1. セキュリティ・ガイド
  2. Oracle Database Applianceのセキュリティ機能
機械翻訳について

2 Oracle Database Applianceのセキュリティ機能

Oracle Database Applianceは、ハードウェアおよびソフトウェア強化プロセスを使用してシステムを保護し、レイヤー化されたセキュリティ戦略のデプロイを支援します。

内容は次のとおりです。

Oracle Database Applianceセキュリティ機能について

Oracle Database Applianceのコア・コンポーネントには、強化構成とセキュリティ機能があります。

組織は、レイヤー化されたセキュリティ戦略の一環として、Oracle Database Applianceのセキュリティ機能を使用できます。

強化構成

Oracle Database Applianceは、次のような強化手順をお薦めします。

  • インストールするパッケージを最小限に整理して、不要なパッケージをサーバーにインストールしないでください。

  • Oracle Database Applianceノードでは、必要なサービスのみを有効にします。

  • オペレーティング・システムのユーザーを監査します。

  • NTP、SSHおよび他のサービス用に構成を保護します。

セキュリティ機能

Oracle Database Applianceアーキテクチャは、コア・コンポーネントのためのセキュリティ機能を提供します。 この機能は、次のカテゴリにグループ化されます。

  • 分離ポリシー

  • データへのアクセスの制御

  • 暗号化サービス

  • 監視および監査

  • Oracle Integrated Lights Out Manager (ILOM)

親トピック: Oracle Database Applianceのセキュリティ機能

分離ポリシーの使用

分離ポリシーは、マルチテナント・サービスをよりセキュアにします。

組織がITインフラストラクチャの統合、共有サービス・アーキテクチャの実装およびセキュアなマルチテナント・サービスの実施を求める場合は、サービス、ユーザー、データ、通信およびストレージを分離する必要があります。 Oracle Database Applianceは、ニーズに基づいて分離ポリシーと分離戦略を実装できる柔軟性を組織に提供します。

内容は次のとおりです。

親トピック: Oracle Database Applianceのセキュリティ機能

ネットワーク・トラフィックの分離

Oracle Database Applianceは、物理ネットワーク・レベルで、クライアント・アクセスをデバイス管理とデバイス間通信から分離します。

Oracle Database Applianceは、クライアントと管理ネットワークのトラフィックを別々のネットワークに分離します。 クライアントは冗長な10Gbpsイーサネット・ネットワークを介してサービスにアクセスするので、システム上で実行されるサービスへの信頼性のある高速アクセスが確保されます。 クラスタ管理アクセスは、物理的に分離された1Gbpsイーサネット・ネットワークを介して提供されます。 物理的に分離されたネットワークを提供することにより、業務用と管理用のネットワーク・トラフィックを確実に分離します。

組織は、仮想LAN (VLAN)を構成することで、クライアント・アクセスのイーサネット・ネットワーク上のトラフィックをさらに分離することも選択できます。 VLANは、組織の要件に基づいてネットワーク・トラフィックを分離します。 VLAN上では暗号化プロトコルを使用して、通信の機密性と整合性を保証することをお薦めします。

親トピック: 分離ポリシーの使用

データベースの分離

Oracle Database Applianceでは、すべてのOracle Databaseセキュリティ・オプションを利用できます。

物理的に分離する最良の方法の1つは、1つの環境を丸ごと単一のアプリケーションまたはデータベース専用にすることです。 ただし、サーバーを1つのアプリケーションまたはデータベース専用にすると、コストがかかります。 よりコスト効率の高い分離戦略では、同じオペレーティング・システム・イメージ内で複数のデータベースを使用します。 ユーザー、グループおよびリソース制御の専用の資格証明など、データベースおよびオペレーティング・システム・レベルの制御を組み合せることで、複数のデータベースを分離できます。

Oracle Database Applianceでは、すべてのOracle Databaseセキュリティ・オプションを利用できます。 組織がより細分化したデータベース分離を必要とする場合は、Oracle Database Vault、Oracle Virtual Private Database、Oracle Label Securityなどのソフトウェアを使用できます。

