ポリシーの例

重要

Pre-General Availability: 2024-10-11

The following legal notice applies to Oracle pre-GA releases.著作権およびその他の適用される法律に関する情報は、Oracleの法律上の注意点を参照してください。

Pre-General Availability Draft Documentation Notice

このドキュメントはPre-General Availability (一般提供前)版であり、デモおよび暫定使用のみを目的としたものです。このソフトウェアを使用するハードウェアに限定するものではありません。Oracle Corporationおよびその関連会社は、このドキュメントに関して一切の責任を負わず、いかなる保証もいたしません。また、このドキュメントを使用したことによって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

ポリシーを記述する場合は、テナンシ管理に管理者グループを使用できます。たとえば:

allow group Administrators to manage wlms-managed-instances in tenancy
allow group Administrators to manage wlms-wlsdomains in tenancy
allow group Administrators to manage wlms-family in tenancy

また、複数のグループに同じ権限が必要なポリシー・ステートメントを組み合せることで、権限を簡素化することもできます。たとえば、次のポリシー・ステートメントがあります。

allow group <user-grp-01> to inspect wlms-wlsdomains in tenancy
allow group <user-grp-01> to inspect wlms-work-requests in tenancy
allow group <user-grp-02> to inspect wlms-wlsdomains in tenancy
allow group <user-grp-02> to inspect wlms-work-requests in tenancy

これは、次のようになります。

allow group <user-grp-01>,<user-grp-01> { WLMS_WLSDOMAIN_INSPECT, WLMS_WORK_REQUEST_INSPECT } in tenancy

ユーザー・グループを制限するポリシーの例

提供されている例は、特定のユーザー・グループのリソースまたはコンパートメント・アクセスを制限するために使用されるポリシーの例です。これらの例のテナンシには、次のコンパートメント構造があります:

rootコンパートメント(テナント)
- <dev>コンパートメント
  - <dev>の<test>サブコンパートメント
- <prod>コンパートメント

テナンシ権限を持つ管理ユーザー

この例では、次のようになります。

動的グループは<wlms-dyn-grp>です。ルール・ステートメントには、ルート・コンパートメント(テナンシ)、<dev>コンパートメント、<test>サブコンパートメントおよび<prod>コンパートメント内のOCIインスタンスが含まれます。
ユーザーは、テナンシ内のすべてのリソースを管理できるユーザー・グループ<wlms-admin-grp>に属しています。

ポリシー・ステートメント

動的グループが特定のコンパートメントの管理対象インスタンスを表示およびスキャンできるようにします。
```
allow dynamic-group <wlms-dyn-grp> to {WLMS_MANAGED_INSTANCE_USE} in tenancy where target.compartment.id='<dev_compartment_ocid>'
```
ユーザー・グループがテナンシ内のすべての管理対象インスタンスを表示、スキャンおよび更新できるようにします。
```
allow group <wlms-admin-grp> to use wlms-managed-instances in tenancy
```
ユーザー・グループがテナンシ内のすべてのドメインを使用、更新、再起動、パッチ適用および移動できるようにします。
```
allow group <wlms-admin-grp> to use wlms-wlsdomains in tenancy
```
ユーザー・グループにテナンシ内のすべてのリソースの管理を許可します。
```
allow group <wlms-admin-grp> to manage wlms-family in tenancy
```

コンパートメントに制限されている管理ユーザー

この例では、次のようになります。

ユーザーは、<dev>コンパートメントおよび<test>サブコンパートメント内のすべてのリソースを管理できるユーザー・グループwlms-admin-grp-devに属しています。

ポリシー・ステートメント

ユーザー・グループが<dev>コンパートメント内のすべてのWebLogic管理サービス・リソースを管理できるようにします。ポリシーではコンパートメント継承が使用されるため、ユーザーは<dev>のサブコンパートメント(この例では<test>)内のリソースも管理できます。
```
allow group <wlms-admin-grp-dev> to manage wlms-family in compartment <dev>
```
ユーザー・グループがルート・コンパートメントの管理対象インスタンスを読み取れるようにします。
```
allow group <wlms-admin-grp-dev> to read wlms-managed-instances in tenancy where target.compartment.id = '<tenancy_ocid>'
```
ユーザーは、devコンパートメント内の管理対象インスタンスを使用できます。
```
allow group <wlms-admin-grp-dev> to use wlms-managed-instances in compartment <dev>
```
ユーザーは、devコンパートメント内のドメインを使用、更新、再起動、パッチ適用、移動および削除できます。
```
allow group <wlms-admin-grp-dev> to manage wlms-wlsdomains in compartment <dev>
```

コンパートメントに制限されているユーザー

この例では、次のようになります。

動的グループは<wlms-instances>です。ルール文には、<prod>コンパートメントにプラグイン・エージェント・リソースが含まれます。
ユーザーは、<prod>コンパートメント内のすべてのWebLogic管理リソースを読み取ることができるユーザー・グループ<wlms-users>に属しています。

ポリシー・ステートメント

管理対象インスタンスのエージェントがWebLogic管理と対話できるようにします。

allow dynamic-group <wlms-instances> to {WLMS_MANAGED_INSTANCE_PLUGIN_ACCESS} in compartment prod where request.principal.id = target.managed-instance.i

ユーザー・グループに、<prod>コンパートメント内のすべてのWebLogic管理リソースの表示を許可します。
```
allow group <wlms-users> to read wlms-family in compartment <prod>
```

拡張サンプル・ポリシー

提供されている高度なWebLogic管理の例は、特定のユーザー・グループのリソースまたはコンパートメントのアクセスを制限するために使用されるサンプル・ポリシーです。

ユーザー・グループにWebLogic管理リソースの表示のみを許可します

アクセス・タイプ: WebLogic管理プラグインが有効になっているコンパートメント内のすべてのコンピュート・インスタンス、WebLogic管理プラグインによって検出されたWebLogicサーバー・ドメインおよびサーバー、およびすべての構成設定を表示する機能。このポリシーでは、グループのユーザーは、WebLogicサーバー・ドメインの状態を変更する可能性のあるサービス・アクションを実行できません。

使用する場合: このポリシーは、本番のWebLogicサーバー・ドメインがあるコンパートメントへのアクセスを制御する場合に便利です。