クロス・テナンシ・アクセス・ポリシー

Endorse、AdmitおよびDefineステートメント

クロステナンシ文では、次の特別な開始語を使用します。

• 承認: 独自のテナンシ内のグループが他のテナンシ内で実行できる一般的な機能セットを示します。Endorseステートメントは、境界を越えて別のテナンシのリソースを使用するユーザーのグループを含むテナンシ内に常に属します。この例では、このテナンシをソース・テナンシと呼びます。
• 許可: 他のテナンシーからグループに付与する独自のテナンシの機能の種類が示されます。Admitステートメントは、テナンシに「許可」を付与しているテナンシに属します。Admitステートメントは、ソース・テナンシからのリソース・アクセスを必要とし、対応するEndorseステートメントで特定されるユーザーのグループを識別します。この例では、このテナンシを宛先テナンシと呼びます。

• 定義: 承認および許可ポリシー・ステートメントのテナンシOCIDに別名を割り当てます。The Define statement is also required in the destination tenancy to assign an alias to the source IAM group OCID for Admit statements.

  DefineステートメントをEndorseまたはAdmitポリシー・ステートメントと同じポリシー・ステートメントに含めます。

EndorseステートメントとAdmitステートメントは連携して動作します。Endorseステートメントがソース・テナンシに存在し、Admitステートメントが宛先テナンシに存在します。アクセス権を指定する対応ステートメントがない場合、特定の承認または許可ステートメントはアクセス権を与えません。両方のテナンシがアクセスに同意する必要があります。

クロステナンシの例

• 次のポリシーにより、グループStorageAdminsは宛先テナンシのオブジェクト・ストレージ・リソースのリソースを管理できます:

  Endorse group StorageAdmins to manage object-family in any-tenancy 

  次のポリシー・ステートメントは、ソース・テナンシのIAMグループStorageAdminsが、宛先テナンシ内のすべてのオブジェクト・ストレージ・リソースに対してすべてのことを実行することを承認します:

  Define tenancy SourceTenancy as ocid1.tenancy.oc1.exampleuniqueID
  Define group StorageAdmins as ocid1.group.oc1.exampleuniqueID
  Admit group StorageAdmins of tenancy SourceTenancy to manage object-family in tenancy 

• テナンシ・アクセスの範囲を縮小するポリシーを記述するには、ソース管理者が、宛先管理者によって指定された宛先テナンシのOCIDを参照する必要があります。次のポリシー・ステートメントは、IAMグループStorageAdminsグループに、DestinationTenancy内のオブジェクト・ストレージ・リソースのみを管理することを承認します:

  Define tenancy DestinationTenancy as ocid1.tenancy.oc1..<unique_ID>
  Endorse group StorageAdmins to manage object-family in tenancy DestinationTenancy

  次の例では、ソース・テナンシのIAMグループStorageAdminsを、オブジェクト・ストレージ・リソースがSharedBucketsコンパートメントのみを管理することを承認します:

  Define tenancy SourceTenancy as ocid1.tenancy.oc1..exampleuniqueID
  Define group StorageAdmins as ocid1.group.oc1..exampleuniqueID
  Admit group StorageAdmins of tenancy SourceTenancy to manage object-family in compartment SharedBuckets