Object Storage sichern

Um Object Storage sicher zu verwenden, lernen Sie Ihre Sicherheits- und Compliancezuständigkeiten kennen.

Im Allgemeinen bietet Oracle Sicherheit für Cloud-Infrastruktur und -Vorgänge, wie Zugriffskontrollen für Cloud-Benutzer und Infrastruktursicherheits-Patching. Sie sind für die sichere Konfiguration Ihrer Cloud-Ressourcen verantwortlich. Für die Sicherheit in der Cloud sind Sie und Oracle gleichermaßen verantwortlich.

Oracle ist für die folgenden Sicherheitsanforderungen verantwortlich:

• Physische Sicherheit: Oracle ist für den Schutz der globalen Infrastruktur verantwortlich, auf der alle in Oracle Cloud Infrastructure angebotenen Services ausgeführt werden. Diese Infrastruktur besteht aus Hardware, Software, Netzwerken und Einrichtungen, die Oracle Cloud Infrastructure-Services ausführen.

Ihre Sicherheitszuständigkeiten sind auf dieser Seite beschrieben. Sie umfassen die folgenden Bereiche:

• Zugriffskontrolle: Beschränken Sie Berechtigungen so weit wie möglich. Benutzern sollte nur der erforderliche Zugriff zum Ausführen ihrer Aufgaben erteilt werden.
• Verschlüsselung und Vertraulichkeit: Verwenden Sie Verschlüsselungsschlüssel und Secrets, um Ihre Daten zu schützen und eine Verbindung zu gesicherten Ressourcen herzustellen. Drehen Sie diese Schlüssel regelmäßig.

Mit dieser Checkliste können Sie die Aufgaben identifizieren, die zum Sichern von Object Storage in einem neuen Oracle Cloud Infrastructure-Mandanten ausgeführt werden.

Nach den ersten Schritten mit Object Storage können Sie mit dieser Checkliste Sicherheitsaufgaben ermitteln, die Sie regelmäßig ausführen sollten.

Verwenden Sie Policys, um den Zugriff auf Object Storage einzuschränken.

Weisen Sie den Ressourcentypen in object-family (Buckets und Objekte) den geringsten privilegierten Zugriff zu. Beispiel: Mit dem Verb inspect können Sie prüfen, ob ein Bucket vorhanden ist (HeadBucket), und die Buckets in einem Compartment auflisten (ListBucket). Das Verb manage erteilt alle Berechtigungen für die Ressource.

Es wird empfohlen, einem Mindestset von IAM-Benutzern und -Gruppen DELETE-Berechtigungen zu erteilen. Diese Vorgehensweise minimiert den Datenverlust durch versehentliches Löschen durch autorisierte Benutzer oder durch böswillige Akteure. Erteilen Sie DELETE-Berechtigungen nur Mandanten- und Compartment-Administratoren.

In den folgenden Beispielen sind die Policys einem Mandanten zugeordnet. Wenn Sie jedoch einen Compartment-Namen angeben, wird der Geltungsbereich auf ein bestimmtes Compartment in einem Mandanten begrenzt.

ALLOW any-user TO manage objects IN TENANCY where all {target.bucket.name = 'test-bucket', target.object.name = 'prod/*', request.user.id='ocid1.user.oc1..exampleuniqueID'}

Allow group BucketUsers to use buckets in tenancy
 where target.bucket.name='BucketFoo'

Allow group BucketUsers to use buckets in tenancy
 where target.bucket.name=/ProjectA_*/

Allow group BucketUsers to read buckets in tenancy
Allow group BucketUsers to manage objects in tenancy
 where all {target.bucket.name='BucketFoo', 
            any {request.permission='OBJECT_INSPECT', 
                 request.permission='OBJECT_READ'}}

Allow group BucketUsers to read buckets in tenancy 
Allow group BucketUsers to manage objects in tenancy
 where all {target.bucket.name='BucketFoo', 
            any {request.permission='OBJECT_INSPECT', 
                 request.permission='OBJECT_CREATE'}}