Oracle Database Vaultには、単一データベース内で論理レルムを使用して分離させるための必須のアクセス制御モデルが含まれています。 論理レルムは、アプリケーション・データへの一時的アクセスから管理アカウントをブロックすることで、既存のアプリケーション表の周囲に保護境界を形成します。 Oracle Database Vaultのコマンド・ルールは、データベースおよびアプリケーション・データにだれが、いつ、どこで、どのようにアクセスするかを制限する、ポリシーベースの制御を可能にします。 これによって、アプリケーション・データへの信頼できるパスが作成されます。 Oracle Database Vaultは、時間、ソースIPアドレスおよびその他の条件に基づいてアクセスを制限するためにも採用できます。

Oracle Virtual Private Databaseは、データベース表およびビューへのファイングレイン・アクセスを強制するポリシーの作成を可能にします。 Oracle Virtual Private Databaseでは、ポリシーはデータベース・オブジェクトに関連付けられて、データベースへのアクセス方法によらず自動的に適用されるため、セキュリティの移植性が実現されます。 Oracle Virtual Private Databaseは、データベース内の細分化した分離に使用できます。

Oracle Label Securityはデータを分類し、分類に基づいてそのデータへのアクセスを仲介します。 組織は、ニーズに最適な分類戦略(階層、非結合など)を定義できます。 この機能によって、様々な分類レベルで保存された情報を、単一の表領域内で行レベルで分離できるようになります。

親トピック: 分離ポリシーの使用

データへのアクセスの制御

データ、ワークロード、インフラストラクチャへのアクセスを制御することで、セキュリティを高めます。

アプリケーション・データ、ワークロードおよびその実行の基礎となるインフラストラクチャを保護するため、Oracle Database Applianceは、包括的かつ柔軟性のあるアクセス制御機能を、ユーザーと管理者の両方に提供します。 この制御機能には、ネットワーク・アクセスとデータベース・アクセスが含まれます。

内容は次のとおりです。

親トピック: Oracle Database Applianceのセキュリティ機能

ネットワーク・アクセスの制御

ネットワーク・アクセスを構成して、ファイングレイン制御をします。

ファイングレイン・アクセス制御ポリシーは、単純なネットワークレベルの分離を超えて、デバイス・レベルで導入できます。 Oracle Database Applianceのすべてのコンポーネントには、ネットワーク分離などのアーキテクチャを利用した方法で、またはパケット・フィルタリングとアクセス制御リストを使用してコンポーネントおよびサービスへの入出力とそれらの間の通信を制御することで、サービスへのネットワーク・アクセスを制限する機能が組み込まれています。

親トピック: データへのアクセスの制御

データベース・アクセスの制御

役割を割り当てられたオペレーティング・システム・ユーザーおよびグループ・システム権限を使用するデータベース・アーキテクチャの各レイヤーにおいて職務を分離させ、共謀行為や不注意によるエラーのリスクを低減するのに役立ちます。

鍵の資格証明,

たとえば、別々のオペレーティング・システム・ユーザー・アカウントを使用し、別々の物理グループを指名してOracle Database権限およびOracle Automatic Storage Management (Oracle ASM)システム権限を付与し、データベース管理者とストレージ管理者のロールを確実に分離します。 Oracle Database内では、ユーザーに特定の権限およびロールを割り当てることで、そのユーザーがアクセスを認可されたデータ・オブジェクトのみにアクセスすることを保証できます。 明示的に許可された場合を除き、データは共有できないようにします。

Oracle Databaseで利用できるパスワードベースの認証に加えて、Oracle Advanced Securityオプションを使用すると、公開鍵の資格証明、RADIUSまたはKerberosインフラストラクチャを使用して強力な認証を実装できます。 Oracle Enterprise User Securityを使用すると、認証および認可のためにデータベースを既存のLDAPリポジトリに統合できます。 これらの機能によって、データベースに接続するユーザーのIDをより強力に保証できます。

管理ユーザーおよび特権ユーザーのアクセスを管理し、アプリケーション・データにアクセスする方法、時間および場所を制御するために、Oracle Database Vaultを使用できます。 Oracle Database Vaultは、盗難にあったログイン資格証明の不正使用、アプリケーション・バイパス、アプリケーションおよびデータの未許可の変更(アプリケーション・データのコピー作成を含む)に対する保護を提供します。 Oracle Database Vaultは、ほとんどのアプリケーションと日常業務に対して透過的です。 マルチファクタの認可ポリシーをサポートして、ビジネス処理を中断させることなく、ポリシーのセキュアな強制を可能にします。

