Protezione dello storage degli oggetti

Per utilizzare lo storage degli oggetti in modo sicuro, scopri le tue responsabilità in termini di sicurezza e conformità.

In generale, Oracle fornisce la sicurezza dell'infrastruttura e delle operazioni cloud, come i controlli di accesso degli operatori cloud e l'applicazione di patch di sicurezza dell'infrastruttura. Sei responsabile della configurazione sicura delle tue risorse cloud. La sicurezza nel cloud è una responsabilità condivisa tra te e Oracle.

Oracle è responsabile dei seguenti requisiti di sicurezza:

• Sicurezza fisica: Oracle è responsabile della protezione dell'infrastruttura globale che esegue tutti i servizi offerti in Oracle Cloud Infrastructure. Questa infrastruttura è costituita da hardware, software, networking e strutture che eseguono i servizi Oracle Cloud Infrastructure.

In questa pagina sono descritte le responsabilità di sicurezza dell'utente, che includono le aree riportate di seguito.

• Controllo dell'accesso: limitare il più possibile i privilegi. Agli utenti dovrebbe essere concesso solo l'accesso necessario per svolgere il proprio lavoro.
• Cifratura e riservatezza: utilizzare le chiavi di cifratura e i segreti per proteggere i dati e connettersi a risorse protette. Ruotare questi tasti regolarmente.

Utilizzare questa lista di controllo per identificare i task eseguiti per proteggere lo storage degli oggetti in una nuova tenancy di Oracle Cloud Infrastructure.

Dopo aver iniziato a utilizzare lo storage degli oggetti, utilizza questa lista di controllo per identificare i task di sicurezza che ti consigliamo di eseguire regolarmente.

Utilizza i criteri per limitare l'accesso allo storage degli oggetti.

Assegnare l'accesso con privilegi minimi ai tipi di risorsa in object-family (bucket e oggetti). Ad esempio, il verbo inspect consente di controllare se esiste un bucket (HeadBucket) ed elencare i bucket in un compartimento (ListBucket). Il verbo manage concede tutte le autorizzazioni per la risorsa.

Si consiglia di concedere le autorizzazioni DELETE a un set minimo di utenti e gruppi IAM. Questa pratica riduce al minimo la perdita di dati da eliminazioni involontarie da parte di utenti autorizzati o da attori malintenzionati. Assegnare solo le autorizzazioni DELETE agli amministratori della tenancy e del compartimento.

Negli esempi riportati di seguito, i criteri vengono applicati a una tenancy. Tuttavia, la specifica del nome di un compartimento riduce l'ambito a un compartimento specifico in una tenancy.

ALLOW any-user TO manage objects IN TENANCY where all {target.bucket.name = 'test-bucket', target.object.name = 'prod/*', request.user.id='ocid1.user.oc1..exampleuniqueID'}

Allow group BucketUsers to use buckets in tenancy
 where target.bucket.name='BucketFoo'

Allow group BucketUsers to use buckets in tenancy
 where target.bucket.name=/ProjectA_*/

Allow group BucketUsers to read buckets in tenancy
Allow group BucketUsers to manage objects in tenancy
 where all {target.bucket.name='BucketFoo', 
            any {request.permission='OBJECT_INSPECT', 
                 request.permission='OBJECT_READ'}}

Allow group BucketUsers to read buckets in tenancy 
Allow group BucketUsers to manage objects in tenancy
 where all {target.bucket.name='BucketFoo', 
            any {request.permission='OBJECT_INSPECT', 
                 request.permission='OBJECT_CREATE'}}

Allow group BucketUsers to read buckets in tenancy
Allow group BucketUsers to manage objects in tenancy
 where all {target.bucket.tag.MyTagNamespace.TagKey='MyTagValue', 
            any {request.permission='OBJECT_INSPECT', 
                 request.permission='OBJECT_READ'}}

Allow group BucketUsers to read buckets in tenancy 
Allow group BucketUsers to manage objects in tenancy
 where all {request.principal.group.tag.MyTagNamespace.TagKey=target.bucket.tag.MyTagNamespace.TagKey, 
            any {request.permission='OBJECT_INSPECT', 
                 request.permission='OBJECT_CREATE'}}

Allow any-user to read object-family in compartment ObjectStorage where request.user.id ='ocid1.user.oc1..<user_OCID>'

Allow group CorporateUsers to manage object-family in tenancy where request.networkSource.name='corpnet'

