ポリシー

データ・サイエンスへのアクセス権を持つユーザー、およびユーザーの各グループのアクセス権のタイプを管理するには、ポリシーを作成する必要があります。

データ・サイエンス・リソースをモニターするには、ポリシーで必要なアクセス権が付与されている必要があります。これは、コンソールを使用しているか、REST APIとSDK、CLIまたはその他のツールを使用しているかにかかわらず当てはまります。ポリシーでは、モニタリング・サービスおよびモニター対象リソースへのアクセス権が付与されている必要があります。アクションを実行しようとして、権限がない、または認可されていないというメッセージが表示された場合は、付与されているアクセスのタイプと作業できるコンパートメントを管理者に確認してください。モニタリングのためのユーザー認可の詳細は、関連するサービスの認証と認可の項を参照してください, モニタリングまたは通知

デフォルトでは、Administratorsグループのユーザーのみがすべてのデータ・サイエンス・リソースにアクセスできます。データ・サイエンスに関わるすべてのユーザーに対して、データ・サイエンス・リソースに対する適切な権限を割り当てる新しいポリシーを作成する必要があります。

OCIポリシーの完全なリストは、ポリシー・リファレンスを参照してください。

リソース・タイプ

データ・サイエンスには、ポリシーを記述するための集約および個々のリソース・タイプが用意されています。

集約リソース・タイプを使用すると、記述するポリシーの数を少なくできます。たとえば、グループがdata-science-projects、data-science-notebook-sessions、data-science-modelsおよびdata-science-work-requestsを管理できるようにするかわりに、そのグループで集約リソース・タイプdata-science-familyを管理できるようにするポリシーを設定できます。

集約リソース・タイプ

data-science-family

個別リソース・タイプ

data-science-projects

data-science-notebook-sessions

data-science-models

data-science-model-deployments

data-science-work-requests

data-science-jobs

data-science-job-runs

data-science-pipelines

data-science-pipeline-runs

data-science-private-endpoint

data-science-schedule

サポートされている変数

ポリシーに条件を追加するには、OCI一般変数またはサービス固有変数を使用できます。

データ・サイエンスではすべてのリクエストの一般的な変数がサポートされ、リソースおよび次のサービス固有の変数とともに使用できます:

**データ・サイエンス・ポリシー変数**
このリソース・タイプの操作...	使用できる変数...	変数タイプ	コメント
`data-science-notebook-sessions`	`target.notebook-session.id`	エンティティ(OCID)	`CreateNotebookSession`とともに使用できません
`data-science-notebook-sessions`	`target.notebook-session.createdBy`	文字列	`CreateNotebookSession`とともに使用できません

ノートブックを作成するユーザーは、オープンして使用できる唯一のユーザーです。

様々な操作の例

allow group <data_science_hol_users> to manage data_science_projects 
in compartment <datascience_hol>

allow group <data_science_hol_users> to manage data_science_models
in compartment <datascience_hol>

allow group <data_science_hol_users> to manage data_science_work_requests
in compartment <datascience_hol>

allow group <data_science_hol_users> to inspect data_science_notebook_sessions
in compartment <datascience_hol>

allow group <data_science_hol_users> to read data_science_notebook_sessions
in compartment <datascience_hol>

allow group <data_science_hol_users> to {DATA_SCIENCE_NOTEBOOK_SESSION_CREATE} 
in compartment <datascience_hol>

allow group <data_science_hol_users> to 
{DATA_SCIENCE_NOTEBOOK_SESSION_DELETE,DATA_SCIENCE_NOTEBOOK_SESSION_UPDATE,DATA_SCIENCE_NOTEBOOK
_SESSION_OPEN,DATA_SCIENCE_NOTEBOOK_SESSION_ACTIVATE,DATA_SCIENCE_NOTEBOOK_SESSION_DEACTIVATE} 
in compartment <datascience_hol> 
where target.notebook-session.createdBy = request.user.id

動詞とリソース・タイプの組合せの詳細

ポリシーの作成には、様々なOCI動詞とリソース・タイプを使用できます。

ポリシー構文は次のようになります:

allow <subject> to <verb> <resource_type> in <location> where <conditions>.