Allow group BucketUsers to read buckets in tenancy
Allow group BucketUsers to manage objects in tenancy
 where all {target.bucket.tag.MyTagNamespace.TagKey='MyTagValue', 
            any {request.permission='OBJECT_INSPECT', 
                 request.permission='OBJECT_READ'}}

Allow group BucketUsers to read buckets in tenancy 
Allow group BucketUsers to manage objects in tenancy
 where all {request.principal.group.tag.MyTagNamespace.TagKey=target.bucket.tag.MyTagNamespace.TagKey, 
            any {request.permission='OBJECT_INSPECT', 
                 request.permission='OBJECT_CREATE'}}

Allow any-user to read object-family in compartment ObjectStorage where request.user.id ='ocid1.user.oc1..<user_OCID>'

Allow group CorporateUsers to manage object-family in tenancy where request.networkSource.name='corpnet'

Allow group BucketUsers to manage objects in tenancy
 where request.permission!='OBJECT_DELETE' 
Allow group BucketUsers to manage buckets in tenancy
 where request.permission!='BUCKET_DELETE'

Allow group BucketUsers to manage objects in tenancy
  where any {target.bucket.name!='BucketFoo', 
             all {target.bucket.name='BucketFoo',
                  request.permission!='OBJECT_DELETE'}}

Allow group BucketUsers to manage buckets in tenancy
Allow group BucketUsers to manage objects in tenancy

Allow group BucketUsers to manage buckets in tenancy
 where request.permission!='RETENTION_RULE_LOCK'
Allow group BucketUsers to manage objects in tenancy

Allow group BucketUsers to manage buckets in tenancy
 where any {request.permission='BUCKET_INSPECT', 
            request.permission='BUCKET_READ', 
            request.permission='PAR_MANAGE'}

Weitere Informationen zu Objektspeicher-Policys und zum Anzeigen weiterer Beispiele finden Sie unter Details zu Objektspeicher, Archivspeicher und Datenübertragung.

Sperren Sie neben dem Erstellen von IAM-Policys den Zugriff auf Object Storage mit Features wie vorab authentifizierten Anforderungen.

Aktivieren Sie Cloud Guard, und verwenden Sie es, um Sicherheitsprobleme in Object Storage zu erkennen und darauf zu reagieren.

Wenn ein Problem erkannt wird, schlägt Cloud Guard Korrekturmaßnahmen vor. Sie können Cloud Guard auch so konfigurieren, dass bestimmte Aktionen automatisch ausgeführt werden. Cloud Guard enthält die folgenden Detektorregeln für Object Storage.

• Bucket ist öffentlich
• Object Storage-Bucket ist mit einem von Oracle verwalteten Schlüssel verschlüsselt
• IAM-Kundenschlüssel erstellt

Eine Liste aller verfügbaren Detektorregeln in Cloud Guard finden Sie unter Detektorrezeptreferenz.

Aktivieren Sie Cloud Guard, falls noch nicht geschehen, und konfigurieren Sie es so, dass es die Compartments überwacht, die Ihre Ressourcen enthalten. Sie können Cloud Guard-Ziele konfigurieren, um den gesamten Mandanten (Root Compartment und alle Sub-Compartments) zu prüfen oder nur bestimmte Compartments zu prüfen. Siehe Erste Schritte mit Cloud Guard.

Nachdem Sie Cloud Guard aktiviert haben, können Sie erkannte Sicherheitsprobleme anzeigen und beheben. Siehe Gemeldete Probleme verarbeiten.

Durch die Verwendung von Sicherheitszonen wird sichergestellt, dass Ihre Ressourcen in Object Storage den Best Practices zur Sicherheit entsprechen.

Eine Sicherheitszone ist mit mindestens einem Compartment und einem Sicherheitszonenrezept verknüpft. Wenn Sie Ressourcen im Compartment einer Sicherheitszone erstellen und aktualisieren, validiert Oracle Cloud Infrastructure diese Vorgänge anhand der Liste der Sicherheitszonen-Policys im Rezept. Wenn eine Policy im Rezept verletzt wird, wird der Vorgang abgelehnt. Die folgenden Sicherheitszonen-Policys sind für Ressourcen in Object Storage verfügbar.

