基本的な構成の問題への対処

次の手順は、Oracle Cloud Infrastructure Consoleの場合です。

問題: 管理者グループのメンバーであるユーザーが、APIキーを使用してリソースにアクセスしました。

基本:

• APIキーは、Oracle Cloud Infrastructureへのプログラムによるアクセス権を付与するために使用される資格証明です。

• セキュリティおよびガバナンスの理由から、ユーザーが操作する必要があるリソースのみにアクセスできるようにしてください。

• 管理者グループのメンバーで、APIを介したリソースへのアクセスも必要なユーザーのために、IAMに別のユーザーを作成して、APIキーをアタッチします。ユーザーがプログラムを使用して操作する必要があるリソースについてのみ、APIキーの権限をユーザーに付与します。

制限された権限を持つユーザー、グループおよびポリシーを作成するには:

次の一連の手順では、制限された権限を持つサンプル・ユーザーを設定する方法を示します。この例では、ユーザーは特定のコンパートメントでインスタンスを起動できる必要があります。

-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAoTFqF...
...
-----END PUBLIC KEY——

参照情報:

• IAMの保護
• ポリシーの仕組みおよび共通ポリシー
• ユーザー資格証明の管理
• グループの管理
• ユーザーの管理

問題: あるポリシーが、コンパートメントまたはテナンシ内の少なくとも1つのサービスに対する完全な管理権限を付与します。

基本:

• リソースへのアクセスはポリシーによって制御されます。ポリシーとは、会社に所有するどのOracle Cloud Infrastructureリソースに誰がアクセスできるか、およびその方法を指定するドキュメント。ポリシーによって、特定のコンパートメント 内の特定のタイプのリソース を、グループ が特定の方法で操作することが許可されます。
• セキュリティおよびガバナンスの理由から、ユーザーが必要とするリソースのみにアクセスできるようにしてください。
• ユーザーが必要とするアクセス・レベルについて慎重に検討します。ポリシー言語に用意されているデフォルトの一連の動詞(manage、use、read、inspect)を使用すると、簡単にユーザーの権限の対象範囲を一般的なタスクのセットに設定できます。たとえば、ユーザーがリソースを更新する必要があるが、リソースを作成または削除する必要はない場合、manage権限ではなくuse権限を付与します。

• ポリシー言語は、動詞とresource-typeのみを使用した単純なステートメントを記述できるように設計されており、ステートメントで権限を指定する必要はありません。さらにきめ細かくアクセスを制御するには、条件と権限またはAPI操作を組み合せて、特定の動詞で許可されるアクセス範囲を絞り込むことができます。

• 可能な場合は常に、テナンシ全体ではなく、ユーザーがアクセスする必要がある特定のコンパートメントにアクセス範囲を指定します。

最小権限のポリシーを作成するためのヒント:

Allow group <group_name> to <verb>
                                    <resource-type> in tenancy

Allow group <group_name> to <verb>
                                    <resource-type> in compartment <compartment_name>
                                

Allow group <group_name> to manage <resource-type> in compartment <compartment_name>
                                

Allow group <group_name> to use <resource-type> in compartment <compartment_name>
                                

Allow group XYZ to manage groups in tenancy
                        
                        where any {request.permission='GROUP_INSPECT',
                        request.permission='GROUP_CREATE',
                        request.permission='GROUP_UPDATE'}

Allow group XYZ to manage groups in tenancy where request.permission != 'GROUP_DELETE'

Allow group XYZ to manage groups in tenancy
                        
                        where any {request.operation='ListGroups',  
                        request.operation='GetGroup',
                        request.operation='CreateGroup',
                        request.operation='UpdateGroup'}

Allow group XYZ to manage groups in tenancy
                        
                        where all {request.permission='GROUP_INSPECT',  
                        request.operation='ListGroups'}

参照情報:

• IAMの保護
• ポリシーの仕組みおよび共通ポリシー
• ポリシーの拡張機能
• ポリシーの管理

問題: ユーザーのAPI署名キーが90日以上経過しています。少なくとも90日ごとにAPIキーをローテーションすることをお薦めしています。

基本:

