Panoramica sulla sicurezza

Oracle Data Safe utilizza i componenti Oracle Cloud Infrastructure Identity and Access Management (IAM), ad esempio aree, compartimenti, utenti e gruppi e criteri IAM. In qualità di amministratore di Oracle Data Safe, è importante acquisire familiarità con questi componenti e la sicurezza del database.

Livelli di sicurezza

La sicurezza per Oracle Data Safe viene gestita in due posizioni:

• In Oracle Cloud Infrastructure Identity and Access Management (IAM): per controllare l'accesso degli utenti alle risorse Oracle Data Safe e ad altre risorse Oracle Cloud Infrastructure, è necessario un amministratore della tenancy per creare i criteri.

• Nel database di destinazione: per controllare l'accesso degli utenti ai dati del database di destinazione, gli amministratori del database devono concedere agli utenti l'accesso agli schemi che utilizzano. Gli amministratori del database devono inoltre abilitare le funzioni Oracle Data Safe appropriate in ciascun database di destinazione concedendo i ruoli Oracle Data Safe all'account del servizio Oracle Data Safe.

Tipi di amministratore

Nella tabella riportata di seguito vengono descritti i tipi di amministratori necessari per gestire Oracle Data Safe.

Aree

Quando ti iscrivi a Oracle Cloud Infrastructure, Oracle crea una tenancy per te in un'unica area. Questa è la tua area di origine. L'area di origine è la posizione in cui vengono definite le risorse Oracle Cloud Infrastructure Identity and Access Management (IAM). Quando si esegue la sottoscrizione a un'altra area, le risorse IAM sono disponibili nella nuova area, tuttavia le definizioni primari risiedono nell'area di provenienza e possono essere modificate solo in quest'area.

Di seguito sono riportate le risorse che è possibile creare e aggiornare solo nell'area di origine.

• Utenti

• Gruppi

• Criteri

• Compartimenti

• Gruppi dinamici

• Risorse federazione

Quando si esegue la sottoscrizione della tenancy a una nuova area, tutti i criteri dell'area di origine vengono applicati nella nuova area. Se si desidera limitare l'accesso per gruppi di utenti a aree specifiche, è possibile scrivere criteri per concedere l'accesso solo a aree specifiche. Un utente che desidera accedere alle funzioni e alle risorse di Oracle Data Safe richiede le autorizzazioni tramite un criterio IAM.

Le risorse Oracle Data Safe sono specifiche di ciascun servizio Oracle Data Safe regionale. Ad esempio, si supponga che un utente crei un criterio di mascheramento dei dati nel servizio Oracle Data Safe nell'area di Phoenix. Se l'utente accede al servizio Oracle Data Safe nell'area di Francoforte, non sarà in grado di trovare e utilizzare lo stesso criterio di mascheramento dei dati. La politica dovrebbe essere esportata dalla regione di Phoenix e importata nella regione di Francoforte. Anche i database di destinazione registrati in Oracle Data Safe sono specifici dell'area. La registrazione della destinazione tra più aree non è supportata.

Nel diagramma riportato di seguito sono disponibili tre aree: US East (Ashburn), Germany Central (Francoforte) e India West (Mumbai). US East è l'area di origine della tenancy. Francoforte e Mumbai recuperano le risorse Oracle Cloud Infrastructure Identity and Access Management (IAM), come utenti, gruppi e compartimenti, dall'area di origine. Ogni regione ha le proprie risorse. Francoforte dispone di un'istanza di database Finance e Mumbai dispone di un'istanza di database Sales. L'area di origine dispone di risorse IAM, una rete cloud virtuale (VCN), database Human Resources, volumi a blocchi e istanze di virtual machine. Un utente che dispone delle autorizzazioni appropriate può registrare il database Sales con il servizio Oracle Data Safe a Mumbai, ma le stesse autorizzazioni specifiche di Mumbai non consentono all'utente di registrare un database in altre aree. Se l'istanza del database Risorse a Francoforte non viene registrata con Oracle Data Safe, il database rimarrà non monitorato e l'utente potrebbe non essere a conoscenza dei problemi di sicurezza presenti in tale database.

Descrizione dell'illustrazione iam-regions.svg

Compartimenti

I compartimenti in Oracle Cloud Infrastructure sono strutture logiche che ti aiutano a organizzare e controllare l'accesso alle tue risorse cloud, incluse le risorse Oracle Data Safe. Gli utenti possono creare compartimenti utilizzando il servizio Oracle Cloud Infrastructure Identity and Access Management (IAM).

