Ressourcen isolieren und Zugriff kontrollieren

Die Ressourcenisolierung ist ein wichtiger Aspekt bei der Organisation Ihrer Cloud-Ressourcen. Mit Compartments können Sie Ihre Ressourcen logisch organisieren und den Zugriff auf sie auf eine für Ihr Unternehmen sinnvolle Weise kontrollieren. Beispiel: Sie können die von den einzelnen Abteilungen Ihres Unternehmens verwendeten Ressourcen in einem separaten Compartment isolieren. Stattdessen sollten Sie sich nach Betriebsfunktionen wie Networking, Sicherheit, Datenbank oder Anwendungsentwicklung aufteilen. Sie können auch virtuelle Cloud-Netzwerke (VCNs) verwenden, um Ressourcen auf der Netzwerkebene zu isolieren.

Sie sollten Ihre Compartments und VCNs sorgfältig planen, und dabei die aktuellen und zukünftigen Sicherheitsanforderungen Ihrer Organisation berücksichtigen. Die Empfehlungen in diesem Artikel helfen Ihnen, Ihre Anforderungen zu erfüllen.

Ressourcen mit Compartments und Tags organisieren

Enterprise Architect, Security Architect, Application Architect

Compartments und Tags sind nützliche Tools zum Organisieren und Isolieren von Ressourcen für die Zugriffskontrolle.
  • Erstellen und benennen Sie Compartments für bestimmte Ressourcenkategorien, und schreiben Sie IAM-Policys, um den Zugriff auf die Ressourcen nur den Gruppen von Benutzern zu erlauben, die Zugriff auf sie benötigen.
  • Trennen Sie Produktions- und Nicht-Produktions-Workloads in separate Compartments.
  • Erstellen und verwenden Sie untergeordnete Compartments, um Ressourcen für zusätzliche Organisationslayer zu isolieren. Schreiben Sie separate Policys für jede Compartment-Ebene.
  • Zulassen, dass nur autorisierte Benutzer Compartments in andere übergeordnete Compartments verschieben und Ressourcen von einem Compartment in ein anderes verschieben. Schreiben Sie geeignete Policys, um diese Einschränkung durchzusetzen.
  • Begrenzen Sie die Anzahl der Ressourcen jedes Typs, die in einem Compartment erstellt werden können, indem Sie Quotas auf Compartment-Ebene festlegen.
  • Schreiben Sie keine IAM-Policys auf der Ebene des Root Compartments.
  • Begrenzen Sie die Ressourcen, die ein Instanz-Principal verwalten kann, indem Sie ein Compartment in der IAM-Policy angeben.
  • Weisen Sie Ressourcen Tags zu, um sie entsprechend Ihren Geschäftsanforderungen zu organisieren und zu identifizieren.

Rollenbasierte Zugriffskontrolle implementieren

Enterprise Architect, Security Architect, Application Architect

Schränken Sie den Zugriff ein, indem Sie Berechtigungen nach Rolle zuweisen.
  • Beschränken Sie die Zugriffsberechtigungen für Benutzer in jeder Gruppe auf die Compartments, auf die sie zugreifen müssen, indem Sie Policys auf Compartment-Ebene schreiben.
  • Schreiben Sie Policys, die hinsichtlich der Zielressourcen und der erforderlichen Zugriffsberechtigungen so detailliert wie möglich sind.
  • Erstellen Sie Gruppen mit Berechtigungen für Aufgaben, die allen bereitgestellten Workloads gemeinsam sind (wie Netzwerkadministration und Volume-Administration), und weisen Sie diesen Gruppen die entsprechenden Admin-Benutzer zu.

Benutzerzugangsdaten auf Compute-Instanzen nicht speichern

Enterprise Architect, Security Architect, Application Architect

Wenn Sie eine Compute-Instanz für Aufrufe der Oracle Cloud Infrastructure-APIs autorisieren möchten, speichern Sie keine Benutzerzugangsdaten auf der Instanz. Geben Sie die Instanz stattdessen als Instance Principal an.

Die Zertifikate, die für die Authentifizierung der Instanz erforderlich sind, werden automatisch erstellt, der Instanz zugewiesen und rotiert. Sie können solche Instanzen in logischen Gruppen gruppieren, die als dynamische Gruppen bezeichnet werden, und Policys schreiben, damit die dynamischen Gruppen bestimmte Aktionen für bestimmte Ressourcen ausführen können.

