GoldenGateの保護

GoldenGateをセキュアに使用するために、セキュリティおよびコンプライアンスの責任について学習します。

通常、Oracleはクラウド・インフラストラクチャおよび操作のセキュリティ(クラウド・オペレータのアクセス制御やインフラストラクチャ・セキュリティ・パッチ適用など)を提供します。クラウド・リソースをセキュアに構成する責任はユーザーにあります。クラウドのセキュリティは、ユーザーとOracleの共同責任です。

Oracleは、次のセキュリティ要件に対して責任を負います:

• 物理セキュリティ: Oracleは、Oracle Cloud Infrastructureで提供されるすべてのサービスを実行するグローバル・インフラストラクチャを保護する責任を負います。このインフラストラクチャは、Oracle Cloud Infrastructureサービスを実行するハードウェア、ソフトウェア、ネットワーキングおよび設備で構成されます。
• 暗号化および機密保護: GoldenGateの暗号化キーおよびシークレットは、データを保護し、保護されたリソースに接続するためにウォレットおよびボールトに格納されます。
• ネットワーク・セキュリティ: GoldenGateデプロイメント・コンソールへの暗号化アクセスは、ポート443でのみSSLを介して有効になります。デフォルトでは、GoldenGateデプロイメント・コンソールへのアクセスは、顧客のプライベート・ネットワークのOCIプライベート・エンドポイントからのみ使用できます。パブリック・エンドポイントは、ポート443でSSLを介したGoldenGateデプロイメント・コンソールへの暗号化されたパブリック・アクセスを許可するように構成できます。

お客様のセキュリティの責任についてこのページで説明します。次のような領域があります:

• アクセス制御: 可能なかぎり権限を制限します。ユーザーが作業を行うために必要なアクセス権のみを付与する必要があります。
• GoldenGateデプロイメント・コンソール・アカウント管理: GoldenGateデプロイメント・コンソールへのアクセスは、OCIコンソールで管理されます。アカウントおよび権限は、GoldenGateデプロイメント・コンソールで管理されます。デプロイメント・ユーザーについてさらに学習します。
• ネットワーク・セキュリティ:ソースおよびターゲット(OCI GoldenGateデータベース登録)へのネットワーク接続を構成します。これらのデータベース登録がセキュアで暗号化されていることを確認します。各OCI GoldenGateデータベース登録は、SSLを使用して適切なSSLパラメータを構成することで保護できます。データベース登録の管理を参照してください。
• ネットワーク暗号化:デフォルトでは、OCI GoldenGateへのすべてのネットワーク接続は、Oracle提供の証明書を使用してSSLを介して暗号化されます。指定した証明書または暗号化キーが最新であり、有効であることを確認してください。
• セキュリティ・イベントの監査: OCI GoldenGateデプロイメント・コンソールは、セキュリティ・イベントを記録します。このログは、OCI GoldenGateデプロイメント・バックアップからアクセスして確認できます。このログを定期的にモニターしてください。デプロイメント・バックアップについてさらに学習します。
• パッチ適用: OCI GoldenGateデプロイメントが最新であることを確認します。更新は毎月リリースされますが、脆弱性を防ぐため、できるだけ早く最新のデプロイメント・パッチ・レベルにアップグレードする必要があります。デプロイメントのパッチ適用についてさらに学習します。
• ロード・バランサまたは要塞を介したリモート・アクセスの監査: OCI GoldenGateに直接向かっていないリモート・アクセスの監査が適切に有効化および構成されていることを確認します。詳細は、ロード・バランサのロギングを参照してください。

ポリシーを使用して、GoldenGateへのアクセスを制限します。

ポリシーは、Oracle Cloud Infrastructureリソースに誰がどのようにアクセスできるかを指定します。詳細は、ポリシーの仕組みを参照してください。

GoldenGate IAMの推奨事項:

• IAMユーザーおよびグループの最小限のアクセス権限を、goldengate-familyのリソース・タイプに割り当てます。
• 権限のあるユーザーまたは悪意のある削除による不適切な削除によるデータ損失を最小限に抑えるために、Oracleでは、IAMユーザーおよびグループの最小限可能なセットにGOLDENGATE_DEPLOYMENT_DELETEおよびGOLDENGATE_DATABASE_REGISTRATION_DELETE権限を付与することをお薦めします。これらの権限は、テナンシ管理者およびコンパートメント管理者にのみ付与してください。
• GoldenGateでは、データベース登録からデータを取得するためにUSEレベルのアクセスのみが必要です。

サンプル・ポリシー:

Allow group ggs-users to manage goldengate-family in tenancy where request.permission!='GOLDENGATE_DEPLOYMENT_DELETE'

GoldenGateポリシーの作成の詳細は、Oracle Cloud Infrastructure GoldenGateポリシーを参照してください。