次に、データ・サイエンスの各動詞に対応する権限およびAPI操作について説明します。アクセス・レベルは、inspectからread、use、manageへと進むに従って累積していきます。表セル内のプラス記号(+)は、その上のセルと比較して増分アクセスを示しますが、「余分なし」は増分アクセスを示しません。

data-science-projects

ここには、data-science-projectsリソース・タイプに関して対象となるAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


動詞	権限	完全にカバーされるAPI	部分的にカバーされるAPI
`inspect`	`DATA_SCIENCE_PROJECT_INSPECT`	`ListProjects` `ListWorkRequests`	追加なし
`read`	`inspect +` `DATA_SCIENCE_PROJECT_READ`	`inspect +` `GetProject` `GetWorkRequest`	`CreateNotebookSession` (`manage data-science-notebook-sessions`も必要です。) `CreateModel` (`manage data-science-models`も必要です。) `CreateJob` `CreateJobRun` (`create data-science-job`もあります。)
`use`	`read +` `DATA_SCIENCE_PROJECT_UPDATE`	`read +` `UpdateProject`	追加なし
`manage`	`use +` `DATA_SCIENCE_PROJECT_CREATE` `DATA_SCIENCE_PROJECT_DELETE` `DATA_SCIENCE_PROJECT_MOVE`	`use +` `CreateProject` `DeleteProject` `ChangeProjectCompartment`	追加なし

data-science-notebook-sessions

ここには、data-science-notebook-sessionsリソース・タイプに関して対象となるAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
`inspect`	`DATA_SCIENCE_NOTEBOOK_` `SESSION_INSPECT`	`ListNotebookSessions` `ListNotebookSessionShapes` `ListWorkRequests`	追加なし
`read`	`inspect +` `DATA_SCIENCE_NOTEBOOK_` `SESSION_READ`	`inspect +` `GetNotebookSession` `GetWorkRequest` `ActivateNotebookSession` `DeactivateNotebookSession`	追加なし
`use`	`read +` `DATA_SCIENCE_NOTEBOOK_SESSION_OPEN` `DATA_SCIENCE_NOTEBOOK_SESSION_UPDATE`	`read +` `OpenNotebookSession` `UpdateNotebookSession` `ActivateNotebookSession` `DeactivateNotebookSession`	追加なし
`manage`	`use+` `DATA_SCIENCE_NOTEBOOK_SESSION_CREATE` `DATA_SCIENCE_NOTEBOOK_SESSION_DELETE` `DATA_SCIENCE_NOTEBOOK_SESSION_MOVE` `DATA_SCIENCE_PRIVATE_ENDPOINT_READ` `DATA_SCIENCE_PRIVATE_ENDPOINT_ATTACH`	`use+` `CreateNotebookSession` `DeleteNotebookSession` `ChangeNotebookSessionCompartment` `ActivateNotebookSession`	`CreateNotebookSession` (`read data-science-projects`も必要です。)

data-science-models

ここには、data-science-modelsリソース・タイプに関して対象となるAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
`inspect`	`DATA_SCIENCE_MODEL_INSPECT`	`ListModels` `ListWorkRequests`	追加なし
`read`	`inspect +` `DATA_SCIENCE_MODEL_READ`	`inspect +` `GetModel` `GetModelProvenance` `GetModelArtifact` `GetWorkRequest`	追加なし
`use`	`read +` `DATA_SCIENCE_MODEL_UPDATE`	`read +` `ActivateModel` `DeactivateModel` `UpdateModel` `UpdateModelProvenance`	追加なし
`manage`	`use +` `DATA_SCIENCE_MODEL_CREATE` `DATA_SCIENCE_MODEL_DELETE` `DATA_SCIENCE_MODEL_MOVE`	`use +` `CreateModelArtifact` `CreateModelProvenance` `DeleteModel` `ChangeModelCompartment`	`CreateModel` (`read data-science-projects`も必要)

data-science-work-requests

ここには、data-science-work-requestsリソース・タイプに関して対象となるAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
`inspect`	`DATA_SCIENCE_WORK_REQUEST` `_INSPECT`	`ListWorkRequests`	追加なし
`read`	`inspect +` `DATA_SCIENCE_WORK_REQUEST_READ`	`inspect +` `ListWorkRequestErrors` `ListWorkRequestLogs` `GetWorkRequest`	追加なし
`manage`	`read +` `DATA_SCIENCE_WORK_REQUEST_DELETE`	`read +` `CancelWorkRequest`	追加なし

