Zero Trust Packet Routing
Oracle Cloud Infrastructure Zero Trust Packet Routing (ZPR)は、セキュリティ属性を割り当てられたOCIリソース向けに記述したインテントベースのセキュリティ・ポリシーを通じて、機密データを不正なアクセスから保護します。セキュリティ属性は、ZPRがOCIリソースの識別および編成に使用するラベルです。
ZPRは、潜在的なネットワーク・アーキテクチャの変更や構成の誤りに関係なく、アクセスがリクエストされるたびにネットワーク・レベルでポリシーを適用します。
ZPRは、既存のネットワーク・セキュリティ・グループ(NSG)およびセキュリティ制御リスト(SCL)のルールに基づいて構築されています。パケットがターゲットに到達するには、すべてのNSGおよびSCLルール、およびZPRポリシーを渡す必要があります。NSG、SCL、またはZPRのいずれかのルールまたはポリシーでトラフィックが許可されていない場合、要求は破棄されます。
ZPRの管理
Zero Trust Packet Routing (ZPR)を使用して、次の3つのステップでネットワークを保護できます。
- セキュリティ属性ネームスペースとセキュリティ属性を作成および管理します。
- セキュリティ属性を使用してポリシーを記述し、リソースへのアクセスを制御します。
- 指定されたリソースにセキュリティー属性を適用します。
ノート:ユーザーがDBシステムにセキュリティ属性を適用する前に、管理者はテナンシにセキュリティ属性ネームスペースおよびセキュリティ属性を設定する必要があります。
ZPRの詳細は、Overview of Zero Trust Packet Routingを参照してください。
ZPRポリシーの管理
ZPRポリシーは、セキュリティ属性によって識別される特定のエンドポイント間の通信を制御するルールです。ZPRポリシーは、テナンシのルート・コンパートメントにのみ作成できます。
ベース・データベース・サービスで、バックアップおよびData Guardを含むすべてのシナリオでデータベース・サービスを有効にするには、次のポリシーが必要です。
| ポリシー | ノート |
|---|---|
in <security attribute of VCN> VCN allow <security attribute of source-compute> endpoints to connect to <security attribute of database service> endpoints with protocol='tcp/1521' |
このポリシーにより、コンピュートVMはDBシステムに接続できます。 |
in <security attribute of VCN> VCN allow <security attribute of database service> endpoints to connect to 'osn-services-ip-addresses' |
このポリシーにより、DBシステムはOSNサービスに接続できます。 |
in <security attribute of VCN> VCN allow <security attribute of database service> endpoints to connect to <security attribute of database service> endpoints |
このポリシーは、RACサポートに必要です。 |
in <security attribute of VCN> VCN allow <security attribute of source-compute> endpoints to connect to <Standby VCN CIDR> with protocol='tcp/1521' |
このポリシーにより、コンピュート・クライアントはData GuardスタンバイVCNに接続できます。 |
in <security attribute of Standby VCN> VCN allow <security attribute of database service> endpoints to connect to 'osn-services-ip-addresses' |
このポリシーにより、Data GuardスタンバイはOSNサービスに接続できます。 |
in <security attribute of VCN> VCN allow <security attribute of database service> endpoints to connect to <Standby VCN CIDR>in <security attribute of Standby VCN> VCN allow <VCN CIDR> to connect to <security attribute of database service> endpoints |
このポリシーにより、Data Guardプライマリは、各VCNのエグレスとイングレスの両方であるCIDRを使用してData Guardスタンバイに接続できます。 |
in <security attribute of VCN> VCN allow <Standby VCN CIDR> to connect to <security attribute of database service> endpointsin <security attribute of Standby VCN> VCN allow <security attribute of database service> endpoints to connect to <VCN CIDR> |
このポリシーにより、Data GuardスタンバイはCIDRを使用してData Guardプライマリに接続できます。 |
ZPRポリシーの削除、更新および表示の詳細は、Managing Zero Trust Packet Routing Policiesを参照してください。
セキュリティー属性の管理
DBシステムのセキュリティ属性を追加、編集または削除できます。詳細は、DB Systemのセキュリティ属性の管理を参照してください。