OCIにおけるサイバーセキュリティの柱について学ぶ

OCIコア・ランディング・ゾーンから開始して、推奨される設計とベストプラクティスに従って、サイバーセキュリティ・ピラーのコア・コンポーネントをすばやく設定します。 CIS OCI Foundations Benchmarkに沿ったセキュアなOCIテナンシをデプロイするには、「始める前に」のCIS OCI Foundations Benchmarkを満たすセキュアなランディング・ゾーンのデプロイ」を参照してください。このソリューションでは、様々なOCIサービスを使用して主要なメカニズム、構造および保護を確立する方法について説明します。

次の図は、OCIコア・ランディング・ゾーンのリファレンス・アーキテクチャを示しています。

oci-core-landingzone.pngの説明が続きます
図oci-core-landingzone.pngの説明

oci-core-landingzone-oracle.zip#GUID-B12B319A-07CC-4459-B5B0-ABED3710FC48

ランディング・ゾーンは、組織がビジネスクリティカルなワークロードを効率的にデプロイできるように設計されています。アイデンティティ、ネットワーク、ストレージ、コンピュート、セキュリティをカバーする、重要なすべてのテクノロジ・コンポーネントが含まれています。ランディング・ゾーンのプロビジョニングはInfrastructure as Code (IaC)を介して自動化されるため、1回のクリックですべてをデプロイできます。

OCIコア・ランディング・ゾーンは、Oracle Enterprise Landing Zone (OELZ)とCenter for Internet Security (CIS)ランディング・ゾーンの両方のアプローチを統合します。この統合ランディング・ゾーンは、クラウドにおける俊敏性、スケーラビリティおよびセキュリティのためのリファレンス・アーキテクチャを提供します。モジュラーOCIランディング・ゾーン・フレームワークに基づいて、高速でスケーラブルな導入が可能になり、CIS OCI Foundations Benchmarkが推奨するセキュリティのベスト・プラクティスが組み込まれているため、堅牢なセキュリティ・ポスチャを実現し、コンプライアンス要件を満たすことができます。

サイバーセキュリティは、NISTサイバーセキュリティ・モデルの「保護と検出」フェーズをカバーしています。

予防統制に関する推奨事項

次の推奨事項から開始して、OCIテナンシで強力な予防制御を確立します。

予防管理は、論理保護、ネットワーク保護、インフラストラクチャ/アプリケーション保護の3つの主要分野に重点を置いています。テナンシを不正アクセスから保護し、ネットワーク・レベルのアクセスを制限して、ランサムウェアなどのリスクを軽減します。インフラストラクチャとアプリケーションを保護し、妥協に対する自己回復性を強化します。

論理保護

テナンシ・コンパートメントの設計

ランサムウェアからの保護を確保するためのコンパートメント戦略を設計します。Oracle Cloud Infrastructure Identity and Access Management (OCI IAM)は、Oracle Cloudおよび非Oracle applicationsに対して堅牢なアイデンティティ管理(認証、SSO、ライフサイクル管理)を提供します。また、クラウドでもオンプレミスでも、従業員、パートナおよび顧客に対する安全なアクセスもサポートしています。OCI IAMは、既存のアイデンティティ・ストアおよびプロバイダと統合され、クラウド・アプリケーションおよびサービスのエンド・ユーザー・アクセスを合理化します。コンパートメント戦略を設計するには、次のガイドラインに従います:
  • クラウド・リソースをコンパートメントに編成し、テナンシ内の論理コンテナとして機能します。
  • 重要なワークロードとデータを分離し、分散管理、最小権限のアクセスおよび職務の分離を可能にするコンパートメントを構築します。
  • 運用モデルに従ってリソースをグループ化して、ロールベースの管理権限を分散し、完全なテナンシ管理権限を緊急の「緊急アクセス」アカウントに制限します。
  • コンパートメントはゼロトラスト・モデルに従い、デフォルトですべてのアクセスを拒否します。アクセスは、明示的なIAMポリシーを介してのみ付与されます。

