Sécurisation du service de stockage de fichiers

Pour utiliser File Storage en toute sécurité, découvrez vos responsabilités en matière de sécurité et de conformité.

En général, Oracle assure la sécurité de l'infrastructure et des opérations en nuage, comme les contrôles de l'accès des opérateurs au nuage et l'application de correctifs de sécurité à l'infrastructure. Vous êtes responsable de la configuration sécurisée de vos ressources en nuage. La sécurité dans le nuage est une responsabilité partagée entre vous et Oracle.

Oracle est responsable des exigences de sécurité suivantes :

• Physical Security : :Oracle est responsable de la protection de l'infrastructure globale qui exécute tous les services offerts dans Oracle Cloud Infrastructure. Cette infrastructure se compose du matériel, du logiciel, du réseau et des installations qui exécutent les services Oracle Cloud Infrastructure.

Vos responsabilités en matière de sécurité sont décrites dans cette page, qui comprend les domaines suivants :

• Contrôle de l'accès : Limitez le plus possible les privilèges. Les utilisateurs ne doivent disposer que de l'accès nécessaire pour effectuer leur travail.
• Chiffrement et confidentialité : Utilisez des clés de chiffrement et des clés secrètes pour protéger vos données et vous connecter à des ressources sécurisées. Faites pivoter ces clés régulièrement.

Utilisez cette liste de vérification pour identifier les tâches que vous effectuez pour sécuriser le service de stockage de fichiers dans une nouvelle location Oracle Cloud Infrastructure.

Après avoir commencé à utiliser File Storage, utilisez cette liste de vérification pour identifier les tâches de sécurité que nous vous recommandons d'effectuer régulièrement.

Utilisez des politiques pour limiter l'accès au service de stockage de fichiers.

Pour réduire le risque de suppression accidentelle ou intentionnelle des ressources, nous vous conseillons vivement d'accorder des autorisations DELETE uniquement à un groupe limité d'utilisateurs et de groupes IAM approuvés, en particulier aux administrateurs de location et de compartiment. En limitant ces privilèges, vous pouvez réduire considérablement le risque de perte de ressources en raison d'actions non autorisées ou erronées.

Allow group FileUsers to manage file-systems in tenancy
 where request.permission!='FILE_SYSTEM_DELETE' 
Allow group FileUsers to manage mount-targets in tenancy
 where request.permission!='MOUNT_TARGET_DELETE' 
Allow group FileUsers to manage export-sets in tenancy
 where request.permission!='EXPORT_SET_DELETE' 

Pour plus d'informations sur les politiques du service de stockage de fichiers et pour voir d'autres exemples, voir Informations détaillées sur le service de stockage de fichiers.

En plus de créer des politiques IAM, verrouillez l'accès aux systèmes de fichiers à l'aide d'autres couches de sécurité disponibles.

Le service File Storage utilise cinq couches de contrôle d'accès. Chaque couche comporte ses propres entités et méthodes d'autorisation, qui sont séparées des autres couches.

Pour plus d'informations, voir À propos de la sécurité du stockage de fichiers.

Créez et faites pivoter les clés de chiffrement dans le service de chambre forte pour protéger vos ressources dans le stockage de fichiers.

Une chambre forte est une entité logique qui stocke les clés de chiffrement que vous utilisez pour protéger vos données. Selon le mode de protection, les clés sont soit stockées sur le serveur, soit stockées sur des modules de sécurité matériels hautement disponibles et durables. Nos modules de sécurité matériels répondent aux normes fédérales de traitement des informations (FIPS) 140-2 Certification de sécurité de niveau 3. Voir Gestion des chambres fortes et Gestion des clés.

Bien qu'Oracle Cloud Infrastructure puisse générer des clés de chiffrement par défaut pour certaines ressources, nous vous conseillons vivement d'adopter une approche plus sécurisée en créant et en gérant vos propres clés de chiffrement personnalisées dans le service de chambre forte. Cela vous donne un meilleur contrôle sur la gestion des clés et améliore la sécurité globale de votre environnement en nuage.

