基本的な構成の問題への対処

次の手順は、Oracle Cloud Infrastructureコンソール用です。

問題: 管理者グループのメンバーであるユーザーが、APIキーを使用してリソースにアクセスしました。

基本:

• APIキーは、Oracle Cloud Infrastructureへのプログラムによるアクセス権を付与するために使用される資格証明です。

• セキュリティおよびガバナンスの理由から、ユーザーが操作する必要があるリソースのみにアクセスできるようにしてください。

• 管理者グループのメンバーであり、APIを介してリソースにアクセスする必要もあるユーザーのために、IAMに別のユーザーを作成して、APIキーをアタッチします。ユーザーがプログラムを使用して操作する必要があるリソースについてのみ、APIキーの権限をユーザーに付与します。

制限された権限を持つユーザー、グループおよびポリシーを作成するには:

次の一連の手順では、制限された権限を持つサンプル・ユーザーを設定する方法を示します。この例では、ユーザーは特定のコンパートメントでインスタンスを起動できる必要があります。

-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAoTFqF...
...
-----END PUBLIC KEY——

参照情報:

• IAMの保護
• ポリシーの仕組みおよび共通ポリシー
• ユーザー資格証明の管理
• グループの管理
• ユーザーの管理

問題: あるポリシーが、コンパートメントまたはテナンシ内の少なくとも1つのサービスに対する完全な管理権限を付与します。

基本:

• リソースへのアクセスはポリシーによって制御されます。ポリシーとは、企業が所有するOracle Cloud Infrastructureリソースのどれに誰がどのようにアクセスできるかを指定するドキュメントです。ポリシーによって、特定のコンパートメント 内の特定のタイプのリソース を、グループ が特定の方法で操作することが許可されます。
• セキュリティおよびガバナンスの理由から、ユーザーが必要とするリソースのみにアクセスできるようにしてください。
• ユーザーが必要とするアクセス・レベルについて慎重に検討します。ポリシー言語に用意されているデフォルトの一連の動詞(manage、use、read、inspect)を使用すると、簡単にユーザーの権限の対象範囲を一般的なタスクのセットに設定できます。たとえば、ユーザーがリソースを更新する必要があるが、リソースを作成または削除する必要はない場合、manage権限ではなくuse権限を付与します。

• ポリシー言語は、動詞とresource-typeのみを使用した単純なステートメントを記述できるように設計されており、ステートメントで権限を指定する必要はありません。さらにきめ細かくアクセスを制御するには、条件と権限またはAPI操作を組み合せて、特定の動詞で許可されるアクセス範囲を絞り込むことができます。

• 可能な場合は常に、テナンシ全体ではなく、ユーザーがアクセスする必要がある特定のコンパートメントにアクセス範囲を指定します。

最小権限のポリシーを作成するためのヒント:

Allow group <group_name> to <verb><resource-type> in tenancy

Allow group <group_name> to <verb><resource-type> in compartment <compartment_name>

Allow group <group_name> to manage <resource-type> in compartment <compartment_name>

Allow group <group_name> to use <resource-type> in compartment <compartment_name>

Allow group XYZ to manage groups in tenancy
                        
                        where any {request.permission='GROUP_INSPECT',
                        request.permission='GROUP_CREATE',
                        request.permission='GROUP_UPDATE'}

Allow group XYZ to manage groups in tenancy where request.permission != 'GROUP_DELETE'

Allow group XYZ to manage groups in tenancy
                        
                        where any {request.operation='ListGroups',  
                        request.operation='GetGroup',
                        request.operation='CreateGroup',
                        request.operation='UpdateGroup'}

Allow group XYZ to manage groups in tenancy
                        
                        where all {request.permission='GROUP_INSPECT',  
                        request.operation='ListGroups'}

参照情報:

• IAMの保護
• ポリシーの仕組みおよび共通ポリシー
• ポリシーの拡張機能
• ポリシーの管理

問題: ユーザーのAPI署名キーが90日以上経過しています。少なくとも90日ごとにAPIキーをローテーションすることをお薦めしています。

基本:

• APIキーは、Oracle Cloud Infrastructureへのプログラムによるアクセス権を付与するために使用される資格証明です。

• APIキーを定期的に90日以内にローテーションするのは、セキュリティ・エンジニアリングのベスト・プラクティスでありコンプライアンス要件でもあります。

• 古いキーを非アクティブ化する前に、新しいキーを必ずテストします。

新しいAPIキーを生成してアップロードするには:

openssl rsa -pubout -outform DER -in ~/.oci/oci_api_key.pem | openssl md5 -c

openssl rsa -pubout -outform DER -in \.oci\oci_api_key.pem | openssl md5 -c

参照情報:

• IAMの保護
• API署名キー

問題: 管理者グループ以外のグループに、管理者権限が付与されました。

基本:

• テナンシ管理者権限(manage all-resources in tenancy)をグループに付与すると、メンバーはテナンシ内のすべてのリソースに対する完全なアクセスを持つことができます。
• このような高い権限の付与は、職務を実行するために必要とするユーザーのみを対象とするように管理して制限する必要があります。
• この権限付与が正当に認められたこと、および管理者権限が付与された後もグループのメンバーシップが有効なままであることを、Oracle Cloud Infrastructureの管理者に確認します。
• 管理者権限を持つ代替グループを作成するかわりに、管理者権限を必要とするユーザーをデフォルトの管理者グループに追加することを検討します。

この問題を解決するには:

管理者権限を必要とするユーザーを管理者グループに追加します:

グループ(管理者グループ以外)に管理権限を付与するポリシーまたはポリシー・ステートメントを削除します。

1. ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」をクリックします。「アイデンティティ」で、「ポリシー」をクリックします。表示しているコンパートメント内のポリシーのリストが表示されます。

   探しているものが表示されない場合は、正しいコンパートメントを表示していることを確認します(ページの左側にあるリストから選択します)。

2. 更新するポリシーをクリックします。

   ポリシーの詳細およびステートメントが表示されます。

3. 管理者権限をグループに付与するステートメントを探します。次のようなポリシーです:

   Allow group <group_name> to manage all-resources in tenancy
                       

   「アクション」メニュー()をクリックし、「削除」をクリックします。

4. ポリシーに他のステートメントがない場合は、ポリシー名の横にある「削除」をクリックして、ポリシーを削除できます。

参照情報:

• IAMの保護
• ポリシーの管理

• セキュリティ・リストによって、インスタンスへのネットワーク・アクセスを制御する、ステートフルおよびステートレス・ファイアウォール機能が提供されます。
• セキュリティ・リストはサブネット・レベルで構成され、インスタンス・レベルで適用されます。
• 複数のセキュリティ・リストを1つのサブネットに関連付けることができます。パケットが許可されるのは、それが、サブネットで使用されるセキュリティ・リストのいずれかのルールと一致する場合です。
• サブネットのどのセキュリティ・リストにもイングレス(インバウンド)ルールがない場合、そのサブネットのインスタンスに対してトラフィックが許可されません。
• 多層防御のためには、イングレス・セキュリティ・リストのルールに、オープン・ソース(0.0.0.0/0)ではなく既知の特定のソースを指定する必要があります。
• Oracle CASB Cloud Serviceで例外を構成すると、除外したセキュリティ・リストのアラートを削減できます。

次の手順は、Oracle Cloud Infrastructureコンソール用です。

• セキュリティ・リストによって、インスタンスへのネットワーク・アクセスを制御する、ステートフルおよびステートレス・ファイアウォール機能が提供されます。
• セキュリティ・リストはサブネット・レベルで構成され、インスタンス・レベルで適用されます。
• 複数のセキュリティ・リストを1つのサブネットに関連付けることができます。パケットが許可されるのは、それが、サブネットで使用されるセキュリティ・リストのいずれかのルールと一致する場合です。
• サブネットのどのセキュリティ・リストにもイングレス(インバウンド)ルールがない場合、そのサブネットのインスタンスに対してトラフィックが許可されません。
• 多層防御のためには、イングレス・セキュリティ・リストのルールに、オープン・ソース(0.0.0.0/0)ではなく既知の特定のソースを指定する必要があります。
• Oracle CASB Cloud Serviceで例外を構成すると、除外したセキュリティ・リストのアラートを削減できます。

