Politiques de service Oracle Cloud Migrations

Les stratégies du service Oracle Cloud Migrations sont requises pour utiliser le service de migration.

La syntaxe d'une stratégie est la suivante :

allow <subject> to <verb> <resource-type> in <location> where <conditions>

Pour plus d'informations, reportez-vous à Syntaxe de stratégie. Pour plus d'informations sur la création de stratégies, reportez-vous à Fonctionnement des stratégies, à Référence de stratégie et aux détails des stratégies pour Object Storage.

Reportez-vous aux instructions de création de stratégies à l'aide de la console.

Générateur de stratégies

Oracle Cloud Migrations prend en charge Policy Builder. Le générateur de stratégies de la console cloud vous aide à créer rapidement des stratégies courantes sans avoir à saisir manuellement les instructions de stratégie. Pour créer des stratégies à l'aide du générateur de stratégies, reportez-vous à Ecriture d'instructions de stratégie à l'aide du générateur de stratégies.

Dans Policy Builder, sélectionnez les cas d'utilisation de stratégie pour Oracle Cloud Migrations. Les modèles de stratégie prédéfinis suivants sont disponibles pour la création des stratégies de service :

Stratégies de migration

Groupes dynamiques et stratégies IAM pour le service de migration.

Créez des groupes dynamiques pour le service de migration. Par exemple, vous pouvez nommer le groupe dynamique MigrationDynamicGroup et remplacer compartmentOCID par l'OCID de votre compartiment de migration :
```
ALL {resource.type = 'ocmmigration', resource.compartment.id = '<migration_compartment_ocid>'}
```
Afin d'obtenir plus d'informations sur les groupes dynamiques, y compris les droits d'accès requis pour les créer, reportez-vous à Gestion des groupes dynamiques et à Ecriture de stratégies pour les groupes dynamiques.

Créez toutes les stratégies IAM suivantes pour permettre au service Migration de lire ou de gérer vos ressources OCI dans des compartiments spécifiques ou dans votre location :

Allow dynamic-group MigrationDynamicGroup to manage instance-family in compartment <migration_compartment_name>
Allow dynamic-group MigrationDynamicGroup to manage compute-image-capability-schema in compartment <migration_compartment_name>
Allow dynamic-group MigrationDynamicGroup to manage virtual-network-family in compartment <migration_compartment_name>
Allow dynamic-group MigrationDynamicGroup to manage volume-family in compartment <migration_compartment_name>
Allow dynamic-group MigrationDynamicGroup to manage object-family in compartment <migration_compartment_name>
Allow dynamic-group MigrationDynamicGroup to read ocb-inventory in tenancy
Allow dynamic-group MigrationDynamicGroup to read ocb-inventory-asset in compartment <migration_compartment_name>
Allow dynamic-group MigrationDynamicGroup to {OCB_CONNECTOR_READ, OCB_CONNECTOR_DATA_READ, OCB_ASSET_SOURCE_READ, OCB_ASSET_SOURCE_CONNECTOR_DATA_UPDATE } in compartment <migration_compartment_name>
Allow dynamic-group MigrationDynamicGroup to {INSTANCE_IMAGE_INSPECT, INSTANCE_IMAGE_READ} in tenancy
Allow dynamic-group MigrationDynamicGroup to {INSTANCE_INSPECT} in tenancy where any {request.operation='ListShapes'}
Allow dynamic-group MigrationDynamicGroup to {DEDICATED_VM_HOST_READ} in tenancy where any {request.operation='GetDedicatedVmHost'}
Allow dynamic-group MigrationDynamicGroup to {CAPACITY_RESERVATION_READ} in tenancy where any {request.operation='GetComputeCapacityReservation'}
Allow dynamic-group MigrationDynamicGroup to {ORGANIZATIONS_SUBSCRIPTION_INSPECT} in tenancy where any {request.operation='ListSubscriptions'}
Allow dynamic-group MigrationDynamicGroup to read rate-cards in tenancy
Allow dynamic-group MigrationDynamicGroup to read metrics in tenancy where target.metrics.namespace='ocb_asset'
Allow dynamic-group MigrationDynamicGroup to read tag-namespaces in tenancy
Allow dynamic-group MigrationDynamicGroup to use tag-namespaces in tenancy where target.tag-namespace.name='CloudMigrations'

Stratégies de repérage

Groupe dynamique et stratégie IAM pour le service de repérage.

