Recursos Avançados de Política

Como parte de uma instrução de política, você pode especificar uma ou mais condições que devem ser atendidas para que o acesso seja concedido.

Cada condição consiste em uma ou mais variáveis predefinidas para as quais você especifica valores na instrução da política. Posteriormente, quando alguém solicita acesso ao recurso em questão, se a condição na política for atendida, ela será avaliada como verdadeira e a solicitação será permitida. Se a condição não for atendida, ela será avaliada como falsa e a solicitação não será permitida.

Há dois tipos de variáveis: aquelas que são relevantes para a própria solicitação e aquelas relevantes para o recurso que está sendo usado na solicitação, também conhecidas como alvo. O nome da variável é prefixado adequadamente com request ou target seguido por um ponto. Por exemplo, há uma variável de solicitação chamada request.operation para representar a operação da API que está sendo solicitada. Esta variável permite que você grave uma ampla instrução de política, mas adicione uma condição com base na operação de API específica. Para obter um exemplo, consulte Permitir que os usuários gravem objetos em buckets do serviço Object Storage.

Permissões são as unidades atômicas da autorização que controlam a capacidade de um usuário executar operações em recursos. O sistema Oracle define todas as permissões na linguagem da política. Quando você grava uma política, dando a um grupo acesso a um determinado verbo e tipo de recurso, na verdade está dando a esse grupo acesso a uma ou mais permissões predefinidas. As finalidades dos verbos são simplificar o processo de conceder várias permissões relacionadas que abrangem um amplo conjunto de acesso ou um cenário operacional específico. As próximas seções fornecem mais detalhes e exemplos.

Em uma instrução de política, é possível usar condições combinadas com permissões ou operações de API para reduzir o escopo de acesso concedido por um verbo específico.

Por exemplo, digamos que o grupo XYZ possa listar, obter, criar ou atualizar grupos (ou seja, alterar sua descrição), mas não excluí-los. Para listar, obter, criar e atualizar grupos, você precisa de uma política com manage groups como o verbo e o tipo de recurso. De acordo com a tabela em Detalhes para Combinações de Verbos + Tipo de Recursos, as permissões abrangidas são:

• GROUP_INSPECT
• GROUP_UPDATE
• GROUP_CREATE
• GROUP_DELETE

Para restringir o acesso apenas às permissões desejadas, você pode adicionar uma condição que declara explicitamente as permissões que deseja permitir:

Allow group XYZ to manage groups in tenancy

 where any {request.permission='GROUP_INSPECT',
            request.permission='GROUP_CREATE',
            request.permission='GROUP_UPDATE'}

Uma alternativa seria uma política que permite todas as permissões, exceto GROUP_DELETE:

Allow group XYZ to manage groups in tenancy where request.permission != 'GROUP_DELETE'

No entanto, com essa abordagem, esteja ciente de que quaisquer permissões novas que o serviço possa adicionar no futuro seriam concedidas automaticamente ao grupo XYZ. Somente GROUP_DELETE seria omitido.

Outra alternativa seria gravar uma condição com base nas operações específicas da API. Observe que de acordo com a tabela em Permissões Necessárias para Cada Operação da API, tanto ListGroups quanto GetGroup exigem somente a permissão GROUP_INSPECT. Aqui está a política:

Allow group XYZ to manage groups in tenancy

 where any {request.operation='ListGroups',  
            request.operation='GetGroup',
            request.operation='CreateGroup',
            request.operation='UpdateGroup'}

Pode ser vantajoso usar permissões em vez de operações de API em condições. No futuro, se uma nova operação de API for adicionada que exija uma das permissões listadas na política baseada em permissão acima, essa política já controlará o acesso do grupo XYZ a essa nova operação de API.

Mas observe que você pode restringir ainda mais o acesso de um usuário a uma permissão especificando também uma condição baseada na operação de API. Por exemplo, você pode conceder a um usuário acesso ao GROUP_INSPECT, mas somente depois a ListGroups.

Allow group XYZ to manage groups in tenancy

 where all {request.permission='GROUP_INSPECT',  
            request.operation='ListGroups'}

Você pode definir o escopo apenas de um conjunto de endereços IP permitidos. Por exemplo, você pode gravar uma política para permitir que apenas solicitações de uma determinada faixa de IP público acessem um bucket específico do serviço Object Storage; ou você pode permitir que apenas sub-redes específicas de uma VCN específica façam solicitações por meio de um gateway de serviço.

Para restringir o acesso a um conjunto de endereços IP, faça o seguinte:

1. Crie um objeto de origem de rede que especifique os endereços IP permitidos. Consulte Gerenciando Origens de Rede para obter detalhes.
2. Grave uma política que use o objeto de origem de rede em uma condição.

Use a seguinte variável na sua política:

request.networkSource.name='<network_source_name>'

Por exemplo:

allow group GroupA to manage object-family in tenancy where request.networkSource.name='corpnet'

Você pode usar variáveis baseadas em tempo em suas políticas para restringir o acesso concedido na política apenas a determinados períodos. Esse recurso permite que você restrinja ações em recursos a momentos específicos. Por exemplo, você pode criar uma política que permita acesso apenas em uma data especificada. Uma política como essa será útil se sua empresa contratar contratantes e você quiser garantir que o acesso não seja permitido após a data final do contrato. Ou você pode permitir acesso a recursos somente durante o horário comercial (por exemplo, de segunda a sexta das 9h às 17h). Essa restrição pode diminuir o risco de um ator inválido fazer alterações quando tiver maior probabilidade de passar despercebido.

As variáveis que você pode usar para definir o escopo do acesso com base no período são:

O uso dessas variáveis é descrito com mais detalhes nas seções a seguir.

Allow group Contractors to manage instance-family in tenancy where request.utc-timestamp before '2022-01-01T00:00Z'

Allow group SummerInterns to manage instance-family in tenancy where ANY {request.utc-timestamp.month-of-year in ('6', '7', '8')}

Allow group ComplianceAuditors to read all-resources in tenancy where request.utc-timestamp.day-of-month = '1'

Allow group WorkWeek to manage instance-family where ANY {request.utc-timestamp.day-of-week in ('monday', 'tuesday', 'wednesday', 'thursday', 'friday')}

Allow group DayShift to manage instance-family where request.utc-timestamp.time-of-day between '17:00:00Z' and '01:00:00Z'

Allow group NightShift to manage instance-family where request.utc-timestamp.time-of-day between '01:00:00Z' and '17:00:00Z'