Workloads in der Cloud mit Sicherheitszonen schützen
Maximieren Sie die Sicherheit Ihrer Compute-, Netzwerk- und Speicherressourcen in der Cloud, indem Sie sie in einer Oracle Cloud Infrastructure-Sicherheitszone platzieren.
Oracle Cloud Infrastructure (OCI) bietet branchenführende Sicherheitstechnologien und Betriebsprozesse zum Schutz der Unternehmens-Cloud-Services. Kunden sind für die Sicherung ihrer Workloads und die sichere Konfiguration ihrer Services und Anwendungen zur Erfüllung ihrer Complianceverpflichtungen verantwortlich. Oracle Security Zones kann das Modell der geteilten Verantwortung für die Cloud-Sicherheit auf folgende Weise unterstützen:
- Öffentlichen Zugriff auf Oracle Cloud Infrastructure-Ressourcen wie Datenbanken und Objektspeicher-Buckets verweigern
- Erzwingen Sie die Policy, für die getrennte Speicherressourcen im selben sicheren Compartment wie die Compute-Instanz gespeichert werden müssen
- Verschlüsseln Sie Speicherressourcen wie Block-Volumes, Objektspeicher-Buckets und Datenbanken mit einem vom Kunden verwalteten Schlüssel
Architektur
Diese Referenzarchitektur zeigt eine typische dreistufige Architektur, mit der Sie Anwendungen wie E-Commerce-Anwendungen sicher ausführen können. Die Datenpersistenz wird mit einer Oracle Autonomous Transaction Processing-Datenbank erreicht. Medien- und Imagedateien für die Anwendung werden in Oracle Cloud Infrastructure Object Storage gespeichert.
Im folgenden Diagramm ist eine grundlegende Compartment-Architektur dargestellt.
Die Architektur weist die folgenden Sicherheitseinschränkungen auf:
- Objektspeicher: Unverschlüsselter Objektspeicher wird direkt im Internet bereitgestellt.
- Datenbank: Die Datenbank ist nicht mit dem vom Kunden verwalteten Schlüssel verschlüsselt und kann mit einer einzigen Konfigurationsänderung (öffentliche IP-Adresse) im Internet verfügbar gemacht werden.
- Compartment: Das Compartment schränkt das Verschieben von Daten, Assets, Volumes in oder aus der Umgebung nicht ein.
- Virtuelle Maschinen: VMs verwenden keine verschlüsselten Boot-Volumes oder Speicher.
- Internet: Web Application Firewall-(WAF-)Schutz wird nicht bereitgestellt.
- Netzwerk: Alle Ressourcen befinden sich auf einer einzigen Ebene und bieten unzureichende Isolation.
Das folgende Diagramm zeigt eine Architektur, die diese Probleme löst, indem eine hochsichere Umgebung bereitgestellt wird, die mehrere Spoke-Netzwerke isoliert, die jeweils eine Anwendungsebene wie Web, Anwendung und Datenbank darstellen. Diese Architektur funktioniert in bestimmten Umgebungen, wie Produktions-, Test- und Entwicklungsumgebungen, und in verschiedenen Infrastrukturen, wie Cloud-Region, On-Premises-Data-Center und Multicloud-Infrastrukturen.
Die Architektur umfasst die folgenden Komponenten:
- Region
Eine Oracle Cloud Infrastructure-Region ist ein lokalisierter geografischer Bereich, der mindestens ein Data Center enthält, das als Availability-Domain bezeichnet wird. Regionen sind unabhängig von anderen Regionen, und große Entfernungen können sie trennen (über Länder oder sogar Kontinente).
- Availability-Domain
Availability-Domains sind eigenständige, unabhängige Data Center innerhalb einer Region. Die physischen Ressourcen in jeder Availability-Domain sind von den Ressourcen in den anderen Availability-Domains isoliert, was eine Fehlertoleranz sicherstellt. Availability-Domains haben keine gemeinsame Infrastruktur wie Stromversorgung oder Kühlung oder das interne Availability-Domainnetzwerk. Daher sollte ein Fehler in einer Availability-Domain sich nicht auf die anderen Availability-Domains in der Region auswirken.
- Faultdomain
Eine Faultdomain ist eine Gruppierung aus Hardware und Infrastruktur innerhalb einer Availability-Domain. Jede Availability-Domain umfasst drei Faultdomains mit unabhängiger Stromversorgung und Hardware. Wenn Sie Ressourcen auf mehrere Faultdomains verteilen, können Ihre Anwendungen physische Serverausfälle, Systemwartungen und Stromausfälle innerhalb einer Faultdomain tolerieren.