Oracle Database Vaultは職務の分離を強制して、アカウント管理、セキュリティ管理、リソース管理およびその他の機能が、権限を付与されたユーザーにのみ許可されるようにします。

親トピック: データへのアクセスの制御

SUDOによる特権とセキュリティの管理について

SUDOポリシーは、システム監査とオペレーティング・システム上のスーパーユーザー(ルート)権限用のアクセス管理を行う上で役立ちます。 これらの例を参考に、SUDOポリシーを実装します。

Oracle Appliance Managerコマンドライン・ユーティリティでは、ほとんどの管理アクションに対してrootシステム権限が必要です。 rootとしてログインしていない場合は、アプライアンスでほとんどのアクションを実行できません。 たとえば、rootとしてログインしていない場合は、ストレージの情報を確認できますが、ストレージを変更できません。

suを使用するかわりに、SUDOを使用して管理ユーザーにroot権限を付与する必要があります。 SUDOを使用すると、システム管理者は、特定のユーザー(またはユーザーのグループ)にrootパスワードを必要とせずにrootとしてコマンドを実行する機能を付与できます(suとは異なります)。 また、セキュリティおよびコンプライアンスのプロトコルの一部としてすべてのコマンドおよび引数のログを記録します。

SUDOセキュリティ・ポリシーを構成するには、ファイル/etc/sudoersを使用します。 sudoersファイルの中でユーザー・グループやコマンド・セットを構成すると、SUDOコマンドを使用したサーバーの管理を簡素化して監査できます。

関連項目:

SUDOの構成と使用の詳細については、SUDOのmanページhttp://www.sudo.ws/sudo.htmlを参照してください。

親トピック: データへのアクセスの制御

DCSスタック用のSUDOセキュリティ・ポリシーの構成

これらの例を使用して、DCSスタック(odacli)を使用しているOracle Database ApplianceモデルのSUDOポリシーを実装します。

SUDOポリシーは、システム監査とオペレーティング・システム上のスーパーユーザー(ルート)権限用のアクセス管理を行う上で役立ちます。

注意:

ユーザーが任意の操作を実行できるようにSUDOを構成することは、そのユーザーにroot権限を与えることに相当します。 これがセキュリティのニーズに適しているかどうかを慎重に検討してください。

例2-1 SUDO例1: ユーザーがODACLI操作を実行できるようにする

この例は、ユーザーがODACLI操作を実行できるようにSUDOを構成する方法を示しています。 これを行うには、/etc/sudoersファイルのコマンドのセクションに数行追加します。 

## The commands section may have other options added to it.
##
Cmnd_Alias ODACLI_CMDS=/opt/oracle/oak/bin/odacli *
jdoe ALL = ODACLI_CMDS

この例では、ユーザー名は jdoeです。 ファイル・パラメータ設定ALL= ODACLI_CMDSは、ユーザーjdoeに、コマンド別名ODACLI_CMDSによって定義されたすべてのodacliコマンドを実行する権限をユーザーに与えます。 構成後、1つのsudoersファイルを複数のホストにコピーできます。 また、ホストごとに異なるルールを作成することもできます。

注意:

データベース作成の前に、各サーバーのrootユーザーにSSHのユーザー等価性を設定する必要があります。 ユーザーの等価性を設定せずサーバーごとにSSHを構成すると、データベースの作成中、各サーバーのrootパスワードを指定するよう求めるプロンプトが表示されます。

ユーザーと一緒にsudoerファイルを構成した後、ユーザーjdoeは、別名ODACLI_CMDSコマンドで構成された一連のodacliコマンドを実行できます。 次に例を示します。 

$ sudo odacli create database -db newdb

INFO: 2018-06-05 14:40:55: Look at the logfile  '/opt/oracle/oak/log/scaoda1011/tools/12.2.1.4.0/createdb_newdb_91715.log' for more details

INFO:2018-06-05 14:40:59: Database parameter file is not provided. Will be using default parameters for DB creation
Please enter the 'SYSASM'  password :
Please re-enter the 'SYSASM' password:
 