OCI IAMポリシー

リソースへのアクセスはデフォルトで拒否され、明示的なポリシーによってのみ許可されます。OCI IAMポリシーを作成するには、次のガイドラインに従います:
  • グループへのアクセス権を付与し、クラウド・リソースへの制限付きアクセスを提供する明示的なポリシーを作成します。
  • ファイングレイン・ポリシーを記述します。たとえば、バックアップの格納に一般的に使用されるが、オブジェクトまたはバケットの削除を拒否するオブジェクト・ストレージ・バケットをグループに作成および管理できるようにするポリシーを作成できます。Storage_Adminsに{tenancy OCID}内のバケットの管理を許可できます(request.permission != 'DELETE')。
  • 機密コンパートメント(ボールトなど)に個別のアイデンティティ・ドメインを割り当てて、資格証明の再利用を防止し、分離を強化します。たとえば、バケット、ブロック・ボリュームおよび手動データベース・バックアップのコピーを格納するVaultコンパートメントを作成し、アクセスを制御する個別のアイデンティティ・ドメインを割り当てることができます。これにより、メイン環境にアクセスできるすべてのユーザーが、Vaultコンパートメントへのアクセスに同じ資格証明を使用できなくなり、これらのアセットの分離と保護が可能になります。
  • セキュリティを強化するために、アイデンティティ・ドメインを外部プロバイダと独立してフェデレートします。VaultおよびSafe Restoreエンクレーブに個別のアイデンティティ・プロバイダを使用して、本番エンクレーブに使用されるアイデンティティ・プロバイダから優れた分離を実現します。

マルチファクタ認証(MFA)

MFAを有効化および強制することで、すべてのローカルOCIアカウントを保護します。OCI IAMは、セキュリティに関する質問、モバイル・アプリ・パスコード、モバイル・アプリ通知、テキスト・メッセージ(SMS)、電子メール、バイパス・コード、Duoセキュリティなど、MFAを有効にするための複数の方法をサポートしています。

ネットワークの保護

従来の境界主導のサイバーセキュリティは、サイバーセキュリティの柱の基盤であり、ファイアウォール、要塞ホスト、境界の次世代ファイアウォール、WAF、基本的なアイデンティティおよびアクセス管理プラクティスを使用します。従来のサイバーセキュリティはテーブル・ステークスですが、このスペース・ペリメータのセキュリティでは、標準的なブロックおよび対処メカニズムが損なわれています。

OCIは、セキュアなネットワークを実現するための制御の実装に役立つ複数の機能を提供します。VCNは、OCIのすべてのネットワークの基盤を提供します。デフォルトでは、テナンシにはネットワーク・アクセスがありません。イングレスおよびエグレスを許可するサービスを実装し、許可される方向、ポートおよびプロトコルを指定する必要があります。

ネットワークを設計して、攻撃者がネットワークにアクセスできないようにし、アクセスが発生した場合に後で移動しないようにします。ネットワーク保護を構成するには、次の推奨事項に従います。

