전용 Exadata 인프라의 자율운영 AI 데이터베이스의 보안 기능

이 문서에서는 전용 Exadata 인프라의 자율운영 AI 데이터베이스의 주요 보안 기능에 대해 설명합니다.

이 섹션 전체에서 "귀하"라는 용어는 특정 작업을 수행할 책임이 있는 조직의 모든 관리자를 의미하는 데 광범위하게 사용됩니다. 경우에 따라 플리트 관리자이고, 다른 경우에는 데이터베이스 관리자입니다.

전용 자율운영 AI 데이터베이스는 권한 분석, 네트워크 암호화, 중앙 관리 사용자, 보안 애플리케이션 역할, 투명한 민감한 데이터 보호 등과 같은 Oracle AI Database의 표준 보안 기능과 함께 Database Vault, Data Safe 및 기타 고급 보안 기능을 추가 비용 없이 추가합니다.

아래 설명된 전용 자율운영 AI 데이터베이스의 주요 보안 기능에 대한 구성 요소를 확인할 수 있습니다.

그림 adbd-security-features.svg에 대한 설명

구성 관리

Oracle Cloud Infrastructure를 기반으로 구축된 자율운영 AI 데이터베이스는 표준 강화된 보안 구성을 제공하므로 사용자 및 사용자 팀은 자율운영 AI 데이터베이스 플리트 전체에서 구성을 관리하는 데 많은 시간과 비용을 소비할 필요가 없습니다. SYS 및 System과 같은 모든 서비스 계정은 90일마다 교체됩니다. 자세한 내용은 자율운영 AI 데이터베이스의 구성 관리를 참고하세요.

보안 패치 및 업데이트는 자동으로 수행되므로 보안을 최신 상태로 유지하는 것에 대해 걱정할 필요가 없습니다. 이러한 기능은 고도로 민감한 데이터베이스와 데이터를 비용이 많이 들고 잠재적으로 재해가 발생할 수 있는 보안 취약점 및 침해로부터 보호합니다. 자세한 내용은 전용 자율운영 AI 데이터베이스의 서비스 유지 관리를 참고하세요.

데이터 암호화

자율운영 AI 데이터베이스는 Oracle Database에 모든 데이터를 암호화된 형식으로 저장합니다. 데이터베이스 접속 시 인증을 받은 유저와 애플리케이션만이 데이터에 액세스할 수 있습니다.

자율운영 AI 데이터베이스는 미사용 및 전송 중인 데이터를 보호하는 상시 암호화를 사용합니다. Oracle Cloud에 저장된 모든 데이터와 네트워크 통신은 기본적으로 암호화됩니다. 암호화를 해제할 수 없습니다.

데이터 암호화 및 마스터 암호화 키에 대한 자세한 내용은 전용 자율운영 AI 데이터베이스의 데이터 암호화를 참조하십시오.

감사

전용 Exadata 인프라의 Oracle Autonomous AI Database는 서비스 및 특정 데이터베이스에서 누가 작업을 수행했는지 추적할 수 있는 강력한 감사 기능을 제공합니다. 포괄적인 로그 데이터를 사용하면 리소스에 대한 작업을 감사 및 모니터링할 수 있으므로 보안 및 운영 위험을 줄이면서 감사 요구 사항을 충족할 수 있습니다.

자세한 내용은 전용 자율운영 AI 데이터베이스의 감사 기능을 참고하세요.

액세스 제어

Dedicated Exadata Infrastructure 기능을 구성할 때는 클라우드 유저가 적절한 종류의 클라우드 리소스만 사용하여 업무를 수행할 수 있는 액세스 권한이 있는지 확인해야 합니다. 또한 권한이 부여된 직원 및 애플리케이션만 전용 인프라에서 생성된 자율운영 AI 데이터베이스에 액세스할 수 있도록 해야 합니다. 그렇지 않으면 전용 인프라 리소스를 "비용"으로 사용하거나 미션 크리티컬 데이터에 부적절하게 액세스할 수 있습니다.

