Sicherheitsfeatures in Autonomous AI Database on Dedicated Exadata Infrastructure

In diesem Artikel werden die wichtigsten Sicherheitsfeatures in Autonomous AI Database on Dedicated Exadata Infrastructure beschrieben.

Beachten Sie, dass in diesem Abschnitt der Begriff "Sie" allgemein verwendet wird, um jeden Administrator in Ihrer Organisation zu bezeichnen, der für die Ausführung bestimmter Aufgaben verantwortlich ist. In einigen Fällen ist dies der Flottenadministrator, in anderen Fällen der Datenbankadministrator.

Neben den Standardsicherheitsfunktionen der Oracle AI Database, wie Berechtigungsanalyse, Netzwerkverschlüsselung, zentral verwaltete Benutzer, sichere Anwendungsrollen, transparenter Schutz sensibler Daten und andere, fügt eine dedizierte autonome KI-Datenbank Database Database Vault, Data Safe und andere erweiterte Sicherheitsfunktionen ohne zusätzliche Kosten hinzu.

Die folgenden Bausteine für die wichtigsten Sicherheitsfeatures einer dedizierten autonomen KI-Datenbank werden angezeigt.

Beschreibung der Abbildung adbd-security-features.svg

Konfigurationsverwaltung

Basierend auf Oracle Cloud Infrastructure bietet Autonomous AI Database standardisierte und erprobte Sicherheitskonfigurationen, sodass Sie und Ihr Team die Konfigurationen Ihrer autonomen KI-Datenbankflotte mit geringem Aufwand verwalten können. Alle Service-Accounts wie SYS und System werden alle 90 Tage rotiert. Weitere Informationen finden Sie unter Konfigurationsmanagement in autonomer KI-Datenbank.

Sicherheitspatches und -updates werden automatisch ausgeführt, sodass Sie sich keine Gedanken um die Aktualisierung der Sicherheit machen müssen. Diese Funktionen schützen Ihre hochempfindlichen Datenbanken und Daten vor kostspieligen und potentiell katastrophalen Sicherheitslücken und -verletzungen. Weitere Informationen finden Sie unter Servicewartung der dedizierten autonomen KI-Datenbank.

Datenverschlüsselung

Autonomous AI Database speichert alle Daten in verschlüsseltem Format in der Oracle Database. Nur authentifizierte Benutzer und Anwendungen können auf die Daten zugreifen, wenn sie eine Verbindung zur Datenbank herstellen.

Autonomous AI Database nutzt immer aktivierten Schutz, mit der Daten im Ruhezustand und bei der Übertragung geschützt sind. Alle in Oracle Cloud gespeicherten Daten sowie die zugehörige Netzwerkkommunikation sind standardmäßig verschlüsselt. Die Verschlüsselung kann nicht deaktiviert werden.

Weitere Informationen zur Datenverschlüsselung und zu Masterverschlüsselungsschlüsseln finden Sie unter Datenverschlüsselung in dedizierter autonomer KI-Datenbank.

Audits durchführen

Oracle Autonomous AI Database on Dedicated Exadata Infrastructure bietet robuste Auditingfunktionen, mit deren Hilfe Sie nachverfolgen können, wer welche Aktionen im Service und auf bestimmten Datenbanken ausgeführt hat. Mit umfassenden Logdaten können Sie Aktionen an Ihren Ressourcen auditieren und überwachen. So können Sie Ihre Auditanforderungen erfüllen und gleichzeitig das Sicherheits- und Betriebsrisiko reduzieren.

Weitere Informationen finden Sie unter Auditingfunktionen in einer dedizierten autonomen KI-Datenbank.

Zugriffskontrolle

Bei der Konfiguration des Features "Dedizierte Exadata-Infrastruktur" müssen Sie sicherstellen, dass Ihre Cloud-Benutzer nur die zum Ausführen ihrer Jobaufgaben erforderlichen Cloud-Ressourcen verwenden und erstellen können. Darüber hinaus müssen Sie sicherstellen, dass nur autorisierte Mitarbeiter und Anwendungen Zugriff auf die autonomen KI-Datenbanken haben, die in der dedizierten Infrastruktur erstellt wurden. Andernfalls besteht die Gefahr einer unkontrollierten Nutzung Ihrer dedizierten Infrastrukturressourcen oder unfugter Zugriffe auf geschäftskritische Daten.

Die Sicherung des Zugriffs auf Ihre Daten und die Datenbanken, in denen sie enthalten sind, umfasst verschiedene Arten der Zugriffskontrolle. Weitere Informationen finden Sie unter Zugriffskontrolle in einer dedizierten autonomen KI-Datenbank.