• APIキーは、Oracle Cloud Infrastructureへのプログラムによるアクセス権を付与するために使用される資格証明です。

• APIキーを定期的に90日以内にローテーションするのは、セキュリティ・エンジニアリングのベスト・プラクティスでありコンプライアンス要件でもあります。

• 古いキーを非アクティブ化する前に、新しいキーを必ずテストします。

新しいAPIキーを生成してアップロードするには:

openssl rsa -pubout -outform DER -in ~/.oci/oci_api_key.pem | openssl md5 -c

openssl rsa -pubout -outform DER -in \.oci\oci_api_key.pem | openssl md5 -c

参照情報:

• IAMの保護
• API署名キー

問題: 管理者グループ以外のグループに、管理者権限が付与されました。

基本:

• テナンシ管理者権限(manage all-resources in tenancy)をグループに付与すると、メンバーはテナンシ内のすべてのリソースに対する完全なアクセスを持つことができます。
• このような高い権限の付与は、職務を実行するために必要とするユーザーのみを対象とするように管理して制限する必要があります。
• Oracle Cloud Infrastructureの管理者に、この権限付与が認可されたこと、および管理者権限が付与された後もグループのメンバーシップが有効なままであることを検証します。
• 管理者権限を持つ代替グループを作成するかわりに、管理者権限を必要とするユーザーをデフォルトの管理者グループに追加することを検討します。

この問題を解決するには:

管理者権限を必要とするユーザーを管理者グループに追加します:

グループ(管理者グループ以外)に管理権限を付与するポリシーまたはポリシー・ステートメントを削除します。

1. ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」を選択します。「アイデンティティ」にある「ポリシー」を選択します。表示しているコンパートメント内のポリシーのリストが表示されます。

   探しているポリシーが表示されない場合は、正しいコンパートメントが表示されていることを確認します。別のコンパートメントにアタッチされたポリシーを表示するには、「リスト範囲」で、リストからそのコンパートメントを選択します。

2. 更新するポリシーをクリックします。

   ポリシーの詳細およびステートメントが表示されます。

3. 管理者権限をグループに付与するステートメントを探します。次のようなポリシーです:

   Allow group <group_name> to manage all-resources in tenancy
                       

   「アクション」メニュー(3つのドット)をクリックし、「削除」をクリックします。

4. ポリシーに他のステートメントがない場合は、ポリシー名の横にある「削除」をクリックして、ポリシーを削除できます。

参照情報:

• IAMの保護
• ポリシーの管理

• セキュリティ・リストによって、インスタンスへのネットワーク・アクセスを制御する、ステートフルおよびステートレス・ファイアウォール機能が提供されます。
• セキュリティ・リストはサブネット・レベルで構成され、インスタンス・レベルで適用されます。
• 複数のセキュリティ・リストを1つのサブネットに関連付けることができます。パケットが許可されるのは、それが、サブネットで使用されるセキュリティ・リストのいずれかのルールと一致する場合です。
• サブネットのどのセキュリティ・リストにもイングレス(インバウンド)ルールがない場合、そのサブネットのインスタンスに対してトラフィックが許可されません。
• 多層防御のためには、イングレス・セキュリティ・リストのルールに、オープン・ソースの(0.0.0.0/0)ではなく既知の特定のソースを指定する必要があります。
• Oracle CASB Cloud Serviceで例外を構成すると、除外したセキュリティ・リストのアラートを削減できます。

次の手順は、Oracle Cloud Infrastructure Consoleの場合です。

• セキュリティ・リストによって、インスタンスへのネットワーク・アクセスを制御する、ステートフルおよびステートレス・ファイアウォール機能が提供されます。
• セキュリティ・リストはサブネット・レベルで構成され、インスタンス・レベルで適用されます。
• 複数のセキュリティ・リストを1つのサブネットに関連付けることができます。パケットが許可されるのは、それが、サブネットで使用されるセキュリティ・リストのいずれかのルールと一致する場合です。
• サブネットのどのセキュリティ・リストにもイングレス(インバウンド)ルールがない場合、そのサブネットのインスタンスに対してトラフィックが許可されません。
• 多層防御のためには、イングレス・セキュリティ・リストのルールに、オープン・ソースの(0.0.0.0/0)ではなく既知の特定のソースを指定する必要があります。
• Oracle CASB Cloud Serviceで例外を構成すると、除外したセキュリティ・リストのアラートを削減できます。

