アイデンティティ・ドメインのないIAMの詳細
このトピックでは、IAMへのアクセスを制御するポリシーの書込みの詳細を説明します。
リソース・タイプ
authentication
authentication-policies
compartments
credentials
domain
dynamic-groups
groups
group-memberships
iamworkrequest
identity-providers
network-sources
oauth2-clients
policies
regions
service-principal
tag-defaults
tag-namespaces
tagRules
tasdomain
tagNamespaces
tenancies
users x
workrequest
サポートされている変数
IAMでは、すべての一般的な変数(すべてのリクエストの一般的な変数を参照)に加えて、ここにリストされている他の変数もサポートしています。
| このリソース・タイプの操作... | 使用できる変数... | 変数タイプ | コメント |
|---|---|---|---|
users
|
target.user.id
|
エンティティ(OCID) | CreateUserとともに使用できません。 |
target.user.name
|
文字列 | ||
groups
|
target.group.id
|
エンティティ(OCID) | CreateGroupとともに使用できません。 |
target.group.name
|
文字列 | ||
target.group.member
|
ブール型 | request.userがtarget.groupのメンバーである場合はTrue。 | |
policies
|
target.policy.id
|
エンティティ(OCID) | CreatePolicyとともに使用できません。 |
target.policy.name
|
文字列 | ||
compartments
|
target.compartment.id
|
エンティティ(OCID) |
CreateCompartmentの場合、これは親コンパートメント(ルート・コンパートメントなど)の値になります。 これは、すべてのサービス全体の任意のリクエストで使用できる汎用変数です(すべてのリクエストの一般的な変数を参照)。 |
target.compartment.name
|
文字列 | ||
tag-namespace
|
target.tag-namespace.id
|
エンティティ(OCID) |
この変数は、 |
target.tag-namespace.name
|
文字列 |
動詞とリソース・タイプの組合せの詳細
次の表に、各動詞でカバーされている権限およびAPI操作を示します。アクセス・レベルは、inspect > read > use > manageの順に累積されます。たとえば、リソースを使用できるグループは、そのリソースを検査して読み取ることもできます。表セル内のプラス記号(+)は、その上のセルと比較して増分アクセスを示しますが、「余分なし」は増分アクセスを示しません。
たとえば、コンパートメントのread動詞は、inspect動詞と比較して追加の権限またはAPI操作を含みません。use動詞には、read動詞と同じ権限およびAPI操作と、COMPARTMENT_UPDATE権限およびUpdateCompartment API操作が含まれます。manage動詞には、use動詞と同じ権限およびAPI操作に加えて、COMPARTMENT_CREATE権限と2つのAPI操作が含まれます(CreateCompartmentおよびDeleteCompartment)。
| 動詞 | 権限 | 完全に対象となるAPI | 部分的に対象となるAPI |
|---|---|---|---|
| inspect | AUTHENTICATION_POLICY_INSPECT |
|
なし |
| read | 余分なし |
余分なし |
なし |
| use | 余分なし |
余分なし |
なし |
| manage | USE + AUTHENTICATION_POLICY_UPDATE |
USE +
|
なし |
コンパートメントを移動する(つまり、MoveCompartment操作を使用する)には、現在のコンパートメントおよび移動先コンパートメントの最下位の共有親コンパートメントに対するmanage all-resources権限を持つグループに属する必要があります。
| 動詞 | 権限 | 完全に対象となるAPI | 部分的に対象となるAPI |
|---|---|---|---|
| inspect | COMPARTMENT_INSPECT |
|
なし |
| read | 余分なし |
余分なし |
なし |
| use | READ + COMPARTMENT_UPDATE |
READ +
|
なし |
| manage | USE + COMPARTMENT_CREATE COMPARTMENT_DELETE COMPARTMENT_RECOVER |
USE +
|
なし |
credentialsリソース・タイプは、SMTP資格証明のみを参照します。ユーザーに追加できる他の資格証明(認証トークン、APIキー、カスタマ秘密キーなど)を作業する権限は、usersリソース権限に含まれます。
| 動詞 | 権限 | 完全に対象となるAPI | 部分的に対象となるAPI |
|---|---|---|---|
| inspect | CREDENTIAL_INSPECT |
ListSmtpCredentials
|
なし |
| read | 余分なし |
余分なし |
なし |
| use | 余分なし |
余分なし |
なし |
| manage | USE + CREDENTIAL_ADD CREDENTIAL_UPDATE CREDENTIAL_REMOVE |
USE +
