セキュアなデータ・ストリーム

本番セキュリティ・ベースライン

• wssを使用して、サーバー証明書チェーン全体を検証します。

• 必要に応じてプライベートCAトラスト・バンドルを使用します。安全でないTLSモードまたは検証なしTLSモードを設定しないでください。

• パスワード、クライアントの秘密キーおよびトークンを承認済のシークレット・マネージャに格納します。実行時に注入します。

• WebSocket URL、ログ、シェル履歴、構成リポジトリまたはAsyncAPIファイルに資格証明を配置しないでください。

• 各管理タスクに必要な最小限のGoldenGateロールを付与し、可能な場合はランタイム・コンシューマ資格証明から管理資格証明を分離します。

• 承認されたクライアント・サブネット、サービスおよびプロキシ・ルートへのネットワーク・アクセスを制限します。

• 永続コンシューマ・チェックポイントを失うことなく、資格証明および証明書をローテーションします。

リバース・プロキシの考慮事項

リバース・プロキシは、パブリック・ホスト、パス接頭辞、認証モード、TLS終了ポイント、アイドル・タイムアウト、最大メッセージ・サイズおよびWebSocketアップグレード動作を変更できます。次のすべてを検証します。

• HTTP UpgradeおよびConnectionヘッダーは、WebSocketハンドシェイク用に転送されます。

• アイドルタイムアウトと読み取りタイムアウトが予期された待機期間を超えたか、またはPing/Pongトラフィックが接続をアクティブに保ちます。

• 最大フレーム・サイズおよびメッセージ・サイズが、構成されたデータ・ストリーム・レコードおよびバッチ・サイズを超えています。

• 生成されたAsyncAPI YAMLは、外部からアクセス可能なホストおよびチャネル・アドレスを公開します。

• 認証ヘッダーとクライアント証明書は、セキュリティ設計に従って渡されるか、または終了します。

機密ペイロード・データ

データ・ストリームでは、完全な行イメージ、DDL、トークン、ホスト詳細、データベース名およびソースURIを公開できます。データ分類、フィールドの最小化、マスキングまたはトークン化、転送中および停止時の暗号化、アクセス・ロギングおよび保存制御をコンシューマおよびすべてのダウンストリーム・コピーに適用します。発行される各値が確認されていないかぎり、env、sysまたはすべてのトークンを有効にしないでください。