次の手順は、Oracle Cloud Infrastructure Consoleの場合です。

• セキュリティ・リストによって、インスタンスへのネットワーク・アクセスを制御する、ステートフルおよびステートレス・ファイアウォール機能が提供されます。
• セキュリティ・リストはサブネット・レベルで構成され、インスタンス・レベルで適用されます。
• 複数のセキュリティ・リストを1つのサブネットに関連付けることができます。パケットが許可されるのは、それが、サブネットで使用されるセキュリティ・リストのいずれかのルールと一致する場合です。
• サブネットのどのセキュリティ・リストにもイングレス(インバウンド)ルールがない場合、そのサブネットのインスタンスに対してトラフィックが許可されません。
• 多層防御のためには、イングレス・セキュリティ・リストのルールに、オープン・ソースの(0.0.0.0/0)ではなく既知の特定のソースを指定する必要があります。
• Oracle CASB Cloud Serviceで例外を構成すると、除外したセキュリティ・リストのアラートを削減できます。

次の手順は、Oracle Cloud Infrastructure Consoleの場合です。

次の手順は、Oracle Cloud Infrastructure Consoleの場合です。

次の手順は、Oracle Cloud Infrastructure Consoleの場合です。

1. 「ロード・バランサ」で、「ロード・バランサ」を選択します。

   「ロード・バランサ」リスト・ページが開きます。選択したコンパートメント内のすべての既存のロード・バランサ・リソースがリスト表に表示されます。

2. 別のコンパートメントのリソースを表示するには、「コンパートメント」フィルタを使用してコンパートメントを切り替えます。

   コンパートメント内のリソースを表示するには、そのコンパートメントで作業する権限が必要です。使用するコンパートメントがわからない場合は、管理者に連絡してください。詳細は、コンパートメントの理解を参照してください。

3. リストから状態を選択すると、その状態のロード・バランサのみが表示されます。
4. リスナーを作成するロード・バランサを選択します。ロード・バランサの「詳細」ページが表示されます。
5. 「リソース」で「リスナー」を選択します。「リスナー」リストが表示されます。すべてのリスナーが表形式でリストされます。
6. 「リスナーの作成」を選択します。「リスナーの作成」ダイアログが表示されます。
7. 次を完了します:
   • 名前: リスナーのフレンドリ名を入力します。名前は一意である必要があり、変更できません。
   • ホスト名: (オプション)このリスナーに対して最大16の仮想ホスト名を選択します。
     ノート
     
     仮想ホスト名をリスナーに適用するには、その名前がロード・バランサの構成に含まれている必要があります。ロード・バランサにホスト名が関連付けられていない場合は、「ホスト名」ページで作成できます。詳細は、ロード・バランサの仮想ホスト名を参照してください。
   • プロトコル: 使用するプロトコルを指定します: HTTP、HTTP/2、TCP、または HTTPS。
   • ポート: 受信トラフィックをリスニングするポートを指定します。
   • SSLの使用: (HTTP/2およびHTTPSでは必須、HTTPおよびTCPではオプション)有効にする場合に選択します。SSL処理を有効にするには、SSL証明書バンドルをリスナーに関連付けるために次の設定が必要です。ロード・バランサでのSSL証明書の使用の詳細は、ロード・バランサのSSL証明書を参照してください。

     ロード・バランサは、変更を自動的に検出し、SSL構成で使用するために証明書サービス・エンティティ(証明書、認証局およびCAバンドル)の現在のバージョンを使用します。自動証明書ローテーションの詳細は、証明書を参照してください。

     • 証明書リソース: リストから証明書リソース・タイプを選択します:

       証明書をインポートする方法は、選択した証明書リソース・タイプによって異なります。

       証明書サービス管理対象証明書: 「証明書」リストから、指定したコンパートメント内の証明書を選択します。証明書を選択する別のコンパートメントを選択するには、「コンパートメントの変更」を選択します。

       • この選択では拡張オプションを使用できます。「拡張オプションの表示」を選択し、「拡張SSL」タブを選択します。このオプションについては、このトピックの後半で説明します。
       • ロード・バランサ管理対象証明書: 次のいずれかのオプションを選択して、証明書をインポートします:

         SSL証明書ファイルの選択: PEM形式の証明書ファイルを「SSL証明書」フィールドにドラッグします。「SSL証明書の貼付け」オプションを選択して、証明書をこのフィールドに直接貼り付けることもできます。バックエンドSSLの自己署名証明書を送信する場合は、対応するCA証明書フィールドに同じ証明書を送信する必要があります。