|
なし |
| 動詞 | 権限 | 完全に対象となるAPI | 部分的に対象となるAPI |
|---|---|---|---|
| inspect | DYNAMIC_GROUP_INSPECT |
|
余分なし |
| read | 余分なし |
余分なし |
余分なし |
| use | READ + DYNAMIC_GROUP_UPDATE |
READ +
|
余分なし |
| manage | USE + DYNAMIC_GROUP_CREATE DYNAMIC_GROUP_DELETE |
USE +
|
余分なし |
| 動詞 | 権限 | 完全に対象となるAPI | 部分的に対象となるAPI |
|---|---|---|---|
| inspect | GROUP_INSPECT |
|
|
| read | 余分なし |
余分なし |
余分なし |
| use | READ + GROUP_UPDATE |
READ +
|
READ +
|
| manage | USE + GROUP_CREATE GROUP_DELETE |
USE +
|
余分なし |
| 動詞 | 権限 | 完全に対象となるAPI | 部分的に対象となるAPI |
|---|---|---|---|
| inspect | IDENTITY_PROVIDER_INSPECT |
|
ListIdpGroupMappings, GetIdpGroupMapping (両方ともinspect groupsが必要)
|
| read | 余分なし |
余分なし |
余分なし |
| use | 余分なし |
余分なし |
余分なし |
| manage | USE + IDENTITY_PROVIDER_UPDATE IDENTITY_PROVIDER_CREATE IDENTITY_PROVIDER_DELETE |
USE +
|
USE +
|
| 動詞 | 権限 | 完全に対象となるAPI | 部分的に対象となるAPI |
|---|---|---|---|
| inspect | NETWORK_SOURCE_INSPECT |
|
余分なし |
| read | 余分なし |
余分なし |
余分なし |
| use | READ + NETWORK_SOURCE_UPDATE |
READ +
|
余分なし |
| manage | USE + NETWORK_SOURCE_CREATE NETWORK_SOURCE_DELETE |
USE +
|
余分なし |
| 動詞 | 権限 | 完全に対象となるAPI | 部分的に対象となるAPI |
|---|---|---|---|
| inspect | POLICY_READ |
|
なし |
| read | 余分なし |
余分なし |
なし |
| use | 余分なし |
余分なし ノート:ポリシーを更新する機能は、 |
なし |
| manage | USE + POLICY_UPDATE POLICY_CREATE POLICY_DELETE |
USE +
|
なし |
| 動詞 | 権限 | 完全に対象となるAPI | 部分的に対象となるAPI |
|---|---|---|---|
| inspect | TAG_NAMESPACE_INSPECT |
|
なし |
| read | 余分なし |
余分なし |
なし |
| use | READ + TAG_NAMESPACE_USE ノート:リソースの定義済タグを適用、更新または削除するには、ユーザーにリソースに対する権限およびタグ・ネームスペースを使用する権限が付与されている必要があります。 |
READ +
|
なし |
| manage | USE + TAG_NAMESPACE_UPDATE TAG_NAMESPACE_CREATE TAG_NAMESPACE_MOVE TAG_NAMESPACE_DELETE |
USE +
|
なし |
| 動詞 | 権限 | 完全に対象となるAPI | 部分的に対象となるAPI |
|---|---|---|---|
| inspect | TAG_DEFAULT_INSPECT TAG_NAMESPACE_READ (両方の権限を使用) |
|
なし |
| read | 余分なし |
余分なし |
なし |
| use | 余分なし |
余分なし |
なし |
| manage | INSPECT + TAG_DEFAULT_CREATE TAG_DEFAULT_UPDATE TAG_DEFAULT_DELETE |
USE +
|
なし |
| 動詞 | 権限 | 完全に対象となるAPI | 部分的に対象となるAPI |
|---|---|---|---|
| inspect | TENANCY_INSPECT |
|
なし |
| read | 余分なし |
余分なし |
なし |
| use | READ + TENANCY_UPDATE |
余分なし |
なし |
| manage | USE + TENANCY_UPDATE |
USE +
|
なし |
ユーザーのSMTP資格証明を作業するにはcredentialsリソース・タイプの権限が必要であることに注意してください。
| 動詞 | 権限 | 完全に対象となるAPI | 部分的に対象となるAPI |
|---|---|---|---|
| inspect | USER_INSPECT |
|
GetUserGroupMembership (inspect groupsも必要)
|
| read | INSPECT + USER_READ |
INSPECT +
|
余分なし |
| use | READ + USER_UPDATE |
READ +
|
READ +
|
