セキュリティ・アドバイザの概要
Oracle Cloud Infrastructure Security Advisorは、セキュリティ・ゾーンのリソースの構成要件など、Oracleセキュリティのベスト・プラクティスをサポートおよび強化します。これは、既存のワークフローを組み合せて合理化し、最初からベースライン・セキュリティ要件を満たすリソースを効率的に作成します。
具体的には、以前にボールトまたは暗号化キーを作成していなくても、リソースの作成時に新しい顧客管理の暗号化キーをリソースに割り当てることができます。セキュリティ・ゾーンでは、可能な場合は顧客管理キーを使用した暗号化が必要です。権限のあるユーザー以外のユーザーはキーにアクセスできないため、機密データは、明示的に許可されているユーザーのみが復号化して読み取ることができます。
合理化されたワークフローによって、複雑さと意思決定が軽減されます。通常であれば構成オプションのいずれかを選択する必要がある場合でも、セキュリティ・アドバイザでは、よりセキュアな1つのオプションのみが提供されます。たとえば、セキュリティ・アドバイザでは、256ビットの長さのマスター暗号化キーの作成のみが許可されます。暗号化キーが長くなると、短いものよりセキュリティが強化されます。
認証と認可
Oracle Cloud Infrastructureの各サービスは、すべてのインタフェース(コンソール、SDKまたはCLI、およびREST API)で、認証および認可のためにIAMと統合されます。
組織の管理者は、グループ、コンパートメントおよびポリシーを設定して、どのユーザーがどのサービスおよびリソースにアクセスできるかと、そのアクセス権のタイプを制御する必要があります。たとえば、ポリシーは、新規ユーザーの作成、クラウド・ネットワークの作成と管理、インスタンスの起動、バケットの作成、オブジェクトのダウンロードなどを実行できるユーザーを制御します。詳細は、ポリシーの開始を参照してください。様々なサービスそれぞれに対するポリシー作成の詳細は、ポリシー・リファレンスを参照してください。
管理者以外の通常のユーザーが会社所有のOracle Cloud Infrastructureリソースを使用する必要がある場合は、管理者に連絡してユーザーIDを設定してください。管理者は、ユーザーが使用できるコンパートメント(1つまたは複数)を確認できます。
セキュリティ・アドバイザでは、既存のワークフローの機能が利用されるため、テナンシでは、すでに設定されている権限以上の権限を付与する新しいポリシーは必要とされない可能性があります。確認のため、テナンシの既存のポリシーと、選択したワークフローで記述される権限の例を比較できます。特に、ボールト・リソースへのアクセス権を付与するポリシーがあることを確認します(特にサービスを以前に使用していない場合)。
ポリシー・ステートメントの例によって、指定したグループは、セキュリティ・アドバイザで許可されるすべての操作を実行できます。かわりに、新しいボールトの作成を制限する場合は、ボールトの管理に必要なアクセス・レベルではなく、ボールトの使用権限のみを付与するポリシーを記述できます。ボールトの使用権限を持つユーザーは、既存のボールトを選択できますが、新しいボールトは作成できません。これにより、セキュリティ・アドバイザが提供するオプションは変更されませんが、送信時にすべての操作が成功するかどうかが影響を受けます。
リージョンおよび可用性ドメイン
セキュリティ・アドバイザは、すべてのOracle Cloud Infrastructure商用リージョンで使用できます。リージョンのリストと、関連する場所、リージョン識別子、リージョン・キーおよび可用性ドメインについては、リージョンおよび可用性ドメインについてを参照してください。
セキュリティ・アドバイザと統合される各サービスには、すべてのAPI操作に対して単一のリージョナル・エンドポイントがありますが、1つの例外があります。ボールト・サービスには、ボールトの作成、更新およびリスト操作を処理するプロビジョニング・サービス用のリージョナル・エンドポイントが1つあります。キーの作成、更新およびリスト操作の場合、サービス・エンドポイントは、複数の独立したクラスタ間で分散されます。
リソースの制限
セキュリティ・アドバイザは、リソースを導入したり、リソースの使用レベルに制限を加えたりすることはありません。ただし、セキュリティ・アドバイザは、他のサービスによって設定された制限を考慮します。
適用可能な制限のリストと制限拡大のリクエスト方法は、サービス制限を参照してください。リソースまたはリソース・ファミリにコンパートメント固有の制限を設定するために、管理者は、コンパートメント割当て制限を使用できます。
テナンシのリソース制限に対する使用レベルを表示する手順は、サービス制限、割当て制限および使用状況の表示を参照してください。ボールトについては、ボールトの詳細でキーおよびキー・バージョンの数を表示することで、各ボールトのキー制限に対する使用状況を取得することもできます。