Überblick über Zero Trust Packet Routing

Mit Zero Trust Packet Routing (ZPR) können Sie Sicherheitsattribut-Namespaces erstellen, um Sicherheitsattribute zu organisieren, die Sie erstellen, um den Ressourcen zuzuweisen, die Sie schützen möchten, wie Datenbanken und Compute-Instanzen. Anschließend erstellen Sie mit den Sicherheitsattributen ZPR-Policys mit der Zero Trust Packet Routing Policy Language (ZPL), um Sicherheitsabsichten darüber auszudrücken, wer auf diese Ressourcen zugreifen kann und wohin die Daten gehen können. Die Policy Engine kompiliert das Intent in geeigneten Regeln, die an Policy Enforcement Points angewendet werden.

Zum Beispiel möchte ein Kunde seine sensiblen Daten vor unbefugtem Zugriff und Exfiltration schützen. Der Kunde wendet ein data:sensitive-Sicherheitsattribut auf seine in Datenbanken gespeicherten sensiblen Daten und ein hosts:trusted-Sicherheitsattribut auf seine Frontend-Anwendungen an. Der Kunde schreibt dann eine ZPR-Richtlinie, mit der die Daten vor unbefugtem Zugriff geschützt werden.

in networks:internal VCN allow hosts:trusted endpoints to connect to data:sensitive endpoints

ZPR erzwingt die ZPR-Policy auf Netzwerkebene, sodass nur Clients mit dem entsprechenden Sicherheitsattribut hosts:trusted auf Daten mit dem Sicherheitsattribut data:sensitive gemäß der ZPR-Policy zugreifen können.

Wenn ein Client eine Anforderung an die Anwendungsserver stellt, prüft ZPR die Netzwerkpakete auf Sicherheitsattribute. Während die Pakete durch das Netzwerk geleitet werden, prüft der Service die Sicherheitsattribute sowohl in der Quelle als auch im Ziel anhand der ZPR-Richtlinie und blockiert entweder die Anforderung oder lässt die Anforderung basierend auf der ZPR-Richtlinie zu.

Die folgenden Konzepte sind der Schlüssel zum Verständnis des Zero Trust Packet Routing-(ZPR-)Service.

Sicherheitsattribut

Ein Label, das in der ZPR-Policy referenziert werden kann, um den Zugriff auf unterstützte Ressourcen zu kontrollieren.

Sicherheitsattribut-Namespace

Ein Container für eine Gruppe von Sicherheitsattributen.

ZPR-Policy

Eine Regel, mit der die Kommunikation zwischen bestimmten Endpunkten gesteuert wird, die durch ihre Sicherheitsattribute identifiziert werden.

ZPR-Richtliniensprache (ZPL)

Eine Sprache, in der autorisierte Datenflüsse zwischen Datenquellen durch Auswertung von Sicherheitsattributen definiert werden.

Auf Zero Trust Packet Routing (ZPR) können Sie über die Konsole (eine browserbasierte Schnittstelle), die Befehlszeilenschnittstelle (CLI) oder die REST-API zugreifen. Anweisungen für die Konsole, CLI und API sind in verschiedenen Themen in dieser Dokumentation enthalten.

Um auf die Konsole zuzugreifen, müssen Sie einen unterstützten Browser verwenden. Um zur Anmeldeseite der Konsole zu wechseln, öffnen Sie das Navigationsmenü oben auf dieser Seite, und klicken Sie auf Oracle Cloud-Konsole. Sie werden aufgefordert, einen Cloud-Mandanten, einen Benutzernamen und ein Kennwort einzugeben.

Eine Liste der verfügbaren SDKs finden Sie unter SDKs und die CLI. Allgemeine Informationen zur Verwendung der APIs finden Sie in der REST-API-Dokumentation.

Erfahren Sie mehr über die Limits pro Ressource für Sicherheitsattribute und die Zeichen, die in Sicherheitsattributzeichenfolgen unterstützt werden.

• Sicherheitsattribute pro Mandant: unbegrenzt
• Sicherheitsattribute pro VCN: 1
• Sicherheitsattribute pro Ressource (außer VCNs): 3
• Anzahl der vordefinierten Werte für einen Sicherheitsattributschlüssel: 100 pro Liste
• Anweisungen pro Policy-Objekt: 50
• Standard-Policy-Objekte pro Mandant: 100
• Anweisungen pro Mandant (für alle Policy-Objekte): 1000

In der folgenden Tabelle sind Ressourcen aufgeführt, die Sicherheitsattribute für Zero Trust Packet Routing (ZPR) unterstützen. Diese Tabelle wird aktualisiert, wenn Sicherheitsattributunterstützung für weitere Ressourcen hinzugefügt wird.

Zero Trust Packet Routing-(ZPR-)Policys sind mit vorhandenen OCI IAM-Policys koexistiert, um einen umfassenderen Sicherheitsstatus zu bieten.

ZPR-Policys und IAM-Policys unterscheiden sich wie folgt:

• Die ZPR-Policy ist ein Steuerelement auf Netzwerkebene (L4), das ähnlich wie Netzwerksicherheitsgruppen (NSG) und Sicherheitslisten ist und Verbindungen zwischen Compute-Instanzen und Datenbanken in einem Mandanten definiert.
• Die IAM-Policy ist eine Policy-Sprache auf Anwendungsebene (L7), die steuert, welche Principals (Gruppen oder Resource Principals) mit bestimmten Berechtigungen auf welche OCI-Ressourcen zugreifen können, nachdem eine Netzwerkschichtverbindung hergestellt wurde.