| manage | USE + USER_CREATE USER_DELETE USER_UNBLOCK USER_APIKEY_ADD USER_APIKEY_REMOVE USER_UIPASS_SET USER_UIPASS_RESET USER_SWIFTPASS_SET USER_SWIFTPASS_RESET USER_SWIFTPASS_REMOVE USER_AUTHTOKEN_SET USER_AUTHTOKEN_RESET USER_AUTHTOKEN_REMOVE USER_OAUTH2_CLIENT_CRED_CREATE USER_OAUTH2_CLIENT_CRED_UPDATE USER_OAUTH2_CLIENT_CRED_REMOVE USER_SECRETKEY_ADD USER_SECRETKEY_UPDATE USER_SECRETKEY_REMOVE USER_SUPPORT_ACCOUNT_LINK USER_SUPPORT_ACCOUNT_UNLINK USER_TOTPDEVICE_ADD USER_TOTPDEVICE_REMOVE USER_TOTPDEVICE_UPDATE |
USE +
|
余分なし |
各API操作に必要な権限
次の表は、API操作を論理的な順序で、リソース・タイプ別にグループ化して示しています。
権限の詳細は、権限を参照してください。
| API操作 | 操作の使用に必要な権限 |
|---|---|
ListRegions
|
TENANCY_INSPECT |
ListRegionSubscriptions
|
TENANCY_INSPECT |
CreateRegionSubscription
|
TENANCY_UPDATE |
GetTenancy
|
TENANCY_INSPECT |
GetAuthenticationPolicy
|
AUTHENTICATION_POLICY_INSPECT |
UpdateAuthenticationPolicy
|
AUTHENTICATION_POLICY_UPDATE |
ListAvailabilityDomains
|
COMPARTMENT_INSPECT |
ListFaultDomains
|
COMPARTMENT_INSPECT |
ListCompartments
|
COMPARTMENT_INSPECT |
GetCompartment
|
COMPARTMENT_INSPECT |
UpdateCompartment
|
COMPARTMENT_UPDATE |
CreateCompartment
|
COMPARTMENT_CREATE |
RecoverCompartment
|
COMPARTMENT_RECOVER |
DeleteCompartment
|
COMPARTMENT_DELETE |
MoveCompartment
|
MoveCompartment操作と関連する単一の権限はありません。この操作には、現在のコンパートメントおよび宛先コンパートメントの最下位の共有親コンパートメントに対するmanage all-resources権限が必要です。 |
GetWorkRequest
|
COMPARTMENT_READ |
ListUsers
|
USER_INSPECT |
GetUser
|
USER_INSPECT |
UpdateUser
|
USER_UPDATE |
UpdateUserState
|
USER_UPDATEとUSER_UNBLOCK |
CreateUser
|
USER_CREATE |
DeleteUser
|
USER_DELETE |
CreateOrResetUIPassword
|
USER_UPDATEとUSER_UIPASS_RESET |
ListApiKeys
|
USER_READ |
UploadApiKey
|
USER_UPDATEとUSER_APIKEY_ADD |
DeleteApiKey
|
USER_UPDATEとUSER_APIKEY_REMOVE |
ListAuthTokens
|
USER_READ |
UpdateAuthToken
|
USER_UPDATEとUSER_AUTHTOKEN_RESET |
CreateAuthToken
|
USER_UPDATEとUSER_AUTHTOKEN_SET |
DeleteAuthToken
|
USER_UPDATEとUSER_AUTHTOKEN_REMOVE |
ListSwiftPasswords
|
USER_READ |
UpdateSwiftPassword
|
USER_UPDATEとUSER_SWIFTPASS_RESET |
CreateSwiftPassword
|
USER_UPDATEとUSER_SWIFTPASS_SET |
DeleteSwiftPassword
|
USER_UPDATEとUSER_SWIFTPASS_REMOVE |
ListCustomerSecretKeys
|
USER_READ |
CreateSecretKey
|
USER_UPDATEとUSER_SECRETKEY_ADD |
UpdateCustomerSecretKey
|
USER_UPDATEとUSER_SECRETKEY_UPDATE |
DeleteCustomerSecretKey
|
USER_UPDATEとUSER_SECRETKEY_REMOVE |
CreateOAuthClientCredential |
USER_UPDATEとUSER_OAUTH2_CLIENT_CRED_CREATE |
UpdateOAuthClientCredential |
USER_UPDATEとUSER_OAUTH2_CLIENT_CRED_UPDATE |
ListOAuthClientCredentials |
USER_READ |
DeleteOAuthClientCredential |
USER_UPDATEとUSER_OAUTH2_CLIENT_CRED_REMOVE |
LinkSupportAccount |
USER_SUPPORT_ACCOUNT_LINK |
UnlinkSupportAccount |
USER_SUPPORT_ACCOUNT_UNLINK |