  • セグメンテーション:機密性の高いワークロード(データベースなど)を専用VCNsに配置します。制御にはファイアウォール、SLおよびNSGを使用します。You can granularly control access between and within a VCN and achieve the first layer of segmentation. 機密性の高いワークロードを専用のVCNに含めることで、ファイアウォール、セキュリティ・リストおよびネットワーク・セキュリティ・グループ(NSG)を利用してアクセスをフィルタおよび制御できます。
  • ゼロトラスト権限と最小権限:ゼロトラスト権限と最小権限の原則を適用し、セキュリティ・リスト(SL)、ネットワーク・セキュリティ・グループ(NSG)およびZero Trust Packet Routing (ZPR)を使用して、サブネットとクラウド・リソース間のセグメンテーションと分離をさらに実現します。サブネットおよびリソースの分離には、SL、NSGおよびZPRを使用します。OCI ZPRポリシーは、インテントベースで人間が読める言語を使用し、監査、理解、管理を容易にします。
  • SL: SLはサブネットレベルで動作し、サブネットのイングレスとエグレスを制御します。
  • NSG: NSGを使用して、特定のVNICに適用されるイングレスおよびエグレス・ルールのセットを定義します。NSGは、VNICレイヤーでの分離を提供し、個々のVNIC装備のリソース間のマイクロセグメンテーションを実装できます。
  • NSG over SL: NSGは VNICレベルでマイクロセグメンテーションをサポートし、セキュリティーをネットワーク設計から分離するため、SL経由のNSGを優先します。
  • トラフィックの制限:イングレス・トラフィックとエグレス・トラフィックを、特定のアプリケーションで最小権限の原則を実行するために必要なソース・ポートと宛先ポートのみに制限します。RDPやSSHなどの機密ポートへの世界的なアクセスを厳しく制限します。
  • OCI IAMポリシー: OCI IAMポリシーを使用して、SLに権限を付与し、職務の分離に基づいてリストの保守を担当するパーティのみがそれらを管理できるようにします。
  • ネットワーク・ファイアウォール: DRGを介してハブアンドスポーク・アーキテクチャでOCI Network Firewallをデプロイし、VCN間およびオンプレミスのトラフィックを規制します。OCIは、多くのサードパーティ・ファイアウォール(Fortinet、Palo Alto、Ciscoなど)をサポートしています。
  • OCIゲートウェイを使用して、セキュアで制御されたインターネット・アクセスを実現し、リソースをOCIサービスにプライベートに接続できます。
    • インターネット・ゲートウェイ:イングレスおよびエグレスを制御します(セキュリティのために制限されます)。
    • NAT Gateway:内部IPを公開せずに、制御されたエグレスを許可します。
    • サービス・ゲートウェイ: OCIのネットワーク内のリソース通信を保持します。
  • プライベート接続: OCI FastConnectを使用して、テナンシと内部ネットワークの間の高速で低レイテンシのプライベート接続を実現します。MacSECまたはIPSEC(あるいはその両方)を考慮して、暗号化を提供します。
  • 要塞ホスト: OCI Managed Bastionサービスを使用して、リソースへのセキュアで一時的な管理アクセスを実現します。
  • Zero Trust Packet Routing: ネットワーク・セキュリティ・ポリシーを簡単かつ監査可能にします。