         秘密キーの指定: (SSL終了の場合は必須、それ以外の場合はオプション)証明書の秘密キーを指定する場合はボックスを選択します。

         秘密キー・ファイルの選択: PEM形式の秘密キーを「秘密キー」フィールドにドラッグします。「秘密キーの貼付け」オプションを選択して、秘密キーをこのフィールドに直接貼り付けることもできます。

         Enter private key passphrase: (オプション)秘密キー・パスフレーズを指定します。

       • セッション再開の有効化: 各リクエストの前に新しいSSL接続を完了するのではなく、前の暗号化セッションを再開する場合に選択します。セッションの再開を有効にすると、パフォーマンスが向上しますが、セキュリティのレベルは低くなります。各リクエストの前に新しいSSL接続を強制的に行う機能の選択を解除します。セッションの再開を無効にすると、セキュリティは向上しますが、パフォーマンスは低下します。
     • ピア証明書の検証: (オプション)ピア証明書の検証を有効にする場合は、このオプションを選択します。詳細は、ロード・バランサのSSL証明書を参照してください。

       ロード・バランサとそのバックエンド・サーバー間の通信では、相互TLS (mTLS)はサポートされていません。ロード・バランサとユーザー間の通信にはmTLSを使用できます。

     • 深さの検証: (オプション)証明書チェーン検証の最大の深さを指定します。詳細は、ロード・バランサのSSL証明書を参照してください。
   • バックエンド・セット: リスナーがトラフィックをルーティングするデフォルトのバックエンド・セットを指定します。
   • アイドル・タイムアウト(秒): (オプション)最大アイドル時間(秒)を指定します。この設定が適用されるのは、HTTP request-responseフェーズでの、連続する2回の正常な受信ネットワーク入出力操作の間、または連続する2回の正常な送信ネットワーク入出力操作の間です。最大値は7200秒です。詳細は、ロード・バランサのタイムアウト接続設定を参照してください。
   • (オプション)「プロキシ・プロトコル」タブを選択して、ロード・バランサでプロキシ・プロトコルを有効にして構成します。この機能の詳細は、Proxy Protocolを参照してください。
     1. この機能を有効にするには、「プロキシ・プロトコルの有効化」を選択します。
     2. 使用するプロキシ・プロトコルのバージョンを選択します。
        • バージョン1: 人間が読めるヘッダー(テキスト)形式をサポートし、通常はログ・エントリの1行です。このオプションは、実装がほとんどない初期導入段階でのデバッグに使用します。
        • バージョン2: バージョン1の判読可能なヘッダーのサポートとヘッダーのバイナリ・エンコーディングを組み合せて、生成および解析の効率を高めます。このオプションは、ASCII形式で生成および解析が困難なIPv6アドレスに使用します。バージョン2では、カスタム拡張機能もより適切にサポートされます。デフォルトでは、使用可能なバージョン2オプションとしてPP2 Type Authorityが選択されています。
   • ルーティング・ポリシーまたはパス・ルート・セットを選択します。
     • ルーティング・ポリシー: (オプション)このリスナーのトラフィックに適用されるルーティング・ポリシーの名前を指定します。
     • パス・ルート・セット: (オプション)このリスナーのトラフィックに適用されるパスベースのルーティング・ルール・セットの名前を指定します。

       パス・ルート・セットをリスナーに適用するには、パス・ルート・セットがロード・バランサ構成の一部である必要があります。

       既存のリスナーからパス・ルート・セットを削除するには、「パス・ルート・セット」オプションとして「なし」を選択します。このパス・ルート・セットは、このロード・バランサの他のリスナーでは使用可能なままです。

   • ルール・セット: (オプション)このリスナーのトラフィックに適用するルール・セットを選択します。ルール・セットをリスナーに適用するには、そのセットがロード・バランサの構成に含まれている必要があります。リストからルール・セットを削除するには、対応する赤いボックスを選択します。このルール・セットは、このロード・バランサの他のリスナーでは使用可能なままです。
   • 拡張オプションの表示: 次のオプションを表示する場合に選択します:
     • 拡張SSL: (「Certificate Service Managed Certificate」証明書の証明書リソースが選択されている場合にのみ表示されます。)リスナーの証明書リソースの選択時に「証明書サービス管理対象証明書」を選択した場合は、次のいずれかのオプションを選択します。

       CA bundle: 指定したコンパートメントの認証局バンドルをリストから選択します。認証局バンドルを選択する別のコンパートメントを選択するには、「コンパートメントの変更」を選択します。