data-science-model-deployments

ここには、data-science-model-deploymentsリソース・タイプに関して対象となるAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
`inspect`	`DATA_SCIENCE_MODEL_DEPLOYMENT_INSPECT`	`ListModelDeployment` `ListWorkRequests` `ListModelDeploymentShapes`	追加なし
`read`	`inspect +` `DATA_SCIENCE_MODEL_DEPLOYMENT_READ`	`inspect +` `GetModelDeployment` `GetWorkRequest`	追加なし
`use`	`read +` `DATA_SCIENCE_MODEL_DEPLOYMENT_UPDATE` `DATA_SCIENCE_MODEL_DEPLOYMENT_PREDICT`	`read +` `ActivateModelDeployment` `DeactivateModelDeployment` `UpdateModelDeployment` `PredictModelDeployment`	追加なし
`manage`	`use +` `DATA_SCIENCE_MODEL_DEPLOYMENT_CREATE` `DATA_SCIENCE_MODEL_DEPLOYMENT_DELETE` `DATA_SCIENCE_MODEL_DEPLOYMENT_MOVE` `DATA_SCIENCE_PRIVATE_ENDPOINT_READ` `DATA_SCIENCE_PRIVATE_ENDPOINT_ATTACH`	`use +` `CreateModelDeployment` `DeleteModelDeployment` `ChangeModelDeploymentCompartment`	追加なし

data-science-jobs

ここには、data-science-jobsリソース・タイプに関して対象となるAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
`inspect`	`DATA_SCIENCE_JOB_INSPECT`	`ListJobs` `ListJobShapes` `ListWorkRequests`	`CreateJobRun`
`read`	`inspect +` `DATA_SCIENCE_JOB_READ`	`inspect +` `GetWorkRequest`	`CreateJobRun` (`read data-science-job`および`create data-science-job-run`もあります。)
`use`	`read +` `DATA_SCIENCE_JOB_UPDATE`	`read +` `UpdateJob`	`CreateJobRun` (`DATA_SCIENCE_JOB_READ`もあります)。
`manage`	`use +` `DATA_SCIENCE_JOB_CREATE` `DATA_SCIENCE_JOB_DELETE` `DATA_SCIENCE_JOB_MOVE`	`use +` `DeleteJob` `ChangeJobCompartment`	`CreateJob`

data-science-job-runs

ここには、data-science-job-runsリソース・タイプに関して対象となるAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
`inspect`	`DATA_SCIENCE_JOB_RUN_INSPECT`	`ListJobRuns`	追加なし
`read`	`inspect +` `DATA_SCIENCE_JOB_RUN_READ`	`inspect +` `GetJobRun`	追加なし
`use`	`read +` `DATA_SCIENCE_JOB_RUN_UPDATE`	`read +` `UpdateJobRun`	`CancelJobRun` (`DATA_SCIENCE_JOB_RUN_READ`も必要です。)
`manage`	`use +` `DATA_SCIENCE_JOB_RUN_CREATE` `DATA_SCIENCE_JOB_RUN_DELETE` `DATA_SCIENCE_JOB_RUN_MOVE`	`use +` `CreateJobRun` `DeleteJobRun` `ChangeJobRunCompartment`	`CreateJob`

データ・サイエンス・パイプライン

ここには、data-science-pipelinesリソース・タイプに関して対象となるAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


Verbs	権限	完全に対象となるAPI	部分的に対象となるAPI
`inspect`	`DATA_SCIENCE_PIPELINE_INSPECT`	`ListPipelines`	追加なし
`read`	`inspect +` `DATA_SCIENCE_PIPELINE_READ`	`inspect +` `GetPipeline`	`CreatePipelineRun` (`read data-science-projects`、`read data-science-pipeline`および`create data-science-pipeline-run`もあります。)
`use`	`read +` `DATA_SCIENCE_PIPELINE_UPDATE`	`read +` `UpdatePipeline`	`CreatePipelineRun`、`GetPipeline` (`DATA_SCIENCE_PROJECT_READ`および`DATA_SCIENCE_PIPELINE_READ`も必要です。)
`manage`	`use +` `DATA_SCIENCE_PIPELINE_CREATE` `DATA_SCIENCE_PIPELINE_DELETE` `DATA_SCIENCE_PIPELINE_MOVE`	`use +` `CreatePipeline` `DeletePipeline` `ChangePipelineCompartment`	`CreatePipeline` (`read data-science-projects`もあります。)