インフラおよびアプリケーションの保護

OCIは、テナンシのインフラストラクチャ・リソースを保護するための次のような機能を提供します。

  • OCI IAMポリシー: 管理者からも機密権限を削除します。安全にボールトされた緊急アクセス・アカウントに完全な管理者権限を制限します。たとえば、ストレージ(オブジェクト、ブロックおよびファイル)およびバックアップを削除する機能を削除し、テナンシ管理権限をボールトできる緊急アクセス・アカウントに制限できます。
  • DDoS Protection: OCIは、帯域幅消費型攻撃に対するネットワークのデフォルトの保護を提供し、Oracleには、テナンシ・レベルでレイヤー3および4の保護を提供するソリューションもあります。
  • Web Application Firewall (WAF): OCI WAFをロード・バランサとともに使用して、Open Web Application Security Project (OWASP) Top 10の脆弱性を含むパブリック・アプリケーションを脅威から保護します。必要に応じて国別アクセスを制限します。OCI WAFは、OCI Load Balancerを使用してデプロイし、SQLインジェクションなどのOWASP攻撃に対してWebベースのトラフィックを検査および保護する必要があります。また、使用およびアクセス要件に基づいて国別のトラフィックを制限することも検討してください。
  • 脆弱性およびパッチ管理: OCI Vulnerability Scanning ServiceおよびOracle OS Management Hubサービスの組合せを使用します。
    • コンピュート・ノードおよびレジストリ・イメージには、OCI Vulnerability Scanning Serviceを使用します。すべてのコンピュート・ノードとコンテナで、オープン・ポートとCVSSベースの両方の脆弱性をスキャンします。
    • Oracle OS Management Hubを使用して、OSパッチ適用を自動化および監視します。欠落しているOSおよびセキュリティ・パッチを特定し、Oracle LinuxおよびWindowsコンピュート・ノード全体でパッチ適用を自動化します。
  • インスタンス・セキュリティ: インスタンス・セキュリティは、コンピュート、仮想およびベア・メタル・ホストのワークロードにランタイム・セキュリティを提供します。インスタンス・セキュリティは、クラウド・ガードの範囲をクラウド・セキュリティ・ポスチャ管理からクラウド・ワークロード保護にまで拡大します。一貫した可視性とインフラストラクチャのセキュリティ状態を包括的に把握することで、セキュリティ・ニーズを1箇所で満たすことができます。
  • OCI Vault: Vaultは、独自の暗号化キーやその他の重要な資格証明を管理する場合、キーおよびシークレットに対してHSMでバックアップされた完全なライフサイクル管理サービスを提供します。Vaultサービスは、ニーズを満たす複数のオプションを提供します。
  • セキュリティ・ゾーン: テナンシ内のクラウド・リソースの作成および移動のためのガードレールを提供します。セキュリティ・ゾーンはコンパートメントに適用され、特定のアクションが実行されないようにコントロール・プレーンで動作します。たとえば、パブリック・バケットの作成、パブリックIPアドレスの割当てを防止し、すべてのストレージの保護に顧客管理暗号化キーの使用を要求できます。特定のセキュリティ・ポスチャおよび規制コンプライアンス要件を満たすカスタム・セキュリティ・ゾーンを定義します。ニーズおよびターゲット・コンパートメントに関連するポリシー・ステートメントを選択します。

OCIは、ランサムウェア・タイプの脅威からテナンシを適切に保護するのに役立ついくつかのサービスと機能を提供します。これらの制御によりOCIテナンシが大幅に強化されますが、完全にセキュアなシステムはありません。サイバー脅威の進化に合わせて、常に警戒し、セキュリティ体制を継続的に適応させます。

検出制御の推奨事項

環境を保護するための最善の努力にもかかわらず、決定的な攻撃者は最終的に方法を見つける可能性があります。そのため、不審なアクティビティを特定し、環境が損なわれた場合に警告するのに役立つ検出コントロールを確立することが不可欠です。

OCIサービスを使用すると、テナンシ内の潜在的なランサムウェアの脅威を特定して対応するのに役立ちます。セキュアなOCIテナンシを設定する最速の方法は、OCI CISセキュリティ・ベンチマークに従い、サイバーセキュリティのベストプラクティスを組み込んだOCIコア・ランディング・ゾーンをデプロイすることです。

ログとアナリティクス

OCI Loggingは、スケーラビリティの高いフルマネージド・サービスであり、すべてのログを一元的に把握できます。OCIリソースからログを収集し、これらのリソースへのアクセスおよび実行方法に関する重要な診断詳細を提供します。使用できるログには、主に次の3つのタイプがあります。

  1. 監査ログ:

    監査ログは、コンソール、コマンドラインまたはAPIのいずれを使用しても、テナンシ内のすべてのアクションを取得します。監査ログの内容は不変に格納され、変更や削除はできません。コンソールから監査ログを検索し、エントリをイベントに変換して、OCI通知サービスを使用してセキュリティ・チームに送信できます。

  2. サービス・ログ:

    サービス・ログは、APIゲートウェイ、ロード・バランサ、オブジェクト・ストレージ、ファンクション、VCNフロー・ログなどのOCIネイティブ・サービスによって生成されます。各サービスには、必要に応じて有効または無効にできる事前定義済のログ・カテゴリが用意されています。

