7 rzeczy, które warto wiedzieć o przedziałach w Oracle Cloud Infrastructure

Przedziały są jednym z wyróżników Oracle Cloud Infrastructure, osobiście nie wydaje mi się, aby podobna usługa była u innego dostawcy chmury. Istnieją inne podobne koncepcje, takie jak tagowanie lub projekty, ale z innym ukierunkowaniem.

Przedział to zbiór powiązanych zasobów, w szczególności logiczny zbiór powiązanych zasobów (takich jak VCN, woluminy blokowe, instancje, podsieci). Dostęp do tej kolekcji mają tylko niektórzy użytkownicy grupy, którym nadał uprawnienia administratora.

Oto 10 rzeczy, które warto wiedzieć o przedziałach, które mogą być przydatne przed rozpoczęciem pracy nad Oracle Cloud Infrastructure:

1.-Gdy rejestrujesz się w Oracle Cloud Infrastructure, Oracle tworzy Twoją najemę , czyli główny przedział, w którym znajdują się wszystkie Twoje zasoby w chmurze

Nazwa przedziału głównego pochodzi od samej dzierżawy (więcej o dzierżawach w innym wpisie), dlatego administrator dzierżawy (część grupy Administratorzy) jest również administratorem przedziału głównego.

Uwaga dobrą praktyką jest utrzymywanie jak najmniejszej liczby członków z grup administratorów i tworzenie grup administratorów w celu kontrolowania określonych przedziałów (w praktyce są to podkategorie z przedziału głównego)

Uwaga :Jest to tylko jedna z opcji projektowania rozmieszczenia przedziałów, ale zależy to od architektury, która najlepiej pasuje do klienta

Obecnie wszyscy użytkownicy i grupy są tworzone wewnątrz przedziału głównego i można tworzyć zasady, które umożliwiają tym użytkownikom dostęp do zasobów w innych przedziałach.

2.-Zasób OCI może należeć tylko do jednego przedziału

Zasoby OCI nie mogą należeć do dwóch przedziałów, należy je utworzyć wewnątrz określonej przedziału lub wewnątrz przedziału głównego.

Pamiętaj, że wspomnieliśmy, że przedział jest zbiorem logicznym, co oznacza, że ​​ma strukturę logiczną, więc możesz mieć na przykład dwie instancje w różnych przedziałach, które należą do tego samego VCN i tej samej podsieci.

Uwaga warto myśleć o przedziałach jako o obszarze odpowiedzialności, w którym definiujesz uprawnienia, a nie o fizycznym pojemniku.

3.-Przedziały mogą mieć przedziały dla dzieci lub podprzedziały zagnieżdżone na 6 poziomach

W dniu pierwszej publikacji tego wpisu istnieje limit maksymalnie 6 zagnieżdżonych przedziałów.

Na przykład możesz mieć następujące przedziały:
nosomoscavernicolas> prod> compute_Services> app1> db_app1> no_sql_dbs1> free_users

Dobrą praktyką jest zaprojektowanie hierarchii przedziałów przed rozpoczęciem tworzenia zasobów, mimo że można przenieść całe drzewo przedziałów między przedziałami nadrzędnymi, a także przenosić zasoby między przedziałami.

Możesz przejrzeć zaktualizowany numer w:Najczęściej zadawane pytania dotyczące zarządzania tożsamością i dostępem

4.-Możesz usunąć przegródki

Możesz usunąć przegródki, ale musisz spełnić te wymagania:

1. Aby usunąć przedział, musisz mieć dostęp administratora lub wymagane zasady.
2. Aby usunąć komorę, nie powinno być w niej żadnych zasobów, w tym żadnych zasad dołączonych do komory.

Uwaga niektórych typów zasobów nie można usunąć, dlatego też nie można usunąć przedziałów dla tych zasobów. W takim przypadku możesz zmienić nazwę przedziału, aby ponownie użyć nazwy.

Po usunięciu przedziału rozpoczyna zadanie usuwania, Oracle zmienia nazwę przedziału na coś takiego jak PrzedziałA.qR5hP2BD i status tych przedziałów jest ustawiony na usunięty, ale nadal możesz zobaczyć usuniętą komorę na strona przegródek przez 365 dni.

Możesz sprawdzić, czy wszystkie zasoby dla przedziału zostały usunięte za pomocą narzędzia Tenancy Explorer

5.-Najem i przegrody są zasobami globalnymi

Oznacza to, że przedziały obejmują różne regiony i domeny dostępności, co pozwala nam grupować zasoby znajdujące się w różnych regionach, co stanowi dobry sposób wdrażania zarządzania kosztami.

Uwaga Pamiętaj, że przedziały są logiczną grupą zasobów nieograniczonych fizycznymi ograniczeniami.

6.-Możesz zastosować zasady bezpieczeństwa na podstawie przedziału

Po utworzeniu przedziału musisz utworzyć co najmniej jedną politykę, aby użytkownicy lub grupy mieli dostęp do zasobów w nowej przegrodzie, w przeciwnym razie tylko administratorzy będą mieli dostęp do zasobów przedziału.

Uwaga uprawnienia do przedziałów mogą być dziedziczone, więc jeśli masz, powiedzmy, grupę o nazwie db-operators z dostępem do wszystkich zasobów w przedziale-A , a następnie tworzysz przedział B wewnątrz przedziału-A , użytkownicy z db-operatorów będzie miał dostęp do zasobów w przedziale B chyba że określisz inaczej.

Na przykład, jeśli chcesz zezwolić usłudze agenta zarządzania systemem operacyjnym na odczytywanie informacji z instancji w określonym przedziale, musisz utworzyć tę zasadę:
Allow dynamic-group OSManagementAgent to read instance-family in compartment PROD-A

Aby zapewnić dostęp administratora do przedziału
Allow group A-Admins to manage all-resources in compartment Project-A

Inny przykład:chcesz nadać uprawnienia, aby administratorzy HR mogli zarządzać przechowywaniem obiektów (usługa OCI) w przedziale HR
Allow group hr-admins to manage object-family in compartment PROD-A

Uwaga Pojedynczy typ zasobów to najbardziej szczegółowy sposób deklarowania zasobów, są to vcn, instancja itp. Również typy zasobów są pogrupowane w rodziny, na przykład rodzina-instancji, rodzina-woluminów itp.

Więcej informacji na temat załączania polityk można znaleźć w:Załącznik polityki

7.-Możesz ustawić limity w przedziale

Limity przedziałów są podobne do limitów usług.

Kontyngenty są ustalane przez administratorów w celu ograniczenia ilości zasobów, które można utworzyć w przedziale, w ten sposób można kontrolować koszty i unikać tworzenia niepotrzebnych zasobów.

W tym celu administratorzy mogą ustawiać zasady.

Istnieją 3 rodzaje limitów:

• ustaw - ustaw maksymalną liczbę zasobów
• unset – resetuje limit do domyślnego limitu usług
• zero — usuwa dostęp do zasobu w chmurze dla przedziału. na przykład, jeśli chcesz uniknąć tworzenia woluminów blokowych w przedziale, możesz utworzyć ten zerowy przydział dla tej usługi.