データ・サイエンス・パイプライン

ここには、data-science-pipelinerunsリソース・タイプに関して対象となるAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


Verbs	権限	完全に対象となるAPI	部分的に対象となるAPI
`inspect`	`DATA_SCIENCE_PIPELINE_RUN_INSPECT`	`ListPipelineRuns`	追加なし
`read`	`inspect +` `DATA_SCIENCE_PIPELINE_RUN_READ`	`inspect +` `GetPipelineRun`	追加なし
`use`	`read +` `DATA_SCIENCE_PIPELINE_RUN_UPDATE`	`read +` `UpdatePipelineRun`	`CancelPipelineRun` (`DATA_SCIENCE_PIPELINE_RUN_READ`も必要です。)
`manage`	`use +` `DATA_SCIENCE_PIPELINE_RUN_CREATE` `DATA_SCIENCE_PIPELINE_RUN_DELETE` `DATA_SCIENCE_PIPELINE_RUN_MOVE`	`use +` `CreatePipelineRun` `DeletePipelineRun` `ChangePipelineRunCompartment`	`CreatePipeline`

data-science-private-endpoint

ここには、data-science-private-endpointリソース・タイプに関して対象となるAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


動詞	権限	完全に対象となるAPI	部分的に対象となるAPI
`inspect`	`DATA_SCIENCE_PRIVATE_ENDPOINT_INSPECT`	`ListDataSciencePrivateEndpoint`	追加なし
`read`	`inspect +` `DATA_SCIENCE_PRIVATE_ENDPOINT_READ`	`inspect +` `GetDataSciencePrivateEndpoint`	`CreateNotebookSession` `ActivateNotebookSession` `DeactivateNotebookSession` `CreateModelDeployment` `ActivateModelDeployment` `DeactivateModelDeployment`
`use`	`read +` `DATA_SCIENCE_PRIVATE_ENDPOINT_ATTACH` `DATA_SCIENCE_PRIVATE_ENDPOINT_DETACH`	`read +` `UpdateDataSciencePrivateEndpoint`	追加なし
`manage`	`use +` `DATA_SCIENCE_PRIVATE_ENDPOINT_CREATE` `DATA_SCIENCE_PRIVATE_ENDPOINT_UPDATE` `DATA_SCIENCE_PRIVATE_ENDPOINT_DELETE` `DATA_SCIENCE_PRIVATE_ENDPOINT_MOVE`	`use +` `CreateDataSciencePrivateEndpoint` `DeleteDataSciencePrivateEndpoint` `ChangePrivateEndpointCompartment` `AttachPrivateEndpoint` `DetachPrivateEndpoint`	`CreatePrivateEndpoint` `CreateNotebookSession` `ActivateNotebookSession` `DeactivateNotebookSession` `CreateModelDeployment` `ActivateModelDeployment` `DeactivateModelDeployment`

データ・サイエンス・スケジュール

ここには、data-science-scheduleリソース・タイプに関して対象となるAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。


Verbs	権限	完全にカバーされるAPI	一部カバーされるAPI
`inspect`	`DATA_SCIENCE_SCHEDULE_INSPECT`	`ListSchedule` `ListWorkRequests`	追加なし
`read`	`inspect +` `DATA_SCIENCE_SCHEDULE_READ`	`inspect +` `GetSchedule` `GetWorkRequest`	`CreateNotebookSession` (`manage data-science-notebook-sessions`も必要です。) `CreateModel` (`manage data-science-models`も必要です。) `CreateJob` `CreateJobRun` (`create data-science-job`も必要です。)
`use`	`read +` `DATA_SCIENCE_SCHEDULE_USE`	`read +` `UseSchedule`	追加なし
`manage`	`use +` `DATA_SCIENCE_SCHEDULE_UPDATE` `DATA_SCIENCE_SCHEDULE_CREATE` `DATA_SCIENCE_SCHEDULE_DELETE` `DATA_SCIENCE_SCHEDULE_MOVE`	`use +` `UpdateSchedule` `CreateSchedule` `DeleteSchedule` `ChangeScheduleCompartment`	追加なし