       認証局: 指定したコンパートメントの認証局をリストから選択します。認証局バンドルを選択する別のコンパートメントを選択するには、「コンパートメントの変更」を選択します。

     • TLSバージョン: Transport Layer Security (TLS)バージョン(1.0、1.1、1.2 (推奨)および1.3)を指定します。

       バージョンの任意の組合せを選択できます。必要なものをリストから選択します。TLSバージョンを指定しない場合、デフォルトのTLSバージョンは1.2のみです。

       暗号化方式群の選択: リストから一連の暗号化方式群を選択します。(デフォルト)。リストに表示されるすべての選択肢には、選択したTLSバージョンごとに少なくとも1つの暗号が関連付けられています。

       セキュリティ・ポリシーに対して有効になっている暗号に基づく署名アルゴリズムを使用して、SSL証明書を作成します。

     • 暗号化方式群の詳細の表示: 選択すると、選択した暗号化方式群に含まれる個々の暗号化方式を表示します。
     • サーバー順序プリファレンス: 「有効化」を選択し、クライアントよりもサーバー暗号を優先します。
8. 「リスナーの作成」を選択します。

次の手順は、Oracle Cloud Infrastructure Consoleの場合です。

1. 「ロード・バランサ」で、「ロード・バランサ」を選択します。

   「ロード・バランサ」リスト・ページが開きます。選択したコンパートメント内のすべての既存のロード・バランサ・リソースがリスト表に表示されます。

2. 別のコンパートメントのリソースを表示するには、「コンパートメント」フィルタを使用してコンパートメントを切り替えます。

   コンパートメント内のリソースを表示するには、そのコンパートメントで作業する権限が必要です。使用するコンパートメントがわからない場合は、管理者に連絡してください。詳細は、コンパートメントの理解を参照してください。

3. リストから状態を選択すると、その状態のロード・バランサのみが表示されます。
4. バックエンド・セットを追加するロード・バランサを選択します。ロード・バランサの「詳細」ページが表示されます。
5. 「リソース」の下の「バックエンド・セット」を選択します。「バックエンド・セット」リストが表示されます。すべてのバックエンド・セットが表形式でリストされます。
6. 「バックエンド・セットの作成」を選択します。「バックエンド・セットの作成」ダイアログ・ボックスが表示されます。

7. 次を完了します:

   • 名前: バックエンド・セットのフレンドリ名を入力します。ロード・バランサ内で一意である必要があり、変更できません。有効なバックエンド・セット名には、英数字、ダッシュおよびアンダースコアのみを使用できます。バックエンド・セット名にスペースを含めることはできません。
   • トラフィック分散ポリシー: バックエンド・セットのロード・バランサ・ポリシーを選択します。使用可能なオプションは:
     • IPハッシュ
     • 最少接続
     • 重み付けラウンド・ロビン

     バックアップとしてマークされたバックエンド・サーバーは、IPハッシュ・ポリシーを使用するバックエンド・セットに追加できません。これらのポリシーの詳細は、ロード・バランサ・ポリシーを参照してください。

   • SSLの使用: SSL証明書リソースをバックエンド・セットに関連付ける場合に選択します。

     ロード・バランサは、変更を自動的に検出し、SSL構成で使用するために証明書サービス・エンティティ(証明書、認証局およびCAバンドル)の現在のバージョンを使用します。自動証明書ローテーションの詳細は、証明書を参照してください。

     ロード・バランサにアタッチされた証明書リソースが存在しない場合、このオプションは無効です。

     証明書リソース: リストから証明書リソース・タイプを選択します:

     証明書をインポートする方法は、選択した証明書リソース・タイプによって異なります。ロード・バランサによるSSL証明書の使用方法の詳細は、ロード・バランサのSSL証明書を参照してください。

     Webアプリケーション・ファイアウォール・ポリシーでSSLを使用する場合の一般情報は、証明書を参照してください。

     • 証明書サービス管理対象証明書

       「CAバンドル」または「認証局」オプションを選択し、関連リストから選択します。CAバンドルまたは認証局を選択する別のコンパートメントを選択するには、「コンパートメントの変更」を選択します。

       この選択では拡張オプションを使用できます。「拡張オプションの表示」を選択し、「拡張SSL」タブを選択します。このオプションについては、このトピックの後半で説明します。

     • ロード・バランサ管理対象証明書: 次のいずれかのオプションを選択して、証明書をインポートします:

       SSL証明書ファイルの選択: PEM形式の証明書ファイルを「SSL証明書」フィールドにドラッグします。「SSL証明書の貼付け」オプションを選択して、証明書をこのフィールドに直接貼り付けることもできます。

       バックエンドSSLの自己署名証明書を送信する場合は、対応するCA証明書フィールドに同じ証明書を送信する必要があります。

       秘密キーの指定: (SSL終了に必要です。)証明書の秘密キーを指定する場合に選択します。

       秘密キー・ファイルの選択: PEM形式の秘密キーを「秘密キー」フィールドにドラッグします。

       Enter private key passphrase: 秘密キーのパスフレーズを指定します。または、「秘密キーの貼付け」オプションを選択して、秘密キーをこのフィールドに直接貼り付けることもできます。

       ピア証明書の検証: ピア証明書の検証を有効にする場合は、このオプションを選択します。詳細は、ロード・バランサのSSL証明書を参照してください。

       深さの検証: オプション。証明書チェーン検証の最大の深さを指定します。詳細は、ロード・バランサのSSL証明書を参照してください。

   • セッション永続性: ロード・バランサがセッション永続性を管理する方法を指定します。これらの設定の構成に関する重要な情報は、ロード・バランサのセッション永続性を参照してください。
     • セッション永続性の無効化: Cookieベースのセッション永続性を無効にする場合は、このオプションを選択します。
     • アプリケーションCookie永続性の有効化: 指定したCookie名を持つSet-cookieヘッダーがバックエンド・アプリケーション・サーバーからのレスポンスに含まれる場合に、単一の論理クライアントから永続セッションを有効にするには、このオプションを選択します。
       • Cookie名: セッション永続性の有効化に使用するCookie名。*を指定すると、あらゆるCookie名と一致します。
       • フォールバックの無効化: 元のサーバーが使用できない場合にフォールバックを無効にするには、このボックスを選択します。
     • ロード・バランサのCookie永続性の有効化: ロード・バランサによって挿入されたCookieに基づいて永続セッションを有効にする場合は、このオプションを選択します。
       • Cookie名: セッション永続性を有効にするために使用するCookieの名前を指定します。空白の場合、デフォルトのCookie名はX-Oracle-BMC-LBS-Routeです。

         バックエンド・アプリケーション・サーバーで使用されるCookie名が、ロード・バランサで使用されるCookie名と異なることを確認してください。

       • フォールバックの無効化: 元のサーバーが使用できない場合にフォールバックを無効にするには、このボックスを選択します。
       • ドメイン名: Cookieが有効なドメインを指定します。

         この属性にデフォルト値はありません。値を指定しない場合、ロード・バランサはドメイン属性をSet-cookieヘッダーに挿入しません。

       • パス: Cookieが有効なパスを指定します。デフォルト値は/です。
       • 有効期限(秒): Cookieが有効な期間を指定します。空白の場合、クライアント・セッションの終了時にCookieの有効期限が切れます。
       • 属性

         セキュア: Set-cookieヘッダーにSecure属性を含めるかどうかを指定します。選択した場合、クライアントはセキュア・プロトコルのみを使用してCookieを送信します。

         この設定を有効にした場合、対応するバックエンド・セットをHTTPリスナーに関連付けることはできません。

         HTTPのみ: Set-cookieヘッダーにHttpOnly属性を含めるかどうかを指定します。選択すると、CookieはHTTPリクエストに限定されます。JavaScriptチャネルなどHTTP API以外を介してCookieへのアクセスを提供する場合、クライアントはCookieを省略します。