CreateSmtpCredential |
CREDENTIAL_ADD |
ListSmtpCredentials |
CREDENTIAL_INSPECT |
UpdateSmtpCredential |
CREDENTIAL_UPDATE |
DeleteSmtpCredential |
CREDENTIAL_REMOVE |
ListUserGroupMemberships
|
GROUP_INSPECTとUSER_INSPECT |
GetUserGroupMembership
|
USER_INSPECTとGROUP_INSPECT |
AddUserToGroup
|
GROUP_UPDATEとUSER_UPDATE |
RemoveUserFromGroup
|
GROUP_UPDATEとUSER_UPDATE |
ListGroups
|
GROUP_INSPECT |
GetGroup
|
GROUP_INSPECT |
UpdateGroup
|
GROUP_UPDATE |
CreateGroup
|
GROUP_CREATE |
DeleteGroup
|
GROUP_DELETE |
ListDynamicGroups
|
DYNAMIC_GROUP_INSPECT |
GetDynamicGroup
|
DYNAMIC_GROUP_INSPECT |
UpdateDynamicGroup
|
DYNAMIC_GROUP_UPDATE |
CreateDynamicGroup
|
DYNAMIC_GROUP_CREATE |
DeleteDynamicGroup
|
DYNAMIC_GROUP_DELETE |
GetNetworkSource
|
NETWORK_SOURCE_INSPECT |
ListNetworkSources
|
NETWORK_SOURCE_INSPECT |
CreateNetworkSource
|
NETWORK_SOURCE_CREATE |
UpdateNetworkSource
|
NETWORK_SOURCE_UPDATE |
DeleteNetworkSource
|
NETWORK_SOURCE_DELETE |
ListPolicies
|
POLICY_READ |
GetPolicy
|
POLICY_READ |
UpdatePolicy
|
POLICY_UPDATE |
CreatePolicy
|
POLICY_CREATE |
DeletePolicy
|
POLICY_DELETE |
ListIdentityProviders
|
IDENTITY_PROVIDER_INSPECT |
GetIdentityProvider
|
IDENTITY_PROVIDER_INSPECT |
UpdateIdentityProvider
|
IDENTITY_PROVIDER_UPDATE |
CreateIdentityProvider
|
IDENTITY_PROVIDER_CREATE |
DeleteIdentityProvider
|
IDENTITY_PROVIDER_DELETE |
ListIdpGroupMappings
|
IDENTITY_PROVIDER_INSPECTとGROUP_INSPECT |
GetIdpGroupMapping
|
IDENTITY_PROVIDER_INSPECTとGROUP_INSPECT |
AddIdpGroupMapping
|
IDENTITY_PROVIDER_UPDATEとGROUP_UPDATE |
DeleteIdpGroupMapping
|
IDENTITY_PROVIDER_UPDATEとGROUP_UPDATE |
ListTagNamespaces
|
TAG_NAMESPACE_INSPECT |
ListTaggingWorkRequest
|
TAG_NAMESPACE_INSPECT |
ListTaggingWorkRequestErrors
|
TAG_NAMESPACE_INSPECT |
ListTaggingWorkRequestLogs
|
TAG_NAMESPACE_INSPECT |
GetTaggingWorkRequest
|
TAG_NAMESPACE_INSPECT |
GetTagNamespace
|
TAG_NAMESPACE_INSPECT |
CreateTagNamespace
|
TAG_NAMESPACE_CREATE |
UpdateTagNamespace
|
TAG_NAMESPACE_UPDATE |
ChangeTagNamespaceCompartment
|
TAG_NAMESPACE_MOVE |
CascadeDeleteTagNamespace
|
TAG_NAMESPACE_DELETE |
DeleteTagNamespace
|
TAG_NAMESPACE_DELETE |
ListTags
|
TAG_NAMESPACE_INSPECT |
BulkEditTags
|
TAG_NAMESPACE_INSPECT |
ListCostTrackingTags
|
TAG_NAMESPACE_INSPECT |
GetTag
|
TAG_NAMESPACE_INSPECT |
CreateTag
|
TAG_NAMESPACE_USE |
UpdateTag
|
TAG_NAMESPACE_USE |
DeleteTag
|
TAG_NAMESPACE_DELETE |
BulkDeleteTags
|
TAG_NAMESPACE_DELETE |
ListTagDefaults
|
TAG_DEFAULT_INSPECT |
GetTagDefault
|
TAG_DEFAULT_INSPECT |
CreateTagDefault
|
TAG_DEFAULT_MANAGE |
UpdateTagDefault
|
TAG_DEFAULT_MANAGE |
DeleteTagDefault
|
TAG_DEFAULT_MANAGE |