  3. カスタムログ:

    カスタム・ログを使用すると、カスタム・アプリケーション、他のクラウド・プロバイダまたはオンプレミス環境からの診断情報を監視および記録できます。APIを使用してこれらのログを取り込むか、統合モニタリング・エージェントを使用してコンピュート・リソースからカスタム・ログを直接アップロードするようにOCI Computeインスタンスまたはリソースを構成します。カスタム・ログは、仮想マシンとベア・メタルの両方でサポートされます。

すべてのログ・データは、転送中とリストア時にの両方で暗号化され、Object Storageなどのストレージにアーカイブまたは転送される際には暗号化されたままになります。OCIロギングはコネクタ・ハブと統合されるため、ログをアーカイブ・ストレージ用のオブジェクト・ストレージに簡単に転送したり、セキュリティ情報およびイベント管理(SIEM)およびその他のセキュリティ分析ツールによる取込み用のOCIストリーミング・サービスに簡単に転送できます。

OCI Log Analytics

SIEMがない場合は、OCI Log Analyticsサービスを使用してログを分析することを検討してください。OCI Log Analyticsサービスは、クラウドまたはオンプレミスのアプリケーションおよびシステム・インフラストラクチャからのログ・データの索引付け、エンリッチ、集計、探索、検索、分析、相関付け、可視化および監視を可能にするOCIネイティブ・ソリューションです。このサービスは、ログから運用上のインサイトを取得する複数の方法を提供します。Log Analyticsを使用すると、次のことができます。

  • 対話型ログ・エクスプローラUIの使用
  • ログ情報のダッシュボードへの集計
  • APIを使用したデータの取込みと分析
  • ログ・データを他のOCIサービスと統合

インタラクティブ・ビジュアライゼーションでは、複数の方法をデータをスライス・アンド・ダイスします。クラスタリング機能を使用すると、数百万ものログ・エントリを最も興味深いパターンにまで減らし、異常を検出してトランザクションを追跡する機能をグループ化できます。リンク機能を使用すると、トランザクションのログを分析したり、グループ化ビューを使用して異常なパターンを識別できます。

OCI Log Analyticsのセキュリティ監視ソリューションは、クラウド・セキュリティ・ポスチャの監視と理解に役立つ、厳選されたダッシュボードのセットです。これらのダッシュボードは、複雑なログ・データを実用的なセキュリティ・インサイトに変換し、セキュリティの問題に対処するのに役立ちます。このビューにより、時間を節約し、リスクを軽減し、クラウド・セキュリティ体制を改善できます。

Oracle定義の3つのビュー(VCN、OCI ComputeおよびOCI Audit)が、「セキュリティ・モニタリング」ソリューション・ページに表示されます。

セキュリティ・ポスチャ管理

OCIロギングでは、環境で何が起こっているかをビジュアル化できますが、その中のアクティビティに関する異なるデータ・ポイントのみを提供します。状況に即した情報を収集することで、潜在的な脅威を発見し、ランサムウェアなどの脅威から環境を保護することができます。従来のSIEMプラットフォームは、相関および高度な分析機能を提供します。ただし、使用が困難で、実装と保守にコストがかかる場合があります。OCIは、同じ利点の多くを提供するクラウドネイティブ・サービスを提供します。

クラウド・ガード

OCI環境の監視、リスクのある構成やアクティビティの検出、強力なセキュリティ・ポスチャの維持に役立つクラウドネイティブ・サービス。クラウド・ガードを使用すると、次のことができます。

