Control de acceso en una base de datos de IA autónoma en una infraestructura de Exadata dedicada

Al configurar la base de datos de IA autónoma en una infraestructura de Exadata dedicada, debes asegurarte de que tus usuarios en la nube tienen acceso para utilizar y crear solo los tipos adecuados de recursos en la nube para realizar la tarea de su trabajo. Además, debe asegurarse de que solo las aplicaciones y el personal autorizados tienen acceso a las bases de datos de IA autónomas creadas en una infraestructura dedicada. De lo contrario, corre el riesgo de un consumo "desconectado" de los recursos de su infraestructura dedicada o del acceso inadecuado a los datos fundamentales.

Antes de empezar a crear y utilizar los recursos de la nube que proporcionan la característica de infraestructura dedicada, debe formular un plan del control del acceso y, a continuación, establecerlos mediante la creación de recursos de red e IAM adecuados (Identity and Access Management). En consecuencia, el control de acceso dentro de una base de datos de IA autónoma se implementa en varios niveles:

Control de acceso de usuario de Oracle Cloud

Puede controlar qué acceso tienen los usuarios de la Oracle Cloud en su arrendamiento a los recursos de la nube que componen su despliegue de Autonomous AI Database en una infraestructura dedicada de Exadata

Utilice el servicio Identity and Access Management (IAM) para asegurarse de que sus usuarios en la nube tienen acceso para crear y utilizar solo los tipos adecuados de recursos de Autonomous AI Database para realizar las tareas del trabajo. Para establecer controles de acceso para los usuarios de la nube, debe definir políticas que otorguen a grupos específicos de usuarios derechos de acceso específicos a tipos de recurso específicos en compartimentos específicos.

El servicio IAM proporciona varios tipos de componentes para ayudarle a definir e implantar una estrategia segura de acceso de usuarios en la nube:

Sentencias de política y política

La herramienta principal que utiliza para definir un control de acceso para usuarios de la nube es la política, un recurso de la IAM (Identity and Access Management) que contiene instrucciones de política que especifican el acceso en términos de "quién", "qué", "qué" y "dónde".

El formato de una sentencia de política es:

Allow
  group <group-name>
  to <control-verb>
  <resource-type>
  in compartment <compartment-name>

Para obtener más información sobre las políticas de la base de datos de IA autónoma, consulte Políticas de IAM para la base de datos de IA autónoma en una infraestructura de Exadata dedicada.

Para obtener información sobre cómo funcionan el servicio IAM y sus componentes, y cómo utilizarlos, consulte Visión general de Oracle Cloud Infrastructure Identity and Access Management. Para obtener respuestas rápidas a preguntas comunes sobre IAM, consulte Preguntas frecuentes de Identity and Access Management.

Mejores prácticas al planificar e implantar controles de acceso

Al planificar e implantar controles de acceso para la función de infraestructura dedicada, debe tener en cuenta estas mejores prácticas.

Control de acceso de cliente

El control de acceso de cliente se implementa en la base de datos de IA autónoma mediante el control del control de acceso de red y las conexiones de cliente.

Control de acceso de red

El control de acceso a la red a las bases de datos de IA autónomas se define al configurar y configurar el despliegue dedicado de Oracle Autonomous AI Database en una infraestructura de Exadata dedicada. La forma de hacerlo depende de si su despliegue dedicado está en Oracle Public Cloud o en Exadata Cloud@Customer:

Zero Trust Packet Routing (ZPR)

SE APLICA A: Aplicable Solo Oracle Public Cloud

Oracle Cloud Infrastructure Zero Trust Packet Routing (ZPR) protege los datos confidenciales frente a accesos no autorizados mediante políticas de seguridad basadas en intenciones que escribe para recursos, como un cluster de VM de Exadata autónomo (AVMC) al que asigna atributos de seguridad.

Los atributos de seguridad son etiquetas que ZPR utiliza para identificar y organizar recursos. ZPR aplica la política en el nivel de red cada vez que se solicita acceso, independientemente de los posibles cambios o configuraciones incorrectas de la arquitectura de red. ZPR se basa en las reglas existentes de grupo de seguridad de red (NSG) y lista de control de seguridad (SCL). Para que un paquete alcance un destino, debe aprobar todas las reglas NSG y SCL y la política ZPR. La solicitud se borra si alguna regla o política NSG, SCL o ZPR no permite el tráfico.