ポリシーの例

ノート

APIでは、データ・サイエンスの集約リソース・タイプdata-science-familyおよび個別リソース・タイプが対象となります。たとえば、allow group <group_name> to manage data-science-family in compartment <compartment_name>は、次の4つのポリシーを記述することと同じです:

allow group <group_name>> to manage <data_science_projects> in compartment 
<compartment_name>

allow group <group_name> to manage data-science-notebook-sessions in compartment 
<compartment_name>

allow group <group_name> to manage data-science-models in compartment 
<compartment_name>

allow group <group_name> to manage data-science-work-requests in compartment 
<compartment_name>

ノート

ポリシーの構成のステップ・バイ・ステップ・ガイドは、データ・サイエンス・テナンシの手動構成チュートリアルのポリシーの作成を参照してください。

例: リスト・ビュー

グループが特定のコンパートメントのすべてのデータ・サイエンス・モデルのリストを表示できるようにします:

allow group <group_name> to inspect data-science-models in compartment 
<compartment_name>

data-science-modelsのread動詞には、DATA_SCIENCE_MODEL_READ権限とGetModelやGetModelArtifactなどのその対象となるAPI操作を使用したinspect動詞と同じ権限およびAPI操作が含まれています。

例: すべての操作

グループが指定されたコンパートメントでDATA_SCIENCE_MODEL_READにリストされているすべての操作を実行できるようにします:

allow group <group_name> to read data-science-models in compartment 
<compartment_name>

data-science-modelsのmanage動詞には、read動詞と同じ権限およびAPI操作に加えて、DATA_SCIENCE_MODEL_CREATE、DATA_SCIENCE_MODEL_MOVE、DATA_SCIENCE_MODEL_UPDATEおよびDATA_SCIENCE_MODEL_DELETE権限のAPIも含まれています。たとえば、ユーザーがモデルを削除できるのは、管理権限または特定のDATA_SCIENCE_MODEL_DELETE権限のみです。data-science-modelsに対するread権限を使用して、ユーザーはモデルを削除できません。

例: すべてのリソースの管理

グループが、データ・サイエンスが使用するすべてのリソースを管理できるようにします:

allow group <group_name> to manage <data_science_family> in compartment 
<compartment_name>

グループが、データ・サイエンス・プロジェクトの削除を除いて、すべてのデータ・サイエンス・リソースを管理できるようにします:

allow group <group_name> to manage <data_science_family> in compartment 
<compartment_name> where request.permission !='DATA_SCIENCE_PROJECT_DELETE'

ここには、data-science-projectsリソース・タイプに関して対象となるAPIがリストされます。APIは権限ごとにアルファベット順に表示されます。

ポリシーの例

モデル・デプロイメントのためにテナンシで採用する可能性が高いポリシー・ステートメントは次のとおりです:

ユーザーのグループ<group-name>が、モデル・カタログに格納されているモデルに対してすべてのCRUD操作を実行できるようにします。モデル・デプロイメントを介してモデルをデプロイするすべてのユーザーは、デプロイするモデルにアクセスする必要もあります。

allow group <group-name> to manage data-science-models 
in compartment <compartment-name>

ユーザーのグループ<group-name>が、特定のコンパートメントのモデル・デプロイメント・リソースに対して、予測エンドポイントのコールを含むすべてのCRUD操作を実行できるようにします。manage動詞を変更して、ユーザーが実行できることを制限できます。

allow group <group-name> to manage data-science-model-deployments 
in compartment <compartment-name>

リソース(ノートブック・セッションなど)の動的グループが、特定のコンパートメントのモデル・デプロイメント・リソースに対して、予測エンドポイントのコールを含むすべてのCRUD操作を実行できるようにします。manage動詞を変更して、リソースが実行できることを制限できます。

allow dynamic-group <dynamic-group-name> to manage  data-science-model-deployments 
in compartment <compartment-name>