次の手順は、Oracle Cloud Infrastructureコンソール用です。

• セキュリティ・リストによって、インスタンスへのネットワーク・アクセスを制御する、ステートフルおよびステートレス・ファイアウォール機能が提供されます。
• セキュリティ・リストはサブネット・レベルで構成され、インスタンス・レベルで適用されます。
• 複数のセキュリティ・リストを1つのサブネットに関連付けることができます。パケットが許可されるのは、それが、サブネットで使用されるセキュリティ・リストのいずれかのルールと一致する場合です。
• サブネットのどのセキュリティ・リストにもイングレス(インバウンド)ルールがない場合、そのサブネットのインスタンスに対してトラフィックが許可されません。
• 多層防御のためには、イングレス・セキュリティ・リストのルールに、オープン・ソース(0.0.0.0/0)ではなく既知の特定のソースを指定する必要があります。
• Oracle CASB Cloud Serviceで例外を構成すると、除外したセキュリティ・リストのアラートを削減できます。

次の手順は、Oracle Cloud Infrastructureコンソール用です。

次の手順は、Oracle Cloud Infrastructureコンソール用です。

次の手順は、Oracle Cloud Infrastructureコンソール用です。

1. ナビゲーション・メニューを開き、「ネットワーキング」、「ロード・バランサ」の順に選択します。「ロード・バランサ」をクリックします。「ロード・バランサ」ページが表示されます。

2. リストからコンパートメントを選択します。そのコンパートメント内のすべてのロード・バランサが表形式でリストされます。

3. リストから状態を選択して、表示されるロード・バランサをその状態のロード・バランサに制限します。

4. リスナーを作成するロード・バランサを選択します。ロード・バランサの「詳細」ページが表示されます。

5. 「リソース」の下の「リスナー」をクリックします。「リスナー」リストが表示されます。すべてのリスナーが表形式でリストされます。

6. 「リスナーの作成」をクリックします。「リスナーの作成」ダイアログ・ボックスが表示されます。

7. 次を入力します:

   • 名前: リスナーのフレンドリ名を入力します。名前は一意である必要があり、変更できません。

   • ホスト名: (オプション)このリスナーに対して最大16の仮想ホスト名を選択します。

     NOTE
     
     

     仮想ホスト名をリスナーに適用するには、その名前がロード・バランサの構成に含まれている必要があります。ロード・バランサにホスト名が関連付けられてない場合は、ホスト名ページで作成できます。詳細は、Load Balancerの仮想ホスト名を参照してください。

   • プロトコル: 使用するプロトコルとして、「HTTP」、「HTTP/2」、「TCP」または「HTTPS」を指定します。

   • ポート: 受信トラフィックをリスニングするポートを指定します。

   • SSLの使用: (HTTP/2とHTTPSでは必須、HTTPとTCPではオプション)有効にするには選択します。SSL処理を有効にするには、SSL証明書バンドルをリスナーに関連付けるために次の設定が必要です。ロード・バランサでのSSL証明書の使用の詳細は、ロード・バランサのSSL証明書を参照してください。

     ロード・バランサは、変更を自動的に検出し、SSL構成で使用する証明書サービス・エンティティ(証明書、認証局およびCABundles)の現在のバージョンを使用します。証明書の自動ローテーションの詳細は、「証明書」を参照してください。

     • 証明書リソース: リストから証明書リソース・タイプを選択します:

       証明書をインポートする方法は、選択した証明書リソースタイプによって異なります。

       証明書サービス管理証明書: 「証明書」リストから、指定したコンパートメント内の証明書を選択します。証明書を選択する別のコンパートメントを選択するには、「コンパートメントの変更」をクリックします。

       • この選択では、拡張オプションを使用できます。「拡張オプションの表示」をクリックし、「拡張SSL」タブを選択します。このオプションについては、このトピックの後半で説明します。

       • ロード・バランサ管理証明書: 次のいずれかのオプションを選択して証明書をインポートします:

         SSL証明書ファイルの選択: PEM形式の証明書ファイルを「SSL証明書」フィールドにドラッグします。または、「SSL証明書の貼付け」オプションを選択して、証明書をこのフィールドに直接ペーストすることもできます。バックエンドSSLの自己署名証明書を送信する場合は、対応するCA証明書フィールドに同じ証明書を送信する必要があります。

