Isoler les ressources et contrôler l'accès
L'isolement des ressources est un élément essentiel de l'organisation de vos ressources cloud. Les compartiments vous permettent d'organiser logiquement vos ressources et de contrôler leur accès d'une manière adaptée à votre activité. Par exemple, vous pouvez isoler les ressources utilisées par chaque service de votre société dans un compartiment distinct. Vous pouvez également utiliser des réseaux cloud virtuels (VCN) pour isoler les ressources au niveau de la couche réseau.
Vous devez planifier soigneusement vos compartiments et vos réseaux cloud virtuels, en gardant à l'esprit les exigences de sécurité actuelles et futures de votre organisation. Les recommandations de cet article vous aideront à répondre à vos besoins.
Organiser les ressources à l'aide de compartiments et de balises
Enterprise Architect, Security Architect, Application Architect
Les compartiments et les balises sont des outils utiles pour organiser et isoler les ressources pour le contrôle d'accès.
- Créez et désignez des compartiments pour des catégories spécifiques de ressources, et écrivez des stratégies IAM pour autoriser l'accès aux ressources uniquement aux groupes d'utilisateurs qui en ont besoin.
- Séparez les charges de travail de production et autres dans des compartiments distincts.
- Créez et utilisez des compartiments enfant pour isoler les ressources des couches organisationnelles supplémentaires. Ecrivez des stratégies distinctes pour chaque niveau de compartiment.
- Autoriser uniquement les utilisateurs autorisés à déplacer des compartiments vers des compartiments parent différents et à déplacer des ressources d'un compartiment vers un autre. Ecrivez des stratégies appropriées pour appliquer cette restriction.
- Limitez le nombre de ressources de chaque type pouvant être créées dans un compartiment en définissant des quotas au niveau du compartiment.
- Evitez d'écrire des stratégies IAM au niveau du compartiment racine.
- Limitez les ressources qu'un principal d'instance peut gérer en spécifiant un compartiment dans la stratégie IAM.
- Affectez des balises aux ressources pour les organiser et les identifier en fonction des besoins de votre entreprise.
Implémenter le contrôle d'accès basé sur les rôles
Enterprise Architect, Security Architect, Application Architect
Limitez l'accès en affectant des privilèges par rôle.
- Limitez les privilèges d'accès des utilisateurs de chaque groupe aux seuls compartiments auxquels ils ont besoin d'accéder en écrivant des stratégies de niveau compartiment.
- Ecrivez des stratégies aussi granulaires que possible en termes de ressources cible et de privilèges d'accès requis.
- Créez des groupes dotés de droits d'accès permettant d'effectuer des tâches communes à toutes vos charges de travail déployées (comme l'administration réseau et l'administration des volumes) et affectez les utilisateurs admin appropriés à ces groupes.
Ne pas stocker les informations d'identification utilisateur sur les instances de calcul
Enterprise Architect, Security Architect, Application Architect
Lorsque vous souhaitez autoriser une instance de calcul à effectuer des appels aux API Oracle Cloud Infrastructure, ne stockez aucune information d'identification utilisateur sur l'instance. Désignez plutôt l'instance comme principal d'instance.
Les certificats requis pour que l'instance s'authentifie lui-même sont créés automatiquement, affectés à l'instance et faisant l'objet d'une rotation. Vous pouvez regrouper ces instances dans des ensembles logiques, appelés groupes dynamiques, et écrire des stratégies pour permettre aux groupes dynamiques d'effectuer des actions spécifiques sur des ressources spécifiques.
Renforcer l'accès de connexion aux instances Compute
Enterprise Architect, Security Architect, Application Architect
Assurez-vous que seules les méthodes sécurisées sont utilisées pour la connexion aux instances de calcul.
- Désactivez la connexion basée sur un mot de passe.
- Désactivez la connexion root.
- Utilisez uniquement l'authentification par clé SSH.
- Tirez parti des groupes de sécurité et des listes de sécurité pour limiter l'accès en fonction de l'adresse IP source.
- Désactivez les services non nécessaires.
Accès inter-ressources sécurisé
Enterprise Architect, Security Architect, Application Architect
Si vous désignez des instances en tant que principaux, vérifiez les utilisateurs et les groupes ayant accès à ces instances. Assurez-vous que seuls les utilisateurs et groupes appropriés peuvent y accéder.
Isoler les ressources au niveau de la couche réseau
Enterprise Architect, Security Architect, Application Architect
Les réseaux cloud virtuels offrent le premier niveau d'isolement réseau entre les ressources dans Oracle Cloud Infrastructure.Si vous disposez de plusieurs charges de travail ou de différents services/organisations, utilisez des réseaux cloud virtuels différents pour chacun afin d'isoler les ressources de la couche réseau.
Utilisez l'appairage VCN si nécessaire. En outre, utilisez soigneusement des sous-réseaux publics et privés, après avoir évalué les ressources nécessitant un accès public.
- Exploitez les équilibreurs de charge pour exposer publiquement les services et placer les cibles back-end sur des sous-réseaux privés.
- Tirez parti des groupes de sécurité pour appliquer la micro segmentation des applications à chaque niveau de l’application.
- La liste blanche du trafic est/ouest requis dans un VCN n'autorise pas les flux de trafic sauf s'ils sont requis.
Définir des zones de sécurité maximale
Enterprise Architect, Security Architect, Application Architect
Les zones de sécurité maximales appliquent des stratégies de sécurité pour les compartiments dans Oracle Cloud Infrastructure. Elles incluent une bibliothèque de stratégies et les meilleures pratiques en matière de sécurité intégrée pour permettre la gestion de la posture de sécurité dans le cloud.
- Activez la stratégie de sécurité maximale pour les ressources de production sur les sous-réseaux privés dans leur propre VCN et leur propre compartiment.
- Séparez les composants Internet dans un VCN distinct par un sous-réseau public et liez-le au VCN de la zone de sécurité maximale par une passerelle d'appairage local. En outre, ajoutez un pare-feu d'applications Web pour protéger les composants Internet, tels que les équilibreurs de charge.
- Utilisez Oracle Security Advisor pour faciliter la création de ressources dans une zone de sécurité maximale.