La sécurité et l'authentification dans Oracle Autonomous AI Database

Le contrôle d'accès client pour une instance de base de données Autonomous AI Database est appliqué par les politiques de contrôle d'accès au réseau, au moyen des protocoles de connexion client et par les droits d'accès de l'utilisateur de base de données que le client utilise pour se connecter.

Oracle Autonomous AI Database est configuré avec un compte d'administration, ADMIN, qui est utilisé pour créer et gérer d'autres comptes de base de données. Oracle Autonomous AI Database offre un ensemble robuste de fonctions et de contrôles, y compris les privilèges et les rôles de système et d'objet. Les profils d'utilisateur vous permettent de personnaliser les politiques de mot de passe pour définir et mettre en oeuvre une stratégie d'accès utilisateur de base de données sécurisée.

Pour des informations de base sur la gestion des utilisateurs standard, voir Comptes d'utilisateur dans Concepts relatifs à Oracle AI Database. Pour des informations et des conseils détaillés, voir Gestion de la sécurité pour les utilisateurs d'Oracle Database dans le Guide sur la sécurité d'Oracle AI Database.

Si votre stratégie d'accès d'utilisateur de base de données exige plus de contrôles que ceux fournis par la gestion standard des utilisateurs, vous pouvez configurer Oracle Autonomous AI Database pour qu'il utilise Database Vault afin de répondre à des exigences plus rigoureuses.

Vous utilisez les services de gestion des identités et des accès (IAM) pour contrôler les privilèges de vos utilisateurs Oracle Cloud en spécifiant les actions que ces utilisateurs peuvent effectuer sur Oracle Autonomous AI Database.

Le service GIA fournit plusieurs types de composant pour vous aider à définir et à mettre en oeuvre une stratégie d'accès sécurisée pour les utilisateurs Oracle Cloud :

• Compartiment : Collection de ressources connexes. Les compartiments sont des composants essentiels d'Oracle Cloud Infrastructure qui permettent d'organiser et d'isoler vos ressources en nuage.

• Groupe : Ensemble d'utilisateurs qui ont tous besoin du même type d'accès à un jeu de ressources ou à un compartiment donné.

• Groupe dynamique : Type spécial de groupe contenant les ressources qui correspondent aux règles que vous définissez. Ainsi, l'appartenance peut changer de manière dynamique lors de la création ou de la suppression de ressources correspondantes.

• Politique : Groupe d'énoncés spécifiant qui peut accéder à quelles ressources, et comment. L'accès est accordé au niveau du groupe et du compartiment, ce qui signifie que vous écrivez un énoncé de politique qui donne à un groupe spécifique un type d'accès spécifique à un type de ressource spécifique dans un compartiment spécifique.

Parmi ces éléments, la politique est l'outil principal utilisé pour contrôler l'accès car elle indique les paramètres "qui", "comment", "quoi" et "où" d'une contrainte d'accès unique. Un énoncé de politique a le format suivant :

Le format d'un énoncé de politique est le suivant :

Allow 
  group <group-name> 
  to <control-verb> 
  <resource-type> 
  in compartment <compartment-name>

• group <group-name> indique le paramètre "qui" à l'aide du nom d'un groupe GIA existant.

• to <control-verb> indique le paramètre "comment" à l'aide de l'un des verbes de contrôle prédéfinis suivants :

  • inspect : possibilité de lister les ressources du type indiqué, sans accès aux informations confidentielles ou aux métadonnées définies par l'utilisateur pouvant faire partie de cette ressource.
  • read : inspect plus la possibilité d'obtenir les métadonnées spécifiées par l'utilisateur et la ressource proprement dite.
  • use : read plus la possibilité d'utiliser des ressources existantes, mais pas de les créer ni de les supprimer. En outre, "utiliser" implique des opérations différentes selon le type de ressource.
  • manage : Toutes les autorisations pour le type de ressource, y compris la création et la suppression.

• <resource-type> indique le paramètre "quoi" à l'aide d'un type de ressource prédéfini. Les valeurs de resource-type pour les ressources d'infrastructure sont les suivantes :

  • autonomous-databases
  • autonomous-backups

  Vous pouvez créer des énoncés de politique qui font référence à la valeur resource-type tag-namespaces si le marquage est utilisé dans votre location.

• in compartment <compartment-name> indique le paramètre "où" à l'aide du nom d'un compartiment GIA existant.