I compartimenti in Oracle Cloud Infrastructure contengono risorse, come istanze di database, reti cloud virtuali e volumi a blocchi. Pensa a un compartimento come a un gruppo logico e non a un contenitore fisico. Funziona come filtro per ciò che si sta visualizzando. Ogni volta che aggiungi una risorsa in Oracle Cloud Infrastructure, la crei in un determinato compartimento. Se necessario, è possibile spostare le risorse da un compartimento all'altro. Gli utenti richiedono le autorizzazioni per accedere ai compartimenti e alle risorse in essi contenute.

Quando ti iscrivi a Oracle Cloud Infrastructure, Oracle crea una tenancy per te, che è considerata il compartimento root. Il compartimento radice contiene tutte le risorse cloud. All'interno della tenancy, puoi creare compartimenti che sono figli diretti o ulteriori discendenti del compartimento radice, in base alle esigenze dell'organizzazione. Ad esempio, è possibile creare un compartimento in cui memorizzare tutte le risorse per un'applicazione finanziaria. Per controllare l'accesso alle risorse in ogni compartimento (e facoltativamente ai relativi figli), un membro del gruppo Amministratori della tenancy crea criteri. In definitiva, l'obiettivo è quello di garantire che ogni persona abbia accesso solo alle risorse di cui ha bisogno.

Quando si crea una risorsa Oracle Data Safe, si specifica il compartimento a cui si desidera che la risorsa appartenga. Le seguenti risorse Oracle Data Safe sono memorizzate nei compartimenti:

• Database di destinazione

• Endpoint privati

• Connettori in locale

• Modelli dati riservati (SDM)

• Tipi riservati definiti dall'utente

• Formati di mascheramento definiti dall'utente

• Criteri di mascheramento

• Criteri di audit

• Audit trail

• Report personalizzati

Affinché un utente possa visualizzare e selezionare i compartimenti durante la creazione delle risorse Oracle Data Safe, è necessario concedere all'utente le autorizzazioni per tali compartimenti tramite i criteri Oracle Cloud Infrastructure Identity and Access Management (IAM). Un utente può aggiungere più risorse a un compartimento. Solo gli amministratori della tenancy possono eliminare i compartimenti tramite IAM.

Le risorse Oracle Data Safe sono specifiche di un'area in una tenancy. Un utente può registrare un database di destinazione con Oracle Data Safe in un solo compartimento.

Il diagramma sottostante illustra il concetto di compartimenti. Nella tenancy in Oracle Cloud Infrastructure, il compartimento radice contiene un'istanza di virtual machine, una rete cloud virtuale, volumi a blocchi e risorse Oracle Cloud Infrastructure Identity and Access Management (IAM) (ad esempio, utenti, gruppi e criteri). Il compartimento radice viene creato automaticamente quando viene creata la tenancy.

Nella regione di Francoforte vengono utilizzati tre compartimenti: Progetto A, Progetto B e Finanza.

• Il compartimento Progetto A contiene risorse per il Progetto A, tra cui un'istanza di database Payroll e volumi a blocchi.

• Il compartimento Progetto B contiene risorse per il Progetto B, tra cui un'istanza di database Budgeting e volumi a blocchi.

• Poiché gli stessi utenti lavorano sui progetti A e B, i due database vengono registrati in Oracle Data Safe nello stesso compartimento: Finance. Un modello dati riservati Oracle Data Safe denominato Sensitive Data Model 1 viene salvato anche nel compartimento Finance. Notare che non è necessario registrare i database di destinazione nello stesso compartimento in cui risiedono.

Descrizione dell'illustrazione iam-compartments.svg

Utenti e gruppi

Oracle Data Safe supporta utenti e gruppi nativi e federati in Oracle Cloud Infrastructure.

Utenti e gruppi nativi

Un utente o un gruppo nativo è quello creato in Oracle Cloud Infrastructure Identity and Access Management (IAM). IAM è il servizio predefinito in Oracle Cloud Infrastructure che gli amministratori possono utilizzare per controllare l'accesso degli utenti alle risorse cloud. Gli utenti e i gruppi possono essere creati dagli amministratori dei tenancy solo nel compartimento root.

Quando l'organizzazione ottiene un account Oracle Cloud, Oracle imposta automaticamente un amministratore predefinito per l'account e un gruppo Administrators. I membri di questo gruppo sono responsabili della creazione di utenti e gruppi in IAM e della concessione ai gruppi dell'autorizzazione per accedere a ciò di cui hanno bisogno tramite i criteri. Per determinare come raggruppare gli utenti, esaminano gli utenti che richiedono lo stesso tipo di accesso a risorse e compartimenti specifici. Solo gli amministratori dei tenancy possono creare gruppi e aggiungere utenti ai gruppi. Tuttavia, un amministratore della tenancy può creare un criterio che consente a un utente regolare di creare altri utenti e credenziali.

