[OCI] 企業でOCIの利用標準化するときのコンパートメント払い出し手順をまとめてみた

Posted at 2024-09-04

はじめに

企業におけるクラウド利用が進むにつれ、各企業では全社的なクラウド利用の標準化や統制などが必要になってきます。
標準化の中では、セキュリティ、コスト管理などの基準策定などに加えて、実際に各ユーザ部門からのクラウド利用の申請に対して環境を払い出す役割も担うケースがあります。

OCIではコンパートメントの概念があるため、社内の各ユーザからOCI利用のリクエストがあった場合には、コンパートメントを払い出して利用してもらうことになるケースが多いと思います。

この記事では、OCIのコンパートメントを払い出して利用してもらうまでの手順をまとめてみます。

今回想定する環境の構成はこちらです。
第二階層のProjectコンパートメント配下に、払い出し用の各コンパートメントが構成されています。
このような構成にすることで、各払い出しコンパートメントに関する権限の統制やコストの管理、払い出し状況の可視化もしやすくなります。

ここでは利用者に払い出す専用コンパートメントpoc01と、poc01内の管理権限を与えるためのユーザ、グループ、ポリシーを作成します。
実際に行う操作の流れはこちら。

これで払い出すコンパートメント poc01 の作成が完了しました。

ドキュメントはこちらです。

実際の運用では、複数のユーザがこのコンパートメントを利用するリクエストが上がることも想定されるため、csvファイルによるインポートを利用して一括でユーザを作成します。
(申請を受け付ける際に、利用者側でcsvファイルに作成するユーザを記入もらう仕組みにするとよさそうですね)

これでcsvファイルに記入したユーザが全て一括で作成されます。

インポートするcsvは今回このようになっています。
記入したのは、A列(User ID)、B列(Last Name)、C列(First Name)、Q列(Work Email)、S列(Primary Email Type)で、これで無事に成功しました。(その他の列は空白)

ユーザのインポートに関するドキュメントはこちらをご覧ください。

作成したユーザを所属させてポリシーを付与するためのグループを作成し、そのグループにユーザを追加します。

これでpoc01用のグループの作成とユーザの追加が完了しました。

ナビゲーション・メニューを開き、[アイデンティティとセキュリティ] > [アイデンティティ] > [ポリシー] をクリックする
[ポリシーの作成] をクリックする
名前と説明を記入し、手動エディタで以下のポリシーを入力する
Allow group prj_poc01 to manage all-resources in compartment poc01
[作成] をクリックする

ここまでの手順でユーザにpoc01コンパートメントの管理権限を付与できました。
最後に実際にリソースが作成できるかを確かめてみます。

新規ユーザでログインできました。このときMFAの登録も必要になります。

Computeインスタンスを作成してみる。

無事にインスタンスを作成することができました。

この記事では、OCIで各リクエストに応じてOCI環境(コンパートメント)を払い出す手順をまとめてみました。
実運用に落とし込んでルーティン化すれば、そこまでの手間は掛からずに環境払い出しまでできると感じます。
このように、簡単に環境を分離して利用できるのはOCIの大きなメリットの一つですね。