   • ヘルス・チェック: バックエンド・サーバーのヘルスを確認するためのテスト・パラメータを指定します。
     • プロトコル: 使用するプロトコルとして、HTTPまたはTCPを指定します。ヘルス・チェック・プロトコルをアプリケーションまたはサービスと一致するように構成してください。詳細は、ロード・バランサのヘルス・チェックを参照してください。
     • ポート: (オプション)ヘルス・チェックを実行するバックエンド・サーバー・ポートを指定します。ヘルス・チェックでバックエンド・サーバーのトラフィック・ポートを使用するように、値0を入力できます。
     • プレーン・テキスト・ヘルス・チェックの強制: (HTTPのみ) (オプション)ヘルス・チェックをSSLなしでバックエンド・サーバーに送信する場合に選択します。このオプションは、バックエンド・サーバーのプロトコルがHTTPに設定されている場合にのみ使用できます。バックエンド・サーバーでSSLが有効になっていない場合、影響はありません。SSLが無効になっている場合、ヘルス・チェックは常にプレーン・テキストです。
     • 間隔(ミリ秒): (オプション)ヘルス・チェックを実行する頻度をミリ秒単位で指定します。デフォルトは10000(10秒)です。
     • タイムアウト: (オプション)ヘルス・チェックの応答を待機する最大時間をミリ秒単位で指定します。ヘルス・チェックが成功するのは、このタイムアウト期間内に応答が返される場合のみです。デフォルトは3000(3秒)です。
     • 再試行回数: (オプション)バックエンド・サーバーを異常とみなすまでに試行する再試行回数を指定します。サーバーを正常な状態にリカバリするときにもこの数が適用されます。デフォルトは'3'です。
     • ステータス・コード: (HTTPのみ) (オプション)健康なバックエンド・サーバーが返す必要のあるステータス・コードを指定します。
     • URLパス(URI): (HTTPのみ)ヘルス・チェックを実行するURLエンドポイントを指定します。
     • レスポンス本文の正規表現: (HTTPのみ) (オプション)バックエンド・サーバーからのレスポンス本文を解析するための正規表現を指定します。
   • 拡張オプションの表示: このリンクを選択して、他のオプションにアクセスします。対応する機能のタブを選択します:
     • 「Advanced SSL」タブ: (「Certificate Service Managed Certificate」証明書の証明書リソースが選択されている場合にのみ表示されます。)リスナーの証明書リソースの選択時に「証明書サービス管理対象証明書」を選択した場合は、次のいずれかのオプションを選択します。ロード・バランサによるSSL証明書の使用方法の詳細は、ロード・バランサのSSL証明書を参照してください。

       CA bundle: 指定したコンパートメントの認証局バンドルをリストから選択します。認証局バンドルを選択する別のコンパートメントを選択するには、「コンパートメントの変更」を選択します。

       認証局: 指定したコンパートメントの認証局をリストから選択します。認証局バンドルを選択する別のコンパートメントを選択するには、「コンパートメントの変更」を選択します。

     • TLSバージョン:オプション。Transport Layer Security (TLS)バージョンを指定します: 1.0、1.1、1.2 (推奨)および1.3

       バージョンの任意の組合せを選択できます。必要なものをリストから選択します。TLSバージョンを指定しない場合、デフォルトのTLSバージョンは1.2のみです。

       暗号化方式群の選択: リストから暗号化方式群を選択します。リストに表示されるすべての選択肢には、選択したTLSバージョンごとに少なくとも1つの暗号が関連付けられています。

8. 「作成」を選択します。

次の手順は、Oracle Cloud Infrastructure Consoleの場合です。

1. 新しい証明書バンドルで動作するように、クライアントまたはバックエンド・サーバーを更新します。
   ノート
   
   クライアントまたはバックエンド・サーバーを更新するステップは、ご使用のシステムに固有です。
2. ロード・バランサへの新規SSL証明書バンドルのアップロード:
   1. 「ロード・バランサ」で、「ロード・バランサ」を選択します。「ロード・バランサ」ページが表示されます。
   2. 変更するロード・バランサを含むコンパートメントの名前を選択し、ロード・バランサの名前を選択します。
   3. 構成するロード・バランサを選択します。ロード・バランサの「詳細」ページが表示されます。
   4. 「リソース」で「証明書」を選択します。「証明書」リストが表示されます。すべての証明書が表形式でリストされます。
   5. 次を完了します:
      • 証明書名: 証明書バンドルのフレンドリ名を入力します。これはロード・バランサ内で一意である必要があります。コンソールで変更できません。(APIを使用して変更できます。)
      • SSL証明書ファイルの選択: PEM形式の証明書ファイルを「SSL証明書」フィールドにドラッグします。

        「SSL証明書の貼付け」オプションを選択して、証明書をこのフィールドに直接貼り付けることもできます。

        重要
        
        バックエンドSSLのために自己署名証明書を送信する場合は、対応するCA証明書フィールドで同じ証明書を送信する必要があります。
      • CA証明書の指定: (バックエンドSSL終了構成で推奨。)CA証明書を指定する場合に選択します。
        • CA証明書ファイルの選択: PEM形式のCA証明書ファイルを「CA証明書」フィールドにドラッグします。

