Oracle Cloudのストレージにアクセスするためのユーザーと、そのユーザーの権限を設定するためのグループを作成します。
ストレージに対して写真や動画をアップロードする際は、これまでストレージを作成するために使用した管理者ユーザーではなく、ストレージアクセス専用の一般ユーザーを作成する必要があります。管理者ユーザーは、クラウドに関してどんな操作もできてしまいますので、操作ミス等でクラウドそのものを削除してしまう等の危険を減らすためです。万一、ユーザーアカウントを乗っ取られる被害を受けた場合等、セキュリティの観点からも、必要のない場合は、管理者ユーザーは使用しないことが原則です。
Oracle Cloudにログインして、左上の三本線メニューをクリックします。
グループの作成
「アイデンティティとセキュリティ」→「グループ」をクリックします。
「グループの作成」をクリックします。
「名前」は何でもいいのですが、ここでは「Archive」と入力し、「説明」に「バックアップ用のグループ」と入力して、「作成」をクリックします。
これでグループが作成できました。
ポリシーの作成
グループに設定するアクセス権を、「ポリシー」として作成します。
再度、左上の三本線メニューから「アイデンティティとセキュリティ」→「ポリシー」をクリックします。
左の「コンパートメント」のプルダウンメニューで、今回作成した「コンパートメント(ルート)」を選択し、「ポリシーの作成」をクリックします。
「名前」に「ArchivePolicy」、「説明」に「バックアップ用のアーカイブストレージにアクセスするためのポリシー」と入力します。
ここで、「ポリシーユースケース」で「ストレージ管理」を選べば、ストレージに関して、Oracle側であらかじめ用意された、様々なアクセス権を選択できるようになるのですが、どこまで設定すれば、通常運用のアクセスのみに限定できるか、選択が難しいです。
そこでここでは、「手動エディタの表示」(英語表記だと「Show manual editor」)のスイッチをONにします。
これにより、あらかじめ用意されたポリシーからの選択ではなく、自由にポリシーを作成できるようになります。
テキストボックスに、「Allow Group Archive to manage all-resources in compartment ArchiveStorage」と入力して「作成」をクリックします。
ポリシーの正体は英語の文章となっていて、ポリシーの文法に従って、英文を組み立てることで、ポリシーが作成できる仕組みです。
ここで作成したポリシーは、「Archiveグループは、ArchiveStorageコンパートメントの、全てのリソースを管理することができる」という権限です。
本当は、もっとリソースを限定したり、管理権限までいかなくても、ファイルのアップロード、更新、ダウンロード、アーカイブ等のみができる権限に限定した方がいいのですが、業務利用ではなく個人での利用なので、ひとまずこの権限で作成しました。
作成したポリシーの名前と、ステートメント(権限の内容)が正しいことを確認します。
IDCSグループの作成
Oracle Cloudのユーザー管理は、似たような仕組みが2つあって難しいのですが、ここではIDCSグループを作成します。
左上の三本線メニューから、「アイデンティティとセキュリティ」→「フェデレーション」をクリックします。
「フェデレーション」の画面で、「OracleIdentityCloudService」をクリックします。
左のメニューで「グループ」をクリックし、「IDCSグループの作成」をクリックします。
「名前」に「IDCS_ArchiveGroup」、「説明」に「バックアップ用のアーカイブストレージにアクセスするためのグループ」と入力して「作成」をクリックします。
もとの画面の左のメニューで「グループ・マッピング」をクリックし、「マッピングの追加」をクリックします。
「IDCS_ArchiveGroup」を、OCIグループの「Archive」にマッピングするよう選択し、「マッピングの追加」をクリックすることで、グループを対応付けます。
ユーザーの作成
最後にようやくユーザーの作成です。
もとの画面の左のメニューで「ユーザー」をクリックし、「ユーザーの追加」をクリックします。
「ユーザー名」に「archiveuser」、「電子メール」にユーザーのメールアドレス、「名」に「user」、「姓」に「archive」を入力し、「グループオプション」で「IDCS_ArchiveGroup」を選択して「作成」をクリックします。
メールアドレスに認証のメールが届きますので、Step 1. のリンクをクリックします。
「パスワードのリセット」を促されますが、まだ一度もパスワードを作成していないので、初期パスワード設定という意味です。ここでパスワードを設定します。
これで、ストレージにアクセスできる権限を持ったユーザーが作成できました。
コメント