Allow group BucketUsers to manage objects in tenancy
 where request.permission!='OBJECT_DELETE' 
Allow group BucketUsers to manage buckets in tenancy
 where request.permission!='BUCKET_DELETE'

Allow group BucketUsers to manage objects in tenancy
  where any {target.bucket.name!='BucketFoo', 
             all {target.bucket.name='BucketFoo',
                  request.permission!='OBJECT_DELETE'}}

Allow group BucketUsers to manage buckets in tenancy
Allow group BucketUsers to manage objects in tenancy

Allow group BucketUsers to manage buckets in tenancy
 where request.permission!='RETENTION_RULE_LOCK'
Allow group BucketUsers to manage objects in tenancy

Allow group BucketUsers to manage buckets in tenancy
 where any {request.permission='BUCKET_INSPECT', 
            request.permission='BUCKET_READ', 
            request.permission='PAR_MANAGE'}

Per ulteriori informazioni sui criteri di storage degli oggetti e per visualizzare altri esempi, consulta la sezione relativa ai dettagli di storage degli oggetti, storage di archivio e trasferimento dati.

Oltre a creare criteri IAM, blocca l'accesso allo storage degli oggetti utilizzando funzioni quali le richieste preautenticate.

Abilita Cloud Guard e usalo per rilevare e rispondere ai problemi di sicurezza nello storage degli oggetti.

Quando rileva un problema, Cloud Guard suggerisce azioni correttive. Inoltre, puoi configurare Cloud Guard in modo che esegua automaticamente determinate azioni. Cloud Guard include le regole del rilevatore riportate di seguito per lo storage degli oggetti.

• Il bucket è pubblico
• Il bucket di storage degli oggetti è cifrato con una chiave gestita da Oracle
• Chiavi cliente IAM create

Per una lista di tutte le regole del rilevatore disponibili in Cloud Guard, vedere Riferimento ricetta rilevatore.

Se non lo hai già fatto, abilita Cloud Guard e configuralo per monitorare i compartimenti che contengono le tue risorse. Puoi configurare le destinazioni Cloud Guard per esaminare l'intera tenancy (compartimento radice e tutti i compartimenti secondari) o per controllare solo compartimenti specifici. Vedere Introduzione a Cloud Guard.

Dopo aver abilitato Cloud Guard, puoi visualizzare e risolvere i problemi di sicurezza rilevati. Vedere Elaborazione dei problemi segnalati.

L'utilizzo di Security Zones garantisce che le risorse nello storage degli oggetti siano conformi alle best practice di sicurezza.

Una zona di sicurezza è associata a uno o più compartimenti e a una ricetta della zona di sicurezza. Quando crei e aggiorni le risorse nel compartimento di una zona di sicurezza, Oracle Cloud Infrastructure convalida queste operazioni rispetto alla lista dei criteri della zona di sicurezza nella ricetta. Se un criterio nella ricetta viene violato, l'operazione viene negata. I criteri della zona di sicurezza riportati di seguito sono disponibili per le risorse nello storage degli oggetti.

• deny public_buckets
• deny buckets_without_vault_key

Per una lista di tutti i criteri delle zone di sicurezza, vedere Criteri delle zone di sicurezza.

Per spostare le risorse esistenti in un compartimento che si trova in una zona di sicurezza, le risorse devono essere conformi a tutti i criteri della zona di sicurezza nella ricetta della zona. Allo stesso modo, le risorse in una zona di sicurezza non possono essere spostate in un compartimento esterno alla zona di sicurezza perché potrebbero essere meno sicure. Vedere Gestione delle zone di sicurezza.

Crea e ruota le chiavi di cifratura nel servizio Vault per proteggere le risorse nello storage degli oggetti.

Tutti i dati nello storage degli oggetti vengono cifrati al momento dell'archiviazione mediante AES-256. La cifratura è attiva per impostazione predefinita e non può essere disattivata. Ogni oggetto viene cifrato con la relativa chiave di cifratura e le chiavi di cifratura degli oggetti vengono cifrate con una chiave di cifratura master.

Un vault è un'entità logica che memorizza le chiavi di cifratura utilizzate per proteggere i dati. A seconda della modalità di protezione, le chiavi vengono memorizzate sul server o su moduli di sicurezza hardware (HSM) ad alta disponibilità e durata. I nostri HSM soddisfano la certificazione di sicurezza FIPS (Federal Information Processing Standards) 140-2 Security Level 3. Vedere Gestione dei vault e Gestione delle chiavi.

