CertiTipsFUNÇÃO DO CRITÉRIO
EspañolEnglishPortuguêsItaliano

Para dar a cada identidade o acesso necessário.

Organiza usuários, grupos e recursos realiza políticas e aplicações permissões.

A tenda tem um gerente de identidades, operadores de produção e desenvolvedores. Eles podem fazer login, mas cada um precisa fazer tarefas diferentes.

Conceitos de Chave

Autenticação (AuthN) Veja quem está fazendo um solicitação. Autorização (AuthZ) determina quais operações podem conduzir essa identidade. A senha correta e MFA permitem que os usuários sejam verificados. Não dê automaticamente permissões para criar redes ou volumes claros.

A domínio de identidade Gerencie identidades, grupos, autenticação e outras funções de identidade. O usuários representar pessoas administradas ou identidades. e... Grupos. Reúna os usuários que você deseja dar permissões. Em uma política, Principal. é a identidade ou conjunto de identidades a que permissão se aplica. O usuário tem acesso às políticas de seus grupos.

O Federação. permite que você confie em um provedor de identidade externa. MFA. Adiciona um fator de monitoramento. Ele usa identidades individuais para poder atribuir ações e revisar os grupos à medida que mudam suas responsabilidades. Não transforme uma conta administrativa compartilhada no método usual de trabalho.

Válvulas e domínios de identidade

A locação inclui os compartimentos de raiz. Você pode criar compartimentos e subcompartimentos para organizar projetos ou ambientes. A recurso pertence a um compartimento de cada vez. Sua recursos pode estar em diferentes regiões. A política de alto nível pode dar recursos acesso aos seus descendentes: rever a herança antes de assumir que um subcompartimentos são isolados.

Ser Um gerente domínio de identidade permite gerenciar funções de domínio de acordo com o papel atribuído. Não é, por si só, a administração de todos os recursos OCI de arrendamento. Essa distinção explica uma demonstração típica: o gerente pode criar usuários e grupos, mas não listar um VCN até termos a política necessária.

A configuração inicial identifica o domínio usado para login, protege contas dedicadas, cria grupos por função e separa os compartimentos de produção e teste. Ao criar um novo domínio, verifique o tipo de domínio, a região de origem e seus requisitos. Não acredite só para separar duas equipes se grupos e compartimentos já resolverem o caso.

Leia e construa políticas.

A política comum Quem?, Verbo, Tipo recurso, Localização e condições opcionais. O seguinte exemplo é deliberadamente limitado a casos de monitoramento:

Allow group 'Default'/'Observadores' to read instances in compartment Produccion

O grupo pertence ao domínio. Default; read identifica o nível de acesso; instances indica o tipo de recurso; Produccion Delite-se onde. Esses nomes têm que existir e o criador precisa de permissões para gerenciar a política. O permissão de uma operação completa pode depender de vários tipos de recurso: esta linha não é suficiente para lançar um VM com rede e volumes.

Os verbos Inspecione, leia, use e gerencie Eles frequentemente expressavam acesso crescente. inspect permite listar, read Acrescenta leitura, use Permite usar recursos existente. manage adiciona amplo controle, incluindo criação e eliminação como por recurso. As operações exatas estão na referência de serviço: não suponha que use Sem atualização.

O acesso requer uma concessão aplicável. A permissões de diferentes grupos e políticas se acumulam: uma política fechada não revoga uma extensa permissão concedida por outro. Para reduzir o acesso, reveja todas as políticas relevantes, incluindo as herdadas do nível superior.

A Grupo dinâmico. Reúna recursos com regras iguais. A corpo ou função pode agir como um líder e receber permissões com políticas, evitando salvar credenciais de uma pessoa na aplicação. A regra seleciona os membros. A política concede permissões. Consulta Referência IAM y Grupos dinâmicos.

Exemplo passo a passo

Ana deve consultar o local de produção estado sem mudá-los. A inscrição deve ler fotos de um piquete particular.

  1. Criar ou identifique Anne no domínio certo e a adicione a Observadores..
  2. Ele está aplicando uma política de leitura de instância em Produção. Não use. manage all-resources in tenancy Para resolver um permissão dedicado.
  3. Prove com a identidade de Anne: ela deve ser capaz de consultar os casos, mas não completá-los. Se houver falta de dados auxiliares, verifique as unidades documentadas.
  4. Para se aplicar, define um grupo dinâmico com uma regra ligada ao seu recursos e concede leitura dos objetos necessários através da política de serviço.
  5. Mantenha separado o permissões de Anne e seu recurso que comanda a aplicação.

A demonstração de usuários, grupos e políticas verifica uma operação autorizada e recusada. Só ver que o acesso funciona não prova ser mínimo.

Erros comuns.

Exercício de aposentadoria.

Luis gerencia usuários em um novo domínio, mas não pode criar um VCN em desenvolvimento. Você tem que desativar o MFA, mudar de região ou verificar permissões sobre recursos? Ele também explica por que adicionar isso a qualquer grupo não garante acesso.

Solução

Deve rever a política do grupo e seu escopo. Administrar identidades não significa gerenciar redes. Um gerente autorizado pode dar o permissões necessário para desenvolver redes para o grupo apropriado. MFA impossível não adiciona permissão. Mudar a região pode mudar a lista, mas não substitui uma política. Grupo A sem políticas aplicáveis não tem esses permissões.

Fontes e revisão

Consulta IAM com domínios de identidade, e permissões y Grupos dinâmicos. Explique quem, o que e onde em uma política então descreve o que muda quando o principal é uma instância.