INFO: 2018-06-05 14:41:10: Installing a new home: OraDb12102_home3 at /u01/app/oracle/product/12.2.1.4/dbhome_3

Please select one of the following for Database type  [1 .. 3]:
1    => OLTP 
2    => DSS 
3    => In-Memory

例2-2 SUDO例2: ユーザーが選択したODACLI操作のみを実行できるようにする

ユーザーが選択したODACLI操作のみを実行できるようにSUDOを構成するには、次のように/etc/sudoersファイルのコマンド・セクションに行を追加します。 

## DCS commands for oracle user 
Cmnd_Alias DCSCMDS = /opt/oracle/dcs/bin/odacli describe-appliance
oracle  ALL=       DCSCMDS
$ sudo /opt/oracle/dcs/bin/odacli describe-appliance

Appliance Information
----------------------------------------------------------------
                     ID: a977bb04-6cf0-4c07-8e0c-91a8c7e7ebb8
               Platform: OdaliteL
        Data Disk Count: 6
         CPU Core Count: 20
                Created: June 24, 2018 6:51:52 AM HDT

System Information
----------------------------------------------------------------
                   Name: rwsodal001
            Domain Name: example.com
              Time Zone: America/Adak
             DB Edition: EE
            DNS Servers: 10.200.76.198 10.200.76.199 192.0.2.254
            NTP Servers: 10.200.0.1 10.200.0.2

Disk Group Information
----------------------------------------------------------------
DG Name                   Redundancy                Percentage
------------------------- ------------------------- ------------
Data                      Normal                    90
Reco                      Normal                    10

この例では、ユーザーjdoe2は、そのユーザー用に構成された一連のコマンドの一部ではないsudo odacli list-databasesコマンドを実行しようとします。 SUDOは、jdoe2がコマンドを実行するのを防ぎます。 

[jdoe2@servernode1 ~]$ sudo /opt/oracle/oak/bin/odacli list-databases

Sorry, user jdoe2 is not allowed to execute '/opt/oracle/oak/bin/odacli list-databases' as root on servernode1.

親トピック: データへのアクセスの制御

OAKスタック用のSUDOセキュリティ・ポリシーの構成

これらの例を使用して、OAKスタック(oakcli)を使用しているOracle Database ApplianceモデルのSUDOポリシーを実装します。

SUDOポリシーは、システム監査とオペレーティング・システム上のスーパーユーザー(ルート)権限用のアクセス管理を行う上で役立ちます。

注意:

ユーザーが任意の操作を実行できるようにSUDOを構成することは、そのユーザーにroot権限を与えることに相当します。 これがセキュリティのニーズに適しているかどうかを慎重に検討してください。

例2-3 SUDO例1: ユーザーにOAKCLI操作を実行させる

次の例では、ユーザーがOAKCLI操作を実行できるようにSUDOを構成する方法を示します。 これを行うには、/etc/sudoersファイルのコマンドのセクションに数行追加します。 

## The commands section may have other options added to it.
##
Cmnd_Alias OAKCLI_CMDS=/opt/oracle/oak/bin/oakcli *
jdoe ALL = OAKCLI_CMDS

この例では、ユーザー名は jdoeです。 ファイル・パラメータ設定ALL= OAKCLI_CMDSは、ユーザーjdoeに、コマンド別名OAKCLI_CMDSによって定義されたすべてのoakcliコマンドを実行する権限をユーザーに与えます。 構成後、1つのsudoersファイルを複数のホストにコピーできます。 また、ホストごとに異なるルールを作成することもできます。

注意:

データベース作成の前に、各サーバーのrootユーザーにSSHのユーザー等価性を設定する必要があります。 ユーザーの等価性を設定せずサーバーごとにSSHを構成すると、データベースの作成中、各サーバーのrootパスワードを指定するよう求めるプロンプトが表示されます。

ユーザーのsudoerファイルを構成すると、ユーザーjdoeはコマンド別名OAKCLI_CMDSで構成されたoakcliコマンドのセットを実行できます。 次に例を示します。 

$ sudo oakcli create database -db newdb

INFO: 2018-06-05 14:40:55: Look at the logfile  '/opt/oracle/oak/log/scaoda1011/tools/12.2.1.4.0/createdb_newdb_91715.log' for more details