         秘密キーの指定: (SSL終了の場合は必須、それ以外の場合はオプション)証明書の秘密キーを指定するには、ボックスを選択します。

         秘密キー・ファイルの選択: PEM形式の秘密キーを「秘密キー」フィールドにドラッグします。また、「秘密キーの貼付け」オプションを選択して、秘密キーをこのフィールドに直接貼り付けることもできます。

         秘密キーのパスフレーズの入力: (オプション)秘密キーのパスフレーズを指定します。

     • ピア証明書の検証: (オプション)ピア証明書の検証を有効にするには、このオプションを選択します。詳細は、ロード・バランサのSSL証明書を参照してください。

       ロード・バランサとそのバックエンド・サーバー間の通信では、相互TLS (mTLS)はサポートされていません。ロード・バランサとユーザー間の通信にはmTLSを使用できます。

     • 深さの確認: (オプション)証明書チェーン検証の最大の深さを指定します。詳細は、ロード・バランサのSSL証明書を参照してください。

   • バックエンド・セット: リスナーがトラフィックをルーティングするデフォルトのバックエンド・セットを指定します。

   • アイドル・タイムアウト(秒): (オプション)最大アイドル時間を秒単位で指定します。この設定が適用されるのは、HTTP request-responseフェーズでの、連続する2回の正常な受信ネットワーク入出力操作の間、または連続する2回の正常な送信ネットワーク入出力操作の間です。最大値は7200秒です。詳細は、ロード・バランサのタイムアウト接続設定を参照してください。

   • ルーティング・ポリシーまたはパス・ルート・セットのいずれかを選択します。

     • ルーティング・ポリシー: (オプション)このリスナーのトラフィックに適用されるルーティング・ポリシーの名前を指定します。

     • パス・ルート・セット: (オプション)このリスナーのトラフィックに適用されるパスベースのルーティング・ルール・セットの名前を指定します。

       パス・ルート・セットをリスナーに適用するには、パス・ルート・セットがロード・バランサの構成に含まれている必要があります。

       既存のリスナーからパス・ルート・セットを削除するには、「パス・ルート・セット」オプションとして「なし」を選択します。このパス・ルート・セットは、このロード・バランサの他のリスナーでは使用可能なままです。

   • ルール・セット: (オプション)このリスナーのトラフィックに適用するルール・セットを選択します。ルール・セットをリスナーに適用するには、そのセットがロード・バランサの構成に含まれている必要があります。リストからルール・セットを削除するには、対応する赤いボックスをクリックします。このルール・セットは、このロード・バランサの他のリスナーでは使用可能なままです。

   • 拡張オプションの表示: クリックすると、次のオプションが表示されます:

     • 拡張SSL: (「証明書サービス管理対象証明書」証明書リソースが選択されている場合にのみ表示されます。)リスナーの証明書リソースの選択時に「証明書サービス管理対象証明書」を選択した場合は、次のいずれかのオプションを選択します。

       CAバンドル: リストから、指定したコンパートメント内の認証局バンドルを選択します。「コンパートメントの変更」をクリックして、認証局バンドルを選択する別のコンパートメントを選択します。

       認証局: リストから、指定したコンパートメント内の認証局を選択します。「コンパートメントの変更」をクリックして、認証局バンドルを選択する別のコンパートメントを選択します。

     • TLSバージョン: Transport Layer Security (TLS)バージョン(1.0、1.1、1.2 (推奨)および1.3)を指定します。

       バージョンの任意の組合せを選択できます。必要なものをリストから選択します。TLSバージョンを指定しない場合、デフォルトのTLSバージョンは1.2のみです。

       暗号化方式群の選択: リストから一連の暗号化方式群を選択します(デフォルト)。リストに表示されるすべての選択肢には、選択したTLSバージョンごとに少なくとも1つの暗号が関連付けられています。

