ファイル・ストレージの保護
このトピックでは、Oracle Cloud Infrastructure File Storageのセキュリティ情報および推奨事項について説明します。
セキュリティの責任
File Storageを安全に使用するには、セキュリティおよびコンプライアンスの責任について学習します。
Oracleは、次のセキュリティ要件に対して責任を負います:
- 物理セキュリティ: Oracleは、Oracle Cloud Infrastructureで提供されるすべてのサービスを実行するグローバル・インフラストラクチャを保護する責任を負います。このインフラストラクチャは、Oracle Cloud Infrastructureサービスを実行するハードウェア、ソフトウェア、ネットワーキングおよび設備で構成されます。
お客様のセキュリティの責任についてこのページで説明します。次のような領域があります:
- アクセス制御: 可能なかぎり権限を制限します。ユーザーが作業を行うために必要なアクセス権のみを付与する必要があります。
- 暗号化と機密性:暗号化キーおよびシークレットを使用して、データを保護し、保護されたリソースに接続します。これらのキーを定期的にローテーションします。
初期セキュリティ・タスク
このチェックリストを使用して、新しいOracle Cloud InfrastructureテナンシでFile Storageを保護するために実行するタスクを識別します。
| タスク | 詳細情報 |
|---|---|
| IAMポリシーを使用したユーザーおよびリソースへのアクセス権の付与 | IAMポリシー |
| File Storageセキュリティ・レイヤーの確認および実装 | アクセス制御 |
| カスタム・キーを使用したリソースの暗号化 | データ暗号化 |
| リソースへのネットワーク・アクセスの保護 | ネットワーク・セキュリティ |
定期的なセキュリティ・タスク
IAMポリシー
ファイル・ストレージへのアクセスを制限するには、ポリシーを使用します。
ポリシーは、Oracle Cloud Infrastructureリソースに誰がどのようにアクセスできるかを指定します。詳細は、ポリシーの仕組みを参照してください。
グループに、その職責を実行するために必要な最小限の権限を割り当てます。各ポリシーには、グループに許可されるアクションを記述する動詞があります。使用可能な動詞は、アクセス・レベルが低い方から順にinspect、read、use、manageです。
偶発的または意図的なリソース削除のリスクを最小限に抑えるために、信頼できるIAMユーザーおよびグループの限定されたグループ(特にテナンシおよびコンパートメント管理者)にのみDELETE権限を付与することを強くお薦めします。これらの権限を制限することで、認可されていないアクションまたは誤ったアクションによるリソース損失の可能性を大幅に削減できます。
次の例では、グループFileUsersがファイル・システムおよびマウント・ターゲットを削除することを防止します。
Allow group FileUsers to manage file-systems in tenancy
where request.permission!='FILE_SYSTEM_DELETE'
Allow group FileUsers to manage mount-targets in tenancy
where request.permission!='MOUNT_TARGET_DELETE'
Allow group FileUsers to manage export-sets in tenancy
where request.permission!='EXPORT_SET_DELETE' ファイル・ストレージ・リソースは、リソースの更新、移動および削除を防ぐためにロックすることもできます。ロックは、リソースの改ざんに対する保護に役立ちます。ファイル・システム・リソースのロックは、認可されたユーザーがファイル・システムの内容を変更することを妨げません。ユーザーは、リソース・ロックを使用してファイル・システム上のファイルを作成、変更および削除できます。詳細は、Locking a File Systemを参照してください。
ファイル・ストレージ・ポリシーの詳細およびその他の例を表示するには、ファイル・ストレージ・サービスの詳細を参照してください。
アクセス制御
IAMポリシーの作成に加えて、他の使用可能なセキュリティ・レイヤーを使用してファイル・システムへのアクセスをロックダウンします。
File Storageサービスでは、5つの異なるレイヤーのアクセス制御が使用されています。各レイヤーには、その他のレイヤーとは別の独自の認可エンティティおよびメソッドがあります。
詳細は、ファイル・ストレージ・セキュリティについてを参照してください。
データ暗号化
Vaultサービスで暗号化キーを作成およびローテーションし、ファイル・ストレージのリソースを保護します。
ボールトは、データの保護に使用する暗号化キーを格納する論理エンティティです。保護モードに応じて、キーはサーバーに格納されるか、高可用性および耐久性のあるハードウェア・セキュリティ・モジュール(HSM)に格納されます。当社のHSMは、連邦情報処理標準(FIPS) 140-2セキュリティ・レベル3のセキュリティ認証を満たしています。ボールトの管理およびキーの管理を参照してください。
Oracle Cloud Infrastructureでは特定のリソースのデフォルトの暗号化キーを生成できますが、Vaultサービス内で独自のカスタム暗号化キーを作成および管理することで、より安全なアプローチを取ることを強くお薦めします。これにより、キー管理をより詳細に制御でき、クラウド環境のセキュリティ・ポスチャ全体が強化されます。
