リージョン内のテナント間でのオブジェクトのコピー (2019/04/15)

https://blogs.oracle.com/cloud-infrastructure/post/copy-objects-across-tenancies-within-a-region

投稿者：Sanjay Basu

この記事は、Oracle Enterprise Cloud ArchitectのMohamad Charafと共同で作成しました。

同じリージョンに2つのテナントがあり、Object Storageに保存されているデータを、バケットを公開せずに一方のテナントからもう一方のテナントにコピーしたい場合、このアクションにはいくつかの追加タイプのIDおよびアクセス管理（IAM）ポリシーが必要です。

このブログ記事では、これらのポリシーを作成する方法を説明します。この例では、ソース テナンシーを ACMEBMCS とし、デスティネーション テナンシーを ACMEOCISA とします。ACMEBMCSでは、Object Storageのバケットはベンチマークコンパートメントにあります。ACMEOCISAでは、ターゲットコンパートメントはoracleexaです。

テナント間のコピーを有効にするには、次のアクティビティが必要です。

1.    Object Storageは、ソースとデスティネーションのバケットにアクセスする権限が必要です。

2.    コピー元のテナントとコピー先のテナントの両方に、コピーを許可するIAMポリシーが必要です。コピーの宛先となるテナントには、少なくとも以下の権限を持つポリシーが必要です。

define tenancy CopySourceTenancy as <ocid_for_source_tenancy>

define group CopySourceGroup as <ocid_for_group_in_source_tenancy>

admit group CopySourceGroup of tenancy CopySourceTenancy to {OBJECT_READ, OBJECT_CREATE, OBJECT_OVERWRITE, OBJECT_INSPECT, OBJECT_DELETE} in tenancy</ocid_for_group_in_source_tenancy></ocid_for_source_tenancy>

3.    コピー操作のソーステナントには、少なくとも以下の権限を持つポリシーが設定されている必要があります。

define tenancy CopyDestinationTenancy as <ocid_for_destination_tenancy>

endorse group <group_name_in_source_tenancy> to {OBJECT_READ, OBJECT_CREATE, OBJECT_OVERWRITE, OBJECT_INSPECT, OBJECT_DELETE} in tenancy CopyDestinationTenancy</group_name_in_source_tenancy></ocid_for_destination_tenancy>

コンソールUIを使用して、この例では以下のポリシーを作成しました。

コピー先のテナントのインスタンスプリンシパルがコピー処理を開始します。

この例では、同じリージョン内のオブジェクトコピーを使用しました。リージョンを越えたコピーに興味がある場合は、基本的に同じIAMポリシーとパーミッションを使用することができます。Terraformを使ったIAMポリシーによるObject Storageの管理に特化したガイドのリポジトリを作成しました。

また、IAMのベストプラクティスに関するブログ記事もご参照ください。