Oracle Cloud Infrastructureドキュメント

主な概念および用語

Oracle Data Safeの使用開始に役立つ次の概念および用語を理解します。

Oracle Cloud Infrastructure

Oracle Cloud Infrastructureは、可用性の高いホスティングされた環境で様々なアプリケーションやサービスを構築および実行できる一連の補完的なクラウド・サービスです。 Oracle Cloud Infrastructureは、オンプレミス・ネットワークから安全にアクセスできる柔軟なオーバーレイ仮想ネットワークの高パフォーマンスなコンピュート機能(物理ハードウェア・インスタンスとして)およびストレージ容量を提供します。 Oracle Data Safeは、サービスとしてOracle Cloud Infrastructureに統合されます。

Oracle Cloud Infrastructureコンソール

Oracle Cloud Infrastructureコンソールは、Oracle Cloud Infrastructureへのアクセスと管理に使用できる、簡単で直観的なwebベースのユーザー・インタフェースです。 また、Oracle Cloud InfrastructureコンソールからOracle Data Safeコンソールにアクセスすることもできます。

テナンシ

テナンシは、クラウド・リソースを作成、整理および管理できるOracle Cloud Infrastructure内のセキュアで分離されたパーティションです。 Oracle Data Safeにサブスクライブすると、必要に応じて、OracleによってOracle Cloud Infrastructureにテナンシが自動的に作成されます。

リージョンと可用性ドメイン

Oracle Cloud Infrastructureは、physicallyがリージョンおよび可用性ドメインでホストされています。 リージョンは、地域的な地理領域で、可用性ドメインは、リージョン内に配置された1つ以上のデータ・センターです。 1つのリージョンは1つ以上の可用性ドメインで構成されます。 Oracle Cloud Infrastructureリソースは、仮想クラウド・ネットワークなどのリージョン固有か、コンピュート・インスタンスなどの可用性ドメイン固有のいずれかです。

Oracle Data Safe

Oracle Data Safeは、データのセキュリティに重点を置いた完全に統合されたクラウド・サービスです。 これは、Oracle Cloudデータベース内の機密データおよび規制対象データを保護するための完全で統合された機能セットを提供します。

Oracle Data Safeは、webアプリケーションとOracleプラガブル・データベース(PDB)で構成され、Oracle Cloud Infrastructureに存在します。 webアプリケーションは、Oracle Data Safeのメイン・ユーザー・インタフェースで、Oracle Data Safeコンソールと呼ばれます。 PDBはOracle Data Safeのリポジトリで、監査データおよびターゲット・データベース用に収集された機密データを含みます。 Oracle Cloud Infrastructureのテナンシの各リージョンでOracle Data Safeを有効化できます。

Oracle Cloud Infrastructure Identity and Access Management (IAM)

IAMサービスは、Oracle Cloud Infrastructureのデフォルトの完全統合アイデンティティ管理サービスです。 クラウド・リソースへのアクセス権を持つユーザー、ユーザー・グループのアクセス権のタイプ、およびアクセス権がある特定のリソース・ユーザー・グループを制御できます。

Oracle Data Safeは、IAMを含む、Oracle Cloud Infrastructure内のすべての共有サービスを使用します。 IAMサービスを使用して、Oracle Data Safeへのユーザー・アクセスを設定できます。

IAMコンパートメント

IAMでは、コンパートメントによってクラウド・リソースへのアクセスを構成および制御できます。 コンパートメントは、データベース・インスタンス、仮想クラウド・ネットワーク、ブロック・ボリュームなどの関連リソースの集合です。 コンパートメントは、物理的なコンテナではなく、論理的なグループと考えるべきです。 Oracle Cloud Infrastructureコンソールでリソースの操作を開始すると、コンパートメントは表示対象のフィルタとして機能します。 グループには、管理者がコンパートメントにアクセスする権限が必要です。

