はじめに

Identity Domainsが使えるアカウントを触る機会があったので、いろいろと試しています。
今回は、管理者ロールを試します。

管理者ロールは、IDCS側にもともと存在していました。ただし、従来はOCI IAM側の権限も必要で、設定が面倒だったと思います。
Identity Domainsになって、OCI IAMと統合されたことにより、OCI IAM側の権限設定が不要になり設定が簡素化されたと思います。

ここでは、「ユーザー管理者」ロールを使って、ドメイン内のユーザ管理権限を別ユーザに委任してみます。

さわってみる

ドメイン管理者でログイン後、ドメインの設定画面に遷移します。

「ユーザー」リンクを押下して、「ユーザーの作成」ボタンを押します

ユーザ管理を委任するユーザを作成します。所属グループは指定せずに作成しました。

ドメインの設定画面から、「セキュリティ」リンクを選択します

「管理者」のリンクを選択し、「ユーザー管理者」を選択⇒「ユーザーの追加」ボタンを押します。

先ほど作成したユーザを選択して、「ユーザーの追加」ボタンを押します

ユーザ作成時に指定したメールアドレスにアクティベート用のメールが送信されます。初期パスワードを設定し、OCIにログインします。

ドメインの設定画面に遷移します

グループが作成できることを試します。

作れました！

続いて、ユーザを作成できることを試します。

こちらも作成できました！

ということで、ユーザ管理専用のユーザを簡単に作成することができました。

管理者ロールを使わない場合は、従来どおりに、以下のようにポリシーを使って、ドメイン内のグループに権限を付与することでもユーザ/グループの作成権限を付与することもできました。でも、管理者ロールを使った方が設定が簡単・シンプルになる気がします。

allow group ドメイン名/グループ名 to manage users in tenancy
allow group ドメイン名/グループ名 to manage groups in tenancy