home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> การเขียนโปรแกรม >> ฐานข้อมูล

Oracle Cloud Infrastructure IAM: คุณสมบัติหลักและการจัดการทรัพยากร

โพสต์บล็อกนี้แนะนำส่วนประกอบของ Oracle® Cloud Infrastructure (OCI) Identity and Access Management (IAM) และแสดงคุณสมบัติบางส่วนที่ช่วยให้คุณจัดการทรัพยากร Oracle Cloud

โพสต์นี้ระบุประเภทของการเข้าถึงสำหรับทรัพยากรเฉพาะที่คุณสามารถมอบหมายให้กลุ่มผู้ใช้ และวิธีที่คุณสามารถทำ Federation OCI กับ Oracle Identity Cloud Service (IDCS)

ส่วนประกอบของ IAM

IAM ประกอบด้วยส่วนประกอบต่อไปนี้:

  • Resource (ทรัพยากร): ทรัพยากรคือออบเจ็กต์ที่สร้างใน OCI เช่น Compute Instances, Block Volumes, Virtual Cloud Networks (VCNs) และ Subnets

  • User (ผู้ใช้): ผู้ใช้ถูกมอบหมายให้กับกลุ่มที่ให้สิทธิพิเศษและการเข้าถึงทรัพยากร OCI อย่างจำกัด ตามนโยบาย Tenancy และ Compartment สำหรับกลุ่ม

  • Group (กลุ่ม): กลุ่มคือชุดของผู้ใช้ที่เข้าถึงทรัพยากร OCI เดียวกัน ผู้ใช้สามารถเป็นสมาชิกของกลุ่มได้มากกว่าหนึ่งกลุ่ม

  • Dynamic Group (กลุ่มไดนามิก): กลุ่มไดนามิกให้ความปลอดภัยและช่วยให้คุณจัดการ Keys ฝั่ง Client แทนที่จะเป็นฝั่ง Server กลุ่มไดนามิกสามารถเชื่อมโยง Instance เฉพาะใน Compartment คุณสามารถมอบนโยบายให้กลุ่มไดนามิกเพื่อให้การเข้าถึง Instance เฉพาะเพื่อเข้าถึงผ่าน Application Programmer Interface (API)

  • Compartment (ช่องส่วน): Compartment คือ Container ตรรกะระดับ Global ที่คุณสามารถบังคับใช้นโยบายและควบคุมการเข้าถึง Compute, Storage, Network, Load Balancer และทรัพยากรอื่นๆ ตัวอย่างเช่น คุณสามารถใช้นโยบายจำกัดผู้ใช้ (ยกเว้นผู้ดูแลระบบ) จากการใช้ทรัพยากรที่สร้างใน Compartment นั้น

  • Tenancy (เท넌시): Tenancy คือ Root Compartment เริ่มต้น และมีทรัพยากร OCI ทั้งหมด ภายใน Tenancy ผู้ดูแลระบบสามารถสร้าง Compartment, User และ Group ได้หนึ่งหรือหลายตัว ผู้ดูแลระบบจึงสามารถมอบนโยบายที่อนุญาตให้ Group ใช้ทรัพยากรภายใน Compartment

  • Policy (นโยบาย): นโยบายกำหนดว่าใครสามารถเข้าถึงทรัพยากรได้ในระดับ Group และ Compartment ด้วยระดับการเข้าถึงดังนี้:

    • Inspect (ตรวจสอบ)

    • Read (อ่าน)

    • Use (ใช้)

    • Manage (จัดการ)

  • Region (ภูมิภาค): Region คือตำแหน่งทางภูมิศาสตร์ที่ทรัพยากร IAM อยู่ ทรัพยากรบริการ IAM เป็น Global และสามารถมี Tenancy เดียวข้ามหลาย Region Oracle จะเผยแพร่การเปลี่ยนแปลงที่ทำใน Home Region ไปยังทุก Region

  • Federation (การรวมกลุ่ม): Federation คือกลไกระหว่างสองฝ่ายขึ้นไปที่ทำหน้าที่เป็น Identity Provider และ Service Provider มันจัดการ User และ Group ใน Identity Provider IDCS ให้ Federation สำหรับ OCI โดยค่าเริ่มต้น

ทรัพยากร IAM

ส่วนนี้อธิบายแหล่งที่มาของทรัพยากร ตัวระบุทรัพยากร และขีดจำกัดทรัพยากร

ขอบเขตของทรัพยากร

เนื่องจาก IAM กำหนดทรัพยากรเป็น Global ทรัพยากรจึงพร้อมใช้งานข้ามทุก Region และ Availability Domain Components