INFO: 2018-06-05 14:40:59: Database parameter file is not provided. Will be using default parameters for DB creation
Please enter the 'SYSASM'  password:
Please re-enter the 'SYSASM' password:
 
INFO: 2015-08-05 14:41:10: Installing a new home: OraDb12102_home3 at /u01/app/oracle/product/12.2.1.4/dbhome_3

Please select one of the following for Database type  [1 .. 3]:
1    => OLTP 
2    => DSS 
3    => In-Memory

例2-4 SUDOの例2: ユーザーが選択したOAKCLI操作のみを実行できるようにする

ユーザーが選択されたOAKCLI操作のみを実行できるようにSUDOを構成するには、/etc/sudoersファイルのコマンド・セクションに、次のように行を追加します。 

## oakcli commands 
Cmnd_Alias OAKENV = /opt/oracle/oak/bin/oakcli show env_hw 
Cmnd_Alias OAKVER = /opt/oracle/oak/bin/oakcli show version 
oracle  ALL=       OAKENV,OAKVER

コマンドの出力例を次に示します。

$ sudo /opt/oracle/oak/bin/oakcli show env_hw
VM-ODA_BASE ODA X6-2-HA

$ sudo /opt/oracle/oak/bin/oakcli show version
Version
-------
12.2.1.4.0

この例では、ユーザーjdoe2がoakcli show databasesコマンドを実行しようとしていますが、これはこのユーザーに対して構成されているコマンドのセットの一部ではありません。 Sudoにより、jdoe2はそのコマンドを実行できません。 

$ sudo /opt/oracle/oak/bin/oakcli show databases
Sorry, user oracle is not allowed to execute '/opt/oracle/oak/bin/oakcli show databases' as root on servernode1.

親トピック: データへのアクセスの制御

暗号化サービスの使用

暗号化サービスは、保存済、送信中および使用中の情報を保護するのに役立ちます。

暗号化および復号化から、デジタル・フィンガープリントおよび証明書検証まで、暗号化はIT組織で最も広く採用されているセキュリティ制御です。

Oracle Database Applianceは、可能な場合は常に、ハードウェアベースの暗号化エンジン、Intel AES-NIおよびOracle SPARCプロセッサを使用します。 暗号化処理にハードウェアを使用することで、ソフトウェアで処理を実行する場合に比べてパフォーマンスが大幅に向上します。 いずれのエンジンもハードウェアで暗号化処理を実行する機能を提供し、データベース・サーバーおよびストレージ・サーバー上のOracleソフトウェアによって活用されます。

ネットワーク暗号化サービスは、暗号によって保護されたプロトコルを使用して、通信の機密性と整合性を保護します。 たとえばセキュア・シェル(SSH)はシステムおよびIntegrated Lights Out Manager (ILOM)への安全な管理アクセスを提供します。 SSL/TLSは、アプリケーションと他のサービスとの間のセキュアな通信を可能にします。

Oracle Advanced Securityからデータベース暗号化サービスを使用できます。 Oracle Advanced Securityは、透過的データ暗号化(TDE)機能を使用してデータベース内の情報を暗号化します。 TDEはアプリケーション表領域の暗号化と、表内の個々の列の暗号化をサポートします。 一時表領域に格納されたデータと、REDOログも暗号化されます。 データベースがバックアップされるとき、格納先メディアでもデータは暗号化されたままです。 これによって、物理的な格納場所に関係なく保存済データが保護されます。 表領域レベルまたは列レベルでの、保存済データベース・コンテンツの機密性、データベース暗号化を必要とする組織は、Oracle Advanced Securityの利用を検討してください。

さらに、Oracle Advanced Securityはネイティブ暗号化またはTLSを使用して、Oracle Net ServicesおよびJDBCトラフィックを暗号化し、ネットワーク経由での移動中に情報を保護できます。 管理接続とアプリケーション接続の両方を保護して、送信中のデータを確実に保護できます。 TLS実装では、匿名(Diffie-Hellman)、X.509証明書を使用したサーバーのみの認証、およびX.509による相互(クライアント・サーバー)認証などの標準的な認証メソッドのセットがサポートされています。

