Isolierung von Ressourcen und Kontrolle des Zugriffs
Die Ressourcenisolation ist bei der Organisation Ihrer Cloud-Ressourcen von größter Bedeutung. Mit Compartments können Sie Ihre Ressourcen logisch organisieren und den Zugriff darauf auf eine für Ihr Unternehmen aussagekräftige Weise kontrollieren. Beispiel: Sie können die von jeder Abteilung Ihres Unternehmens verwendeten Ressourcen in einem separaten Compartment isolieren. Sie können auch virtuelle Cloud-Netzwerke (VCNs) verwenden, um Ressourcen auf der Netzwerkebene zu isolieren.
Sie sollten die Compartments und VCNs sorgfältig planen, wobei Sie die aktuellen und zukünftigen Sicherheitsanforderungen Ihres Unternehmens berücksichtigen müssen. Die Empfehlungen in diesem Artikel helfen Ihnen, Ihre Anforderungen zu erfüllen.
Ressourcen mit Compartments und Tags organisieren
Enterprise Architect, Security Architect, Application Architect
Compartments und Tags sind nützliche Tools zur Organisation und Isolierung von Ressourcen zur Zugriffskontrolle.
- Erstellen und benennen Sie Compartments für bestimmte Ressourcenkategorien, und schreiben Sie IAM-Policys, um Zugriff auf die Ressourcen nur für Benutzergruppen zu ermöglichen, die Zugriff darauf benötigen.
- Trennen Sie Produktions- und Nicht-Produktions-Workloads in separate Compartments.
- Erstellen und verwenden Sie untergeordnete Compartments, um Ressourcen für zusätzliche Organisationsschichten zu isolieren. Erstellen Sie separate Policys für jede Compartment-Ebene.
- Nur autorisierte Benutzer dürfen Compartments in andere übergeordnete Compartments verschieben und Ressourcen von einem Compartment in ein anderes verschieben. Schreiben Sie geeignete Policys, um diese Einschränkung durchzusetzen.
- Schränken Sie die Anzahl der Ressourcen jedes Typs ein, der in einem Compartment erstellt werden kann, indem Sie Quotas auf Compartment-Ebene festlegen.
- Schreiben Sie keine IAM-Policys auf der Ebene des Root Compartments.
- Beschränken Sie die Ressourcen, die ein Instanz-Principal verwalten kann, indem Sie ein Compartment in der IAM-Policy angeben.
- Weisen Sie Ressourcen Tags zu, um diese entsprechend Ihren Geschäftsanforderungen zu organisieren und zu identifizieren.
Rollenbasierte Zugriffskontrolle implementieren
Enterprise Architect, Security Architect, Application Architect
Schränken Sie den Zugriff ein, indem Sie Berechtigungen nach Rolle zuweisen.
- Beschränken Sie die Zugriffsberechtigungen für Benutzer in jeder Gruppe auf die Compartments, auf die sie zugreifen müssen, indem Sie Policys auf Compartment-Ebene schreiben.
- Schreiben Sie Policys, die hinsichtlich der Zielressourcen und der erforderlichen Zugriffsberechtigungen so granular wie möglich sind.
- Erstellen Sie Gruppen mit Berechtigungen für Aufgaben, die allen bereitgestellten Workloads gemeinsam sind (z.B. Netzwerkadministration und Volume-Administration), und weisen Sie diesen Gruppen entsprechende Admin-Benutzer zu.
Benutzerzugangsdaten auf Compute-Instanzen nicht speichern
Enterprise Architect, Security Architect, Application Architect
Wenn Sie eine Compute-Instanz zum Aufrufen der Oracle Cloud Infrastructure-APIs autorisieren möchten, speichern Sie keine Benutzerzugangsdaten in der Instanz. Geben Sie stattdessen die Instanz als Instanz-Principal an.
Die Zertifikate, die für die Authentifizierung der Instanz erforderlich sind, werden automatisch erstellt, der Instanz zugewiesen und rotiert. Sie können solche Instanzen in logischen Gruppen, so genannten dynamischen Gruppen, gruppieren und Policys schreiben, damit die dynamischen Gruppen bestimmte Aktionen für bestimmte Ressourcen ausführen können.
Anmeldezugriff auf Compute-Instanzen Harden
Enterprise Architect, Security Architect, Application Architect
Stellen Sie sicher, dass für die Anmeldung bei Compute-Instanzen nur sichere Methoden verwendet werden.
- Deaktivieren Sie die kennwortbasierte Anmeldung.
- Deaktivieren Sie die Root-Anmeldung.
- Verwenden Sie nur die schlüsselbasierte SSH-Authentifizierung.
- Verwenden Sie Sicherheitsgruppen und Sicherheitslisten, um den Zugriff anhand der Quell-IP-Adresse einzuschränken.
- Deaktivieren Sie unnötige Services.
Sicherer Ressourcenzugriff
Enterprise Architect, Security Architect, Application Architect
Wenn Sie Instanzen als Principals angeben, prüfen Sie die Benutzer und Gruppen, die Zugriff auf solche Instanzen haben. Stellen Sie sicher, dass nur die entsprechenden Benutzer und Gruppen darauf zugreifen können.
Isolieren von Ressourcen auf der Netzwerkebene
Enterprise Architect, Security Architect, Application Architect
Virtuelle Cloud-Netzwerke bieten die erste Netzwerkisolation zwischen Ressourcen in Oracle Cloud Infrastructure.Wenn mehrere Workloads oder unterschiedliche Abteilungen/Organisationen vorhanden sind, verwenden Sie jeweils andere VCNs, um die Ressourcen auf der Netzwerkschicht zu isolieren.
Verwenden Sie bei Bedarf VCN-Peering. Verwenden Sie außerdem öffentliche und private Subnetze sorgfältig, nachdem Sie bewertet haben, welche Ressourcen öffentlichen Zugriff benötigen.
- Mit Load Balancern können Sie Services öffentlich zugänglich machen und Backend-Ziele in privaten Subnetzen platzieren.
- Nutzen Sie Sicherheitsgruppen, um die Mikrosegmentierung von Anwendungen für jede Stufe der Anwendung durchzusetzen.
- Für die weiße Liste ist ein Ost-/West-Traffic innerhalb eines VCN erforderlich. Lassen Sie Verkehrswerte nur zu, wenn sie erforderlich sind.
Maximale Sicherheitszonen definieren
Enterprise Architect, Security Architect, Application Architect
Zonen mit maximaler Sicherheit setzen Sicherheits-Policys für Compartments in Oracle Cloud Infrastructure durch. Sie umfassen eine Policy Library und eingebettete Best Practices zur Sicherheit für die Verwaltung von Cloud-Sicherheitsniveaus.
- Aktivieren Sie die maximale Sicherheits-Policy für Produktionsressourcen in privaten Subnetzen in ihrem eigenen VCN und Compartment.
- Trennen Sie internetseitige Komponenten in einem separaten VCN mit einem öffentlichen Subnetz, und verknüpfen Sie sie mit dem VCN der maximalen Sicherheitszone mit einem lokalen Peering-Gateway. Fügen Sie außerdem eine Web Application Firewall hinzu, um die internetseitigen Komponenten wie Load Balancer zu schützen.
- Mit Oracle Security Advisor können Sie Ressourcen in einer Zone mit maximaler Sicherheit erstellen.