Verwaltung von Zertifikaten

Wenn ein Client versucht, über einen TCPS-(Secure TCP-)Datenbankverbindungsservice eine Verbindung zu einer autonomen KI-Datenbank herzustellen, verwendet Oracle Autonomous AI Database on Dedicated Exadata Infrastructure die zertifikatbasierte Standardauthentifizierung TLS 1.2 und TLS 1.3 zur Authentifizierung der Verbindung. TLS 1.3 wird jedoch nur auf Oracle AI Database 23ai oder höher unterstützt. Unabhängig davon, ob der Client versucht, über einen TCPS- oder TCP-Datenbankverbindungsservice eine Verbindung herzustellen, wird der Zugriff des Client auf die Datenbank durch die Zugriffsrechte des Datenbankbenutzers eingeschränkt, den der Client für eine Verbindung verwendet.

Von Oracle verwaltetes selbstsigniertes Zertifikat

Standardmäßig verwendet Autonomous AI Database selbstsignierte Zertifikate. Ein selbstsigniertes Zertifikat ist ein vom System generiertes Sicherheitszertifikat.

Zertifikatsgenerierung

Von Oracle verwaltete selbstsignierte Zertifikate werden beim Provisioning eines autonomen Exadata-VM-Clusters (AVMC) automatisch generiert und auf alle in diesem AVMC erstellten Datenbanken angewendet.

Zertifikatsverwaltung

Selbstsignierte Zertifikate werden automatisch generiert und einem AVMC zugeordnet. Sie müssen jedoch das Client-Wallet der autonomen KI-Datenbank herunterladen, bevor Sie eine Verbindung zu Ihren Datenbanken herstellen. Bei selbstsignierten Zertifikaten ist die Verbindung zu Datenbanken ohne Wallet keine Option. Anweisungen zum Herunterladen eines Wallets für die Datenbank finden Sie unter Clientzugangsdaten herunterladen.

Je nach Anforderung ist einer der folgenden Zertifikatstypen mit Ihrem AVMC verknüpft:

Zertifikatsrotation

Um die Sicherheitscomplianceanforderungen Ihres Unternehmens zu erfüllen, können Sie die von Oracle verwalteten selbstsignierten Zertifikate mit der Oracle Cloud Infrastructure-(OCI-)Konsole oder -API rotieren. Schritt-für-Schritt-Anweisungen finden Sie unter Sicherheitszertifikate für eine autonome Exadata-VM-Clusterressource verwalten. Dies wird Zertifikatsrotation genannt.

Für neu bereitgestellte autonome Exadata-VM-Cluster-(AVMC-)Ressourcen haben selbstsignierte von Oracle verwaltete Zertifikate eine Gültigkeit von 13 Monaten ab ihrer Erstellung. Wenn Sie ein SSL-Zertifikat mit der Konsole oder API rotieren, werden sowohl die serverseitigen als auch die clientseitigen Zertifikate rotiert, und die Gültigkeit wird auf 13 Monate zurückgesetzt. Wenn ein von Oracle verwaltetes serverseitiges oder clientseitiges Zertifikat nicht vor Ablauf rotiert wird, rotiert Oracle sie automatisch und generiert neue Wallets.

Bei Datenbank-SSL-Zertifikaten wird das vorhandene Zertifikat nicht sofort durch die Zertifikatsrotation invalidiert.

Innerhalb von zwei Wochen nach der Zertifikatsrotation können Sie mit dem Client-Wallet der autonomen KI-Datenbank, das Sie vor oder nach der Zertifikatsrotation heruntergeladen haben, eine Verbindung zu Ihren Datenbanken herstellen.

Nach zwei Wochen nach der Zertifikatsrotation:

Besprechen wir dies mit einem Beispiel:

Betrachten Sie, dass ein SSL-Zertifikat, z. B. C1, abläuft und Sie dieses Zertifikat am 1. Februar rotiert haben. Für zwei Wochen ab dem 1. Februar, dass bis zum 14. Februar das alte Zertifikat (C1) noch verwendet werden kann. Sie können entweder das alte Zertifikat (C1) weiter verwenden oder ein neues Datenbank-Wallet für das rotierte Zertifikat (C2) für Ihre Datenbankverbindungen herunterladen. Nach zwei Wochen ab dem 1. Februar, d.h. ab dem 14. Februar, wird das alte Zertifikat (C1) invalidiert und kann nicht für Datenbankverbindungen verwendet werden. Sie können das Datenbank-Wallet, das Sie nach der Zertifikatsrotation (C2) heruntergeladen haben, während dieser zwei Wochen weiter verwenden. Sie können auch ein neues Datenbank-Wallet herunterladen und nach zwei Wochen nach der Rotation für Ihre Datenbankverbindungen verwenden.

