Sécurisation de File Storage

Pour utiliser File Storage en toute sécurité, découvrez vos responsabilités en matière de sécurité et de conformité.

En général, Oracle assure la sécurité de l'infrastructure et des opérations sur le cloud, par exemple les contrôles d'accès des opérateurs de cloud et l'application de patches de sécurité à l'infrastructure. Vous êtes responsable de la configuration sécurisée de vos ressources cloud. La sécurité dans le cloud est une responsabilité partagée entre vous et Oracle.

Oracle est responsable des exigences de sécurité suivantes :

• Sécurité physique : Oracle est en charge de la protection de l'infrastructure globale qui exécute tous les services offerts par Oracle Cloud Infrastructure. Cette infrastructure comprend le matériel, les logiciels, les fonctions de réseau et les installations qui exécutent les services Oracle Cloud Infrastructure.

Vos responsabilités en matière de sécurité sont décrites sur cette page et englobent les domaines suivants :

• Contrôle d'accès : limitez au maximum les privilèges. Les utilisateurs doivent disposer uniquement des droits d'accès nécessaires pour faire leur travail.
• Cryptage et confidentialité : utilisez des clés de cryptage et des clés secrètes pour protéger vos données et vous connecter à des ressources sécurisées. Faites pivoter ces clés régulièrement.

Utilisez cette liste de contrôle afin d'identifier les tâches que vous effectuez pour sécuriser File Storage dans une nouvelle location Oracle Cloud Infrastructure.

Après vous être familiarisé avec File Storage, utilisez cette liste de contrôle afin d'identifier les tâches de sécurité que nous vous recommandons d'effectuer régulièrement.

Utilisez des stratégies pour limiter l'accès à File Storage.

Afin de minimiser le risque de suppression accidentelle ou intentionnelle des ressources, nous vous recommandons vivement d'accorder les droits d'accès DELETE uniquement à un groupe limité d'utilisateurs et de groupes IAM sécurisés, en particulier les administrateurs de location et de compartiment. En limitant ces privilèges, vous pouvez réduire considérablement le risque de perte de ressources en raison d'actions non autorisées ou erronées.

Allow group FileUsers to manage file-systems in tenancy
 where request.permission!='FILE_SYSTEM_DELETE' 
Allow group FileUsers to manage mount-targets in tenancy
 where request.permission!='MOUNT_TARGET_DELETE' 
Allow group FileUsers to manage export-sets in tenancy
 where request.permission!='EXPORT_SET_DELETE' 

Pour plus d'informations sur les stratégies File Storage et pour consulter d'autres exemples, reportez-vous à Détails du service File Storage.

Outre la création de stratégies IAM, verrouillez l'accès aux systèmes de fichiers à l'aide d'autres couches de sécurité disponibles.

Le service File Storage utilise cinq couches différentes de contrôle d'accès. Chaque couche dispose de ses propres méthodes et entités d'autorisation, qui sont séparées des autres couches.

Pour plus d'informations, reportez-vous à A propos de la sécurité de File Storage.

Créez et effectuez une rotation des clés de cryptage dans le service Vault pour protéger vos ressources dans File Storage.

Un coffre est une entité logique qui stocke les clés de cryptage que vous utilisez pour protéger vos données. Selon le mode de protection, les clés sont stockées sur le serveur ou sur des modules de sécurité HSM hautement disponibles et durables. Nos HSM respectent la certification de sécurité de niveau 3 FIPS (Federal Information Processing Standards) 140-2. Reportez-vous à Gestion des coffres et à Gestion des clés.

Bien qu'Oracle Cloud Infrastructure puisse générer des clés de cryptage par défaut pour certaines ressources, nous vous recommandons vivement d'adopter une approche plus sécurisée en créant et en gérant vos propres clés de cryptage personnalisées dans le service Vault. Cela vous donne un meilleur contrôle sur la gestion des clés et améliore l'état de sécurité global de votre environnement cloud.

Pour crypter les données dans un système de fichiers à l'aide de votre propre clé de cryptage Vault, reportez-vous à Cryptage d'un système de fichiers.

Une version de clé est automatiquement affectée à chaque clé de cryptage maître. Lorsque vous effectuez une rotation de clé, le service Vault génère une nouvelle version de clé. La rotation périodique des clés limite la quantité de données cryptées ou signées par une version de clé. Si une clé est incluse, la rotation des clés réduit les risques pour vos données. Reportez-vous à Gestion des clés.

Pour une sécurité optimale, utilisez les stratégies IAM afin d'appliquer des contrôles d'accès affinés aux activités de gestion des clés de cryptage, notamment la création, la rotation et la suppression de clés. Reportez-vous à Détails du service Vault.

Les clés de cryptage gèrent le cryptage au repos. Pour plus d'informations sur le cryptage en transit, reportez-vous à A propos de la sécurité de File Storage.

Effectuez des sauvegardes régulières de vos données dans File Storage.

Les utilisateurs suppriment parfois par inadvertance les données de production dans un système de fichiers File Storage. Vous ne pouvez pas récupérer les données sauf si vous disposez d'une copie de ces données stockée dans une sauvegarde. Pour assurer la durabilité des données, nous vous recommandons de prendre des clichés périodiques du système de fichiers, comme l'exigent les objectifs de niveau de service de l'entreprise. Les instantanés vous permettent de récupérer des données à partir de l'instantané en cas de suppression accidentelle de données.

Utilisez des instantanés basés sur une stratégie pour programmer des sauvegardes automatiques récurrentes ou créer manuellement des sauvegardes à l'aide de la console, de l'interface de ligne de commande ou de l'API.

Sécurisez l'accès réseau à vos ressources dans File Storage.

Utilisez les listes de sécurité , les groupes de sécurité réseau ou une combinaison des deux pour contrôler le trafic de niveau paquet entrant et sortant des ressources de votre VCN (réseau cloud virtuel) . Reportez-vous à Accès et sécurité.

Lorsque vous créez un sous-réseau dans un VCN, par défaut, le sous-réseau est considéré comme public et la communication Internet est autorisée. Utilisez des sous-réseaux privés pour héberger des ressources qui ne nécessitent pas d'accès Internet. Vous pouvez également configurer une passerelle de service dans votre VCN afin d'autoriser les ressources sur un sous-réseau privé à accéder à d'autres services cloud. Reportez-vous à Choix de connectivité.

Pour plus d'informations, reportez-vous à Configuration des règles de sécurité de réseaux cloud virtuels pour File Storage.

Localisez les journaux d'accès et d'autres données de sécurité pour File Storage.

La fonctionnalité de journalisation enregistre les opérations telles que la création, la suppression et les mises à jour des ressources File Storage pour vérification interne. Pour plus d'informations, reportez-vous à Journalisation File Storage.

Le service Audit enregistre automatiquement tous les appels d'API vers les ressources Oracle Cloud Infrastructure. Vous pouvez atteindre vos objectifs de sécurité et de conformité en utilisant le service Audit pour surveiller l'ensemble de l'activité utilisateur dans votre location. Comme tous les appels de la console, du kit SDK et de l'interface de ligne de commande passent par nos API, toutes les activités de ces sources sont incluses. Les enregistrements d'audit sont disponibles via une API de requête filtrable authentifiée, ou ils peuvent être extraits en tant que fichiers en batch à partir d'Object Storage. Le contenu du journal d'audit inclut l'activité survenue, l'utilisateur qui l'a lancée, la date et l'heure de la demande, ainsi que l'adresse IP source, l'agent utilisateur et les en-têtes HTTP de la demande. Reportez-vous à Visualisation des événements de journal d'audit.