  • 構成に関連するセキュリティの弱点についてリソースを確認し、リスクのあるアクティビティについてユーザーとオペレータを調べます。
  • 検出時、提案、支援または修正処理の実行は、構成に基づいて実行できます。
  • 監査ログ情報を実用的なセキュリティ関連イベントに自動的に変換し、処理する必要のあるRAWイベントの数を削減します。
  • Cloud Guardコンソールからイベントを処理し、それらをOCIストリーミング・サービスに転送し、SIEMシステムに転送します。
  • Oracle提供のディテクタおよびレスポンダ・レシピをクローニングおよびカスタマイズして、アラートを受信するセキュリティ違反と、それらに対して実行できるアクションを調整します。たとえば、可視性がpublicに設定されているオブジェクト・ストレージ・バケットを検出できます。
  • クラウド・ガードをテナンシ・レベルで適用して、幅広い対象範囲に対応し、複数の構成を維持する管理上の負担を軽減します。
  • 管理対象リストを使用して、特定の構成をセキュリティ・スキャン・ディテクタに含めるか除外します。

クラウド・ガードの脅威ディテクタ

データ・サイエンスを適用して、妥協した環境を迅速に発見します。機械学習、データ・サイエンス、脅威インテリジェンスを使用してユーザーの行動を自動的にトリアージし、アラート・ノイズを低減します。Oracleの脅威インテリジェンス・データを使用して、MITRE ATT&CK手法に沿ったターゲット行動モデルを監視します。これにより、既知の攻撃者の行動とモチベーションを使用して脅威マーカーを特定し、攻撃の進行状況に基づいてそれらのマーカーをスコアリングアルゴリズムに結合します。

また、脅威ディテクタは、機械学習やその他の手法を使用してOCI管理者のアクションを分析し、不正なユーザーのセキュリティ・オペレータ(資格証明が盗まれているか、その忠誠が損なわれているユーザー)に警告します。このディテクタが有効であることを確認し、不正ユーザー・アラートを設定して、チームの認可されたユーザーに通知します。

クラウド・ガード・インスタンスのセキュリティ

インスタンス・セキュリティは、OCI Compute仮想ホストおよびベア・メタル・ホストのワークロードにランタイム・セキュリティを提供します。これにより、一貫した可視性でセキュリティ・ニーズを1箇所で満たすことができます。インスタンス・セキュリティは、インフラストラクチャのセキュリティ状態を包括的に理解し、次のことを支援します。

  • 疑わしいプロセス、オープン・ポートおよびスクリプトの実行をOSレベルで検出します。
  • 脆弱性と異常なアクティビティに関する実用的なアラートを受信
  • Oracle管理ディテクタ・レシピを使用するか、脅威ハンティング用の独自のレシピを作成します
  • ネイティブ統合OCIロギングを使用して、サードパーティのセキュリティ・ツールにログをエクスポートします

データベース・セキュリティ

データベースは、組織のクリティカルで機密性が高く、規制された運用データを含んでいるため、ランサムウェアの主要なターゲットとなります。そのため、データベースのセキュリティ体制をリアルタイムで把握し、クラウド・インフラストラクチャをランサムウェアやその他の攻撃から保護することが重要です。

デフォルトでは、OCIデータベースはTransparent Data Encryption (TDE)を使用して、表およびバックアップ内の機密データを保護します。TDEは、リストア時にすべてのデータを暗号化し、認可されたユーザーまたはアプリケーションがこのデータにアクセスしたときに透過的に復号化します。TDEは、ストレージメディアやデータファイルが盗まれた場合に、メディアに格納されているデータを保護します。

Oracle Data Safeには、統合されたOracle AI Databaseコンソールが用意されており、データの機密性の理解、データ・リスクの評価、機密情報のマスク、セキュリティ制御の構成と監視、ユーザーの評価およびデータベース・アクティビティのモニターに役立ちます。Data Safeでは、次のことを実行できます。

  • セキュリティ・リスクの評価
  • ユーザー評価
  • アクティビティの監査
  • データ検出
  • データ・マスキング

ヒント :

すべてのOracle AI DatabaseをData Safeに登録して、リスクを特定、分類および優先順位付けし、セキュリティ・パラメータ、セキュリティ・コントロールおよびユーザーのロールと権限に関する包括的な使用状況レポートを生成します。