Sie können ein Datenbank-SSL-Zertifikat auch innerhalb von zwei Wochen aus der letzten Rotation rotieren. In diesem Szenario wird das alte Zertifikat (um aufgrund der ersten Rotation invalidiert zu werden) sofort deaktiviert. Das nächste Zertifikat (aus der ersten Rotation resultierend) bleibt aktiv, und ein drittes Zertifikat (aus der zweiten Rotation resultierend) wartet zwei Wochen nach der zweiten Rotation auf die Aktivierung. Jedes vor der ersten Rotation heruntergeladene Datenbank-Wallet wird kurz nach der zweiten Rotation invalidiert. Sie können die Verbindung zur Datenbank mit jedem Datenbank-Wallet fortsetzen, das nach der ersten Rotation heruntergeladen wurde, bis zwei Wochen nach der zweiten Rotation. Nach Abschluss von zwei Wochen nach der zweiten Rotation können Sie nur eine Verbindung zu Ihren Datenbanken herstellen, indem Sie ein Client-Wallet verwenden, das nach der zweiten Rotation heruntergeladen wurde, d.h. ein Wallet, das innerhalb von zwei Wochen nach der zweiten Rotation oder später heruntergeladen wurde.

Wenn Sie im obigen Beispiel dasselbe Zertifikat (C1) innerhalb von zwei Wochen ab dem 1. Februar erneut rotieren, wird das Zertifikat doppelt rotiert. In diesem Fall wird das alte Zertifikat (Zertifikat vor der ersten Rotation, d.h. C1) sofort invalidiert. Das Zertifikat, das sich aus der ersten Rotation (C2) ergibt, bleibt aktiv, und ein drittes Zertifikat, das sich aus der zweiten Rotation ergibt, z.B. C3, wartet zwei Wochen nach der zweiten Rotation auf die Aktivierung. Nach zwei Wochen nach der zweiten Rotation wird das Zertifikat, das sich aus der ersten Rotation (C2) ergibt, ebenfalls invalidiert und Datenbank-Wallets, die vor der zweiten Rotation heruntergeladen wurden, können nicht für Datenbankverbindungen verwendet werden. Sie können das Datenbank-Wallet, das Sie nach der Zertifikatsrotation (C3) heruntergeladen haben, während dieser zwei Wochen weiter verwenden. Sie können auch ein neues Datenbank-Wallet herunterladen und nach zwei Wochen ab der zweiten Rotation für Ihre Datenbankverbindungen verwenden.

Bei ORDS-SSL-Zertifikaten gehen alle vorhandenen Anwendungsverbindungen mit der Zertifikatsrotation verloren, und Sie sollten ORDS neu starten. Die oben beschriebene Zwei-Wochen-Pufferperiode gilt nicht, wenn Sie ein ORDS-SSL-Zertifikat rotieren.

Bring Your Own Zertifikat (BYOC)

Mit Bring Your Own Certificate (BYOC) können Sie Ihr CA-signiertes serverseitiges Zertifikat mit Ihren autonomen KI-Datenbanken verwenden.

Zertifikatsgenerierung

Um Ihr eigenes Zertifikat zu verwenden, müssen Sie das Zertifikat zuerst mit dem Oracle Cloud Infrastructure-(OCI-)Zertifikatsservice erstellen, wie unter Zertifikat erstellen gezeigt. Diese Zertifikate müssen signiert sein und das PEM-Format aufweisen. Die Dateierweiterung muss also .pem, .cer oder .crt lauten.

Zertifikatsinstallation

Nachdem Sie das CA-signierte serverseitige Zertifikat erstellt haben, müssen Sie es mit Ihrem AVMC installieren, damit alle darin erstellten Datenbanken dieses Zertifikat für sichere Verbindungen verwenden können. Das Verknüpfen Ihres BYOC-Zertifikats mit einem AVMC wird über das Dialogfeld Zertifikate verwalten in der OCI-Konsole erleichtert. Wählen Sie in diesem Dialogfeld Eigenes Zertifikat bereithalten aus, und wählen Sie das Zertifikat aus, das Sie zuvor in der Auswahlliste erstellt hätten. Optional können Sie auch ein CA-Zertifikat mit Certificate Authority und CA-Bundle angeben. Wenn Sie jedoch ein CA-Bundle für ein ORDS-SSL-Zertifikat auswählen, darf das Bundle nur Zertifikate enthalten, die Teil der Zertifikatskette sind. Schritt-für-Schritt-Anweisungen finden Sie unter Sicherheitszertifikate für eine autonome Exadata-VM-Clusterressource verwalten.

