Sécurité et authentification dans Oracle Autonomous Database

Le contrôle d'accès client pour une instance Autonomous Database est appliqué par les stratégies de contrôle d'accès réseau, via les protocoles de connexion client et par les droits d'accès de l'utilisateur de base de données que le client utilise pour se connecter.

Oracle Autonomous Database est configuré avec un compte d'administration, ADMIN, qui permet de créer et de gérer d'autres comptes de base de données. Oracle Autonomous Database fournit un ensemble fiable de fonctionnalités et de contrôles, notamment des privilèges et des rôles système et objet. Les profils utilisateur vous permettent de personnaliser les stratégies de mot de passe afin de définir et d'implémenter une stratégie d'accès utilisateur à la base de données sécurisée.

Pour obtenir des informations de base sur la gestion standard des utilisateurs, reportez-vous à Comptes utilisateur dans Concepts Oracle Database. Pour obtenir des informations détaillées et obtenir des instructions, reportez-vous à Gestion du niveau de sécurité pour les utilisateurs Oracle Database dans le Guide de sécurité Oracle Database.

Si votre stratégie d'accès utilisateur de base de données exige plus de contrôles que ceux qu'offre cette gestion standard, vous pouvez configurer votre base de données Oracle Autonomous Database afin de répondre à des exigences plus strictes.

Vous utilisez les services Identity and Access Management (IAM) pour contrôler les privilèges de vos utilisateurs Oracle Cloud en indiquant les actions que ces utilisateurs peuvent effectuer sur Oracle Autonomous Database.

Le service IAM fournit plusieurs types de composant pour vous aider à définir et à implémenter une stratégie d'accès utilisateur cloud sécurisé :

• Compartiment : ensemble de ressources associées. Les compartiments représentent un composant fondamental d'Oracle Cloud Infrastructure pour l'organisation et l'isolement des ressources cloud.

• Groupe : ensemble d'utilisateurs qui ont tous besoin du même type d'accès à un ensemble de ressources ou à un compartiment spécifique.

• Groupe dynamique : type spécial de groupe contenant les ressources qui correspondent aux règles que vous définissez. Par conséquent, l'appartenance peut changer de façon dynamique à mesure que des ressources correspondantes sont créées ou supprimées.

• Stratégie : groupe d'instructions qui indiquent qui peut accéder à quelles ressources et comment. L'accès est accordé au niveau du groupe et du compartiment, ce qui signifie que vous écrivez une instruction de stratégie qui accorde à un groupe donné un type d'accès donné à un type de ressource donné dans un compartiment donné.

Dans la liste ci-dessus, la stratégie est l'outil principal que vous utilisez pour contrôler l'accès, car elle répond aux questions "qui ?", "comment ?", "quoi ?" et "où ?" d'une contrainte d'accès unique. Une instruction de stratégie se présente au format suivant :

Le format d'une instruction de stratégie est le suivant :

Allow 
  group <group-name> 
  to <control-verb> 
  <resource-type> 
  in compartment <compartment-name>

• group <group-name> indique "qui" en fournissant le nom d'un groupe IAM existant.

• to <control-verb> indique "comment" utiliser l'un des verbes de contrôle prédéfinis suivants :

  • inspect : possibilité de répertorier les ressources d'un type donné, sans accéder aux informations confidentielles ou aux métadonnées spécifiées par l'utilisateur pouvant figurer dans ces ressources.
  • read : accès inspect plus possibilité d'obtenir les métadonnées spécifiées par l'utilisateur et la ressource elle-même.
  • use : accès read plus possibilité d'utiliser des ressources existantes, mais pas d'en créer ni d'en supprimer. Ici, "utiliser" implique différentes opérations pour différents types de ressource.
  • manage : tous les droits d'accès au type de ressource, création et suppression comprises.

• <resource-type> indique "quoi" à l'aide d'un type de ressource prédéfini. Les valeurs de type de ressource pour les ressources d'infrastructure sont les suivantes :

  • autonomous-databases
  • autonomous-backups

  Si le balisage est utilisé dans votre location, vous pouvez créer des instructions qui font référence à la valeur tag-namespaces si vous utilisez la location.

• in compartment <compartment-name> indique "où" en fournissant le nom d'un compartiment IAM existant.

