Data Safeの有効化および使用の前提条件

Oracle Cloud Infrastructure Consoleは、Oracle Cloud Infrastructureテナンシでポリシーをリストおよび作成するためのサインイン・ユーザーの権限に依存します。ユーザーの権限に応じて、次の2つのシナリオが適用されます。

• シナリオ1– ユーザーには、Identity and Access Managementポリシーを管理する権限があります(管理- 新しいポリシーの読取りと追加の両方)。この場合、Oracle Cloud Infrastructure Consoleは、Fusion Data IntelligenceサービスのData Safeポリシーが存在するかどうかを検証します。ポリシーがない場合は、コンソールによってサービス・ポリシーが自動的に作成されます。この後、適用可能なユーザーは、Data Safeを使用してFusion Data Intelligenceインスタンスを作成するか、既存のインスタンスをData Safeに登録できます。

• シナリオ2– ユーザーには、Identity and Access Managementポリシーを読み取る権限のみがあります。この場合、Oracle Cloud Infrastructure Consoleは、Fusion Data IntelligenceサービスのData Safeポリシーが存在するかどうかを検証します。ポリシーがすでに適用されている場合、ユーザーはData Safeを使用してインスタンスを作成するか、既存のインスタンスをData Safeに登録できます。ポリシーが存在しない場合、適用可能なユーザーは、Fusion Data Intelligenceインスタンスの作成中に「Data Safeの有効化」チェック・ボックスを無効にして、インスタンスの作成を続行または停止し、サービス管理者にIdentity and Access Managementユーザー、グループおよび書込みポリシーの構成を依頼する必要があります。

  サービス管理者は要件に従ってIdentity and Access Managementポリシーを記述できますが、次のサンプル・ポリシーは、Data Safeを使用してFusion Data Intelligenceインスタンスを作成および管理する際に役立ちます。

  allow group <identity_domain_name>/FDIDataSafeUsers to read compartments in tenancy
  allow group <identity_domain_name>/FDIDataSafeUsers to read domains in tenancy
  allow group <identity_domain_name>/FDIDataSafeUsers to manage policy in tenancy

• ノート
  
  FDIDataSafeUsersを適切なIdentity and Access Managementグループに置き換えます。

該当するAutonomous Data Warehouseに対してData Safeを有効にすると、Fusion Data Intelligenceによって、targetDataBase、auditPolicy、auditProfile、auditTrial、alertPolicyAssociationsなどの複数のData Safeリソースが作成されます。次の広範なポリシーを作成して、テナンシのData Safeリソースを管理します:

allow group <identity_domain_name>/FDIDataSafeUsers to manage data-safe-family in tenancy

Fusion Data Intelligenceには、関連付けられたAutonomous Data WarehouseでData Safe関連の操作を実行する権限が必要です。システムは、サインイン・ユーザーにポリシーをリストおよび追加する権限があることを検証し、サインイン・ユーザーに権限があり、ポリシーがまだ作成されていない場合は、次のポリシーを作成します。

allow any-user to manage data-safe in tenancy where all {request.principal.type = 'fawservice', request.principal.compartment.id = target.compartment.id}
allow any-user to manage data-safe-assessment-family in tenancy where all {request.principal.type = 'fawservice', request.principal.compartment.id = target.compartment.id}
allow any-user to manage data-safe-alert-family in tenancy where all {request.principal.type = 'fawservice', request.principal.compartment.id = target.compartment.id}
allow any-user to manage data-safe-audit-family in tenancy where all {request.principal.type = 'fawservice', request.principal.compartment.id = target.compartment.id}
allow any-user to manage virtual-network-family in tenancy where all {request.principal.type = 'fawservice', request.principal.compartment.id = target.compartment.id}