OS管理ハブの開始

動的グループを作成して、OS管理ハブが管理するインスタンスを含めます。OCIインスタンスには、オンプレミスまたはサードパーティ・クラウド・インスタンス(OCI以外)とは異なる動的グループ・ルール文が必要です。複数のインスタンス・タイプを管理する場合は、両方の文を含めます。両方のインスタンス・タイプのルール文を含む単一の動的グループを使用できます。

新しいインスタンスがサービスに登録されると、動的グループにはルール文に基づくインスタンスが含まれます。動的グループ・ルールはコンパートメント固有であるため、OS管理ハブによって管理するインスタンスがあるすべてのコンパートメントおよびサブコンパートメントのルールを指定する必要があります。動的グループの詳細は、動的グループの管理 を参照してください。

ANYおよびALLの理解

動的グループを定義する場合は、グループで定義されているルールとグループがどのように一致するかを設定します。

• 下で定義したルールに一致には、動的グループ内のいずれかのルールに一致するリソースが含まれます。複数のコンパートメントまたは複数のインスタンス・タイプ(OCIインスタンスやOCI以外のインスタンスなど)のルールを含むグループを定義する場合は、これを選択します。
• 「下で定義したすべてのルールに一致」には、動的グループ内のすべてのルールに一致するリソースが含まれます。1つのコンパートメントのみを含む可変狭動的グループを定義する場合は、これを選択します。

動的グループ内で個々のルール文を定義する場合は、各文の条件を設定します。

• 次のすべて(ALL)では、ルールのすべての条件に一致するリソースのみが含まれます。ALL文では、各条件がtrueである必要があります。それ以外の場合、ルールのリソースは含まれません。

• 次のいずれか(ANY)では、ルールのいずれかの条件に一致するリソースが含まれます。

個々のルール文のANYおよびALLの例

OCI以外のインスタンスに使用されるルールについて考えてみます。

Correct usage:
ALL {resource.type='managementagent', resource.compartment.id='<compartment_ocid>'}

ALLを使用する場合、ルールには、指定されたコンパートメント内の管理エージェント・リソースのみが含まれます。

Incorrect usage. Do not use:
ANY {resource.type='managementagent', resource.compartment.id='<compartment_ocid>'}

ANYを使用する場合、ルールには、テナンシ全体内のすべての管理エージェント・リソースと、指定したコンパートメントに存在するすべてのOCIリソースが含まれます。文にはOS管理ハブに必要なリソースが含まれますが、これは非常に広範であり、通常は好ましくありません。

複数のコンパートメントを指定する場合は、OCIインスタンスに使用されるルールを考慮してください。

Correct usage:
ANY {instance.compartment.id='<compartment_ocid>',instance.compartment.id='<subcompartment_ocid>'}

ANYを使用する場合、ルールには、指定された各コンパートメント内のすべてのインスタンスが含まれます。

Incorrect usage. Do not use:
ALL {instance.compartment.id='<compartment_ocid>',instance.compartment.id='<subcompartment_ocid>'}

ALLを使用する場合、インスタンスは複数のコンパートメントに存在できないため、ルールにはインスタンスが含まれません。複数のコンパートメントがあるルール文では、ALLを使用しないでください。

インスタンスがOS管理ハブに登録し、ユーザーがサービスを管理および操作できるようにする文を含むポリシーを作成します。ポリシーを作成する前に、推奨ユーザー・グループおよび必須動的グループを作成します。OS管理ハブのIAMポリシーは、テナンシ・レベルまたはコンパートメント・レベルで設定できます。

テナンシ・レベルのポリシー・ステートメント

テナンシ・レベルで必要なIAMポリシーを適用するには、次のポリシー・ステートメントを使用します:

allow dynamic-group <osmh_dynamic_group> to {OSMH_MANAGED_INSTANCE_ACCESS} in tenancy where request.principal.id = target.managed-instance.id
allow group <user_group> to manage osmh-family in tenancy

オンプレミスまたはサードパーティ・クラウド・インスタンスを管理する場合は、次の追加ステートメントを含めます。これらは、OCIインスタンスのみを管理する場合には必要ありません。

allow group <user_group> to manage management-agents in tenancy
allow group <user_group> to manage management-agent-install-keys in tenancy

コンパートメント・レベルのポリシー・ステートメント(テナンシ・レベルを使用しない場合)

テナンシ管理者がテナンシ・レベルでのIAMポリシーの設定を許可しない場合、OS管理ハブ・リソースの使用をコンパートメントとそのサブコンパートメントに制限できます(ポリシーはコンパートメント継承を使用します)。

IAMポリシーをテナント内のコンパートメントに適用するには、次のポリシー・ステートメントを使用します:

allow dynamic-group <osmh_dynamic_group> to {OSMH_MANAGED_INSTANCE_ACCESS} in compartment <compartment_name> where request.principal.id = target.managed-instance.id
allow group <user_group> to manage osmh-family in compartment <compartment_name>

オンプレミスまたはサードパーティ・クラウド・インスタンスを管理する場合は、次の追加ステートメントを含めます。これらは、OCIインスタンスのみを管理する場合には必要ありません。

allow group <user_group> to manage management-agents in compartment <compartment_name>
allow group <user_group> to manage management-agent-install-keys in compartment <compartment_name>