio, controllare il tipo di dominio, la regione di origine e i suoi requisiti. Non ci credere solo per separare due squadre se gruppi e scomparti già risolvono il caso.
Leggi e costruisci le politiche
Politica comune di A chi è, verbo, Tipo di risorsa, posizione e condizioni facoltative. Il seguente esempio è deliberatamente limitato alle istanze di monitoraggio:
Allow group 'Default'/'Observadores' to read instances in compartment Produccion
Il gruppo appartiene al dominio Default; read identifica il livello di accesso; instances indica il tipo di risorsa; Produccion delite dove. Quei nomi devono esistere e il creatore ha bisogno di autorizzazioni per gestire la politica. La autorizzazione di un'operazione completa può dipendere da diversi tipi di risorsa: questa linea non è sufficiente per lanciare una VM con rete e volumi.
I verbi ispezionare, leggere, utilizzare e gestire Spesso esprimevano un crescente accesso. inspect permette di elencare, read aggiunge la lettura, use consente di utilizzare risorse esistente manage aggiunge ampio controllo, tra cui creazione e smaltimento secondo risorsa. Le operazioni esatte sono nel servizio di riferimento: non presumere che use Nessun aggiornamento.
L'accesso richiede una concessione applicabile. La autorizzazioni di diversi gruppi e politiche si accumula: una politica chiusa non revoca un ampio autorizzazione concesso da un altro. Per ridurre l'accesso, rivedere tutti i membri e le politiche pertinenti, compresi quelli ereditati dal livello superiore.
A gruppo dinamico Raccogliere risorse con le regole corrispondenti. Il corpo o la funzione A possono agire come un leader e ricevere autorizzazioni con le politiche, evitando di salvare le credenziali di una persona nell'applicazione. La regola seleziona i membri. La politica garantisce autorizzazioni. Query Riferimento IAM y gruppi dinamici.
Esempio guidato
Ana dovrebbe consultare il luogo di produzione stato senza modificarli. L'applicazione dovrebbe leggere le foto di un picchetto privato.
- Inserimento o identificare Anne nel dominio giusto e aggiungerla a Osservatori.
- Sta applicando una politica di lettura delle istanze Produzione. Non usare
manage all-resources in tenancyPer risolvere un autorizzazione dedicato. - Prova con l'identità di Anne: dovrebbe essere in grado di consultare le istanze, ma non completarle. Se c'è una mancanza di dati ausiliari, controlla le unità documentate.
- Per applicare, definisce un gruppo dinamico con una regola attaccata alla sua risorse e garantisce la lettura degli oggetti necessari attraverso la politica di servizio.
- Tenere separato la autorizzazioni di Anne e la sua risorsa che gestisce l'applicazione.
La dimostrazione di utenti, gruppi e politiche controlla sia un'operazione autorizzata che un'operazione rifiutata. Per vedere solo che i lavori di accesso non si rivelano minimi.
Errori comuni
- "Per creare il gruppo garantisce l'accesso." La politica A che era applicabile era necessaria. l'adesione e l'autorizzazione sono pezzi diversi.
- "Se ho autorizzazioni IAM, sarò in grado di connettermi con SSH." È inoltre necessario percorso di rete, regole, servizio SSH e la chiave per il sistema operativo.
- "Vault e scomparti fanno lo stesso." I comparti organizzano risorse Vault gestisce chiavi crittografiche e segrete.
Esercizio di pensionamento
Luis gestisce gli utenti in un nuovo dominio ma non può creare uno VCN in via di sviluppo. Devi disattivare MFA, modificare le regioni o controllare autorizzazioni su risorse? Egli spiega anche perché aggiungerlo a qualsiasi gruppo non garantisce l'accesso.
Soluzione
Esso dovrebbe esaminare la politica del gruppo e la sua portata. Amministrare le identità non significa gestire le reti. Un manager autorizzato può dare la autorizzazioni necessaria per lo sviluppo di reti al gruppo appropriato. Unable MFA non aggiunge autorizzazione. Cambiare la regione può cambiare l'elenco, ma non sostituisce una politica. Il gruppo A senza politiche applicabili non ha quelle autorizzazioni.
Fonti e recensioni
Query IAM con domini di identità, e autorizzazioni y gruppi dinamici. Spiegare chi, cosa e dove in una politica poi descrive che cosa cambia quando il principale è un'istanza.