Sebbene le chiavi di cifratura predefinite possano essere generate automaticamente quando si creano determinate risorse di Oracle Cloud Infrastructure, si consiglia di creare e gestire le proprie chiavi di cifratura personalizzate nel servizio Vault.

Per assegnare una chiave di cifratura personalizzata a un nuovo bucket o a un bucket esistente, vedere:

• Creazione di un bucket di storage degli oggetti
• Assegnazione di una chiave a un bucket di storage degli oggetti
• Nuova cifratura delle chiavi di cifratura dei dati di un bucket di storage degli oggetti
• Nuova cifratura di un oggetto di storage degli oggetti

A ogni chiave di cifratura master viene assegnata automaticamente una versione della chiave. Quando si ruota una chiave, il servizio Vault genera una nuova versione della chiave. La rotazione periodica delle chiavi limita la quantità di dati cifrati o firmati da una versione della chiave. Se una chiave è sempre inclusa, la rotazione delle chiavi riduce il rischio per i tuoi dati. Vedere Gestione delle chiavi.

Si consiglia di utilizzare i criteri IAM per limitare in modo rigoroso la creazione, la rotazione e l'eliminazione delle chiavi di cifratura. Vedere Dettagli per il servizio Vault.

Puoi anche utilizzare la cifratura lato client per cifrare gli oggetti con le relative chiavi di cifratura prima di memorizzarli nei bucket di storage degli oggetti. Un'opzione disponibile per i clienti è quella di utilizzare l'API di compatibilità Amazon S3, insieme al supporto di crittografia degli oggetti lato client disponibile nell'SDK AWS per Java. Per ulteriori informazioni su questo SDK, vedere API di compatibilità Amazon S3.

Esegui backup periodici dei tuoi dati nello storage degli oggetti.

La conformità WORM (Write Once, Read Many) richiede che gli oggetti non possano essere eliminati o modificati. Utilizza le regole di conservazione per ottenere la conformità WORM. Le regole di conservazione vengono configurate a livello di bucket e vengono applicate a tutti i singoli oggetti nel bucket. Non è possibile aggiornare, sovrascrivere o eliminare oggetti o metadati degli oggetti finché la regola di conservazione non viene eliminata (regola indefinita) o per la durata specificata (regole con limite di tempo).

Per una valutazione indipendente della capacità della funzione delle regole di conservazione dello storage degli oggetti di soddisfare i requisiti normativi per la gestione e la conservazione dei record, consulta la valutazione di conformità SEC 17a-4(f), FINRA 4511(c), CFTC 1.31(c)-(d) e MiFID II di Cohasset Associate.

Per verificare l'integrità dei dati degli oggetti, viene fornito un checksum MD5 per tutti gli oggetti caricati nello storage degli oggetti. Inoltre, puoi applicare uno dei checksum facoltativi riportati di seguito agli oggetti caricati nello storage degli oggetti.

Utilizzo del checksum MD5

Si consiglia di verificare che il checksum MD5 non in linea di un oggetto corrisponda al valore di checksum restituito dalla console o dall'API dopo il caricamento. Oracle Cloud Infrastructure fornisce il valore di checksum dell'oggetto nella codifica base64. Per nascondere il valore di checksum con codifica base64 in esadecimale, utilizzare il comando seguente:

python -c 'print "BASE64-ENCODED-MD5-VALUE".decode("base64").encode("hex")'

Linux fornisce una utility della riga di comando md5sum per calcolare il valore di checksum MD5 di un oggetto in formato esadecimale.

Utilizzo del checksum MD5 con caricamenti multiparte

Lo storage degli oggetti supporta carichi multiparte per caricamenti più efficienti e resilienti, in particolare per oggetti di grandi dimensioni. In un caricamento multiparte, un oggetto di grandi dimensioni viene suddiviso in parti più piccole specificando una dimensione parte in MiB. Ogni parte viene caricata separatamente. Lo storage degli oggetti combina quindi tutte le parti per creare l'oggetto originale. Se una qualsiasi delle parti non viene caricata, è necessario ripetere il caricamento solo di tali parti e non dell'intero oggetto.