Esaminiamo il diagramma qui sotto. Si supponga di disporre di un gruppo di sicurezza IT e conformità IT creato in IAM. Il gruppo IT Compliance è responsabile di garantire la conformità legale relativa alla protezione dei dati e deve utilizzare solo Activity Auditing. Il gruppo IT Security è responsabile della protezione dei dati sensibili e deve fornire set di dati a tester e sviluppatori. Richiedono l'accesso alle funzioni di ricerca automatica e mascheramento dei dati. Queste informazioni consentono all'amministratore della tenancy di creare due gruppi in IAM denominati IT-Compliance e IT-Security e di assegnare gli utenti ai gruppi appropriati. L'amministratore crea un criterio IAM che concede al gruppo IT-Compliance manage l'accesso alle risorse di audit attività. L'amministratore crea un altro criterio in IAM per il gruppo IT-Security che concede al gruppo manage l'accesso alle risorse di ricerca automatica e mascheramento dei dati. L'amministratore crea un gruppo in IAM denominato Data-Safe-Admins per gli utenti avanzati che devono utilizzare tutte le funzioni di Oracle Data Safe. L'amministratore crea un terzo criterio IAM che concede al gruppo Data-Safe-Admins l'accesso manage su tutte le risorse Oracle Data Safe.

Descrizione dell'illustrazione iam-groups.svg

Utenti federati e gruppi

Quando un utente dell' azienda desidera utilizzare le risorse di Oracle Cloud Infrastructure nella Console, deve effettuare l'accesso con il nome del login e della password utente. Le aziende aziendali utilizzano in genere un provider di identità (IdP), ad esempio Oracle Identity Cloud Service o Microsoft Active Directory, per autenticare gli utenti per l'accesso a siti Web, servizi e risorse. Nella console di Oracle Cloud Infrastructure, un amministratore può eseguire la federazione con un IdP supportato in modo che ogni dipendente possa utilizzare un login e una password esistenti e non debba creare un nuovo set per utilizzare le risorse di Oracle Cloud Infrastructure.

Un amministratore IdP crea utenti e gruppi nell'IdP e assegna ciascun utente a uno o più gruppi in base al tipo di accesso necessario. L'amministratore può eseguire il mapping di un gruppo IdP a un gruppo Oracle Cloud Infrastructure Identity and Access Management (IAM) in modo che il gruppo IdP possa accedere alle stesse risorse Oracle Cloud Infrastructure del gruppo IAM. I gruppi creati nell'IdP non dispongono di privilegi in Oracle Cloud Infrastructure finché un amministratore della tenancy non li esegue il mapping a un gruppo in Oracle Cloud Infrastructure. L'amministratore della tenancy può definire i criteri IAM per il gruppo per consentire l'accesso alle risorse Oracle Cloud Infrastructure.

Il diagramma seguente illustra il concetto di utenti federati. Il Gruppo A è un gruppo IAM che ha accesso a diverse risorse, tra cui risorse di User Assessment, una rete privata virtuale, volumi a blocchi e istanze di virtual machine. Il gruppo B è un gruppo Oracle Identity Cloud Service. Nella console di Oracle Cloud Infrastructure, un amministratore mappa il Gruppo B al Gruppo A. Questo mapping consente al gruppo B di accedere alle stesse risorse del gruppo A. Il gruppo C è un altro gruppo in Oracle Identity Cloud Service e non è mappato ad alcun gruppo in IAM. Pertanto, il Gruppo C non può accedere ad alcuna risorsa in Oracle Cloud Infrastructure.

Descrizione dell'illustrazione federated-users.svg

Criteri IAM

Oracle Data Safe utilizza i criteri Oracle Cloud Infrastructure Identity and Access Management (IAM) per controllare l'accesso degli utenti alle risorse Oracle Data Safe. Un criterio è un documento scritto da un amministratore della tenancy in IAM che specifica chi può accedere a quale risorsa dispone l'azienda e in che modo. Un sistema consente a un gruppo di operare seconda modalità prestabilita con tipi specifici di risorse in un determinato compartimento. Ogni criterio è composto da una o più istruzioni dei criteri.

Argomenti correlati

• Panoramica di IAM