Oracle Cloud Infrastructure IAM: Tính Năng Chính & Quản Trị Tài Nguyên

Giới Thiệu

Bài viết này giới thiệu các thành phần Oracle® Cloud Infrastructure (OCI) Identity and Access Management (IAM) và chỉ một số tính năng giúp bạn quản lý tài nguyên đám mây Oracle.

Bài viết xác định các loại truy cập cho tài nguyên cụ thể mà bạn có thể gán cho một nhóm người dùng và cách bạn có thể liên kết OCI với Oracle Identity Cloud Service (IDCS).

Các Thành Phần Của IAM

IAM bao gồm các thành phần sau:

• Resource (Tài nguyên): Một tài nguyên là đối tượng được tạo trong OCI, chẳng hạn như Compute instances, block volumes, virtual cloud networks (VCNs), và subnets.

• User (Người dùng): Một người dùng được gán vào một nhóm cung cấp đặc quyền và truy cập hạn chế đến tài nguyên OCI theo chính sách tenancy và compartment cho nhóm đó.

• Group (Nhóm): Một nhóm là tập hợp người dùng có quyền truy cập vào cùng các tài nguyên OCI. Một người dùng có thể là thành viên của một hoặc nhiều nhóm.

• Dynamic group (Nhóm động): Nhóm động cung cấp bảo mật và cho phép bạn quản lý khóa phía client thay vì phía server. Nhóm động có thể liên kết các instance cụ thể trong compartment. Bạn có thể gán chính sách cho nhóm động để cung cấp quyền truy cập cho một instance cụ thể truy cập qua application programmer interface (API).

• Compartment: Một compartment là container logic toàn cục nơi bạn có thể thực thi chính sách và cung cấp kiểm soát truy cập vào Compute, Storage, Network, Load Balancer, và các tài nguyên khác. Ví dụ, bạn có thể dùng chính sách để hạn chế người dùng, trừ administrator, không sử dụng tài nguyên được tạo trong compartment đó.

• Tenancy: Tenancy là compartment gốc mặc định và chứa tất cả tài nguyên OCI. Trong tenancy, administrator có thể tạo một hoặc nhiều compartment, user, và group. Administrator sau đó có thể gán chính sách cho phép nhóm sử dụng tài nguyên trong compartment.

• Policy (Chính sách): Chính sách định nghĩa ai có thể truy cập tài nguyên ở cấp độ group và compartment với các mức truy cập sau:

  • Inspect (Kiểm tra)
  • Read (Đọc)
  • Use (Sử dụng)
  • Manage (Quản lý)

• Region (Khu vực): Region là vị trí địa lý nơi tài nguyên IAM tồn tại. Tài nguyên dịch vụ IAM là toàn cục và có thể có một tenancy duy nhất trên nhiều region. Oracle lan truyền các thay đổi thực hiện trong home region đến tất cả các region.

• Federation (Liên kết): Federation là cơ chế giữa hai hoặc nhiều bên đóng vai trò identity provider và service provider. Nó quản lý user và group trong identity provider. IDCS cung cấp federation cho OCI theo mặc định.

Tài Nguyên IAM

Phần này mô tả nguồn tài nguyên, định danh tài nguyên và giới hạn tài nguyên.

Phạm Vi Tài Nguyên

Vì IAM định nghĩa tài nguyên là toàn cục, chúng có sẵn trên tất cả các region và thành phần availability domain.

Định Danh Tài Nguyên

Tài nguyên OCI sử dụng tên duy nhất (OCID) với cú pháp sau:

ocid1.<resource-type>.<realm>.[region][.future-use].<unique-ID> 

Các placeholder OCID bao gồm các yếu tố sau:

• ocid1: Phiên bản OCID.

• resource-type: Loại tài nguyên, chẳng hạn như instance, volume, VCN, subnet, user, hoặc group.

• realm: Realm chứa tập hợp các region và chia sẻ thực thể với availability domains. Realm có thể có các giá trị sau:

  • oc1: commercial realm
  • oc2: Government Cloud realm
  • oc3: Federal Government Cloud realm.

Giới Hạn Tài Nguyên

Giới hạn IAM là hạn ngạch tài nguyên IAM kiểm soát số lượng tối đa Compute instances trong availability domain.

Để xem giới hạn và mức sử dụng của tenancy theo region, thực hiện các bước sau:

1. Mở IAM console.
2. Mở menu User và nhấp Tenancy.
3. Nhấp Service Limits.

Khi instance đạt đến giới hạn dịch vụ cho tài nguyên cụ thể, bạn có thể gửi yêu cầu tăng giới hạn dịch vụ và tạo tài nguyên mới khi cần.

Để yêu cầu tăng giới hạn dịch vụ, thực hiện các bước sau:

1. Mở menu Help, đi đến Support, và nhấp Request service limit increase.

2. Nhập các chi tiết sau:
   • Chi tiết liên hệ chính
   • Danh mục dịch vụ
   • Tài nguyên
   • Lý do yêu cầu

3. Nhấp Submit Request.

Liên Kết Với Các Identity Provider

OCI hỗ trợ federation cho các thành phần và identity provider sau:

• IDCS
• Microsoft® Active Directory®
• Microsoft Azure® Active Directory
• Okta®
• Identity provider hỗ trợ giao thức Security Assertion Markup Language (SAML) 2.0

Trong các ví dụ trong bài viết này, tôi sử dụng IDCS làm identity provider.