• deny public_buckets
• deny buckets_without_vault_key

Eine Liste aller Sicherheitszonen-Policys finden Sie unter Sicherheitszonen-Policys.

Um vorhandene Ressourcen in ein Compartment in einer Sicherheitszone zu verschieben, müssen die Ressourcen allen Sicherheitszonen-Policys im Rezept der Zone entsprechen. Ebenso können Ressourcen in einer Sicherheitszone nicht in ein Compartment außerhalb der Sicherheitszone verschoben werden, weil es möglicherweise weniger sicher ist. Siehe Sicherheitszonen verwalten.

Erstellen und rotieren Sie Verschlüsselungsschlüssel im Vault-Service, um Ihre Ressourcen in Object Storage zu schützen.

Alle Daten in Object Storage werden im Rest mit AES-256 verschlüsselt. Die Verschlüsselung ist standardmäßig aktiviert und kann nicht deaktiviert werden. Jedes Objekt wird mit seinem Verschlüsselungsschlüssel verschlüsselt, und die Objektverschlüsselungsschlüssel werden mit einem Masterverschlüsselungsschlüssel verschlüsselt.

Ein Vault ist eine logische Entity, in der die Verschlüsselungsschlüssel gespeichert werden, die Sie zum Schutz Ihrer Daten verwenden. Je nach Schutzmodus werden Schlüssel entweder auf dem Server gespeichert oder auf hochverfügbaren und dauerhaften Hardwaresicherheitsmodulen (HSMs) gespeichert. Unsere HSMs erfüllen die Sicherheitszertifizierung nach Federal Information Processing Standards (FIPS) 140-2 der Sicherheitsebene 3. Siehe Vaults verwalten und Schlüssel verwalten.

Obwohl Standardverschlüsselungsschlüssel automatisch generiert werden können, wenn Sie bestimmte Oracle Cloud Infrastructure-Ressourcen erstellen, wird empfohlen, dass Sie Ihre eigenen benutzerdefinierten Verschlüsselungsschlüssel im Vault-Service erstellen und verwalten.

Informationen zum Zuweisen eines benutzerdefinierten Verschlüsselungsschlüssels zu einem neuen oder einem vorhandenen Bucket finden Sie unter:

• Objektspeicher-Bucket erstellen
• Schlüssel einem Objektspeicher-Bucket zuweisen
• Datenverschlüsselungsschlüssel eines Objektspeicher-Buckets erneut verschlüsseln
• Object Storage-Objekte erneut verschlüsseln

Jedem Masterverschlüsselungsschlüssel wird automatisch eine Schlüsselversion zugewiesen. Wenn Sie einen Schlüssel rotieren, generiert der Vault-Service eine neue Schlüsselversion. Durch regelmäßiges Rotieren der Schlüssel wird die Datenmenge begrenzt, die von einer einzelnen Schlüsselversion verschlüsselt oder signiert wird. Wenn ein Schlüssel besteht, reduziert die Schlüsselrotation das Risiko für Ihre Daten. Siehe Schlüssel verwalten.

Es wird empfohlen, IAM-Policys zu verwenden, um die Erstellung, Rotation und Löschung von Verschlüsselungsschlüsseln streng zu begrenzen. Siehe Details zum Vault Service.

Sie können die clientseitige Verschlüsselung auch verwenden, um Objekte mit ihren Verschlüsselungsschlüsseln zu verschlüsseln, bevor sie in Object Storage-Buckets gespeichert werden. Kunden können die Amazon S3-Kompatibilitäts-API zusammen mit der clientseitigen Objektverschlüsselungsunterstützung im AWS-SDK für Java verwenden. Weitere Einzelheiten zu diesem SDK finden Sie unter Amazon S3-Kompatibilitäts-API .

Erstellen Sie regelmäßige Backups Ihrer Daten in Object Storage.