- Compartment
Compartments sind regionsübergreifende logische Partitionen innerhalb eines Oracle Cloud Infrastructure-Mandanten. Mit Compartments können Sie Nutzungs-Quotas für Ihre Oracle Cloud-Ressourcen organisieren, den Zugriff kontrollieren und festlegen. In einem bestimmten Compartment definieren Sie Policys, die den Zugriff kontrollieren und Berechtigungen für Ressourcen festlegen.
- Sicherheitszone
Sicherheitszonen stellen die Best Practices für die Sicherheit von Oracle von Anfang an sicher, indem sie Policys wie die Verschlüsselung von Daten durchsetzen und den öffentlichen Zugriff auf Netzwerke für ein gesamtes Compartment verhindern. Eine Sicherheitszone ist mit einem Compartment mit demselben Namen verknüpft und umfasst Sicherheitszonen-Policys oder ein "Rezept", das für das Compartment und die zugehörigen Sub-Compartments gilt. Sie können kein Standard Compartment in ein Sicherheitszonen-Compartment hinzufügen oder verschieben.
In diesem Anwendungsfall erzwingt die Sicherheitszone die folgenden Policys:
- Boot-Volumes der Compute-Instanzen und Objektspeicher-Buckets verschlüsseln
- Zugriff auf Compute-Ressourcen über das öffentliche Internet verhindern
- Ressourcen mit benutzerdefinierten Schlüsseln verschlüsseln
- Sichern Sie regelmäßig und automatisch alle Ressourcen
- Virtuelles Cloud-Netzwerk (VCN) und Subnetze
Ein VCN ist ein anpassbares, softwaredefiniertes Netzwerk, das Sie in einer Oracle Cloud Infrastructure-Region einrichten können. Wie herkömmliche Data Center-Netzwerke erhalten Sie mit VCNs die Kontrolle über Ihre Netzwerkumgebung. Ein VCN kann mehrere sich nicht überschneidende CIDR-Blöcke aufweisen, die Sie nach dem Erstellen des VCN ändern können. Sie können ein VCN in Subnetze segmentieren, die sich auf eine Region oder eine Availability-Domain beschränken. Jedes Subnetz besteht aus einem Bereich zusammenhängender Adressen, die sich nicht mit anderen Subnetzen im VCN überschneiden. Sie können die Größe eines Subnetzes nach der Erstellung ändern. Ein Subnetz kann öffentlich oder privat sein.
- Sicherheitslisten
Für jedes Subnetz können Sie Sicherheitsregeln erstellen, die Quelle, Ziel und Typ des Traffics angeben, der im Subnetz und aus dem Subnetz zugelassen werden muss.
- Load Balancer
Der Oracle Cloud Infrastructure Load Balancing-Service ermöglicht automatisierte Trafficverteilung von einem einzelnen Einstiegspunkt auf mehrere Server im Backend.
Diese Architektur verwendet separate Load Balancer für die Anwendungen des Administrators und die Self-Service-Anwendungen, um die Sicherheit und die Traffictrennung zu verbessern. Sie können die Load-Balancer-Ausprägung bei Bedarf upgraden.
- Servicegateway
Das Servicegateway bietet Zugriff von einem VCN auf andere Services, wie Oracle Cloud Infrastructure Object Storage. Der Traffic vom VCN zum Oracle-Service wird über die Oracle-Netzwerkstruktur geleitet und durchläuft nicht das Internet.
- Lokales Peering-Gateway (LPG)
Mit einem LPG können Sie ein VCN mit einem anderen VCN in derselben Region verknüpfen. Peering bedeutet, dass die VCNs über private IP-Adressen kommunizieren, ohne dass der Traffic über das Internet oder das On-Premise-Netzwerk geleitet wird.
- Objektspeicher
Mit Oracle Cloud Infrastructure Object Storage können Sie schnell auf große Mengen an strukturierten und unstrukturierten Daten eines beliebigen Inhaltstyps zugreifen, darunter Datenbankbackups, Analysedaten und umfangreiche Inhalte, wie Bilder und Videos. Sie können Daten sicher und geschützt speichern und dann direkt aus dem Internet oder aus der Cloud-Plattform abrufen. Sie können den Speicher skalieren, ohne dass die Performance oder Servicezuverlässigkeit beeinträchtigt wird. Verwenden Sie Standardspeicher für "guten" Speicher, auf den Sie schnell, sofort und häufig zugreifen müssen. Verwenden Sie Archivspeicher für "Cold Storage", den Sie über lange Zeiträume beibehalten und auf den Sie nur selten zugreifen.
- Compute
Mit Oracle Cloud Infrastructure Compute können Sie Compute-Hosts in der Cloud bereitstellen und verwalten. Sie können Compute-Instanzen mit Ausprägungen starten, die Ihre Ressourcenanforderungen für CPU, Speicher, Netzwerkbandbreite und Speicher erfüllen. Nach dem Erstellen einer Compute-Instanz können Sie sicher darauf zugreifen, die Compute-Instanz neu starten, Volumes zuordnen und trennen und die Compute-Instanz beenden, wenn Sie sie nicht mehr benötigen.