Mit Oracle Cloud Infrastructure Vault können Sie Verschlüsselungsschlüssel mit strengen Zugriffskontrollen verwalten und sichern.

Anmeldezugriff auf Compute-Instanzen schützen

Enterprise Architect, Security Architect, Application Architect

Stellen Sie sicher, dass nur sichere Methoden für die Anmeldung bei Compute-Instanzen verwendet werden.
  • Deaktivieren Sie die kennwortbasierte Anmeldung, wenn Sie über eine Standardlösung für Unternehmensanmeldungen verfügen.
  • Deaktivieren Sie die Root-Anmeldung.
  • Verwenden Sie nur die Authentifizierung mit SSH-Schlüssel.
  • SSH-Schlüssel nicht freigeben. Nutzen Sie Oracle Cloud Infrastructure Bastion mit temporären SSH-Schlüsseln, um SSH-Schlüsselfreigabe zu vermeiden.
  • Mit Netzwerksicherheitsgruppen können Sie den Zugriff basierend auf der Quell-IP-Adresse einschränken.
  • Deaktivieren Sie nicht mehr benötigte Services.
  • Ziehen Sie die Verwendung der PAM-(Linux Pluggable Authentication Module-)Integration für virtuelle Maschinen mit IAM-Identitätsdomains in Betracht.

Ressourcenübergreifender Zugriff sichern

Enterprise Architect, Security Architect, Application Architect

Wenn Sie Instanzen als Principals festlegen, prüfen Sie die Benutzer und Gruppen, die Zugriff auf diese Instanzen haben. Stellen Sie sicher, dass nur die entsprechenden Benutzer und Gruppen darauf zugreifen können.

Isolieren von Ressourcen auf der Netzwerkebene

Enterprise Architect, Security Architect, Application Architect

Virtuelle Cloud-Netzwerke bieten die erste Ebene der Netzwerkisolation zwischen Ressourcen in Oracle Cloud Infrastructure.
Wenn Sie über mehrere Workloads oder verschiedene Abteilungen/Organisationen verfügen, verwenden Sie für jedes VCN unterschiedliche VCNs, um die Ressourcen auf der Netzwerkebene zu isolieren.
Verwenden Sie bei Bedarf VCN-Peering. Mit einem DMZ-VCN (Demilitarized Zone) können Sie VCN-übergreifenden Traffic analysieren. Verwenden Sie außerdem öffentliche und private Subnetze sorgfältig, nachdem Sie geprüft haben, welche Ressourcen öffentlichen Zugriff erfordern.
  • Nutzen Sie Load Balancer, um Services öffentlich verfügbar zu machen und Backend-Ziele in privaten Subnetzen zu platzieren.
  • Nutzen Sie Netzwerksicherheitsgruppen, um die Microsegmentierung von Anwendungen für jede Ebene der Anwendung durchzusetzen.
  • Ausnahmeliste für erforderlichen Ost-/West-Traffic in einem VCN. Trafficflüsse sind nur zulässig, wenn sie erforderlich sind.
  • Leiten Sie in einer Hub-and-Spoke-Netzwerktopologie den gesamten Spoke-VCN-Traffic an ein demilitarisiertes Zonen-VCN und über eine OCI-Netzwerkfirewall oder eine andere Netzwerk-Appliance weiter, um einen angemessenen Zugriff zu gewährleisten.

Sicherheitszonen definieren

Enterprise Architect, Security Architect, Application Architect

Sicherheitszonen setzen Baseline-Sicherheits-Policys für Compartments in Oracle Cloud Infrastructure durch, um Fehlkonfigurationen zu verhindern. Sie umfassen eine Richtlinienbibliothek und eingebettete Best Practices für die Sicherheit, um die Verwaltung der Cloud-Sicherheitslage zu ermöglichen.
  • Aktivieren Sie Sicherheits-Policys für Produktionsressourcen in privaten Subnetzen in ihrem eigenen VCN und Compartment.
  • Trennen Sie internetseitige Komponenten in einem separaten VCN mit einem öffentlichen Subnetz, und verknüpfen Sie sie mit einem lokalen Peering-Gateway mit dem VCN der Sicherheitszone. Fügen Sie außerdem eine Web Application Firewall hinzu, um die internetseitigen Komponenten wie Load Balancer zu schützen.
  • Mit Oracle Security Advisor können Sie die Erstellung von Ressourcen in einer Sicherheitszone vereinfachen.

Weitere Informationen