または、リソースに同じことを許可することもできます。指定したリソースの動的グループのみが、特定のコンパートメントで作成されたモデル・デプロイメント・リソースのモデル・エンドポイントをコールできます。

allow dynamic-group <dynamic-group-name-2> to {DATA_SCIENCE_MODEL_DEPLOYMENT_PREDICT} 
in compartment <compartment-name>

(オプション)モデル・デプロイメントが、オブジェクト・ストレージ・バケットに格納されている公開されたconda環境にアクセスできるようにします。これは、公開されたConda環境を使用してモデルのサードパーティ依存関係を取得する場合に必要です。

allow any-user to read objects in compartment <compartment-name>
where ALL { request.principal.type='datasciencemodeldeployment', 
target.bucket.name=<published-conda-envs-bucket-name> }

(オプション)モデル・デプロイメントがロギング・サービスにログを出力できるようにします。モデル・デプロイメントでロギングを使用している場合は、このポリシーが必要です。このステートメントは寛容です。たとえば、特定のコンパートメントでlog-contentを使用する権限を制限できます。

allow any-user to use log-content in tenancy 
where ALL {request.principal.type = 'datasciencemodeldeployment'}

(オプション)モデル・デプロイメントが、テナンシに存在するオブジェクト・ストレージ・バケットにアクセスできるようにします。たとえば、管理対象のオブジェクト・ストレージ・バケットからファイル(参照CSVファイル)を読み取るデプロイ済モデルなどです。

allow any-user to read objects in compartment <compartment-name> 
where ALL { request.principal.type='datasciencemodeldeployment', target.bucket.name=<bucket-name> }

ジョブおよびジョブ実行の例

(オプション)ジョブのロギングを統合できます。有効な場合、ジョブ実行リソースはログをロギング・サービスに出力する権限を必要とします。次を使用してジョブ実行動的グループを作成する必要があります:

all { resource.type='datasciencejobrun', resource.compartment.id='<job-run-compartment-ocid>' }

次に、この動的グループがロギング・サービス・ログに書き込むことを許可します:

allow dynamic-group <job-runs-dynamic-group> to use log-content in compartment <your-compartment-name>

最後に、ジョブ実行を開始するユーザーには、ログ・グループおよびログを使用するアクセス権も必要です:

ノート

インスタンス・プリンシパル動的グループを使用してジョブ実行を作成および開始する場合は、動的グループにグループ・ポリシーを適用する必要があります。具体的には、インスタンス・プリンシパルにto manage log-groupsポリシーが設定されている必要があります。

allow group <group-name> to manage log-groups in compartment <compartment-name>
allow group <group-name> to use log-content in compartment <compartment-name>

(オプション)データ・サイエンスconda環境でジョブを実行するために必要な追加のポリシーはありません。公開されたカスタムconda環境でジョブを実行するには、ジョブ実行リソースにテナンシのオブジェクト・ストレージからconda環境をダウンロードする権限が必要です。次を使用して、ジョブ実行動的グループにコンパートメント内のオブジェクトへのアクセスを許可する必要があります:

allow dynamic-group <job-runs-dynamic-group> to read objects in compartment <compartment-name> where target.bucket.name='<bucket-name>'

OCIRからコンテナ・イメージをプルするには、次のポリシーを追加します:

allow dynamic-group <your-dynamic-group> to read repos in compartment <compartment-name>

リポジトリがルート・コンパートメントにある場合は、次を使用してテナンシの読取りを許可する必要があります:

allow dynamic-group <your-dynamic-group> to read repos in tenancy where all {target.repo.name=<repository-name>}

パイプラインの例

データ・サイエンスは、他のOCIサービスを使用してパイプライン(主にジョブ)を実行します。パイプラインを正しく機能させるには、テナンシまたはコンパートメントでそれらのリソースを操作する権限が必要です。データ・サイエンス・パイプラインを使用するには、動的グループおよびポリシーを作成する必要があります。

新しい動的グループを作成するか、既存の動的グループを更新して次の行を追加します。

パイプライン実行がロギング、ネットワーキング、オブジェクト・ストレージなどのOCIサービスにアクセスできるようにするには:

all {resource.type='datasciencepipelinerun',resource.compartment.id='ocid1.compartment.oc1..<>'}