       セキュリティ・ポリシーに対して有効になっている暗号に基づく署名アルゴリズムを使用して、SSL証明書を作成します。

     • 暗号スイート詳細の表示: クリックすると、選択した暗号スイートに含まれる個々の暗号が表示されます。

     • サーバー順序プリファレンス: 「有効化」を選択し、クライアントよりもサーバー暗号を優先します。

8. 「リスナーの作成」をクリックします。

次の手順は、Oracle Cloud Infrastructureコンソール用です。

1. ナビゲーション・メニューを開き、「ネットワーキング」、「ロード・バランサ」の順に選択します。「ロード・バランサ」をクリックします。「ロード・バランサ」ページが表示されます。

2. リストからコンパートメントを選択します。そのコンパートメント内のすべてのロード・バランサが表形式でリストされます。

3. リストから状態を選択して、表示されるロード・バランサをその状態のロード・バランサに制限します。

4. バックエンドを追加するロード・バランサをクリックします。ロード・バランサの「詳細」ページが表示されます。

5. 「リソース」の下の「バックエンド・セット」をクリックします。「バックエンド・セット」リストが表示されます。すべてのバックエンド・セットが表形式でリストされます。

6. 「バックエンド・セットの作成」をクリックします。「バックエンド・セットの作成」ダイアログ・ボックスが表示されます。

7. 次を入力します:

   • 名前: バックエンド・セットのフレンドリ名を入力します。これは、ロード・バランサ内で一意である必要があります。変更することはできません。有効なバックエンド・セット名には、英数字、ダッシュおよびアンダースコアのみを使用できます。バックエンド・セット名にスペースを含めることはできません。

   • トラフィック・ディストリビューション・ポリシー: バックエンド・セットのロード・バランサ・ポリシーを選択します。使用可能なオプションは:

     • IPハッシュ

     • 最少接続

     • 加重ラウンドロビン

     バックアップとしてマークされたバックエンド・サーバーは、IPハッシュ・ポリシーを使用するバックエンド・セットに追加できません。これらのポリシーの詳細は、ロード・バランサ・ポリシーを参照してください。

   • SSLの使用: SSL証明書リソースをバックエンド・セットに関連付ける場合に選択します。

     ロード・バランサは、変更を自動的に検出し、SSL構成で使用する証明書サービス・エンティティ(証明書、認証局およびCABundles)の現在のバージョンを使用します。証明書の自動ローテーションの詳細は、「証明書」を参照してください。

     ロード・バランサにアタッチされた証明書リソースが存在しない場合、このオプションは無効です。

     証明書リソース: リストから証明書リソース・タイプを選択します:

     証明書をインポートする方法は、選択した証明書リソース・タイプによって異なります。ロード・バランサによるSSL証明書の使用方法の詳細は、ロード・バランサのSSL証明書を参照してください。

     Webアプリケーション・ファイアウォール・ポリシーでのSSLの使用に関する一般的な情報は、証明書を参照してください。

     • 証明書サービス管理対象証明書

       「CAバンドル」または「認証局」オプションを選択し、関連するリストから選択します。CAバンドルまたは認証局を選択する別のコンパートメントを選択するには、「コンパートメントの変更」をクリックします。

       この選択では拡張オプションを使用できます。「拡張オプションの表示」をクリックし、「拡張SSL」タブを選択します。このオプションについては、このトピックの後半で説明します。

     • ロード・バランサ管理証明書: 次のいずれかのオプションを選択して証明書をインポートします:

       SSL証明書ファイルの選択: PEM形式の証明書ファイルを「SSL証明書」フィールドにドラッグします。または、「SSL証明書の貼付け」オプションを選択して、証明書をこのフィールドに直接ペーストすることもできます。

       バックエンドSSLの自己署名証明書を送信する場合は、対応するCA証明書フィールドに同じ証明書を送信する必要があります。

       秘密キーの指定: (SSL終了に必要です。)証明書の非公開キーを指定する場合に選択します。

       秘密キー・ファイルの選択: PEM形式の秘密キーを「秘密キー」フィールドにドラッグします。

       秘密キーのパスフレーズを入力します: 秘密キーのパスフレーズを指定します。または、「秘密キーの貼付け」オプションを選択して、秘密キーをこのフィールドに直接貼り付けることもできます。

