Allow <subject> to <verb> <resource-type> in <location> [where <condition>] シンタックス 説明 例文 group <グループ名> グループを名称で指定 group A-Admin group id <グループの OCID> グループをOCIDで指定 group id ocid1.group.oc1..aaaaaaaaqjihfhvx mum...awuc7i5xwe6s7qmnsbc6a any-user すべてのユーザーを指定 any-user https://docs.oracle.com/ja-jp/iaas/Content/Identity/Concepts/policysyntax.htm
Allow <subject> to <verb> <resource-type> in <location> [where <condition>] シンタックス 説明 例文 tenancy テナンシ全体を指定 in tenancy compartment <コンパートメント名> コンパートメントを名称で指定 in compartment Project-A Compartment id <コンパートメントの OCID> コンパートメントのOCIDを指定 in compartment id ocid1.compartment.oc1..aaaaaaaayzfq...4f mameqh7lcdlihrvur7xq https://docs.oracle.com/ja-jp/iaas/Content/Identity/Concepts/policysyntax.htm
示的に指定して操作を制限することが可能 設定例 : ユーザにVCN削除以外のVCN管理権限を与えたい場合 • allow group TrainingGroup to manage virtual-network-family in compartment training where request.permission != 'VCN_DELETE'
例文 ネットワーク管理者にクラウドネットワーク管理権 限を付与 • Allow group NetworkAdmins to manage virtual-network-family in tenancy ユーザーにインスタンスの作成権限を付与 • Allow group InstanceLaunchers to manage instance-family in compartment ABC • Allow group InstanceLaunchers to use volume-family in compartment ABC • Allow group InstanceLaunchers to use virtual-network-family in compartment XYZ バックアップ管理者にボリュームのバックアップを管 理できる権限のみを付与 • Allow group VolumeBackupAdmins to use volumes in tenancy • Allow group VolumeBackupAdmins to manage volume-backups in tenancy • Allow group VolumeBackupAdmins to inspect volume-attachments in tenancy • Allow group VolumeBackupAdmins to inspect instances in tenancy ユーザーにオブジェクト・ストレージ・バケットにオブ ジェクトの書込権限を付与 • Allow group ObjectWriters to read buckets in compartment ABC • Allow group ObjectWriters to manage objects in compartment ABC where any {request.permission='OBJECT_CREATE', request.permission='OBJECT_INSPECT'} コンパートメント管理者にコンパートメントの管理 権限を付与 • Allow group A-Admins to manage all-resources in compartment Project-A 管理者に特定リージョンのアクセス権を付与 • Allow group Phoenix-Admins to manage all-resources in tenancy where request.region='phx' 監査人にリソースの監査権限を付与 • Allow group Auditors to inspect all-resources in tenancy • Allow group Auditors to read instances in tenancy • Allow group Auditors to read audit-events in tenancy 他にも多数の記述例はこちら : https://docs.oracle.com/ja-jp/iaas/Content/Identity/Concepts/policysyntax.htm https://docs.oracle.com/ja-jp/iaas/Content/Identity/Concepts/commonpolicies.htm
42 Tenancy (root compartment) Ops Test Dev A Tenancy (root compartment) Ops Test Dev A A Allow group G1 to manage instance-family in compartment Test:A Allow group G1 to manage instance-family in compartment Test:A Dev:A ポリシーが自動で更新されるた め、G1グループのメンバーは引 き続きAコンパートメントにアク セス可能 コンパートメントAをTest配下 からDev配下に移動 G1 G1 G1
43 Tenancy (root compartment) Ops Test Dev A Tenancy (root compartment) Ops Test Dev A A Allow group G1 to manage instance-family in compartment Test Allow group G1 to manage instance-family in compartment Test ポリシーは自動で更新されない ため、G1グループのメンバーは Aコンパートメントにアクセスでき なくなる コンパートメントAをTest配下 からDev配下に移動 G1 G1
グループ NetworkAdmins (Tanaka) ProjectAコンパートメント • Allow group NetworkAdmins to MANAGE virtual- netwoQrk-family in compartment NetworkInfra • Allow group NetworkAdmins to manage instance- family in compartment NetworkInfra • Allow group A-Admins to USE virtual-network- family in compartment NetworkInfra • Allow group A-Admins to manage all-resources in compartment ProjectA • NetworkAdminsグループのTanakaさんがNetworkInfraコ ンパートメントにネットワークを作成 • A-AdminsグループのSatoさんは、NetworkInfraコ ンパートメント内のVCNを使用してProjectAコンパー トメントにインスタンスを起動 グループ A-Admins (Sato) NetworkInfraコンパートメント Satoさんが起動したインスタンスはネットワーク観点からはVCNに存在するが、アクセスの観点からはVCNが存在する NetworkInfraコンパートメントではなくProjectAコンパートメントにある
ocise
hecateball
sasakendayo
y0hgi
minamizaki
viva_tweet_x
yosshi_
hololab
humank
kekeke_47
line_developers
shimacos
clustervr
kastner
bkeepers
addyosmani
productmarketing
3n
chrislema
schacon
colly
shpigford
dougneiner
rasmusluckow
malarkey
![Thank you [Date] Copyright © 2021 Oracle and/or its affiliates.](https://files.speakerdeck.com/presentations/15a18e3567fb432ea74cd53e814dbfea/slide_52.jpg){kind=link}
