ポリシーおよびポリシー・ステートメント

クラウド・ユーザーのアクセス制御の定義に使用する主要なツールは、ポリシーです。これは、「誰が」、「どのように」、「何を」、「どこで」という観点でアクセスを指定するポリシー・ステートメントが含まれたIAM (Identity and Access Management)リソースです。

Allow 
  group <group-name> 
  to <control-verb> 
  <resource-type> 
  in compartment <compartment-name>

• group <group-name>既存のIAMグループの名前(個々のクラウド・ユーザーを割り当てることができるIAMリソース)を指定することで、「誰が」を指定します。

• to <control-verb>は、次の事前定義済の制御動詞のいずれかを使用して、「どのように」を指定します。

  • inspect: 特定のタイプのリソースを、それに含まれる可能性がある機密情報やユーザー指定のメタデータにはアクセスせずに一覧表示できます。
  • read: inspectに加えて、ユーザー指定のメタデータと実際のリソースそのものを取得できます。
  • use: readに加えて、既存のリソースを作業できます(作成や削除はできません)。また、「作業する」とは、各リソース・タイプで異なる操作を意味します。
  • manage: リソース・タイプに対するすべての権限(作成および削除を含む)。

  専用インフラストラクチャ機能のコンテキストにおいては、フリート管理者は自律型コンテナ・データベースを管理でき、データベース管理者はそれを使用してAutonomous Databaseを作成できるのみです。

• <resource-type>は、事前定義済のリソース・タイプを使用して、「何を」を指定します。専用インフラストラクチャ・リソースのリソース・タイプ値は次のとおりです:

  • exadata-infrastructures
  • autonomous-container-databases
  • autonomous-databases
  • autonomous-backups

  専用インフラストラクチャ・リソースはネットワーキング・リソースを使用するため、作成するポリシー・ステートメントの一部はvirtual-network-familyリソース・タイプ値を参照します。また、テナンシ内でタグ付けが使用されている場合は、tag-namespacesリソース・タイプ値を参照するポリシー・ステートメントを作成できます。

• in compartment <compartment-name>は、既存のIAMコンパートメントの名前(リソースが作成されるIAMリソース)を指定することで、「どこで」を指定します。コンパートメントは、クラウド・リソースを編成および分離するためのOracle Cloud Infrastructureの基本コンポーネントです。

Autonomous Databaseのポリシーの詳細は、専用Exadataインフラストラクチャ上のAutonomous DatabaseのIAMポリシーを参照してください。

IAMサービスとそのコンポーネントの仕組みおよび使用方法の詳細は、Oracle Cloud Infrastructure Identity and Access Managementの概要を参照してください。IAMに関する一般的な質問への簡単な回答は、Identity and Access ManagementのFAQを参照してください。

アクセス制御を計画および構成する際のベスト・プラクティス

専用インフラストラクチャ機能のアクセス制御を計画および構成する際には、次のベスト・プラクティスを考慮する必要があります。

• プライベート・サブネットのみを含む個別のVCNを作成します。ほぼすべてのケースにおいて、専用インフラストラクチャ上に作成されたAutonomous Databaseには企業の機密データが格納されます。通常、これには企業のプライベート・ネットワーク内からのみアクセスできます。パートナ、サプライヤ、コンシューマおよび顧客との共有データも、規制されたセキュアなチャネルを通じてそれぞれが利用できます。

  したがって、このようなデータベースへのネットワーク・アクセスは、社内でプライベートにする必要があります。これを確実にするには、プライベート・サブネットとIPSec VPNまたはFastConnectを使用して企業のプライベート・ネットワークに接続するVCNを作成します。このような構成の設定の詳細は、Oracle Cloud InfrastructureドキュメントのシナリオB: VPNを使用したプライベート・サブネットを参照してください。

  データベースへのネットワーク接続の保護の詳細は、Oracle Cloud Infrastructureドキュメントのネットワークを保護する方法を参照してください。

• 少なくとも2つのサブネットを作成します。少なくとも2つのサブネットを作成する必要があります: 1つはAutonomous Exadata VMクラスタ・リソースとAutonomous Container Databaseリソース用で、もう1つはAutonomous Databaseのクライアントおよびアプリケーションに関連付けられたリソース用です。

• 少なくとも2つのコンパートメントを作成します。少なくとも2つのコンパートメントを作成する必要があります。1つはExadataインフラストラクチャ、Autonomous Exadata VMクラスタおよびAutonomous Container Databaseリソース用で、もう1つはAutonomous Databaseリソース用です。

• 少なくとも2つのグループを作成します。少なくとも2つのグループを作成する必要があります: 1つはフリート管理者用で、もう1つはデータベース管理者用です。

ネットワーク・アクセス制御

allow group <group_name>
to { ZPR_TAG_NAMESPACE_USE, SECURITY_ATTRIBUTE_NAMESPACE_USE }
in tenancy

allow group <group_name>
to manage autonomous-database-family
in tenancy

allow group <group_name>
to read security-attribute-namespaces
in tenancy

アクセス制御リスト以外の高度なネットワーク制御では、Oracle Autonomous Database on Dedicated Exadata InfrastructureはWeb Application Firewall (WAF)の使用をサポートしています。WAFは、悪意のある不要なインターネット・トラフィックからアプリケーションを保護します。WAFは、インターネット接続エンドポイントを保護することで、顧客のアプリケーションに対する一貫性のあるルール適用を実現できます。WAFを使用すると、クロスサイト・スクリプト(XSS)やSQLインジェクション、OWASP定義のその他の脆弱性を含むインターネットの脅威に対してルールを作成および管理できます。アクセス・ルールは、地理情報またはリクエストの署名に基づいて制限できます。WAFの構成方法のステップは、Web Application Firewallポリシーの開始を参照してください。

クライアント接続制御

Oracle Autonomous Database on Dedicated Exadata Infrastructureは、標準のTLS 1.2証明書ベース認証を使用してクライアント接続制御を実装し、クライアント接続を認証します。

デフォルトでは、Autonomous Databaseは自己署名証明書を使用します。ただし、Oracle Cloud Infrastructure (OCI)コンソールからCA署名のサーバー側証明書をインストールできます。独自の証明書を持ち込むには、証明書の作成で示すように、まずOracle Cloud Infrastructure (OCI)証明書サービスを使用して証明書を作成する必要があります。これらの証明書は署名済で、PEM形式である必要があります。つまり、ファイル拡張子は.pem、.cerまたは.crtのみである必要があります。詳細は、専用Autonomous Databaseでの証明書管理を参照してください。