ตัวระบุทรัพยากร

ทรัพยากร OCI ใช้ชื่อเฉพาะ (OCID) ด้วย Syntax ต่อไปนี้:

ocid1.<resource-type>.<realm>.[region][.future-use].<unique-ID>

Placeholder ของ OCID ประกอบด้วยองค์ประกอบต่อไปนี้:

  • ocid1: รุ่น OCID

  • resource-type: ประเภทของทรัพยากร เช่น Instance, Volume, VCN, Subnet, User หรือ Group

  • realm: Realm มีชุดของ Region และแชร์เอนทิตีกับ Availability Domains Realm อาจมีค่าดังนี้:

    • oc1: Commercial Realm
    • oc2: Government Cloud Realm
    • oc3: Federal Government Cloud Realm

ขีดจำกัดทรัพยากร

ขีดจำกัด IAM คือโควต้าทรัพยากร IAM ที่ควบคุมจำนวนสูงสุดของ Compute Instances ใน Availability Domain

เพื่อดูขีดจำกัดและการใช้งานของ Tenancy ตาม Region ให้ทำตามขั้นตอนต่อไปนี้:

  1. เปิดคอนโซล IAM
  2. เปิดเมนู User และคลิก Tenancy
  3. คลิก Service Limits

เมื่อ Instance ถึงขีดจำกัดบริการสำหรับทรัพยากรเฉพาะ คุณสามารถส่งคำขอเพื่อเพิ่มขีดจำกัดบริการและสร้างทรัพยากรใหม่ตามความต้องการ

เพื่อขอเพิ่มขีดจำกัดบริการ ให้ทำตามขั้นตอนต่อไปนี้:

  1. เปิดเมนู Help ไปที่ Support และคลิก Request service limit increase
  1. ป้อนรายละเอียดต่อไปนี้:
    • รายละเอียดผู้ติดต่อหลัก
    • หมวดหมู่บริการ
    • ทรัพยากร
    • เหตุผลในการขอ
  1. คลิก Submit Request

Federate กับ Identity Providers

OCI รองรับ Federation สำหรับส่วนประกอบและ Identity Providers ต่อไปนี้:

  • IDCS
  • Microsoft® Active Directory®
  • Microsoft Azure® Active Directory
  • Okta®
  • Identity Providers ที่รองรับโปรโตคอล Security Assertion Markup Language (SAML) 2.0

ในตัวอย่างในโพสต์บล็อกนี้ ผมใช้ IDCS เป็น Identity Provider

ขั้นตอนการ Federate กับ IDCS

ทำตามขั้นตอนต่อไปนี้เพื่อ Federate กับ IDCS:

ขั้นตอน 1: รับข้อมูลที่จำเป็นจาก IDCS

  1. ล็อกอินเข้าคอนโซล OCI IDCS ด้วยสิทธิ์ Admin
  2. ในคอนโซล IDCS คลิก Applications
  3. คลิก COMPUTEBAREMETAL
  4. คลิก Configuration
  5. ขยาย General Information เพื่อแสดง Client ID
  6. คลิก Show Secret เพื่อดู Client Secret
  7. บันทึก Client ID และ Client Secret

ขั้นตอน 2: เพิ่ม Identity Provider ใน OCI

  1. ลงชื่อเข้าใช้คอนโซลด้วยข้อมูลประจำตัว OCI ของคุณ
  2. เปิดเมนูนำทาง Governance and Administration และคลิก Identity -> Federation
  3. คลิก Add identity provider
  1. ป้อนรายละเอียดต่อไปนี้:
    1. Name: ชื่อต้องเป็นเอกลักษณ์ข้าม Identity Providers ทั้งหมด Oracle เพิ่มชื่อไปยัง Tenancy และคุณไม่สามารถแก้ไขได้
    2. Description: คำอธิบายที่ชัดเจน
    3. IDCS Base URL: URL ของทรัพยากร
    4. Client ID: ตัวระบุไคลเอนต์ที่คุณรวบรวมไว้ก่อนหน้านี้
    5. Client Secret: Client Secret ที่คุณรวบรวมไว้ก่อนหน้านี้
  2. คลิก Show Advanced Options และป้อนรายละเอียดต่อไปนี้:
    1. Encrypt Assertion: เลือก Checkbox เพื่อเปิดใช้งานการเข้ารหัสจาก IDP หากคุณไม่เลือก Checkbox นี้ คุณต้องตั้งค่าการเข้ารหัส Assertion ใน IDCS
    2. Tags: คุณยังสามารถใช้ Tags ได้หากคุณมีสิทธิ์สร้างทรัพยากร เพื่อใช้ Defined Tag คุณต้องมีสิทธิ์ใช้ Tag Namespace
  3. คลิก Continue.
  4. กำหนด Mapping ระหว่าง IDCS Groups และ IAM Groups ใน OCI คุณสามารถ Map IDCS Groups ไปยัง IAM Groups ได้ 0, 1 หรือหลายกลุ่ม และในทางกลับกันก็ได้

