Hinweis:

Öffentlichen Zugriff auf OCI-Ressourcen mit OCI IAM-Netzwerkperimetern und Netzwerkquellen steuern

Einführung

Wir arbeiten in einer Welt, in der wir über unsere Daten und Infrastruktur hinwegsehen müssen. Zum Beispiel können selbst die vorsichtigsten Cloud-Administratoren Techniken wie Phishing-Angriffe und Berechtigungseskalation zum Opfer fallen. Darüber hinaus möchte niemand die Sicherheit seiner Daten falsch konfigurieren, was dazu führt, dass sie versehentlich dem öffentlichen Internet ausgesetzt werden. Public Cloud-Provider wie Oracle Cloud Infrastructure (OCI) umfassen Oracle Cloud Infrastructure Identity and Access Management-(OCI IAM-)Services, mit denen Sie zusätzliche Sicherheitsebenen anwenden können, die dazu beitragen können, Ihre Angriffsfläche zu reduzieren und den Sicherheitsstatus Ihrer Infrastruktur, Daten und Anwendungen zu verbessern.

OCI IAM stellt Netzwerkperimeter bereit, die das Set von IP-Adressen einschränkt, die auf die OCI-Konsole zugreifen können. Darüber hinaus können Sie mit Netzwerkquellen Policys schreiben, die den Zugriff auf bestimmte OCI-Ressourcen basierend auf der IP-Adresse des Anforderers einschränken. In diesem Tutorial werden beide Features erläutert und erläutert, wie Sie sie in Ihrem OCI-Mandanten aktivieren können.

Ziele

Voraussetzungen

OCI IAM-Netzwerkperimeter verwenden

Wenn ein Benutzer versucht, sich bei einer Anwendung anzumelden, die durch eine OCI-IAM-Identitätsdomain (einschließlich der OCI-Konsole selbst) geschützt ist, wird die Anmeldeaktion von der relevanten Anmelde-Policy für die Anwendung ausgewertet. Diese Policy besteht aus einer Reihe von Regeln mit Bedingungen und daraus resultierenden Aktionen. Die Regeln werden in der folgenden Reihenfolge ausgewertet, bis die Bedingungen dieser Regel durch den aktuellen Anmeldekontext erfüllt sind, wird die mit dieser Regel verknüpfte Aktion aktiviert. Die Aktion führt dazu, dass der Zugriff zulässig ist, der Zugriff verweigert wird oder der Benutzer zur Eingabe eines zusätzlichen Authentifizierungsfaktors aufgefordert wird, bevor der Zugriff zulässig ist.

Netzwerkperimeter können in Verbindung mit Anmelde-Policys verwendet werden, um den Zugriff auf die OCI-Konsole zu blockieren oder zuzulassen. Weitere Informationen finden Sie unter Netzwerkperimeter und Anmelde-Policys verwalten.

Hinweis: Das Ändern von Anmelde-Policys kann zu einer Kontosperre führen. Die Priorität der Anmelderegel ist äußerst wichtig und sollte sorgfältig geprüft werden. Es wird empfohlen, eine separate Browsersitzung zu öffnen, die mit administrativen Zugangsdaten authentifiziert ist, während die später beschriebenen Ansätze getestet werden.

Wie funktionieren Netzwerkperimeter?

Um eine Netzwerkperimeter-basierte Ausnahmeliste zu implementieren, sind mindestens zwei Regeln erforderlich.

Um Netzwerkperimeter in der OCI-Konsole zu konfigurieren, navigieren Sie zum Abschnitt Sicherheit von Identitätsdomains, wählen Sie Netzwerkperimeter aus, und fügen Sie die erforderlichen IP-Adressen hinzu. Weitere Informationen finden Sie inNetzwerkperimeter erstellen.

create_network_perimeters

Ihr Mandant verfügt möglicherweise über eine vordefinierte Anmelderegel, mit der die Multifaktor-Authentifizierung (MFA) für den Zugriff auf die OCI-Konsole durchgesetzt wird. Weitere Informationen finden Sie unter IAM MFA und Multifaktor-Authentifizierung in OCI-IAM-Identitätsdomains implementieren.

Wir werden diese Richtlinie verwenden, um unsere Netzwerk-Perimeter-Regeln durchzusetzen. Optional können Sie eine neue Anmelde-Policy erstellen. Weitere Informationen finden Sie in Anmelde-Policys erstellen

Hinweis: Um aus Sicherheitsgründen sicherzustellen, dass ein Notfallzugriffskonto nie aus unserem Mandanten gesperrt wird, kann eine zusätzliche Regel mit der höchsten Priorität erstellt werden, die eine Ausnahme speziell für diesen Account erstellt.

Für unser Szenario werden die folgenden drei Regeln sicherstellen, dass alle oben diskutierten Punkte abgedeckt werden.

Alternativ zum Ansatz allowlist können Sie optional eine Blockliste erstellen, um den Zugriff von einer definierten Gruppe von IP-Adressen zu verhindern. Um einen Blocklist-Ansatz zu aktivieren, lauten die Anmelde-Policy-Regeln wie folgt:

OCI-IAM-Netzwerkquellen verwenden

Netzwerkperimeter helfen bei der Verwaltung der Netzwerke, von denen Benutzer auf die OCI-Konsole zugreifen können, während Netzwerkquellen den Zugriff auf bestimmte OCI-Services und -Ressourcen einschränken.

Mit Netzwerkquellen können Sie eine Gruppe von IP-Adressen definieren, die von OCI-Zugriffs-Policys referenziert werden können, um den Zugriff basierend auf der ursprünglichen IP-Adresse einzuschränken. Beispiel: Sie können den Zugriff auf einen OCI Object Storage-Bucket einschränken, der den Zugriff nur auf die Benutzer beschränkt, die über Ihr Unternehmensnetzwerk angemeldet sind.

Netzwerkquellen unterstützen sowohl öffentliche IP-Adressen als auch private IP-Adressen aus virtuellen Cloud-Netzwerken in Ihrem Mandanten.

Wie funktionieren Netzwerkquellen?

Um Netzwerkquellen in der OCI-Konsole zu konfigurieren, navigieren Sie zu Identität und Sicherheit, wählen Sie Netzwerkquellen aus, und erstellen Sie eine neue Netzwerkquelle, die die zulässigen IP-Adressen angibt. Weitere Informationen finden Sie in Netzwerkquellen erstellen.

Netzwerkquellen

Erstellen oder ändern Sie je nach Anwendungsfall die OCI-Policy, und fügen Sie die Bedingung request.networkSource.name hinzu. Weitere Informationen finden Sie unter Funktionsweise von Policys.

Hinweis: Zulassen, dass die Gruppe CorporateUsers object-family in einem Mandanten verwaltet, wobei request.networkSource.name='corpnet' gilt.

Nächste Schritte

In diesem Tutorial haben wir erläutert, wie Netzwerkperimeter und Netzwerkquellen dazu beitragen können, den Zugriff auf Ihre OCI-Ressourcen einzuschränken und Ihren Cloud-Sicherheitsstatus zu verbessern. Weitere Informationen zu den besten Preisen für OCI IAM finden Sie unter Best Practices für Identity and Access Management (IAM) in Oracle Cloud Infrastructure.

Bestätigungen

Weitere Lernressourcen

Lernen Sie andere Übungen auf docs.oracle.com/learn kennen, oder greifen Sie auf weitere kostenlose Lerninhalte im Oracle Learning YouTube Channel zu. Außerdem können Sie education.oracle.com/learning-explorer besuchen, um Oracle Learning Explorer zu werden.

Die Produktdokumentation finden Sie im Oracle Help Center.