Puede proteger las redes con ZPR en tres pasos:

  1. Cree artefactos ZPR, es decir, espacios de nombres de atributos de seguridad y atributos de seguridad.

  2. Escriba políticas de ZPR para conectar recursos mediante atributos de seguridad. ZPR utiliza un lenguaje de políticas ZPR (ZPL) y aplica restricciones en el acceso a los recursos definidos. Como cliente de base de datos de IA autónoma en infraestructura de Exadata dedicada, puede escribir políticas basadas en ZPL en su arrendamiento para garantizar que solo los usuarios y recursos autorizados accedan a los datos de los AVMC.

  3. Asigne atributos de seguridad a recursos para activar las políticas de ZPR.

    Nota: Evite introducir información confidencial al asignar descripciones, etiquetas o atributos de seguridad, o nombres fáciles de entender a recursos en el cloud mediante la Consola, la API o CLI de la Oracle Cloud Infrastructure.

Consulte Introducción al enrutamiento de paquetes de confianza cero para obtener más información.

Tiene las siguientes opciones para aplicar atributos de seguridad ZPR a un AVMC:

Como requisito, se deben definir las siguientes políticas de IAM para agregar atributos de seguridad ZPR a un AVMC correctamente:

allow group <group_name>
to { ZPR_TAG_NAMESPACE_USE, SECURITY_ATTRIBUTE_NAMESPACE_USE }
in tenancy
allow group <group_name>
to manage autonomous-database-family
in tenancy
allow group <group_name>
to read security-attribute-namespaces
in tenancy

listas de control de acceso (ACL)

Para mayor seguridad, puede activar listas de control de acceso (ACL) en despliegues dedicados tanto de Oracle Public Cloud como de Exadata Cloud@Customer. Una ACL proporciona protección adicional a la base, ya que solo permite que el cliente con direcciones IP específicas se conecte a la base. Puede agregar las direcciones IP de forma individual o en bloques de CIDR. Se admiten las IP/CIDR basadas en IPv4 e IPv6. Esto le permite formular una política del control del acceso detallada limitando su acceso a la red de la base de datos de IA autónoma a aplicaciones o clientes específicos.

Opcionalmente, puede crear una ACL durante el aprovisionamiento de la base de datos o en cualquier momento posterior. También puede editar una ACL en cualquier momento. La activación de una ACL con una lista vacía de direcciones IP hace que la base de datos sea inaccesible. Consulte Definición de la lista para una base de datos de IA autónoma dedicada para obtener detalles.

Tenga en cuenta lo siguiente acerca del uso de una ACL con Autonomous AI Database:

Web Application Firewall (WAF)

Para controles de red avanzados más allá de las listas de control de acceso, Oracle Autonomous AI Database en infraestructura de Exadata dedicada soporta el uso de Web Application Firewall (WAF). WAF protege las aplicaciones frente al tráfico de Internet no deseado y malicioso. WAF puede proteger cualquier punto final orientado a Internet, lo cual proporciona el cumplimiento de reglas consistente en las aplicaciones de un cliente. WAF permite crear y gestionar reglas para amenazas de Internet, incluidos los scripts de sitios (XSS), la inyección SQL y otras vulnerabilidades definidas por OWASP. Las reglas de acceso pueden establecer límites según la geografía o la firma de la solicitud. Consulte Introducción a las políticas de Web Application Firewall para obtener pasos sobre cómo configurar WAF.

Control de conexión de cliente

Oracle Autonomous AI Database on Dedicated Exadata Infrastructure implementa el control de conexión del cliente con autenticación basada en certificados TLS 1.2 y TLS 1.3 estándar para autenticar una conexión de cliente. Sin embargo, TLS 1.3 solo está soportado en Oracle Database 23ai o posterior.