-
Web Application Firewall
Oracle Cloud Infrastructure Web Application Firewall (WAF) ist ein cloudbasierter, mit den Vorgaben der Zahlungskartenindustrie (PCI) kompatibler, globaler Sicherheitsservice, der Anwendungen vor böswilligem und unerwünschtem Internettraffic schützt. WAF kann beliebige internetseitige Endpunkte schützen und bietet eine konsistente Regeldurchsetzung über alle Anwendungen eines Kunden hinweg.
Empfehlungen
Ihre Anforderungen können von der hier beschriebenen Architektur abweichen. Verwenden Sie die folgenden Empfehlungen als Ausgangspunkt.
- VCN
Wenn Sie ein VCN erstellen, bestimmen Sie die Anzahl der erforderlichen CIDR-Blöcke und die Größe jedes Blocks basierend auf der Anzahl der Ressourcen, die Sie an Subnetze im VCN anhängen möchten. Verwenden Sie CIDR-Blöcke, die sich innerhalb des privaten IP-Standardadressraums befinden.
Wählen Sie CIDR-Blöcke aus, die sich nicht mit einem anderen Netzwerk (in Oracle Cloud Infrastructure, Ihrem On-Premise-Data Center oder einem anderen Cloud-Provider) überschneiden, zu dem Sie private Verbindungen einrichten möchten.
Nachdem Sie ein VCN erstellt haben, können Sie die CIDR-Blöcke ändern, hinzufügen und entfernen.
Berücksichtigen Sie beim Entwerfen der Subnetze Ihren Trafficfluss und Ihre Sicherheitsanforderungen. Hängen Sie alle Ressourcen innerhalb einer bestimmten Ebene oder Rolle an dasselbe Subnetz an, das als Sicherheitsgrenze dienen kann.
Verwenden Sie regionale Subnetze.
- Sicherheitszonen
Für Ressourcen, die maximale Sicherheit erfordern, empfiehlt Oracle die Verwendung von Sicherheitszonen. Eine Sicherheitszone ist ein Compartment, das mit einem von Oracle definierten Rezept von Sicherheits-Policys verknüpft ist, die auf Best Practices basieren. Beispiel: Die Ressourcen in einer Sicherheitszone dürfen nicht über das öffentliche Internet zugänglich sein und müssen mit vom Kunden verwalteten Schlüsseln verschlüsselt werden. Wenn Sie Ressourcen in einer Sicherheitszone erstellen und aktualisieren, validiert Oracle Cloud Infrastructure die Vorgänge anhand der Policys im Rezept der Sicherheitszone und lehnt Vorgänge ab, die gegen eine der Policys verstoßen.
- Objektspeicher
Mit Oracle Cloud Infrastructure Object Storage können Sie Backups der Datenbank und anderer Daten speichern.
Erstellen Sie Objektspeicher in einem Compartment mit aktivierten Sicherheitszonen, und setzen Sie die Sichtbarkeit auf "Nur privat". Diese Konfiguration stellt sicher, dass der Objektspeicher-Bucket die strengen Sicherheitsrichtlinien von Sicherheitszonen einhält.
Hinweise
-
Verfügbarkeit
Einige Regionen bieten mehrere Availability-Domains, die eine höhere Verfügbarkeit mit höherer Redundanz ermöglichen. Ziehen Sie in Betracht, Ihre E-Commerce-Lösung auf mehreren Availability-Domains bereitzustellen, um diese Redundanz zu nutzen. Erwägen Sie außerdem einen Disaster-Recovery-Plan in einer anderen Region mit der entsprechenden Redundanz.
- Kostenfaktor
Verwenden Sie flexible Ausprägungen, damit Sie die Anzahl der CPUs und die Arbeitsspeichermenge auswählen können, die Sie für die Workloads benötigen, die auf der Instanz ausgeführt werden. So können Sie flexibel auf Ihre Workload abgestimmte VMs erstellen, die Performance optimieren und Kosten minimieren.
-
Überwachung und Logging
Richten Sie den Logging-Service, die Überwachung und Alerts zur CPU- und Speicherauslastung für Ihre Knoten ein, damit Sie die Ausprägung nach Bedarf vertikal oder horizontal skalieren können.
Stellen Sie
Der Terraform-Code für das Deployment der einfachen Beispielanwendung MuShop auf Oracle Cloud Infrastructure mit Sicherheitszonen ist in GitHub verfügbar.
- Gehen Sie zu GitHub.
- Klonen Sie das Repository, oder laden Sie es auf Ihren lokalen Rechner herunter.
- Befolgen Sie die Anweisungen im Dokument
README_MSZ.md.