Sécurisation de GoldenGate pour OCI

GoldenGate pour Oracle Cloud Infrastructure offre une solution de réplication de données sécurisée et facile à utiliser, conforme aux meilleures pratiques de sécurité de l'industrie.

Responsabilités

Pour utiliser GoldenGate pour OCI en toute sécurité, découvrez vos responsabilités en matière de sécurité et de conformité.

De manière générale, Oracle assure la sécurité de l'infrastructure et des opérations en nuage, notamment le contrôle de l'accès des opérateurs au nuage et l'application de correctifs de sécurité à l'infrastructure. Vous êtes responsable de la configuration sécurisée de vos ressources en nuage. La sécurité dans le nuage est une responsabilité partagée entre vous et Oracle.

Oracle est responsable des exigences de sécurité suivantes :

  • Sécurité physique : Oracle est responsable de la protection de l'infrastructure globale qui exécute tous les services offerts dans Oracle Cloud Infrastructure. Cette infrastructure se compose du matériel, des logiciels, du réseau et des installations utilisés pour exécuter les services Oracle Cloud Infrastructure.
  • Chiffrement et confidentialité : Les clés de chiffrement et les clés secrètes sont stockées dans des portefeuilles et des chambres fortes pour protéger vos données et vous connecter à des ressources sécurisées.
  • Trafic réseau : L'accès chiffré à la console de déploiement OCI GoldenGate est activé sur SSL uniquement sur le port 443. Par défaut, seul l'accès à la console de déploiement de GoldenGate pour OCI est disponible à partir d'un point d'extrémité privé OCI dans le réseau privé du client. Des points d'extrémité publics peuvent être configurés pour permettre l'accès public chiffré à la console de déploiement de GoldenGate par SSL sur le port 443.

Vos responsabilités en matière de sécurité sont les suivantes :

  • Contrôle d'accès : Limiter au maximum les privilèges. Les utilisateurs ne doivent disposer que de l'accès nécessaire pour effectuer leur travail.
  • Gestion des comptes de la console de déploiement OCI GoldenGate : L'accès à la console de déploiement OCI GoldenGate est géré directement dans la console Oracle Cloud. Les comptes et les autorisations sont gérés directement dans la console de déploiement de GoldenGate pour OCI. En savoir plus sur les utilisateurs du déploiement.
  • Trafic réseau : Les connexions définissent la connectivité réseau aux sources et cibles. Lorsque vous créez une connexion, vous pouvez configurer des paramètres SSL pour garantir que la connexion puisse être sécurisée et chiffrée. En savoir plus sur les connexions.
  • Cryptage du réseau : Par défaut, la connectivité réseau à OCI GoldenGate est chiffrée sur SSL à l'aide de certificats fournis par Oracle. Si vous fournissez des certificats ou des clés de chiffrement, assurez-vous qu'ils sont courants et valides.
  • Audit des événements de sécurité : La console de déploiement d'OCI GoldenGate enregistre les événements de sécurité. Vous pouvez accéder à ce journal et le consulter à partir de la sauvegarde du déploiement de GoldenGate pour OCI. Veillez à vérifier ce journal régulièrement. En savoir plus sur les sauvegardes de déploiement.
  • Application de correctifs : Assurez-vous que les déploiements d'OCI GoldenGate sont à jour. Des mises à jour sont publiées chaque mois. Vous devez effectuer une mise à niveau vers le dernier niveau de correctif dès que possible pour éviter que vos déploiements soient vulnérables. En savoir plus sur l'application de correctifs aux déploiements.
  • Vérification de l'accès distant sur l'équilibreur de charge ou l'hôte bastion : Assurez-vous que la vérification de tout accès distant qui n'est pas directement vers OCI GoldenGate est activée et configurée de manière appropriée. En savoir plus.

Recommandations

  • Créez des utilisateurs supplémentaires de la console de déploiement de GoldenGate pour OCI et attribuez-leur des rôles autres que Sécurité.
  • Affectez aux utilisateurs et aux groupes GIA les privilèges minimum requis aux types de ressource de goldengate-family.
  • Pour limiter les risques de perte de données liés à des suppressions involontaires par un utilisateur non autorisé ou à des suppressions malveillantes, Oracle recommande d'accorder les autorisations GOLDENGATE_DEPLOYMENT_DELETE et GOLDENGATE_CONNECTION_DELETE au moins possible d'utilisateurs et de groupes GIA. Attribuez ces autorisations aux administrateurs de location et de compartiment uniquement.
  • GoldenGate pour OCI n'a besoin que d'un accès de niveau USE pour saisir les données des connexions.

Exemples

Empêcher la suppression des déploiements

Créez cette politique pour permettre au groupe ggs-users d'effectuer toutes les actions sur les déploiements, sauf les supprimer : 

Allow group ggs-users to manage goldengate-family in tenancy where request.permission!='GOLDENGATE_DEPLOYMENT_DELETE'

Voir Politiques GoldenGate pour Oracle Cloud Infrastructure pour plus d'informations sur la création de politiques.