Por defecto, Autonomous AI Database utiliza certificados autofirmados. Sin embargo, puede instalar el certificado del lado del servidor firmado por CA desde la consola de Oracle Cloud Infrastructure (OCI). Para traer su propio certificado, primero debe crear el certificado mediante el servicio de certificados de Oracle Cloud Infrastructure (OCI), como se muestra en Creación de un certificado. Estos certificados deben estar firmados y estar en el formato PEM, es decir, la extensión del archivo debe ser solo .pem, .cer o .crt. Para obtener más información, consulte Gestión de certificados en una base de datos de IA autónoma dedicada.

Control de Acceso de Usuario de Base de Datos

Oracle Autonomous AI Database on Dedicated Exadata Infrastructure configura las bases de datos que crea para utilizar la función de gestión de usuarios estándar de Oracle AI Database. Crea una cuenta de usuario administrativo, ADMIN, que se utiliza para crear cuentas de usuario adicionales y para proporcionar controles de acceso para las cuentas.

La gestión de usuarios estándar proporciona un sólido juego de funciones y controles, como privilegios de sistema y objeto, roles, perfiles de usuario y políticas de contraseñas, que permiten definir e implantar una estrategia de acceso de usuario de base de datos segura en la mayoría de los casos. Consulte Creación y gestión de usuarios de base de datos para obtener instrucciones detalladas.

Para obtener información básica sobre la gestión de usuarios estándar, consulte la sección sobrecuentas de usuario en Oracle AI Database Concepts. Para obtener información y orientación detalladas, consulte Managing Security for Oracle Database Users en la Oracle Database 19c Security Guide u Oracle Database 26ai Security Guide.

Si tu estrategia de acceso de usuario a la base de datos requiere más controles que los que proporciona la gestión de usuarios estándar, puedes configurar tus bases de datos de IA autónomas para que utilicen cualquiera de las siguientes herramientas para cumplir requisitos más rigurosos.

Herramienta Descripción
Database Vault

Oracle Database Vault viene preconfigurado y listo para su uso en las bases de datos de IA autónomas. Puede utilizar sus avanzados controles de seguridad para restringir el acceso a los datos de aplicación por parte de usuarios de base de datos con privilegios, de ese modo se reduce el riesgo de amenazas internas y externas y se cumplen los requisitos comunes de conformidad.

Consulte Protección de datos en Funciones de seguridad de la base de datos de IA autónoma para obtener más información.

Oracle Cloud Infrastructure Identity and Access Management (IAM) Puede configurar la base de datos de IA autónoma para utilizar la autorización y la autenticación de Oracle Cloud Infrastructure Identity and Access Management (IAM) para permitir a los usuarios de la instancia de IAM acceder a una base de datos de IA autónoma con credenciales de la instancia de IAM. Consulte Uso de la autenticación de Identity and Access Management (IAM) con la base de datos de IA autónoma para utilizar esta opción con la base de datos.
Tokens de acceso a Azure OAuth2

Puede gestionar de forma centralizada los usuarios de Oracle Autonomous AI Database on Dedicated Exadata Infrastructure en un servicio de Microsoft Azure Active Directory (Azure AD) con la ayuda de tokens de acceso oAuth2 de Azure. Este tipo de integración permite al usuario de Azure AD acceder a una instancia de Oracle Autonomous AI Database on Dedicated Exadata Infrastructure. Los usuarios y la aplicaciones de Azure AD se pueden conectarse con credenciales de conexión única (SSO) de Azure AD para obtener un token OAuth2 de acceso de Azure AD que enviar a la base de datos.

Para obtener más información sobre la integración de Microsoft Azure Active Directory con sus bases de datos, consulte Autenticación y autorización de usuarios de Microsoft Azure Active Directory para bases de datos de IA autónomas.

Microsoft Active Directory (CMU-AD)

Si utiliza Microsoft Active Directory como repositorio de usuario, puede configurar las instancias de bases de datos autónomas de IA para autenticar y autorizar usuarios deMicrosoft Active Directory. Esta integración puede permitirle consolidar el Repositorio de Usuarios mientras implanta una Estrategia de Acceso de Usuario de Base de Datosa, independientemente de si utiliza el sistema de gestión de Usuarios estándar, Database Vault, Real Application Security o Virtual Private Database.

