Data Safeの有効化および使用の前提条件

Oracle Cloud Infrastructure Consoleは、Oracle Cloud Infrastructureテナンシでポリシーをリストおよび作成するためのサインイン・ユーザーの権限に依存します。ユーザーの権限に応じて、次の2つのシナリオが適用されます。

• シナリオ1– ユーザーにはIdentity and Access Managementポリシーを管理する権限があります(管理- 新しいポリシーの読取りと追加の両方)。この状況では、Oracle Cloud Infrastructure Consoleは、Oracle Fusion Data IntelligenceサービスのData Safeポリシーが存在するかどうかを確認します。ポリシーがない場合は、コンソールによってサービス・ポリシーが自動的に作成されます。その後、該当するユーザーは、Data Safeを使用してOracle Fusion Data Intelligenceインスタンスを作成するか、既存のインスタンスをData Safeに登録できます。

• シナリオ2 - ユーザーにはIdentity and Access Managementポリシーを読み取る権限のみがあります。この状況では、Oracle Cloud Infrastructure Consoleは、Oracle Fusion Data IntelligenceサービスのData Safeポリシーが存在するかどうかを確認します。ポリシーがすでに適用されている場合、ユーザーはData Safeでインスタンスの作成を続行するか、既存のインスタンスをData Safeに登録できます。ポリシーが存在しない場合、該当するユーザーは、Oracle Fusion Data Intelligenceインスタンスの作成中に「Data Safeの有効化」チェック・ボックスを無効にして、インスタンスの作成を続行または停止し、Identity and Access Managementユーザー、グループおよび書込みポリシーの構成をサービス管理者に依頼する必要があります。

  サービス管理者は要件に従ってIdentity and Access Managementポリシーを記述できますが、次のサンプル・ポリシーは、Data Safeを使用してOracle Fusion Data Intelligenceインスタンスを作成および管理する際に便利です。

  allow group <identity_domain_name>/FDIDataSafeUsers to read compartments in tenancy
  allow group <identity_domain_name>/FDIDataSafeUsers to read domains in tenancy
  allow group <identity_domain_name>/FDIDataSafeUsers to manage policy in tenancy

• ノート
  
  FDIDataSafeUsersを適切なIdentity and Access Managementグループに置き換えます。

該当するAutonomous AI Lakehouseに対してData Safeを有効にすると、Fusion Data Intelligenceによって、targetDataBase、auditPolicy、auditProfile、auditTrial、alertPolicyAssociationsなどの複数のData Safeリソースが作成されます。次の広範なポリシーを作成して、テナンシのData Safeリソースを管理します:

allow group <identity_domain_name>/FDIDataSafeUsers to manage data-safe-family in tenancy

Fusion Data Intelligenceでは、関連するAutonomous AI LakehouseでData Safe関連の操作を実行する権限が必要です。サインイン済ユーザーにポリシーをリストおよび追加する権限があることが検証され、サインイン済ユーザーに権限があり、ポリシーがまだ作成されていない場合は、次のポリシーが作成されます。

allow any-user to manage data-safe in tenancy where all {request.principal.type = 'fawservice', request.principal.compartment.id = target.compartment.id}
allow any-user to manage data-safe-assessment-family in tenancy where all {request.principal.type = 'fawservice', request.principal.compartment.id = target.compartment.id}
allow any-user to manage data-safe-alert-family in tenancy where all {request.principal.type = 'fawservice', request.principal.compartment.id = target.compartment.id}
allow any-user to manage data-safe-audit-family in tenancy where all {request.principal.type = 'fawservice', request.principal.compartment.id = target.compartment.id}
allow any-user to manage virtual-network-family in tenancy where all {request.principal.type = 'fawservice', request.principal.compartment.id = target.compartment.id}