In un caricamento multiparte, i valori di checksum MD5 vengono calcolati per ogni parte e un checksum MD5 viene calcolato su tutti i singoli valori di checksum per ottenere il valore di output MD5. Per verificare il valore MD5 restituito per un caricamento multiparte, seguire lo stesso processo per il calcolo del checksum MD5 non in linea. Uno script di esempio per il calcolo non in linea di un valore di checksum MD5 per un caricamento multiparte nello storage degli oggetti è disponibile qui: https://gist.github.com/itemir/f5bc9fded6483cd79c89ebf4ca1cfd30.

Utilizzo del checksum SHA256 o SHA384

Alcuni settori hanno requisiti normativi per utilizzare un metodo di checksum che è considerato più forte di MD5. Tali requisiti spesso richiedono esplicitamente SHA256 o SHA384. È possibile selezionare l'algoritmo richiesto dal relativo regime di conformità. Tenere presente che la presenza di MD5 non è considerata non sicura o non conforme. L'aggiunta di un altro metodo di checksum fornisce un ulteriore controllo di integrità. Si prevede che l'aggiunta di uno dei tipi di checksum SHA contribuirà a soddisfare questi requisiti.

~ echo "Test" | openssl dgst -sha256 -binary | base64
ydBMlWX8ZlyAaB+x2CmTgCaHH2bhT1AeCFMd9mk4p4k=

~ echo "Test" | openssl dgst -sha384 -binary | base64
B6T9J1V45Pkr3wb9V8ioT3u/WNk2zCkY4lAKZ3wYXfDUe2ImwIpVK8O42uUOANY2

Utilizzo del checksum CRC32C

Potresti voler confrontare il checksum calcolato su un sistema di storage locale con quelli calcolati dallo storage degli oggetti. Questo è difficile da fare con i caricamenti multiparte, perché il checksum calcolato dipende dalla dimensione esatta di ogni parte, che potrebbe essere diversa da sistemi diversi (o con impostazioni di caricamento diverse).

Il tipo di checksum CRC32C è progettato per restituire lo stesso checksum per lo stesso oggetto indipendentemente dalla modalità di caricamento. Ciò consente ai clienti di confrontare il checksum CRC32C calcolato dallo storage degli oggetti con il checksum CRC32C calcolato dallo storage locale o da altri cloud, indipendentemente dalle impostazioni di caricamento multiparte.

Utilizzo di tipi di checksum aggiuntivi

È possibile utilizzare un solo tipo di checksum aggiuntivo per ogni oggetto caricato. I checksum MD5 vengono sempre calcolati su ogni oggetto. Quando si utilizza un tipo di checksum aggiuntivo, il completamento dei comandi GET e PUT potrebbe richiedere una latenza leggermente più lunga rispetto a un GET o PUT sullo stesso oggetto senza il tipo di checksum aggiuntivo.

Proteggi l'accesso di rete alle tue risorse nello storage degli oggetti.

I dati in transito tra i client dei clienti (ad esempio, SDK e CLI) e gli endpoint pubblici dello storage degli oggetti vengono cifrati con TLS 1.2 per impostazione predefinita. Il peering pubblico FastConnect consente l'accesso on premise allo storage degli oggetti tramite una rete privata anziché la rete Internet pubblica. Vedere Accesso alla rete in locale.

Individua i log di accesso e altri dati di sicurezza per lo storage degli oggetti.

Il servizio di audit registra automaticamente tutte le chiamate API alle risorse Oracle Cloud Infrastructure. È possibile raggiungere gli obiettivi di sicurezza e conformità utilizzando il servizio di audit per monitorare tutte le attività utente all'interno della tenancy. Poiché tutte le chiamate alla console, all'SDK e alla riga di comando (CLI) passano attraverso le nostre API, viene inclusa tutta l'attività da tali origini. I record di audit sono disponibili tramite un'interfaccia API di query autenticata e filtrabile oppure possono essere recuperati come file in batch dallo storage degli oggetti. I contenuti del log di audit includono l'attività che si è verificata, l'utente che l'ha avviata, la data e l'ora della richiesta, nonché l'IP di origine, l'user agent e le intestazioni HTTP della richiesta. Vedere Visualizzazione degli eventi del log di audit.