Para obtener más información sobre cómo integrar Microsoft Active Directory con las bases de datos, consulte Microsoft Active Directory con Autonomous AI Database.

Kerberos

Kerberos es un sistema de autenticación de terceros de confianza que utiliza secretos compartidos. Presume que el tercero es seguro y proporciona capacidades de inicio de sesión único, almacenamiento centralizado de contraseñas, autenticación de enlaces de base de datos y seguridad de PC mejorada. Esto se realiza mediante un servidor de autenticación de Kerberos.

El soporte de Autonomous AI Database para Kerberos proporciona las ventajas de una conexión única y una autenticación centralizada de los usuarios de Oracle. Para obtener más información, consulte Authenticate Autonomous AI Database Users with Kerberos.

Kerberos con CMU-AD

La autenticación de Kerberos se puede configurar sobre CMU-AD para proporcionar autenticación de Kerberos CMU-AD para usuarios de Microsoft Active Directory.

Para proporcionar autenticación Kerberos CMU-AD para usuarios de Microsoft Active Directory, puede activar la autenticación Kerberos sobre CMU-AD configurando type en CMU mientras activa la autenticación externa, como se muestra en el ejemplo que se describe en Enable Kerberos Authentication on Autonomous AI Database.

Real Application Security y Virtual Private Database

Oracle Real Application Security (RAS) proporciona un modelo declarativo que activa políticas de seguridad que incluyen por completo no solo los objetos de negocio que se van a proteger, sino también los principales (usuarios y roles) que tienen permisos para operar en dichos objetos de negocio. RAS es más seguro, escalable y rentable que su predecesor, Oracle Virtual Private Database.

Con Oracle RAS, los usuarios de aplicación se autentican en el nivel de aplicación y en la base de datos. Independientemente de la ruta de acceso a los datos, las políticas de seguridad de datos se aplican en el núcleo de la base de datos en función de la sesión nativa del usuario final en la base de datos. Los privilegios asignados al usuario controlan el tipo de operaciones (seleccionar, insertar, actualizar y suprimir) que se pueden realizar en filas y columnas de los objetos de base de datos.

Para obtener más información sobre Oracle RAS, consulte la sección introducción a Oracle Database Real Application Security en Oracle Database 19c Real Application Security Administrator's and Developer's Guide u Oracle Database 26ai Real Application Security Administrator's and Developer's Guide.

Oracle Autonomous AI Database en infraestructura de Exadata dedicada también soporta Oracle Virtual Private Database (VPD), el predecesor de Oracle RAS. Si ya estás familiarizado con Oracle VPD y lo utiliza, puedes configurarlo y utilizarlo con tus bases de datos de IA autónomas.

Para obtener más información sobre Virtual Private Database, consulte Using Oracle Virtual Private Database to Control Data Access en Oracle Database 19c Security Guide u Oracle Database 26ai Security Guide.

Gestión de acceso privilegiado (PAM)

La estrategia de seguridad de Oracle en torno al acceso de usuarios y la gestión de privilegios en sus productos y servicios se documenta en Oracle Access Control.

La base de datos de IA autónoma en una infraestructura de Exadata dedicada está diseñada para aislar y proteger los servicios al cliente y los datos de la base de datos contra el acceso no autorizado. Autonomous AI Database separa las tareas entre el cliente y Oracle. El cliente controla el acceso a los esquemas de base de datos. Oracle controla el acceso a los componentes de software e infraestructura gestionados por Oracle.

Autonomous AI Database on Dedicated Exadata Infrastructure está diseñado para ayudar a proteger los datos para uso autorizado por el cliente y para ayudar a proteger los datos del acceso no autorizado, lo que incluye la prevención del acceso a los datos del cliente por parte de los miembros del personal de Oracle Cloud Ops. Las medidas de seguridad diseñadas para protegerse contra el acceso no autorizado a los datos de la infraestructura de Exadata, las máquinas virtuales autónomas y la base de datos de Oracle incluyen lo siguiente:

PAM también se implementa con Database Vault para la protección de datos, como se describe en Funciones de seguridad de la base de datos de IA autónoma.

Contenido relacionado

Funciones clave de seguridad