Zertifikatsverwaltung

Sie können eine Verbindung zu autonomen KI-Datenbanken herstellen, die mit einer CA-signierten Serverseite mit oder ohne ein Autonomous AI Database-Client-Wallet verknüpft sind.

Zertifikatsrotation

Um die Sicherheitscomplianceanforderungen Ihrer Organisation zu erfüllen, können Sie die von der CA signierten serverseitigen Zertifikate mit der Oracle Cloud Infrastructure-(OCI-)Konsole oder -API rotieren. Schritt-für-Schritt-Anweisungen finden Sie unter Sicherheitszertifikate für eine autonome Exadata-VM-Clusterressource verwalten.

Sie müssen sie vor ihrem Ablaufdatum rotieren, da die Datenbanken auf diesem AVMC erst dann auf TLS-Ports erreichbar sind, wenn Sie ein gültiges Zertifikat angeben. Sie können jedoch weiterhin auf die Datenbanken auf einem Nicht-TLS-Port wie 1521 zugreifen.

Zertifikatsereignisse

Die folgenden Ereignisse werden zur Verwaltung von Sicherheitszertifikaten veröffentlicht:

Ereignis Wird generiert, wenn
sslcertificateexpiry.reminder Ein autonomes Exadata-VM-Cluster feststellt, dass ein Wallet in weniger als sechs (6) Wochen ablaufen soll. Dieses Ereignis wird höchstens einmal pro Woche gemeldet. Dieses Ereignis wird ausgelöst, wenn eine Verbindung vorhanden ist, die das ablaufende Wallet verwendet.
sslcertificate.expired Das SSL-Zertifikat läuft ab. Alle autonomen AI-Datenbank-Wallets für dieses autonome Exadata-VM-Cluster laufen ab.
sslcertificaterotation.erinnerung Ein SSL-Zertifikat ist älter als 365 Tage und empfiehlt dem Kunden, das Zertifikat zu rotieren. Nachdem ein SSL-Zertifikat 365 Tage überschritten hat, wird diese Erinnerung einmal pro Woche angezeigt, bis es rotiert wird.
sslcertificate.rotiert Das SSL-Zertifikat wird entweder manuell (mit der Oracle Cloud Infrastructure-Konsole oder -API) oder automatisch nach Ablauf des Zertifikats rotiert.

Tipp: Abonnieren Sie diese Ereignisse mit dem OCI Notifications-Service, um sie zu erhalten, wann immer sie veröffentlicht werden. Weitere Informationen finden Sie unter Abonnement erstellen.

Eine umfassende Liste der Ereignisse der autonomen KI-Datenbank finden Sie unter Events für Autonomous AI Database on Dedicated Exadata Infrastructure.

Datenschutz

Datenschutz ist ein wichtiger Aspekt der Datensicherheit in jeder Datenbank. Privilegierte Datenbankaccounts sind einer der am häufigsten verwendeten Pfade, um Zugriff auf sensible Anwendungsdaten in der Datenbank zu erhalten. Privilegierte Benutzer wie ADMIN- oder Oracle-Operatoren benötigen zwar einen breiten und uneingeschränkten Zugriff, um die Datenbankwartung zu erleichtern, aber derselbe Zugriff schafft auch einen Angriffspunkt, um Zugriff auf große Datenmengen zu erhalten.

Mit Autonomous AI Database können Sie Privileged Access Management (PAM) mithilfe von:

Erkennung sensibler Daten und Datenmaskierung

Die Identifizierung sensibler Daten (z. B. Kreditkartennummer, Sozialversicherungsnummer) und die Maskierung oder Verdeckung bei Bedarf verbessern den Datenschutz und die allgemeine Datensicherheit.

Zertifizierung für Einhaltung gesetzlicher Vorschriften

Autonome KI-Datenbank auf dedizierter Exadata-Infrastruktur erfüllt eine breite Palette internationaler und branchenspezifischer Compliancestandards, darunter:

Weitere Informationen und eine vollständige Liste der Zertifizierungen finden Sie unter Oracle Cloud-Compliance. Informationen zum Herunterladen von Kopien der Zertifizierungsdokumente finden Sie unter Compliance-Dokumente.

Verwandte Inhalte