"Write once, read many" (WORM)-Compliance erfordert, dass Objekte nicht gelöscht oder geändert werden dürfen. Verwenden Sie Aufbewahrungsregeln, um WORM-Compliance zu erreichen. Aufbewahrungsregeln werden auf Bucket-Ebene konfiguriert und auf alle einzelnen Objekte im Bucket angewendet. Bei zeitgebundenen Regeln können Sie Objekte oder Objektmetadaten während der angegebenen Dauer nicht aktualisieren, überschreiben oder löschen. Bei unbegrenzten Regeln können Sie diese Aktionen erst ausführen, nachdem die Aufbewahrungsregel gelöscht wurde.

Eine unabhängige Bewertung der Fähigkeit der Object Storage-Aufbewahrungsregeln, gesetzliche Anforderungen zur Verwaltung und Aufbewahrung von Datensätzen zu erfüllen, finden Sie unter SEC 17a-4(f), FINRA 4511(c), CFTC 1.31(c)-(d) and MiFID II Compliance Assessment von Cohasset Associate.

Um die Integrität von Objektdaten zu prüfen, wird eine MD5-Prüfsumme für alle Objekte angegeben, die in Object Storage hochgeladen wurden. Darüber hinaus können Sie eine der folgenden optionalen Prüfsummen auf Objekte anwenden, die in Object Storage hochgeladen wurden:

MD5-Prüfsumme verwenden

Sie sollten sicherstellen, dass die Offline-MD5-Prüfsumme eines Objekts mit dem Prüfsummenwert übereinstimmt, der von der Konsole oder API nach dem Upload zurückgegeben wird. Oracle Cloud Infrastructure stellt den Objektprüfsummenwert in der base64-Codierung bereit. Um den base64-codierten Prüfsummenwert auf hexadezimal zu setzen, verwenden Sie den folgenden Befehl:

python -c 'print "BASE64-ENCODED-MD5-VALUE".decode("base64").encode("hex")'

Linux stellt ein md5sum-Befehlszeilenutility zur Berechnung des MD5-Prüfsummenwertes eines Objekts im hexadezimalen Format bereit.

MD5-Prüfsumme mit Multipart-Uploads verwenden

Object Storage unterstützt mehrteilige Uploads für effizientere und resilientere Uploadvorgänge, insbesondere für Large Objects. Bei einem Multipart-Upload werden Large Objects in kleinere Teile aufgeteilt, indem eine Teilgröße in MiB angegeben wird. Jeder Teil wird separat hochgeladen. Object Storage kombiniert dann alle Teile, um das ursprüngliche Objekt zu erstellen. Wenn Teile nicht hochgeladen werden können, muss der Upload nur für diese Teile wiederholt werden, nicht für das gesamte Objekt.

Bei einem Multipart-Upload werden die MD5-Prüfsummenwerte für jeden Teil berechnet, und eine MD5-Prüfsumme wird über alle einzelnen Prüfsummenwerte berechnet, um den Ausgabewert MD5 abzurufen. Um zu prüfen, ob der Wert MD5 für einen Multipart-Upload zurückgegeben wurde, befolgen Sie den Prozess für die Offlineberechnung der MD5-Prüfsumme. Ein Beispielskript für die Offlineberechnung eines MD5-Prüfsummenwerts für einen mehrteiligen Upload in Object Storage ist hier verfügbar: https://gist.github.com/itemir/f5bc9fded6483cd79c89ebf4ca1cfd30.

Prüfsumme SHA256 oder SHA384 verwenden

Einige Branchen haben regulatorische Anforderungen, um eine Prüfsummenmethode zu verwenden, die als stärker gilt als MD5. Diese Anforderungen erfordern häufig explizit SHA256 oder SHA384. Sie können den Algorithmus auswählen, der für das Compliance-System erforderlich ist. Beachten Sie, dass das Vorhandensein von MD5 nicht als unsicher oder nicht konform angesehen wird. Das Hinzufügen einer weiteren Prüfsummenmethode bietet eine zusätzliche Integritätsprüfung. Es wird erwartet, dass das Hinzufügen eines der SHA-Prüfsummentypen diese Anforderungen erfüllt.