親トピック: Oracle Database Applianceのセキュリティ機能

Oracle Database Applianceの監視および監査

Oracle Database Applianceには、Oracle Database Fine Grained Auditing (FGA)、Oracle Audit VaultおよびOracle Database Firewall Remote Monitorがあり、これらにより包括的な監視および監査機能が提供されます。

コンプライアンス・レポートとインシデント対応のいずれについても、監視および監査は、IT環境の可視性を向上するために必要な重要な機能です。 導入する監視および監査の程度は、一般的に、環境のリスクまたは重要性に基づいて決まります。 Oracle Database Applianceは、サーバー、ネットワーク、データベースおよびストレージの各レイヤーで包括的な監視および監査の機能を提供し、その情報によって組織の監査およびコンプライアンスの要件をサポートできるように設計されています。

Oracle Database Fine Grained Auditing (FGA)は、監査オーバーヘッドを削減し、個別のテーブルや行のレベルで監査記録を作成するのに役立ちます。 FGAによって、組織は、監査レコードが生成されるタイミングを選択的に決定するポリシーを設定できます。 これは、組織が他のデータベース活動に集中し、監査アクティビティに関連するオーバーヘッドを削減するのに役立ちます。

Oracle Audit Vaultは、データベース監査設定を集中管理して、監査データのセキュアなリポジトリへの統合を自動化します。 Oracle Audit Vaultには、特権ユーザーのアクティビティやデータベース構造への変更を含む、幅広いアクティビティを監視するための組込みのレポート機能があります。 Oracle Audit Vaultによって生成されたレポートは、様々なアプリケーションおよび管理データベースのアクティビティへの可視性を実現し、アクションのアカウンタビリティをサポートする詳細情報を提供します。

Oracle Audit Vaultによって、不正なアクセスの試みまたはシステム権限の悪用を示している可能性のあるアクティビティのプロアクティブな検出とアラートが可能になります。 アラートには、特権ユーザー・アカウントの作成、機密情報を含む表の変更など、システム定義とユーザー定義の両方のイベントおよび条件を含めることができます。

Oracle Database Firewallのリモート・モニターは、リアルタイムのデータベース・セキュリティ監視を提供できます。 Oracle Database Firewallリモート・モニターはデータベース接続の問合せを実行して、アプリケーション・バイパス、認可されていないアクティビティ、SQLインジェクション、その他の脅威などの悪意のあるトラフィックを検出します。 Oracle Database Firewallは、SQL構文ベースの精度の高いアプローチで、組織が不審なデータベース・アクティビティを迅速に検出できるように支援します。

親トピック: Oracle Database Applianceのセキュリティ機能

セキュアな管理のためのOracle ILOMの使用

Oracle Integrated Lights-Out Management (ILOM)では、帯域外の全域管理が可能となり、Oracle Database Applianceのリモート管理機能が提供されています。

IPMI v2.0、セキュリティ制御とセキュリティ機能のコレクションは、個々のアプリケーションおよびサービスを適切に保護するために必要です。 デプロイ済のサービスおよびシステムのセキュリティを維持するために、包括的な管理機能を持つことも同様に重要です。 Oracle Database Applianceは、Oracle ILOMのセキュリティ管理機能を利用します。

Oracle ILOMは、アウトオブバンド管理アクティビティを実行する多くのOracle Database Applianceコンポーネントに組み込まれているサービス・プロセッサです。 Oracle ILOMには、次の機能があります。

  • データベース・サーバーおよびストレージ・サーバーのセキュアなLights-Out Managementを実行するための、セキュアなアクセス。 アクセスには、SSLによって保護されたWebベースのアクセス、セキュア・シェルを使用したコマンドライン・アクセスおよびSNMPv3のプロトコルが含まれます。

  • ロール・ベースのアクセス制御モデルを使用した職務の分離の要件。 個々のユーザーには、実行できる機能を制限するために特定のロールが割り当てられます。

  • すべてのログインおよび構成変更の監査レコード。 各監査ログ・エントリは、アクションを実行したユーザーとタイムスタンプをリストします。 これによって、組織は、認可されていないアクティビティまたは変更を検出し、それらのアクションを起こしたユーザーを特定できます。

親トピック: Oracle Database Applianceのセキュリティ機能