Pour chiffrer les données d'un système de fichiers à l'aide de votre propre clé de chiffrement du service de chambre forte, voir Chiffrement d'un système de fichiers.

Une version de clé est affectée automatiquement à chaque clé principale de chiffrement. Lorsque vous effectuez la rotation d'une clé, le service de chambre forte génère une nouvelle version de clé. Une rotation régulière permet de limiter le volume des données chiffrées ou signées avec une version de clé. Si une clé est comprise, la rotation réduit les risques pour vos données. Voir Gestion des clés.

Pour une sécurité optimale, utilisez les politiques IAM pour appliquer des contrôles d'accès granulaires aux activités de gestion des clés de chiffrement, y compris la création, la rotation et la suppression de clés. Voir Détails du service de chambre forte.

Les clés de chiffrement gèrent le chiffrement au repos. Pour plus d'informations sur le chiffrement en transit, voir À propos de la sécurité du stockage de fichiers.

Effectuez régulièrement des sauvegardes de vos données dans File Storage.

Les utilisateurs suppriment parfois par inadvertance des données de production dans un système de fichiers du service de stockage de fichiers. Vous ne pouvez pas récupérer les données à moins d'avoir une copie de ces données stockées dans une sauvegarde. Pour assurer la durabilité des données, nous vous recommandons de prendre des instantanés périodiques du système de fichiers selon les besoins des SLO de l'entreprise. Les instantanés vous permettent de récupérer des données à partir de l'instantané en cas de suppression accidentelle des données.

Utilisez des instantanés basés sur des politiques pour programmer des sauvegardes récurrentes et automatiques ou créer manuellement des sauvegardes à l'aide de la console, de l'interface de ligne de commande ou de l'API.

Accès réseau sécurisé à vos ressources dans le service de stockage de fichiers.

Use security lists , network security groups , or a combination of both to control packet-level traffic in and out of the resources in your VCN (virtual cloud network) . Voir Accès et sécurité.

Lorsque vous créez un sous-réseau dans un VCN, par défaut, le sous-réseau est considéré comme public et les communications Internet sont autorisées. Utilisez des sous-réseaux privés pour héberger des ressources qui ne nécessitent pas d'accès Internet. Vous pouvez également configurer une passerelle de service dans votre VCN pour permettre aux ressources d'un sous-réseau privé d'accéder à d'autres services en nuage. Voir Choix de connectivité.

Pour plus d'informations, voir Configuration de règles de sécurité de réseau VCN pour le service de stockage de fichiers.

Localisez les journaux d'accès et d'autres données de sécurité pour le service de stockage de fichiers.

La fonction de journalisation enregistre les opérations telles que la création, la suppression et les mises à jour des ressources File Storage pour vérification interne. Pour plus d'informations, voir Journalisation du service de stockage de fichiers.

Le service de vérification enregistre automatiquement tous les appels d'API aux ressources Oracle Cloud Infrastructure. Vous pouvez atteindre vos objectifs de sécurité et de conformité en utilisant le service de vérification pour surveiller toutes les activités des utilisateurs dans votre location. Comme tous les appels de console, de trousse SDK et de ligne de commande (interface de ligne de commande) sont effectués par l'intermédiaire de nos API, toute l'activité provenant de ces sources est incluse. Les enregistrements de vérification sont disponibles au moyen d'une API d'interrogation authentifiée et filtrable ou ils peuvent être extraits en tant que fichiers par lots à partir du stockage d'objets. Le contenu du journal de vérification inclut l'activité survenue, l'utilisateur qui l'a lancée, la date et l'heure de la demande, ainsi que l'adresse IP source, l'agent utilisateur et les en-têtes HTTP de la demande. Voir Affichage des événements du journal de vérification.