~ echo "Test" | openssl dgst -sha256 -binary | base64
ydBMlWX8ZlyAaB+x2CmTgCaHH2bhT1AeCFMd9mk4p4k=

~ echo "Test" | openssl dgst -sha384 -binary | base64
B6T9J1V45Pkr3wb9V8ioT3u/WNk2zCkY4lAKZ3wYXfDUe2ImwIpVK8O42uUOANY2

CRC32C-Prüfsumme verwenden

Sie können die auf einem lokalen Speichersystem berechnete Prüfsumme mit der von Object Storage berechneten vergleichen. Dies ist mit Multipart-Uploads schwierig, da die berechnete Prüfsumme von der genauen Größe jedes Teils abhängt, was auf verschiedenen Systemen (oder mit verschiedenen Uploadeinstellungen) unterschiedlich sein kann.

Der Prüfsummentyp CRC32C gibt dieselbe Prüfsumme für dasselbe Objekt zurück, unabhängig davon, wie es hochgeladen wird. Dadurch können Kunden die von Object Storage berechnete CRC32C-Prüfsumme mit der vom lokalen Speicher oder anderen Clouds berechneten CRC32C-Prüfsumme vergleichen, unabhängig von den Einstellungen für den mehrteiligen Upload.

Zusätzliche Prüfsummentypen verwenden

Sie können pro hochgeladenem Objekt nur einen zusätzlichen Prüfsummentyp verwenden. MD5-Prüfsummen werden immer für jedes Objekt berechnet. Wenn Sie einen zusätzlichen Prüfsummentyp verwenden, können GET- und PUT-Befehle etwas längere Latenzzeit zum Abschließen haben, im Vergleich zu einem GET oder PUT für dasselbe Objekt ohne den zusätzlichen Prüfsummentyp.

Sichern Sie den Netzwerkzugriff auf Ihre Ressourcen in Object Storage.

Bei der Übertragung zwischen Kundenclients (z.B. SDKs und CLIs) und öffentlichen Object Storage-Endpunkten werden Daten standardmäßig mit TLS 1.2 verschlüsselt. FastConnect Public Peering ermöglicht On-Premise-Zugriff auf Object Storage über ein privates Netzwerk und nicht über das öffentliche Internet. Siehe Zugriff auf Ihr On-Premise-Netzwerk.

Suchen Sie Zugriffslogs und andere Sicherheitsdaten für Object Storage.

Der Audit-Service zeichnet automatisch alle API-Aufrufe an Oracle Cloud Infrastructure-Ressourcen auf. Sie können Ihre Sicherheits- und Complianceziele erreichen, indem Sie mit dem Audit-Service alle Benutzeraktivitäten in Ihrem Mandanten überwachen. Da alle Konsolen-, SDK- und Befehlszeilenaufrufe über unsere APIs laufen, werden alle Aktivitäten aus diesen Quellen einbezogen. Auditdatensätze sind über eine authentifizierte, filterbare Abfrage-API verfügbar, oder sie können als in Batches verwendete Dateien aus Object Storage abgerufen werden. Zu den Inhalten des Auditlogs gehören die aufgetretenen Aktivitäten, der Benutzer, der diese initiiert hat, Datum und Uhrzeit der Anforderung sowie Quell-IP, Benutzer-Agent und HTTP-Header der Anforderung. Siehe Auditlogereignisse anzeigen.