Các Bước Liên Kết Với IDCS

Thực hiện các bước sau để liên kết với IDCS:

Bước 1: Lấy Thông Tin Cần Thiết Từ IDCS

1. Đăng nhập vào OCI IDCS console với đặc quyền admin.
2. Trong IDCS console, nhấp Applications.
3. Nhấp COMPUTEBAREMETAL.
4. Nhấp Configuration.
5. Mở rộng General Information để hiển thị Client ID.
6. Nhấp Show Secret để xem Client Secret.
7. Lưu Client ID và Client Secret.

Bước 2: Thêm Identity Provider Trong OCI

1. Đăng nhập vào console với thông tin đăng nhập OCI của bạn.
2. Mở menu điều hướng Governance and Administration và nhấp Identity -> Federation.
3. Nhấp Add identity provider.

4. Nhập các chi tiết sau:
   1. Name: Tên phải duy nhất trên tất cả identity provider. Oracle thêm tên vào tenancy và bạn không thể sửa đổi nó.
   2. Description: Mô tả rõ ràng.
   3. IDCS Base URL: URL tài nguyên.
   4. Client ID: Client identifier bạn thu thập trước đó.
   5. Client secret: Client secret bạn thu thập trước đó.
5. Nhấp Show Advanced Options và nhập các chi tiết sau:
   1. Encrypt Assertion: Chọn checkbox để bật mã hóa từ IDP. Nếu không chọn checkbox này, bạn phải thiết lập mã hóa assertion trong IDCS.
   2. Tags: Bạn cũng có thể áp dụng tags nếu có quyền tạo tài nguyên. Để áp dụng defined tag, bạn phải có quyền sử dụng tag namespace.
6. Nhấp Continue.
7. Định nghĩa mapping giữa IDCS groups và IAM groups trong OCI. Bạn có thể map IDCS groups đến không, một, hoặc nhiều IAM groups, và ngược lại.

Trang Federation bây giờ hiển thị identity provider trong danh sách tenancy. Oracle gán OCID cho mỗi group mapping.

Bước 3: Thiết Lập Chính Sách IAM Cho Các Nhóm

Làm theo quy trình tiêu chuẩn của bạn để thiết lập chính sách IAM cho các nhóm.

Bước 4: Cung Cấp Tenant Và URL Cho Người Dùng Liên Kết

Cung cấp cho người dùng liên kết tên tenant và URL đăng nhập. URL nên tương tự ví dụ sau:

https://console.us-cshburn-1.oraclecloud.com 

Quản Trị Identity Provider Trong Console

Phần này cung cấp các bước để xóa identity provider và thêm, cập nhật, hoặc xóa group mapping cho IDCS.

Xóa Identity Provider

Để xóa identity provider, thực hiện các bước sau:

1. Xóa Identity Provider khỏi tenancy.
   1. Mở menu Governance and Administration và nhấp Identity -> Federation để xem danh sách Identity Provider trong tenancy.
   2. Nhấp vào Identity Provider bạn muốn xóa để xem chi tiết.
   3. Nhấp Delete và xác nhận.
2. Xóa tenancy khỏi tài khoản IDCS.
   1. Mở IDCS console và đăng nhập vào tài khoản liên kết.
   2. Nhấp Applications để hiển thị danh sách ứng dụng.
   3. Tìm tenancy và nhấp vào tên để xem trang chi tiết.
   4. Nhấp Deactivate và xác nhận.
   5. Nhấp Remove và xác nhận.

Thêm Group Mapping Cho IDCS

Để thêm group mapping cho IDCS, thực hiện các bước sau:

1. Mở menu Governance and Administration và nhấp Identity để hiển thị danh sách identity provider trong tenancy.
2. Nhấp Federation và nhấp vào tên federation IDCS để xem chi tiết.
3. Nhấp Edit Provider Details.

4. Thêm ít nhất một mapping.
   1. Nhấp + Add Mapping.
   2. Chọn IDCS group từ danh sách Identity Provider Group.
   3. Chọn IAM group để lấy danh sách OCI Groups.
   4. Chọn New OCI Group để tạo OCI group mới trong IAM, thay vì IAM group mới, và map OCI group mới với IDP group.
5. Lặp lại bước 4 cho mỗi mapping và nhấp Submit sau khi thêm tất cả mapping.

Cập Nhật Hoặc Xóa Group Mapping

Để cập nhật hoặc xóa group mapping, thực hiện các bước sau:

1. Mở menu Governance and Administration và nhấp Identity -> Federation để hiển thị danh sách Identity Provider trong tenancy.
2. Nhấp vào Identity Provider để xem chi tiết.
3. Nhấp Edit Mapping.
4. Cập nhật mapping hoặc nhấp vào X để xóa mapping.
5. Nhấp Submit.

Kết Luận

Bài viết này mô tả cách các thành phần IAM khác nhau hoạt động cùng nhau và cách bạn có thể liên kết nhiều tài khoản IDCS trong OCI.