       ピア証明書の検証: ピア証明書の検証を有効にする場合は、このオプションを選択します。詳細は、ロード・バランサのSSL証明書を参照してください。

       深さの検証: オプション。証明書チェーン検証の最大の深さを指定します。詳細は、ロード・バランサのSSL証明書を参照してください。

   • セッション永続性: ロード・バランサがセッション永続性を管理する方法を指定します。これらの設定の構成に関する重要な情報は、ロード・バランサのセッション永続性を参照してください。

     • セッション永続性の無効化: Cookieベースのセッション永続性を無効にする場合は、このオプションを選択します。

     • アプリケーションCookie永続性の有効化: 指定したCookie名を持つバックエンド・アプリケーション・サーバーからのレスポンスにSet-cookieヘッダーが含まれる場合に、単一の論理クライアントから永続セッションを有効にするには、このオプションを選択します。

       • Cookie名: セッション永続性の有効化に使用するCookie名。*を指定すると、あらゆるCookie名と一致します。

       • フォールバックの無効化: 元のサーバーが使用できない場合にフォールバックを無効にするには、このオプションを選択します。

     • ロード・バランサCookie永続性の有効化: ロード・バランサによって挿入されたCookieに基づいて永続セッションを有効にするには、このオプションを選択します。

       • Cookie名: セッション永続を有効にするために使用するCookieの名前を指定します。空白の場合、デフォルトのCookie名はX-Oracle-BMC-LBS-Routeです。

         バックエンド・アプリケーション・サーバーで使用されるCookie名が、ロード・バランサで使用されるCookie名と異なることを確認してください。

       • フォールバックの無効化: 元のサーバーが使用できない場合にフォールバックを無効にするには、このオプションを選択します。

       • ドメイン名: Cookieが有効なドメインを指定します。

         この属性にデフォルト値はありません。値を指定しない場合、ロード・バランサはドメイン属性をSet-cookieヘッダーに挿入しません。

       • パス: Cookieが有効なパスを指定します。デフォルト値は/です。

       • 有効期限(秒): Cookieが有効な時間を指定します。空白の場合、クライアント・セッションの終了時にCookieの有効期限が切れます。

       • 属性

         セキュア: Set-cookieヘッダーにSecure属性が含まれているかどうかを指定します。選択した場合、クライアントはセキュア・プロトコルのみを使用してCookieを送信します。

         この設定を有効にした場合、対応するバックエンド・セットとHTTPリスナーを関連付けることはできません。

         HTTPのみ: Set-cookieヘッダーにHttpOnly属性が含まれているかどうかを指定します。選択すると、CookieはHTTPリクエストに限定されます。JavaScriptチャネルなどHTTP API以外を介してCookieへのアクセスを提供する場合、クライアントはCookieを省略します。

   • ヘルス・チェック: バックエンド・サーバーのヘルスを確認するためのテスト・パラメータを指定します。

     • プロトコル: 使用するプロトコル(HTTPまたはTCP)を指定します。ヘルス・チェック・プロトコルをアプリケーションまたはサービスと一致するように構成してください。詳細は、ロード・バランサのヘルス・チェックを参照してください。

     • ポート: (オプション)ヘルス・チェックを実行するバックエンド・サーバー・ポートを指定します。ヘルス・チェックでバックエンド・サーバーのトラフィック・ポートを使用するように、値0を入力できます。

     • プレーン・テキスト・ヘルス・チェックの強制: (HTTPのみ) (オプション)ヘルス・チェックをSSLなしでバックエンド・サーバーに送信する場合に選択します。このオプションは、バックエンド・サーバーのプロトコルがHTTPに設定されている場合にのみ使用できます。バックエンド・サーバーでSSLが有効になっていない場合、効果はありません。SSLを無効にすると、ヘルス・チェックは常にプレーン・テキストになります。

     • 間隔(ミリ秒): (オプション)ヘルス・チェックの実行頻度をミリ秒単位で指定します。デフォルトは10000(10秒)です。

     • タイムアウト(ミリ秒): (オプション)ヘルス・チェックの応答を待機する最大時間をミリ秒単位で指定します。ヘルス・チェックが成功するのは、このタイムアウト期間内に応答が返される場合のみです。デフォルトは3000(3秒)です。

     • 再試行回数: (オプション)バックエンド・サーバーを異常とみなすまでに試行する再試行回数を指定します。サーバーを正常な状態にリカバリするときにもこの数が適用されます。デフォルトは'3'です。