IAMユーザー・グループ

IAMのユーザー・グループは、特定のリソースまたはコンパートメントのセットに対して、すべて同じタイプのアクセスを必要とするユーザーのコレクションです。 テナンシ管理者は、Oracle Cloud InfrastructureでIAMサービスを持つテナンシのルート・コンパートメントにユーザーおよびグループを作成できます。 Oracle Data Safeでは、ユーザー・グループはIAMから取得されますが、個々のユーザーは取得されません。

Oracleによって、テナンシ管理者が自動的に作成され、テナンシAdministratorsグループに追加されます。 このグループにはテナンシのすべてのリソースに対するすべての権限があり、テナンシのユーザー、グループおよびコンパートメントの作成の責任があります。

IAMポリシー

IAMポリシーは、Oracle Cloud Infrastructure内のどのリソースにどのようにアクセスできるかを指定するドキュメントです。 アクセスはグループとコンパートメントのレベルで許可されます。つまり、グループに特定のコンパートメント内の特定のタイプのアクセス、またはテナンシ自体にポリシーを与えることができます。 テナンシへのグループ・アクセス権を付与する場合、グループはテナンシ内のすべてのコンパートメントへの同じタイプのアクセス権を自動的に取得します。 テナンシ管理者のみがポリシーを作成できます。

Oracle Data Safeコンソール

Oracle Data Safeコンソールは、Oracle Data Safeのメイン・ユーザー・インタフェースです。 Oracle Data Safeを開くと、システム・アクティビティを監視できるダッシュボードが表示されます。 サイド・タブでは、主な機能にアクセスできます。 上部のタブで、登録されたターゲット・データベース、ライブラリ、レポート、アラートおよびジョブにアクセスできます。 右上隅では、ユーザー・セキュリティおよびデータ保持設定へのリンクにアクセスできます。

ターゲット・データベース

ターゲット・データベースは、Oracle Data Safeがユーザーおよびセキュリティの評価、データ検出、データ・マスキングおよび監査を実行できるOracle Databaseです。

リソース・グループ

リソース・グループはOracle Data Safeの論理構造で、1つ以上のOracle Data Safeリソースの編成とアクセス制御のために作成できます。 たとえば、1つのリソース・グループに複数のターゲット・データベースを追加し、各ターゲット・データベースではなく、そのリソース・グループに対するアクセス権をユーザー・グループに付与できます。 リソース・グループには、ターゲット・データベース、機密データ・モデル、機密タイプ、マスキング・フォーマット、マスキング・ポリシー、監査ポリシー、監査証跡およびレポートを含めることができます。 デフォルト・リソース・グループは、すべてのユーザー・グループに簡単に利用できます。

Oracle Data Safeの認可ポリシー

Oracle Data Safeでは、認可ポリシーを使用してリソース・グループおよび機能に対するユーザー・グループ・アクセスを制御します。 リソース・グループごとに、Oracle Data Safe管理者(または委任管理者)は、ユーザー・グループviewmanageを付与することも、Oracle Data Safe機能に対する権限を付与しないこともできます。 機能は次のようにグループ化されます: 評価(ユーザー評価およびセキュリティ評価)、検出とマスキングおよびアクティビティ監査。 view権限は、機能リソースへの読取り専用アクセス権を付与します。 manage権限によって、ユーザー・グループは、機能関連のリソースを作成、読取り、更新、削除および委任できます。 管理者は、さらに権限を作成できません。

機密タイプ

機密タイプは機密データの分類で、検索する機密列の種類を定義します。 たとえば、米国社会保障番号(SSN)の機密タイプは、社会保障番号を含む列を検出するのに役立ちます。 データ検出では、選択した機密タイプに基づいて、クラウド・データベース内の機密データが検索されます。 様々な事前定義済の機密タイプから選択でき、独自の機密タイプを作成することもできます。

機密タイプはカテゴリに分類されます。 最上位レベルのカテゴリは、個人識別情報(PII)、個人生体情報、個人IT情報、個人財務情報、個人医療情報、個人雇用情報および個人学業情報です。 機密データを検索するために、個別の機密タイプまたは機密カテゴリを選択できます。