Der größte Unterschied zwischen der ZPR-Policy und der IAM-Policy besteht darin, dass die ZPR-Policy den Netzwerkaspekt einer Verbindung behandelt, nämlich die Sicherheitsattribute der Quelle und der Ziele (Compute oder Datenbank), die IP-Adresse, das Protokoll und den Port. Die ZPR-Policy versteht oder wertet den Principal, die OCI-Ressourcentypen oder die Berechtigungen nicht aus.

Mit der OCI-Autorisierung, z.B. wenn ein Benutzer eine vorhandene Datenbankinstanz löschen möchte, meldet er sich mit einem OCI-Benutzernamen und -Kennwort bei der OCI-Konsole an (oder verwendet die CLI oder das SDK), und geben Sie den Befehl zum Löschen der OCI-Ressource (Datenbank) aus. An dieser Stelle wird die OCI-IAM-Policy verwendet, um zu entscheiden, ob der Benutzer basierend auf der IAM-Policy über Berechtigungen zum Ausführen dieser Aktion verfügt.

Sowohl die IAM-Policy als auch die ZPR-Policy sind wichtig, und beide können verwendet werden, um einen vollständigeren Sicherheitsstatus zu bieten.

Mit einer Sicherheitsliste können Sie ein Set von Sicherheitsregeln definieren und auf alle Ressourcen in einem einzelnen VCN oder Subnetz eines VCN anwenden. Eine Compute-Instanz oder eine andere Ressource kann die Regeln für das Subnetz oder das VCN, das sie für die Konnektivität verwendet, weder aktivieren noch deaktivieren. Weitere Einzelheiten zu Sicherheitslisten finden Sie unter Sicherheitslisten.

Mit einer Netzwerksicherheitsgruppe (NSG) können Sie ein Set von Sicherheitsregeln definieren und auf eine Gruppe ausgewählter virtueller Netzwerkkarten (VNICs) in einem VCN anwenden. Die VNICs können sich in verschiedenen Subnetzen befinden, und einige VNICs in einem Subnetz können nur eine Sicherheitsliste verwenden, während andere sowohl eine Sicherheitsliste als auch eine NSG verwenden. Eine NSG verwendet Regeln, die in ihrer Struktur mit Sicherheitslisten übereinstimmen. Eine VNIC kann so festgelegt werden, dass sie einer NSG auf der Seite mit den Verwaltungsdetails der VNIC in der Konsole beitritt oder diese verlässt. Sie können jedoch keine VNIC auf der Verwaltungsseite der NSG in der Konsole hinzufügen oder entfernen. Weitere Information zu NSGs finden Sie unter Netzwerksicherheitsgruppen. Einen detaillierteren Vergleich von Sicherheitslisten und NSGs finden Sie unter Vergleich von Sicherheitslisten und Netzwerksicherheitsgruppen.

Mit der ZPR-Policy können Sie ein Set von Sicherheitsregeln definieren und auf eine größere Vielfalt von Ressourcen anwenden, die nicht unbedingt alle in einem einzelnen VCN vorhanden sind. Daher ist Ihr Sicherheitsstatus noch weniger an die Struktur Ihres Netzwerks gebunden. Die möglichen Regeln können detaillierter und komplexer sein und die von NSGs und Sicherheitslisten verwendete Struktur nicht gemeinsam verwenden. Sie können eine Ressource so einstellen, dass sie eine ZPR-Policy verwendet, indem Sie ihr auf der Seite "Geschützte Ressourcen" in der Konsole ein Sicherheitsattribut hinzufügen. Alternativ können Sie eine Ressource auf der Detailseite der ZPR-Policy in der Konsole hinzufügen oder entfernen.

Mit ZPR-Policys können Sie Sicherheitsattribute direkt auf die VNIC oder andere Ressourcen anwenden, die Sie verwalten und definieren ZPR-Policys, die auf die folgenden Elemente verweisen:

• Sicherheitsattribute
• Der Host, der die Anfrage stellt
• Das Netzwerk, in dem die Anforderung ausgeführt wird
• Gibt an, ob eine Aktion zulässig ist

Traffic, der von der Policy nicht zulässig ist, kann nicht im Netzwerk übertragen werden. Jede Ressource, auf die das Sicherheitsattribut angewendet wird, unterliegt den ZPR-Policys, die es referenzieren. Eine Ressource kann maximal drei Sicherheitsattribute aufweisen.

Wir empfehlen die Verwendung von ZPR, da Sie mit ZPR detailliertere Sicherheitsanforderungen definieren können. Weitere Informationen finden Sie unter Wenn Sie Zero Trust Packet Routing mit anderen Sicherheitsmethoden verwenden.

Wenn Sie Zero Trust Packet Routing mit anderen Sicherheitsmethoden verwenden

Jede VNIC oder jeder Endpunkt muss über VCN- oder Subnetzsicherheitslistenregeln verfügen, mit denen sie kommunizieren kann. Eine NSG kann zusätzlich zu den Sicherheitslistenregeln für ausgewählte Ressourcen an einer beliebigen Stelle in einem VCN weitere Regeln hinzufügen. Eine ZPR-Policy kann sowohl über Sicherheitslisten als auch über NSG-Regeln geschichtet werden, oder die ZPR-Policy kann zusätzlich zu einer Sicherheitsliste allein erfolgen.

Das folgende Diagramm ist eine Darstellung der Idee.

Wenn Sie ZPR mit NSGs und Sicherheitslisten verwenden, umfassen die Regeln, die für eine bestimmte Ressource gelten, die folgenden Elemente:

• Zero Trust Packet Routing-Richtlinien
• Sicherheitsregeln in allen NSGs, zu denen die VNIC der Ressource gehört
• In der Sicherheit werden Regeln aufgelistet, die für alle VNICs oder Endpunkte im VCN oder Subnetz relevant sind (jede VNIC oder jeder Endpunkt hat mindestens eine relevante Sicherheitsliste)