Oracle Database Vault

Oracle Database Vaultは、Oracle AI Database内のデータ・セキュリティ制御を実装して、特権ユーザーによる機密アプリケーション・データへのアクセスを制限します。内部および外部の脅威のリスクを軽減し、コンプライアンス要件および職務の分離に対応します。

高コストで時間のかかるアプリケーション変更を必要とせずに、新規および既存のOracle AI Database環境を保護します。Database Vaultは、Oracle Real Application Clusters (Oracle RAC)、Oracle GoldenGate、Oracle Data Guardなどのエンタープライズ・アーキテクチャと互換性があり、サーバーやエージェントを追加でデプロイする必要はありません。

Oracle Database Vaultには、次の機能があります。

  • レルム: Oracle AI DatabaseおよびOracle Database Vaultのセキュリティ制御内に制限付きアプリケーション環境を作成することで、機密データへの不正アクセスをブロックします。組織が、欧州連合一般データ保護規則(EU GDPR)、Payment Card Industry Data Security Standard(PCI-DSS)、および機密情報へのアクセス、開示または変更について強力な内部管理を必要とするその他の多数の規制など、データ・プライバシーに関する法律および基準の遵守に対処できるよう支援すること。
  • コマンド・ルール: 特権ユーザー・アカウントによる操作を中断する悪意のある変更または偶発的な変更を防止します。コマンド制御は、特定のメンテナンス・ウィンドウ外のDROP TABLEや ALTER SYSTEMなどの認可されていないコマンドを防止します。
  • トラステッド・パス: IP、アプリケーション、ユーザーおよび時間に基づいてゼロトラスト・アクセスを強制するため、攻撃者は盗まれた資格証明を簡単に使用できません。Oracle Database Vaultでは、機密データへの不正アクセスをブロックし、疑わしいデータ・アクセス・アクティビティを管理者に通知し、データ盗難が発生する前に防止する高価値のアラートを生成できます。
  • 職務の分離: 特権ユーザーに対するチェックとバランスを強制し、攻撃者がセキュリティ制御を無効にしたり、不正なユーザーを作成したり、特権アカウントからの資格証明を使用して機密データにアクセスしたりすることを防ぎます。

ヒント :

すべてのOCIデータベースにDatabase Vaultを実装します。

イベントおよび通知

OCIテナンシ内で発生し、説明されているサービスではカバーされない追加のイベントについてアラートを受信するように選択できます。OCIイベントおよび通知サービスを使用すると、これらのイベントを識別し、イベントが発生したときにチームに通知を送信できます。

OCIイベント

OCIイベントを使用して、テナンシの状態変更に基づいて自動通知を送信するルールを作成します。ルールには、テナンシのリソースによって生成されるイベントを指定するために定義するフィルタが含まれます。フィルタが一致するイベントを見つけたとき、トリガーするアクションもルールで指定する必要があります。

アクションとは、イベント一致に対して定義するレスポンスです。ルール内のフィルタが一致を検出すると、OCIイベント・サービスでは、ルールで指定した1つ以上の宛先に一致イベントを配信します。イベントの宛先サービスは、通知、ストリーミングおよび関数です。

OCI通知

OCI通知を使用して、OCIリソースを含むイベントがトリガーされたときにアラートを送信します。アラーム、イベント・ルールおよびサービス・コネクタを構成して、サポートされているエンドポイント(電子メール・メッセージやテキスト・メッセージ(SMS)を含む)を介して、人間が読めるメッセージを送信できます。カスタムHTTPSエンドポイントおよびOCI Functionsを使用してタスクを自動化することもできます。メッセージを直接パブリッシュすることもできます。

OCI監査、ロギング、クラウド・ガードおよびData SafeサービスはすべてOCIイベントおよび通知と統合されているため、テナンシ内のセキュリティ関連の問題を運用およびセキュリティ・チームに通知できます。