          「CA証明書の貼付け」オプションを選択して、証明書をこのフィールドに直接貼り付けることもできます。

      • 秘密キーの指定: (SSL終了に必要です。)証明書の秘密キーを指定する場合に選択します。
        • 秘密キー・ファイルの選択: PEM形式の秘密キーを「秘密キー」フィールドにドラッグします。

          「秘密キーの貼付け」オプションを選択して、秘密キーをこのフィールドに直接貼り付けることもできます。

        • Enter private key passphrase: (オプション)秘密キー・パスフレーズを指定します。
   6. 「証明書の追加」を選択します。次に、新しい証明書バンドルを使用できるように、該当する各リスナーまたはバックエンド・セットを編集します:

3. リスナーを編集します。

   1. 「ロード・バランサ」で、「ロード・バランサ」を選択します。
   2. 変更するロード・バランサを含むコンパートメントを選択し、ロード・バランサの名前を選択します。
   3. 「リソース」で「リスナー」を選択します。「リスナー」リストが表示されます。すべてのリスナーが表形式でリストされます。
   4. 編集するリスナーの横にある「アクション」メニュー(3つのドット)を選択し、「リスナーの編集」を選択します。
   5. 「証明書名」リストで、新しい証明書バンドルを選択します。
   6. 「送信」を選択します。
4. バックエンド・セットを編集します:
   重要
   
   バックエンド・セットを変更すると、トラフィックが一時的に中断され、アクティブ接続が切断される場合があります。
   1. 「ロード・バランサ」で、「ロード・バランサ」を選択します。

      「ロード・バランサ」リスト・ページが開きます。選択したコンパートメント内のすべての既存のロード・バランサ・リソースがリスト表に表示されます。

   2. 別のコンパートメントのリソースを表示するには、「コンパートメント」フィルタを使用してコンパートメントを切り替えます。

      コンパートメント内のリソースを表示するには、そのコンパートメントで作業する権限が必要です。使用するコンパートメントがわからない場合は、管理者に連絡してください。詳細は、コンパートメントの理解を参照してください。

   3. リストから状態を選択すると、その状態のロード・バランサのみが表示されます。
   4. バックエンド・セットを編集するロード・バランサを選択します。ロード・バランサの「詳細」ページが表示されます。
   5. 「リソース」の下の「バックエンド・セット」を選択します。「バックエンド・セット」リストが表示されます。すべてのバックエンド・セットが表形式でリストされます。
   6. 編集するバックエンド・セットの名前を選択します。バックエンド・セットの「詳細」ページが表示されます。
   7. 「バックエンド・セットの編集」を選択します。「バックエンド・セットの編集」ダイアログ・ボックスが表示されます。
   8. 「SSLを使用」を選択します。
   9. 「証明書名」リストで、新しい証明書バンドルを選択します。
   10. 「Save changes」を選択します。

5. (オプション)期限切れが近いSSL証明書バンドルを削除します。

   ノート
   
   リスナーまたはバックエンド・セットに関連付けられているSSL証明書バンドルは削除できません。削除する前に、他のリスナーまたはバックエンド・セットからバンドルを削除してください。
   1. 「ロード・バランサ」で、「ロード・バランサ」を選択します。
   2. 変更するロード・バランサを含むコンパートメントの名前を選択し、ロード・バランサの名前を選択します。
   3. 構成するロード・バランサを選択します。
   4. 「リソース」メニューで、「証明書」を選択します。
   5. 削除する証明書に対して、「アクション」メニュー(3つのドット)を選択し、「削除」を選択します。
   6. プロンプトが表示されたら確認します。

次の手順は、Oracle Cloud Infrastructure Consoleの場合です。

1. 「バケット」リスト・ページで、操作するオブジェクト・ストレージ・バケットを選択します。リスト・ページまたはオブジェクト・ストレージ・バケットの検索に関するヘルプが必要な場合は、オブジェクト・ストレージ・バケットのリストを参照してください。

2. バケットの詳細ページで、「表示」を見つけて「編集」を選択します。

3. 「パブリック」または「プライベート」を選択します。

   「パブリック」を選択してパブリック・アクセスを有効にする場合は、ユーザーにバケット・コンテンツのリスト表示を許可するかどうかを決定します。バケット・オブジェクト・リストの可視性を設定するには、「ユーザーにこのバケットのオブジェクトのリスト表示を許可」を選択します。

4. 「Save Changes」を選択します。