{
  "datetime": 1642104527377,
  "logContent": {
    "data": {
      "additionalDetails": {
        "namespace": "mytenancy"
      },
      "availabilityDomain": "PHX-AD-1",
      "compartmentId": "ocid1.compartment.oc1..<unique_id>",
      "compartmentName": "mycompartment",
      "definedTags": null,
      "eventGroupingId": "<unique_id>",
      "eventName": "ListBuckets",
      "freeformTags": null,
      "identity": {
        "authType": null,
        "callerId": null,
        "callerName": null,
        "consoleSessionId": null,
        "credentials": "<key>",
        "ipAddress": "<ip_address>",
        "principalId": "<user_id>",
        "principalName": "<user_name>",
        "tenantId": "ocid1.tenancy.oc1..<unique_id>",
        "userAgent": "Oracle-JavaSDK/1.37.1 (Linux/4.14.35-2047.509.2.2.el7uek.x86_64; Java/1.8.0_301; Java HotSpot(TM) 64-Bit Server VM GraalVM EE 20.3.3/25.301-b09-jvmci-20.3-b18)"
      },
      "message": "List of buckets retrieved.",
      "request": {
        "action": "GET",
        "headers": {
          "Accept": [
            "application/json"
          ],
          "Connection": [
            "keep-alive"
          ],
          "User-Agent": [
            "Oracle-JavaSDK/1.37.1 (Linux/4.14.35-2047.509.2.2.el7uek.x86_64; Java/1.8.0_301; Java HotSpot(TM) 64-Bit Server VM GraalVM EE 20.3.3/25.301-b09-jvmci-20.3-b18)"
          ],
          "authorization": [
            "Signature headers=\"date (request-target) host\",keyId=\"<key>"
          ],
          "date": [
            "Thu, 13 Jan 2022 20:08:47 GMT"
          ],
          "opc-client-info": [
            "Oracle-JavaSDK/1.37.1"
          ],
          "opc-request-id": [
            "<unique_id>"
          ]
        },
        "id": "<unique_id>",
        "parameters": {
          "compartmentId": [
            "ocid1.compartment.oc1..<unique_id>"
          ],
          "fields": [
            "tags"
          ],
          "limit": [
            "1000"
          ],
          "param0": [
            "mytenancy"
          ]
        },
        "path": "/n/mytenancy/b?compartmentId=ocid1.compartment.oc1..<unique_id>&limit=1000&fields=tags"
      },
      "resourceId": "/n/mytenancy/b?compartmentId=ocid1.compartment.oc1..<unique_id>&limit=1000&fields=tags",
      "response": {
        "headers": {
          "Content-Length": [
            "2"
          ],
          "Content-Type": [
            "application/json"
          ],
          "access-control-allow-credentials": [
            "true"
          ],
          "access-control-allow-methods": [
            "POST,PUT,GET,HEAD,DELETE,OPTIONS"
          ],
          "access-control-allow-origin": [
            "*"
          ],
          "access-control-expose-headers": [
            "access-control-allow-credentials,access-control-allow-methods,access-control-allow-origin,content-length,content-type,date,opc-client-info,opc-request-id,x-api-id"
          ],
          "date": [
            "Thu, 13 Jan 2022 20:08:47 GMT"
          ],
          "opc-request-id": [
            "<unique_id>"
          ],
          "x-api-id": [
            "native"
          ]
        },
        "message": null,
        "payload": {
          "id": "/n/mytenancy/b?compartmentId=ocid1.compartment.oc1..<unique_id>&limit=1000&fields=tags",
          "resourceName": "/n/mytenancy/b?compartmentId=ocid1.compartment.oc1..<unique_id>&limit=1000&fields=tags"
        },
        "responseTime": "2022-01-13T20:08:47.377Z",
        "status": "200"
      },
      "stateChange": null
    },
    "dataschema": "2.0",
    "id": "<unique_id>",
    "oracle": {
      "compartmentid": "ocid1.compartment.oc1..<unique_id>",
      "ingestedtime": "2022-01-13T20:08:49.384Z",
      "loggroupid": "_Audit",
      "tenantid": "ocid1.tenancy.oc1..<unique_id>"
    },
    "source": "/n/mytenancy/b?compartmentId=ocid1.compartment.oc1..<unique_id>&limit=1000&fields=tags",
    "specversion": "1.0",
    "time": "2022-01-13T20:08:47.377Z",
    "type": "com.oraclecloud.objectstorage.listbuckets"
  }
}

Se Cloud Guard è stato abilitato nella tenancy, viene segnalato qualsiasi attività utente che costituisce un potenziale problema di sicurezza. Quando rileva un problema, Cloud Guard suggerisce azioni correttive. Inoltre, puoi configurare Cloud Guard in modo che esegua automaticamente determinate azioni. Vedere la Guida introduttiva a Cloud Guard e l'elaborazione dei problemi segnalati.