     • ステータス・コード: (HTTPのみ) (オプション)正常なバックエンド・サーバーが返さなければならないステータス・コードを指定します。

     • URLパス(URI): (HTTPのみ)ヘルス・チェックを実行するURLエンドポイントを指定します。

     • レスポンス本文の正規表現: (HTTPのみ) (オプション)バックエンド・サーバーからのレスポンス本文を解析するための正規表現を指定します。

   • 拡張オプションの表示: このリンクをクリックして、他のオプションにアクセスします。対応する機能のタブを選択します:

     • 「Advanced SSL」タブ: (「Certificate Service Managed Certificate」証明書リソースが選択されている場合にのみ表示されます。)リスナーの証明書リソースの選択時に「証明書サービス管理証明書」を選択した場合は、次のいずれかのオプションを選択します。ロード・バランサでSSL証明書を使用する方法の詳細は、ロード・バランサのSSL証明書を参照してください。

       CAバンドル: リストから、指定したコンパートメント内の認証局バンドルを選択します。「コンパートメントの変更」をクリックして、認証局バンドルを選択する別のコンパートメントを選択します。

       認証局: リストから、指定したコンパートメント内の認証局を選択します。「コンパートメントの変更」をクリックして、認証局バンドルを選択する別のコンパートメントを選択します。

     • TLSバージョン:オプション。Transport Layer Security (TLS)バージョンの指定: 1.0、1.1、1.2 (推奨)および1.3

       バージョンの任意の組合せを選択できます。必要なものをリストから選択します。TLSバージョンを指定しない場合、デフォルトのTLSバージョンは1.2のみです。

       暗号スイートの選択: リストから暗号スイートのセットを選択します。リストに表示されるすべての選択肢には、選択したTLSバージョンごとに少なくとも1つの暗号が関連付けられています。

8. 「作成」をクリックします。

次の手順は、Oracle Cloud Infrastructureコンソール用です。

1. 新しい証明書バンドルで動作するように、クライアントまたはバックエンド・サーバーを更新します。

   NOTE
   
   

   クライアントまたはバックエンド・サーバーを更新するステップは、ご使用のシステムに固有です。

2. ロード・バランサへの新規SSL証明書バンドルのアップロード:

   1. ナビゲーション・メニューを開き、「ネットワーキング」をクリックして、「ロード・バランサ」をクリックします。「ロード・バランサ」をクリックします。「ロード・バランサ」ページが表示されます。「ロード・バランサ」ページが表示されます。

   2. 変更するロード・バランサを含むコンパートメントの名前をクリックし、ロード・バランサの名前をクリックします。

   3. 構成するロード・バランサをクリックします。ロード・バランサの「詳細」ページが表示されます。

   4. 「リソース」の下の「証明書」をクリックし、「証明書の追加」をクリックします。「証明書の追加」ダイアログ・ボックスが表示されます。

   5. 次を入力します:

      • 証明書名: 証明書バンドルのフレンドリ名を入力します。ロード・バランサ内で一意である必要があります。コンソールで変更することはできません。(APIを使用して変更できます。)

      • SSL証明書ファイルの選択: PEM形式の証明書ファイルを「SSL証明書」フィールドにドラッグ・アンド・ドロップします。

        また、「SSL証明書のペースト」オプションを選択して、証明書をこのフィールドに直接ペーストすることもできます。

        重要
        
        

        バックエンドSSLの自己署名証明書を送信する場合は、対応するCA証明書フィールドに同じ証明書を送信する必要があります。

      • CA証明書の指定: (バックエンドSSL終了構成で推奨。)CA証明書を提供する場合に選択します。

        • CA証明書ファイルの選択: PEM形式のCA証明書ファイルを「CA証明書」フィールドにドラッグします。

          「CA証明書の貼付け」オプションを選択して、証明書をこのフィールドに直接貼り付けることもできます。

      • 秘密キーの指定: (SSL終了に必要です。)証明書の非公開キーを指定する場合に選択します。

        • 秘密キー・ファイルの選択: PEM形式の秘密キーを「秘密キー」フィールドにドラッグします。

          また、「秘密キーの貼付け」オプションを選択して、秘密キーをこのフィールドに直接貼り付けることもできます。

        • 秘密キーのパスフレーズの入力: (オプション)秘密キーのパスフレーズを指定します。

   6. 「証明書の追加」を選択します。次に、適用可能な各リスナーまたはバックエンド・セットを必要に応じて編集し、新しい証明書バンドルを使用します:

