Trabajar con instancias

Si el grupo necesita crear instancias basadas en imágenes de socio, necesitarán gestionar el permiso de activación de la aplicación para crear suscripciones a imágenes del catálogo de imágenes de socio. Consulte Permitir a los usuarios mostrar y suscribirse a imágenes del catálogo de imágenes del socio .

Para los usuarios: para conectarse a una instancia en ejecución con una conexión de shell seguro (SSH) o de escritorio remoto, no necesita una política de IAM para garantizar su acceso. Sin embargo, necesita la dirección IP pública de la instancia.

Para administradores: si hay una política que permite a los usuarios iniciar una instancia, es probable que también permita a los usuarios obtener la dirección IP de la instancia. La política más simple para ambos se muestra en Permitir que los usuarios inicien instancias de Compute.

A continuación, se muestra una política más restrictiva que permite que el grupo especificado obtenga la dirección IP de las instancias existentes y utilice acciones de potencia en las instancias (por ejemplo, parar o iniciar la instancia), pero no iniciar o terminar instancias. La política supone que las instancias y la red en la nube están juntas en un solo compartimento (XYZ).

Allow group InstanceUsers to read virtual-network-family in compartment XYZ
Allow group InstanceUsers to use instance-family in compartment XYZ

Para los usuarios: no es necesaria ninguna política de IAM si se conecta a la instancia y utiliza cURL para obtener los metadatos de la instancia.

Para administradores: los usuarios también pueden obtener metadatos de instancia a través de la API de Compute (por ejemplo, con GetInstance ). La política de Permitir que los usuarios inicien instancias de Compute abarca esa capacidad.

Para requerir que los puntos finales IMDSv1 heredados estén desactivados en cualquier instancia nueva que se cree, utilice la siguiente política:

Allow group InstanceLaunchers to manage instances in compartment ABC
 where request.instanceOptions.areLegacyEndpointsDisabled= 'true'

Para administradores: los siguientes ejemplos muestran políticas típicas que proporcionan acceso a reservas de capacidad. Cree la política en el arrendamiento para que el acceso se conceda fácilmente a todos los compartimentos mediante la herencia de políticas. Para reducir el ámbito de acceso a las reservas de capacidad de un compartimento concreto, especifique ese compartimento en lugar del arrendamiento.

Tipo de acceso: capacidad para iniciar una instancia en una reserva.

Allow group InstanceLaunchers to use compute-capacity-reservations in tenancy

Tipo de acceso: capacidad para gestionar reservas de capacidad.

Allow group InstanceLaunchers to manage compute-capacity-reservations in tenancy

Para administradores: para escribir una política para la función de ejecución de comando, realice lo siguiente:

1. Cree un grupo que incluya a los usuarios a los que desea permitir emitir comandos, cancelar comandos y ver la salida de comando para las instancias de un compartimento. A continuación, escriba la siguiente política para otorgar acceso al grupo:

   Allow group RunCommandUsers to manage instance-agent-command-family in compartment ABC

2. Cree un grupo dinámico que incluya las instancias en las que desea permitir que se ejecuten comandos. Por ejemplo, una regla dentro del grupo dinámico puede indicar lo siguiente:

   any { instance.id = 'ocid1.instance.oc1.phx.<unique_ID_1>', 'ocid1.instance.oc1.phx.<unique_ID_2>' }

3. Escriba la siguiente política para otorgar acceso al grupo dinámico:

   Nota
   
   Si crea una instancia y, a continuación, la agrega a un grupo dinámico, la instancia tarda hasta 30 minutos en empezar a sondear los comandos. Si primero crea el grupo dinámico y, a continuación, crea la instancia, la instancia comienza a sondear los comandos tan pronto como se crea la instancia.

   Allow dynamic-group RunCommandDynamicGroup to use instance-agent-command-execution-family in compartment ABC where request.instance.id=target.instance.id

4. Para permitir que el grupo dinámico acceda al archivo de script desde un cubo de Object Storage y guarde la respuesta en un cubo de Object Storage, escriba las siguientes políticas:

   Allow dynamic-group RunCommandDynamicGroup to read objects in compartment ABC where all {target.bucket.name = '<bucket_with_script_file>'}
   Allow dynamic-group RunCommandDynamicGroup to manage objects in compartment ABC where all {target.bucket.name = '<bucket_for_command_output>'}