機密データ・モデル

機密データ・モデルは、機密列および参照関係の集合です。 データ検出では、機密列および参照関係を識別し、機密データ・モデルを作成します。 データ検出では、Oracleデータ・ディクショナリを自動的に検索して、主キー列と外部キー列間の関係を検索し、機密としてフラグを付けます。 また、アプリケーションで定義された関係であり、Oracleデータ・ディクショナリでは存在しない非参照関係も検出できます。

マスキングのフォーマット

マスキング・フォーマットでは、データベース列の機密データをマスクするロジックを定義します。 たとえば、シャッフル・マスキング・フォーマットは列内の値をランダムにシャッフルします。 Eメール・アドレス・マスキング・フォーマットでは、列の値がランダムなeメール・アドレスで置き換えられます。 Oracle Data Safeには、多数の事前定義済のマスキング・フォーマットが用意されています。 必要に応じて、独自のものを作成できます。

マスキング・ポリシー

マスキング・ポリシーは、機密列をデータのマスキングに使用するマスキング・フォーマットにマップします。 マスキング・ポリシーを使用して、ターゲット・データベースでデータ・マスキングを実行できます。 機密データ・モデルを使用してマスキング・ポリシーを作成できます。 以前に作成したマスキング・ポリシーをライブラリから使用することもできます。 マスキング・ポリシーは、XMLとしてダウンロードし、変更して、同じまたは別のOracle Data Safeサービスにアップロードできます。

監査証跡

監査証跡は、監査データが格納されるデータベース内の表です。 広く使用されている監査証跡は、AUDSYS.UNIFIED_AUDIT_TRAILデータ・ディクショナリ・ビューです。 Oracle Data Safeで監査証跡を構成できます。 通常、構成できる監査証跡は、データベースごとに1つのみです。

監査データ収集が有効な場合、Oracle Data Safeでは、データベース監査証跡の監査データがOracle Data Safe監査表にコピーされます。 必要に応じて、監査収集を開始および停止できます。 Oracle Data Safeでは、自動パージ機能を使用して、ターゲット・データベースの監査証跡のサイズを管理できます。 データ保存期間を構成することによって、Oracle Data Safe監査表のサイズを管理できます。

ライブラリ

Oracle Data Safeのライブラリは、データ検出およびデータ・マスキングに使用されるリソースを格納するリポジトリです。 リソースには、機密タイプ、機密データ・モデル、マスキング・フォーマットおよびマスキング・ポリシーが含まれます。 これらのリソースを作成すると、ライブラリに自動的に保存されます。

監査ポリシー

監査ポリシーは、ターゲット・データベース内で追跡する特定のイベントを定義します。 Oracle Data Safeでは、基本的な監査ポリシー、管理者およびユーザー・アクティビティの監査ポリシー、インターネット・セキュリティ(CIS)推奨ポリシーのセンター、カスタム監査ポリシーおよびOracleの事前シードされた監査ポリシーをプロビジョニングできます。 監査ポリシーのプロビジョニング後に、ターゲット・データベースが監査データの生成を開始できます。

アラート

アラートは、ターゲット・データベースで特定の監査イベントが発生したときに通知するメッセージです。 アラートは、Oracle Data Safeコンソールのアラート・ページに表形式で表示されます。 ターゲット・データベース、アラート重大度レベルおよびアラート・ステータスの合計アラート数を表示できます。 ページ上のアラートのフィルタ処理、カスタム・アラート・レポートの作成と削除、アラートのオープンとクローズ、およびPDF形式でのアラート・レポートのダウンロードを行うこともできます。

アラート・ポリシー

アラート・ポリシーは、監視するデータベース内のイベントを定義します。 アラート・ポリシーは、ルールベースであり、監査ポリシーには関係ありません。 アラートのルール定義が一致する(たとえば、管理者がターゲット・データベースにログインできなかった)場合、Oracle Data Safeによってアラートが生成され、アラート・ページに表示されます。

アクティビティ監査は、アクティビティ監査ウィザード内でアクティブ化できる事前定義済アラート・ポリシーを提供します。 データベース・パラメータの変更、管理ユーザーによるログインの失敗、監査ポリシーの変更、ユーザーの作成または削除、およびユーザー権限の変更に関するポリシーがあります。