หน้า Federation ตอนนี้แสดง Identity Provider ในรายการ Tenancy Oracle มอบหมาย OCID ให้แต่ละ Group Mapping

ขั้นตอน 3: ตั้งค่านโยบาย IAM สำหรับกลุ่ม

ปฏิบัติตามขั้นตอนมาตรฐานของคุณเพื่อตั้งค่านโยบาย IAM สำหรับกลุ่ม

ขั้นตอน 4: ให้ Tenant และ URL แก่ Federated Users

มอบชื่อ Tenant และ Sign-in URL ให้ Federated Users URL ควรคล้ายกับตัวอย่างต่อไปนี้:

https://console.us-cshburn-1.oraclecloud.com

จัดการ Identity Providers ในคอนโซล

ส่วนนี้ให้ขั้นตอนในการลบ Identity Provider และเพิ่ม อัปเดต หรือลบ Group Mappings สำหรับ IDCS

ลบ Identity Provider

เพื่อลบ Identity Provider ให้ทำตามขั้นตอนต่อไปนี้:

  1. ลบ Identity Provider จาก Tenancy.
    1. เปิดเมนูนำทาง Governance and Administration และคลิก Identity -> Federation เพื่อดูรายการ Identity Providers ใน Tenancy
    2. คลิกที่ Identity Provider ที่คุณต้องการลบ เพื่อดูรายละเอียด
    3. คลิก Delete และยืนยัน
  2. ลบ Tenancy จากบัญชี IDCS.
    1. เปิดคอนโซล IDCS และลงชื่อเข้าใช้บัญชีที่รวมกลุ่ม
    2. คลิก Applications เพื่อแสดงรายการแอปพลิเคชัน
    3. ค้นหา Tenancy และคลิกที่ชื่อเพื่อดูหน้ารายละเอียด
    4. คลิก Deactivate และยืนยัน
    5. คลิก Remove และยืนยัน

เพิ่ม Group Mappings สำหรับ IDCS

เพื่อเพิ่ม Group Mappings สำหรับ IDCS ให้ทำตามขั้นตอนต่อไปนี้:

  1. เปิดเมนูนำทาง Governance and Administration และคลิก Identity เพื่อแสดงรายการ Identity Providers ใน Tenancy
  2. คลิก Federation และคลิกที่ชื่อ Federation IDCS เพื่อดูรายละเอียด
  3. คลิก Edit Provider Details
  1. เพิ่ม Mapping อย่างน้อยหนึ่งรายการ.
    1. คลิก + Add Mapping
    2. เลือก IDCS Group จากรายการ Identity Provider Group
    3. เลือก IAM Group เพื่อรับรายการ OCI Groups
    4. เลือก New OCI Group เพื่อสร้าง OCI Group ใหม่ใน IAM แทนที่จะเป็น IAM Group ใหม่ และ Map OCI Group ใหม่นั้นกับ IDP Group
  2. ทำซ้ำขั้นตอน 4 สำหรับแต่ละ Mapping และคลิก Submit หลังจากเพิ่ม Mapping ทั้งหมดแล้ว

อัปเดตหรือลบ Group Mapping

เพื่ออัปเดตหรือลบ Group Mapping ให้ทำตามขั้นตอนต่อไปนี้:

  1. เปิดเมนูนำทาง Governance and Administration และคลิก Identity -> Federation เพื่อแสดงรายการ Identity Providers ใน Tenancy
  2. คลิกที่ Identity Provider เพื่อดูรายละเอียด
  3. คลิก Edit Mapping
  4. อัปเดต Mapping หรือคลิกที่ X เพื่อลบ Mapping
  5. คลิก Submit

สรุป

โพสต์บล็อกนี้อธิบายว่าส่วนประกอบ IAM ต่างๆ ทำงานร่วมกันอย่างไร และวิธีที่คุณสามารถ Federate บัญชี IDCS หลายบัญชีใน OCI

ใช้แท็บ Feedback เพื่อแสดงความคิดเห็นหรือถามคำถาม คุณยังสามารถแชทได้ทันทีเพื่อเริ่มการสนทนา

เรียนรู้เพิ่มเติมเกี่ยวกับบริการฐานข้อมูลของเรา