3. リスナーを編集します。

   1. ナビゲーション・メニューを開き、「ネットワーキング」、「ロード・バランサ」の順に選択します。「ロード・バランサ」をクリックします。「ロード・バランサ」ページが表示されます。

   2. 変更するロード・バランサが含まれるコンパートメントを選択し、ロード・バランサの名前をクリックします。

   3. 「リソース」の下の「リスナー」をクリックします。「リスナー」リストが表示されます。すべてのリスナーが表形式でリストされます。

   4. 編集するリスナーの横にある「アクション」メニュー()をクリックし、「リスナーの編集」をクリックします。

   5. 「証明書名」リストで、新しい証明書バンドルを選択します。

   6. 「送信」をクリックします。

4. バックエンド・セットを編集します。

   重要
   
   

   バックエンド・セットを更新すると、トラフィックが一時的に中断され、アクティブ接続が切断されることがあります。

   1. ナビゲーション・メニューを開き、「ネットワーキング」、「ロード・バランサ」の順に選択します。「ロード・バランサ」をクリックします。「ロード・バランサ」ページが表示されます。

   2. リストからコンパートメントを選択します。そのコンパートメント内のすべてのロード・バランサが表形式でリストされます。

   3. リストから状態を選択すると、その状態のロード・バランサのみが表示されます。

   4. バックエンド・セットを編集するロード・バランサを選択します。ロード・バランサの「詳細」ページが表示されます。

   5. 「リソース」の下の「バックエンド・セット」をクリックします。「バックエンド・セット」リストが表示されます。すべてのバックエンド・セットが表形式でリストされます。

   6. 編集するバックエンド・セットの名前をクリックします。バックエンド・セットの「詳細」ページが表示されます。

   7. 「バックエンド・セットの編集」をクリックします。「バックエンド・セットの編集」ダイアログ・ボックスが表示されます。

   8. 「SSLの使用」を選択します。

   9. 「証明書名」リストで、新しい証明書バンドルを選択します。

   10. 「変更の保存」をクリックします。

5. (オプション)期限切れになるSSL証明書バンドルの削除

   NOTE
   
   

   リスナーまたはバックエンド・セットに関連付けられているSSL証明書バンドルは削除できません。削除する前に、他のリスナーまたはバックエンド・セットからバンドルを削除してください。

   1. ナビゲーション・メニューを開き、「ネットワーキング」、「ロード・バランサ」の順に選択します。「ロード・バランサ」をクリックします。「ロード・バランサ」ページが表示されます。

   2. 変更するロード・バランサを含むコンパートメントの名前をクリックし、ロード・バランサの名前をクリックします。

   3. 構成するロード・バランサをクリックします。

   4. 「リソース」メニューで、「証明書」をクリックします。

   5. 削除する証明書について、「アクション」メニュー()をクリックし、「削除」をクリックします。

   6. プロンプトが表示されたら確認します。

次の手順は、Oracle Cloud Infrastructureコンソール用です。

1. ナビゲーション・メニューを開き、「ストレージ」をクリックします。「オブジェクト・ストレージおよびアーカイブ・ストレージ」で、「バケット」をクリックします。

2. 「リスト範囲」の下のリストからコンパートメントを選択します。そのコンパートメント内のすべてのバケットが表形式でリストされます。

3. 詳細を取得するバケットをクリックします。バケットの「詳細」ページが表示されます。

4. 「可視性」を見つけて「編集」をクリックします。「表示の編集」ダイアログ・ボックスが表示されます。

5. 「パブリック」または「プライベート」を選択します。

   「パブリック」を選択してパブリック・アクセスを有効にする場合は、ユーザーにバケット・コンテンツのリスト表示を許可するかどうかを決定します。バケット・オブジェクト・リストの可視性を設定するには、「ユーザーにこのバケットのオブジェクトのリスト表示を許可」をクリックします。

6. 「変更の保存」をクリックします。