Pour plus d'informations sur le fonctionnement du service IAM et de ses composants, ainsi que sur leur utilisation, reportez-vous à Présentation d'Oracle Cloud Infrastructure Identity and Access Management. Pour obtenir des réponses rapides aux questions courantes sur IAM, reportez-vous à la FAQ Identity and Access Management.

Seuls les utilisateurs autorisés sont autorisés à accéder à une instance Autonomous Database.

Les opérateurs Oracle Cloud ne sont pas autorisés à accéder à votre instance Autonomous Database. Lorsque l'accès à votre base de données est requis pour résoudre ou résoudre un problème, vous pouvez autoriser un opérateur cloud à accéder à une base de données pendant une durée limitée.

Vous autorisez un opérateur cloud à accéder à la base de données en exécutant la procédure DBMS_CLOUD_ADMIN.ENABLE_OPERATOR_ACCESS. Cela signifie que si vous enregistrez une demande d'assistance auprès du support technique Oracle Cloud ou en contactant votre représentant du support technique et que les opérateurs Oracle Cloud doivent accéder à votre base de données, vous devez également activer l'accès des opérateurs en exécutant DBMS_CLOUD_ADMIN.ENABLE_OPERATOR_ACCESS.

Chaque accès à la base de données par les opérateurs Oracle Cloud est journalisé avec un ID et un motif de demande.

Pour plus d'informations, reportez-vous à Gestion de l'accès d'opérateur Oracle Cloud et à Affichage d'Oracle Cloud Infrastructure Operations Actions.

Autonomous Database est un service entièrement géré et Oracle utilise ses propres locations Oracle Cloud Infrastructure pour exécuter le service Autonomous Database.

Les opérateurs Oracle Cloud n'ont pas accès aux locations des clients et les opérateurs cloud ne peuvent pas accéder au réseau.

Toutes les actions réalisées par les utilisateurs Oracle Cloud sur la ressource composant votre déploiement d'Oracle Autonomous Database sont journalisées par le service Audit, quelle que soit l'interface utilisée : console Oracle Cloud Infrastructure, API REST, interface de ligne de commande, kits SDK etc.

Vous pouvez vous appuyer sur le service Audit pour effectuer des diagnostics, suivre l'utilisation des ressources, surveiller la conformité et collecter les événements associés à la sécurité. Pour plus d'informations sur le service Audit, reportez-vous à Présentation d'Audit dans la documentation Oracle Cloud Infrastructure.

En outre, lorsque les utilisateurs effectuent des opérations sur Oracle Autonomous Database, la base de données publie des événements vers le service Oracle Cloud Events. Le service Oracle Cloud Events vous permet de créer des règles pour capturer ces événements et effectuer des actions.

Pour plus d'informations sur le fonctionnement du service Events, ainsi que sur la configuration des règles et actions qu'il utilise, reportez-vous à Présentation d'Events. Pour obtenir la liste des opérations Oracle Autonomous Database qui génèrent des événements, reportez-vous à Types d'événement Autonomous Database.

Oracle Autonomous Database configure les bases de données autonomes que vous créez pour l'utilisation de la fonctionnalité d'audit unifié d'Oracle Database.

Cette fonctionnalité capture les enregistrements d'audit à partir des sources suivantes et les rassemble dans une même trace d'audit au format uniforme :

• Enregistrements d'audit (y compris enregistrements d'audit SYS) issus des stratégies d'audit unifié et des paramètres AUDIT
• Enregistrements d'audit détaillés issus du package PL/SQL DBMS_FGA
• Enregistrements d'audit Oracle Database Real Application Security
• Enregistrements d'audit Oracle Recovery Manager
• Enregistrements d'audit Oracle Database Vault
• Enregistrements d'audit Oracle Label Security
• Enregistrements Oracle Data Mining
• Oracle Data Pump
• Chargement direct Oracle SQL*Loader

Les informations d'audit sont conservées pendant 14 jours au maximum, après quoi elles sont automatiquement purgées. Pour conserver les informations d'audit plus longtemps, et pour analyser et générer facilement des rapports sur l'activité de la base de données, utilisez Oracle Data Safe (inclus dans votre abonnement Oracle Autonomous Database).

Pour plus d'informations, reportez-vous à A propos de l'audit d'Autonomous Database.