Pour plus d'informations sur le fonctionnement du service GIA et de ses composants et sur leur utilisation, voir Aperçu du service de gestion des identités et des accès pour Oracle Cloud Infrastructure. Pour obtenir des réponses rapides aux questions courantes sur GIA, voir la FAQ sur le service de gestion des identités et des accès.

Seuls les utilisateurs autorisés ont accès à une instance de base de données du service d'intelligence artificielle autonome.

Les opérateurs Oracle Cloud n'ont pas l'autorisation d'accéder à votre base de données IA autonome. Lorsque l'accès à votre base de données est nécessaire pour résoudre ou atténuer un problème, vous pouvez autoriser un opérateur de nuage à accéder à une base de données pendant une durée limitée.

Vous autorisez un opérateur de nuage à accéder à la base de données en exécutant la procédure DBMS_CLOUD_ADMIN.ENABLE_OPERATOR_ACCESS. Autrement dit, si vous soumettez une demande de service au soutien Oracle Cloud ou si vous communiquez avec le représentant du soutien technique et que les opérateurs Oracle Cloud doivent accéder à votre base de données, vous devez également activer l'accès des opérateurs en exécutant DBMS_CLOUD_ADMIN.ENABLE_OPERATOR_ACCESS.

Chaque accès à la base de données par les opérateurs Oracle Cloud est journalisé avec un ID et un motif de demande.

Pour plus d'informations, voir Gérer l'accès des opérateurs Oracle Cloud et Voir les actions sur les opérations d'Oracle Cloud Infrastructure.

Autonomous AI Database est un service entièrement géré et Oracle utilise ses propres locations Oracle Cloud Infrastructure pour exécuter le service Autonomous AI Database.

Les opérateurs Oracle Cloud n'ont pas accès aux locations du client et les opérateurs en nuage ne peuvent pas accéder au réseau.

Toutes les actions effectuées par les utilisateurs Oracle Cloud sur les ressources qui composent votre déploiement d'Oracle Autonomous AI Database sont enregistrées par le service de vérification, quelle que soit l'interface utilisée : console Oracle Cloud Infrastructure, API REST, interface de ligne de commande, trousses SDK, etc.

Vous pouvez utiliser le service de vérification pour exécuter des diagnostics, effectuer le suivi de l'utilisation des ressources, surveiller la conformité et collecter les événements liés à la sécurité. Pour plus d'informations sur le service de vérification, voir Aperçu du service de vérification dans la documentation sur Oracle Cloud Infrastructure.

De plus, lorsque les utilisateurs effectuent des opérations sur votre base de données Oracle Autonomous AI Database, celle-ci publie des événements dans le service Oracle Cloud Events. Le service Oracle Cloud Events vous permet de créer des règles pour saisir ces événements et d'effectuer des actions.

Pour plus d'informations sur le fonctionnement du service d'événements et sur la configuration des règles et des actions qu'il utilise, voir Aperçu du service d'événements. Pour obtenir les listes des opérations d'Oracle Autonomous AI Database qui génèrent des événements, voir Types d'événement d'Autonomous Database.

Oracle Autonomous AI Database configure les bases de données autonomes que vous créez pour l'utilisation de la fonction de vérification unifiée d'Oracle Database.

Cette fonction saisit les enregistrements de vérification des sources suivantes et les regroupe dans une piste de vérification unique dans un format uniforme :

• Enregistrements de vérification (y compris les enregistrements de vérification SYS) des politiques de vérification unifiée et paramètres AUDIT
• Enregistrements de vérification détaillés de l'ensemble PL/SQL DBMS_FGA
• Enregistrements de vérification d'Oracle Database Real Application Security
• Enregistrements de vérification d'Oracle Recovery Manager
• Enregistrements de vérification d'Oracle Database Vault
• Enregistrements de vérification d'Oracle Label Security
• Enregistrement d'Oracle Data Mining
• Oracle Data Pump
• Oracle SQL*Loader Direct Load

Les informations de vérification sont conservées jusqu'à 14 jours, après quoi elles sont automatiquement épurées. Pour conserver les informations de vérification plus longtemps et pour analyser facilement l'activité de la base de données, utilisez Oracle Data Safe (inclus dans votre abonnement à Oracle Autonomous AI Database).

Pour plus d'informations, voir À propos de la vérification de la base de données autonome sur l'IA.