パイプラインにステップとして少なくとも1つのジョブが含まれている場合は、ジョブ実行がリソースにアクセスできるようにする必要があります:

all {resource.type='datasciencejobrun',resource.compartment.id='ocid1.compartment.oc1..<>'}

リソース・プリンシパル認証を使用してノートブック・セッションから作業する場合、ノートブックがリソースにアクセスできるようにする必要があります:

all {resource.type='datasciencenotebooksession',resource.compartment.id='ocid1.compartment.oc1..<>'}

次に、関連するポリシーを追加して、動的グループがコンパートメントまたはテナンシのリソースにアクセスできるようにします。次に、動的グループの有用なポリシーの例を示します。

(オプション)ノートブック、ジョブ、パイプラインなど、すべてのデータ・サイエンス・リソースの管理を許可します:

allow dynamic-group <YOUR_DYNAMIC_GROUP_NAME> to manage data-science-family in compartment <YOUR_COMPARTMENT_NAME>

(オプション)OCI Object StorageおよびFile Storageサービスの使用を含むネットワーキングの使用を許可します:

allow dynamic-group <YOUR_DYNAMIC_GROUP_NAME> to use virtual-network-family in compartment <YOUR_COMPARTMENT_NAME>

(オプション)オブジェクト・ストレージの管理を許可します:

allow dynamic-group <YOUR_DYNAMIC_GROUP_NAME> to manage objects in compartment <YOUR_COMPARTMENT_NAME>

(オプション)ロギング・サービス・ログへのログを許可します。

allow dynamic-group <YOUR_DYNAMIC_GROUP_NAME> to use log-content in compartment <YOUR_COMPARTMENT_NAME>

(オプション)リポジトリの読取りを許可します。

allow dynamic-group <YOUR_DYNAMIC_GROUP_NAME> to read repos in compartment <YOUR COMPARTMENT NAME>

(オプション)オブジェクト・ストレージ・バケットをストレージ・マウントとして使用できるようにします:

allow dynamic-group <YOUR_DYNAMIC_GROUP_NAME> to use object-family in compartment <YOUR_COMPARTMENT_NAME>
allow service datascience to use object-family in compartment <YOUR_COMPARTMENT_NAME>

(オプション)ストレージ・マウントとしてファイル・ストレージを使用できるようにします:

allow dynamic-group <YOUR_DYNAMIC_GROUP_NAME> use file-systems in compartment <YOUR_COMPARTMENT_NAME>
allow dynamic-group <YOUR_DYNAMIC_GROUP_NAME> use mount-targets in compartment <YOUR_COMPARTMENT_NAME>
allow service datascience to use file-systems in compartment <YOUR_COMPARTMENT_NAME>
allow service datascience to use mount-targets in compartment <YOUR_COMPARTMENT_NAME>

(オプション)データ・フロー・アプリケーションをパイプラインのステップとして使用する場合:

allow dynamic-group <YOUR_DYNAMIC_GROUP_NAME> manage dataflow-run in compartment <YOUR_COMPARTMENT_NAME>
allow dynamic-group <YOUR_DYNAMIC_GROUP_NAME> read dataflow-application in compartment <YOUR_COMPARTMENT_NAME>
allow dynamic-group <YOUR_DYNAMIC_GROUP_NAME> read object-family in compartment <YOUR_COMPARTMENT_NAME>

パイプラインを操作するユーザーに適切な権限が付与されていることを確認します。次のポリシーは、ユーザーがdatascienceusersグループに属していることを前提としています。

allow group datascienceusers to inspect compartments in tenancy
allow group datascienceusers in tenancy where all {target.rule.type='managed', target.event.source in ('dataflow')}
allow group datascienceusers to read dataflow-application in compartment <YOUR_COMPARTMENT_NAME>

Oracle Cloud Infrastructureドキュメント

ポリシー

リソース・タイプ

サポートされている変数

様々な操作の例

動詞とリソース・タイプの組合せの詳細

ポリシーの例

例: リスト・ビュー

例: すべての操作

例: すべてのリソースの管理

ポリシーの例

ジョブおよびジョブ実行の例

パイプラインの例