Création d'un groupe dynamique

Créez un groupe dynamique pour le service de repérage. Vous pouvez nommer le groupe dynamique DiscoveryDynamicGroup, par exemple.

ALL { resource.type = 'ocbassetsource' }

Création d'une stratégie IAM

Créez la stratégie IAM suivante pour accorder au service de repérage les droits d'accès requis pour effectuer des migrations.

Allow dynamic-group DiscoveryDynamicGroup to inspect compartments in compartment <migration_compartment_name>
Allow dynamic-group DiscoveryDynamicGroup to read ocb-environments in compartment <migration_compartment_name>
Allow dynamic-group DiscoveryDynamicGroup to read ocb-inventory in tenancy
Allow dynamic-group DiscoveryDynamicGroup to manage ocb-inventory-asset in compartment <migration_compartment_name>
Allow dynamic-group DiscoveryDynamicGroup to {TENANCY_INSPECT} in tenancy
Allow dynamic-group DiscoveryDynamicGroup to read secret-family in compartment <migrationsecret_compartment_name>
Allow dynamic-group DiscoveryDynamicGroup to use metrics in compartment <migration_compartment_name> where target.metrics.namespace='ocb_asset'

Afin d'obtenir plus d'informations sur les groupes dynamiques, y compris les droits d'accès requis pour les créer, reportez-vous à Gestion des groupes dynamiques et à Ecriture de stratégies pour les groupes dynamiques.

Stratégies d'agent d'hydratation

Groupes dynamiques et stratégies IAM pour l'agent d'hydratation.

Créez des groupes dynamiques pour l'agent d'hydratation. Par exemple, vous pouvez nommer le groupe dynamique HydrationAgentDynamicGroup et remplacer compartmentOCID par l'OCID de votre compartiment de migration :
```
ALL {instance.compartment.id = '<migration_compartment_ocid>'}
```
Afin d'obtenir plus d'informations sur les groupes dynamiques, y compris les droits d'accès requis pour les créer, reportez-vous à Gestion des groupes dynamiques et à Ecriture de stratégies pour les groupes dynamiques.

Créez les stratégies IAM suivantes dans des compartiments spécifiques ou dans votre location afin de fournir à l'agent d'hydratation les droits d'accès permettant d'extraire des clichés à partir d'OCI Object Storage et d'appeler les API d'hydratation du service de migration :

Define tenancy OCM-SERVICE AS <ocm_service_tenancy_ocid_for_realm>     
Endorse dynamic-group HydrationAgentDynamicGroup to { OBJECT_CREATE } in tenancy OCM-SERVICE where all { target.bucket.name = 'tenancy_ocid' }
Allow dynamic-group HydrationAgentDynamicGroup to {OCM_HYDRATION_AGENT_TASK_INSPECT, OCM_HYDRATION_AGENT_TASK_UPDATE, OCM_HYDRATION_AGENT_REPORT_STATUS} in compartment <migration_compartment_name>
Allow dynamic-group HydrationAgentDynamicGroup to manage objects in compartment <migration_compartment_name>
Allow dynamic-group HydrationAgentDynamicGroup to read secret-family in compartment <migrationsecret_compartment_name>

Remarque

La valeur de ocm_service_tenancy_for_realm pour le domaine OC1 est indiquée ci-dessous. Si votre location se trouve dans un domaine autre que OC1, contactez le support technique Oracle pour obtenir l'OCID de location de service correct. ocid1.tenancy.oc1..aaaaaaaartv6j5muce2s4djz7rvfn2vwceq3cnue33d72isntnlfmi7huv7q