{
  "datetime": 1642104527377,
  "logContent": {
    "data": {
      "additionalDetails": {
        "namespace": "mytenancy"
      },
      "availabilityDomain": "PHX-AD-1",
      "compartmentId": "ocid1.compartment.oc1..<unique_id>",
      "compartmentName": "mycompartment",
      "definedTags": null,
      "eventGroupingId": "<unique_id>",
      "eventName": "ListBuckets",
      "freeformTags": null,
      "identity": {
        "authType": null,
        "callerId": null,
        "callerName": null,
        "consoleSessionId": null,
        "credentials": "<key>",
        "ipAddress": "<ip_address>",
        "principalId": "<user_id>",
        "principalName": "<user_name>",
        "tenantId": "ocid1.tenancy.oc1..<unique_id>",
        "userAgent": "Oracle-JavaSDK/1.37.1 (Linux/4.14.35-2047.509.2.2.el7uek.x86_64; Java/1.8.0_301; Java HotSpot(TM) 64-Bit Server VM GraalVM EE 20.3.3/25.301-b09-jvmci-20.3-b18)"
      },
      "message": "List of buckets retrieved.",
      "request": {
        "action": "GET",
        "headers": {
          "Accept": [
            "application/json"
          ],
          "Connection": [
            "keep-alive"
          ],
          "User-Agent": [
            "Oracle-JavaSDK/1.37.1 (Linux/4.14.35-2047.509.2.2.el7uek.x86_64; Java/1.8.0_301; Java HotSpot(TM) 64-Bit Server VM GraalVM EE 20.3.3/25.301-b09-jvmci-20.3-b18)"
          ],
          "authorization": [
            "Signature headers=\"date (request-target) host\",keyId=\"<key>"
          ],
          "date": [
            "Thu, 13 Jan 2022 20:08:47 GMT"
          ],
          "opc-client-info": [
            "Oracle-JavaSDK/1.37.1"
          ],
          "opc-request-id": [
            "<unique_id>"
          ]
        },
        "id": "<unique_id>",
        "parameters": {
          "compartmentId": [
            "ocid1.compartment.oc1..<unique_id>"
          ],
          "fields": [
            "tags"
          ],
          "limit": [
            "1000"
          ],
          "param0": [
            "mytenancy"
          ]
        },
        "path": "/n/mytenancy/b?compartmentId=ocid1.compartment.oc1..<unique_id>&limit=1000&fields=tags"
      },
      "resourceId": "/n/mytenancy/b?compartmentId=ocid1.compartment.oc1..<unique_id>&limit=1000&fields=tags",
      "response": {
        "headers": {
          "Content-Length": [
            "2"
          ],
          "Content-Type": [
            "application/json"
          ],
          "access-control-allow-credentials": [
            "true"
          ],
          "access-control-allow-methods": [
            "POST,PUT,GET,HEAD,DELETE,OPTIONS"
          ],
          "access-control-allow-origin": [
            "*"
          ],
          "access-control-expose-headers": [
            "access-control-allow-credentials,access-control-allow-methods,access-control-allow-origin,content-length,content-type,date,opc-client-info,opc-request-id,x-api-id"
          ],
          "date": [
            "Thu, 13 Jan 2022 20:08:47 GMT"
          ],
          "opc-request-id": [
            "<unique_id>"
          ],
          "x-api-id": [
            "native"
          ]
        },
        "message": null,
        "payload": {
          "id": "/n/mytenancy/b?compartmentId=ocid1.compartment.oc1..<unique_id>&limit=1000&fields=tags",
          "resourceName": "/n/mytenancy/b?compartmentId=ocid1.compartment.oc1..<unique_id>&limit=1000&fields=tags"
        },
        "responseTime": "2022-01-13T20:08:47.377Z",
        "status": "200"
      },
      "stateChange": null
    },
    "dataschema": "2.0",
    "id": "<unique_id>",
    "oracle": {
      "compartmentid": "ocid1.compartment.oc1..<unique_id>",
      "ingestedtime": "2022-01-13T20:08:49.384Z",
      "loggroupid": "_Audit",
      "tenantid": "ocid1.tenancy.oc1..<unique_id>"
    },
    "source": "/n/mytenancy/b?compartmentId=ocid1.compartment.oc1..<unique_id>&limit=1000&fields=tags",
    "specversion": "1.0",
    "time": "2022-01-13T20:08:47.377Z",
    "type": "com.oraclecloud.objectstorage.listbuckets"
  }
}

Wenn Sie Cloud Guard in Ihrem Mandanten aktiviert haben, werden alle Benutzeraktivitäten gemeldet, die potenzielle Sicherheitsbedenken darstellen. Wenn ein Problem erkannt wird, schlägt Cloud Guard Korrekturmaßnahmen vor. Sie können Cloud Guard auch so konfigurieren, dass bestimmte Aktionen automatisch ausgeführt werden. Siehe Erste Schritte mit Cloud Guard und Gemeldete Probleme verarbeiten.