独自のVault暗号化キーを使用してファイル・システム内のデータを暗号化するには、ファイル・システムの暗号化を参照してください。
各マスター暗号化キーには、キー・バージョンが自動的に割り当てられます。キーをローテーションすると、ボールト・サービスにより新しいキー・バージョンが生成されます。定期的にキーをローテーションすると、1つのキー・バージョンによって暗号化または署名されるデータの量が制限されます。キーが構成されたことがある場合、キーのローテーションによってデータのリスクが軽減されます。キーの管理を参照してください。
最高のセキュリティを実現するには、IAMポリシーを使用して、キーの作成、ローテーション、削除など、暗号化キーの管理アクティビティに対するきめ細かいアクセス制御を適用します。Vaultサービスの詳細を参照してください。
暗号化キーは、保存時に暗号化を処理します。転送中暗号化の詳細は、ファイル・ストレージのセキュリティについてを参照してください。
データ耐久性
File Storageでデータの定期的なバックアップを実行します。
ユーザーは、誤ってファイル・ストレージ・ファイル・システムの本番データを削除することがあります。バックアップに保存されているデータのコピーがないと、データをリカバリできません。データ耐久性のために、ビジネスSLOで必要とされるファイル・システムの定期的なスナップショットを作成することをお薦めします。スナップショットを使用すると、誤ってデータを削除した場合にスナップショットからデータをリカバリできます。
ユーザーが誤ってファイル・システムを削除すると、そのファイル・システムに関連付けられたスナップショットも削除されます。バックアップに保存されているデータのコピーがないかぎり、ファイル・システム内のスナップショットおよびデータはリカバリできません。
ポリシーベースのスナップショットを使用して、繰返し、自動バックアップをスケジュールするか、コンソール、CLIまたはAPIを使用してバックアップを手動で作成します。
データのロケーション
ディザスタ・リカバリ・ポリシーによっては、ファイル・システム・データを異なる場所に格納する場合があります。これらの場所は、OCI内でも、オンプレミス環境を含むOCI外でもかまいません。
File Storageを使用すると、組込みのファイル・システム・レプリケーション機能を利用して、次のような様々なOCI宛先間でデータをシームレスにレプリケートできます。
- 同じ可用性ドメイン内の別のファイル・システム
- 異なる可用性ドメイン内のファイル・システム
- 別のリージョンのファイル・システム
OCI File Storageにデータを格納する代替手段として、データを次の場所に転送できます。
- Block VolumeやObject Storageなどの他のOCIサービス
- OCIの外部(オンプレミス環境内など)
File Storageからオンプレミス・サーバーにデータをコピーしたり、File Storageファイル・システムをオンプレミス・サーバーに直接マウントすると、パフォーマンスに影響する可能性があります。
前述のオプションの詳細は、ファイル・ストレージとの間でのデータの転送およびOCIファイル・ストレージ・サービスでのポリシーベースのスナップショットおよびレプリケーションを使用したバックアップの強化を参照してください。
ネットワーク・セキュリティ
File Storage内のリソースへのネットワーク・アクセスを保護します。
セキュリティ・リスト、ネットワーク・セキュリティ・グループ、またはこの両方の組合せを使用して、VCN (仮想クラウド・ネットワーク)のリソース内外のパケット・レベルのトラフィックを制御します。アクセスとセキュリティを参照してください。
VCNにサブネットを作成すると、デフォルトでサブネットはパブリックとみなされ、インターネット通信が許可されます。プライベート・サブネットを使用して、インターネット・アクセスを必要としないリソースをホストします。VCN内のサービス・ゲートウェイを構成して、プライベート・サブネット上のリソースが他のクラウド・サービスにアクセスできるようにすることもできます。Connectivity Choicesを参照してください。
詳細は、ファイル・ストレージに対するVCNセキュリティ・ルールの構成を参照してください。
監査中
ファイル・ストレージのアクセス・ログおよびその他のセキュリティ・データを特定します。
ロギング機能では、内部レビューのために、ファイル・ストレージ・リソースの作成、削除および更新などの操作が記録されます。詳細は、ファイル・ストレージ・ロギングを参照してください。
Auditサービスは、Oracle Cloud Infrastructureリソースに対するすべてのAPIコールを自動的に記録します。Auditサービスを使用してテナンシ内のすべてのユーザー・アクティビティを監視することで、セキュリティおよびコンプライアンスの目標を達成できます。コンソール、SDKおよびコマンドライン(CLI)のコールはすべてAPIを経由するため、これらのソースからのすべてのアクティビティが含まれます。監査レコードは、認証済でフィルタ可能な問合せAPIから利用できます。また、オブジェクト・ストレージからバッチ・ファイルとして取得できます。監査ログの内容には、発生したアクティビティ、アクティビティを開始したユーザー、リクエストの日時、リクエストのソースIP、ユーザー・エージェントおよびHTTPヘッダーが含まれます。監査ログ・イベントの表示を参照してください。