데이터 및 이 데이터가 포함된 데이터베이스에 대한 액세스 보안은 여러 종류의 액세스 제어로 구성됩니다. 자세한 내용은 전용 자율운영 AI 데이터베이스 내 액세스 제어를 참고하세요.

인증서 관리

클라이언트가 TCPS(보안 TCP) 데이터베이스 연결 서비스를 통해 자율운영 AI 데이터베이스에 연결하려고 시도할 때 전용 Exadata 인프라의 Oracle Autonomous AI Database는 표준 TLS 1.2 및 TLS 1.3 인증서 기반 인증을 사용하여 연결을 인증합니다. 하지만 TLS 1.3은 Oracle AI Database 23ai 이상에서만 지원됩니다. 클라이언트가 TCPS 또는 TCP 데이터베이스 연결 서비스를 통해 연결을 시도하는지 여부에 관계없이 클라이언트의 데이터베이스 액세스는 클라이언트가 연결에 사용하는 데이터베이스 유저의 액세스 권한으로 제한됩니다.

Oracle 관리 자체 서명 인증서

기본적으로 자율운영 AI 데이터베이스는 자체 서명된 인증서를 사용합니다. 자체 서명된 인증서는 시스템에서 생성된 보안 인증서입니다.

인증서 생성

자율운영 Exadata VM 클러스터(AVMC)를 프로비전하는 동안 Oracle 관리 자체 서명 인증서가 자동으로 생성되며 해당 AVMC에서 생성된 모든 데이터베이스에 적용됩니다.

인증서 관리

자체 서명된 인증서는 자동으로 생성되어 AVMC와 연결됩니다. 그러나 데이터베이스에 접속하기 전에 자율운영 AI 데이터베이스 클라이언트 전자 지갑을 다운로드해야 합니다. 자체 서명된 인증서를 사용하는 경우 전자 지갑이 없는 데이터베이스에 연결하는 것은 선택 사항이 아닙니다. 데이터베이스의 전자 지갑 다운로드에 대한 지침은 클라이언트 인증서 다운로드를 참조하십시오.

요구 사항에 따라 다음 인증서 유형 중 하나가 AVMC와 연관됩니다.

인증서 교체

조직의 보안 규정 준수 요구 사항을 충족하기 위해 Oracle Cloud Infrastructure(OCI) 콘솔 또는 API를 사용하여 Oracle 관리 자체 서명 인증서를 교체할 수 있습니다. 단계별 지침은 자율운영 Exadata VM 클러스터 리소스에 대한 보안 인증서 관리를 참조하십시오. 이를 인증서 순환이라고 합니다.

새로 프로비저닝된 자율운영 Exadata VM 클러스터(AVMC) 리소스의 경우 Oracle에서 관리하는 자체 서명된 인증서의 생성 유효 기간은 13개월입니다. 콘솔 또는 API를 사용하여 SSL 인증서를 교체하면 서버측 인증서와 클라이언트측 인증서가 모두 교체되고 유효성이 13개월로 재설정됩니다. Oracle에서 관리하는 서버측 또는 클라이언트측 인증서가 만료되기 전에 교체되지 않으면 Oracle은 이를 자동으로 교체하고 새 전자 지갑을 생성합니다.

데이터베이스 SSL 인증서의 경우 인증서 교체로 인해 기존 인증서가 즉시 무효화되지 않습니다.

인증서 교체 후 2주 이내에 인증서 교체 전후에 다운로드한 자율운영 AI 데이터베이스 클라이언트 전자 지갑을 사용하여 데이터베이스에 접속할 수 있습니다.

인증서 교체 후 2주 후:

예를 들면 다음과 같습니다.

SSL 인증서(예: C1)가 만료될 예정이며 2월 1일에 이 인증서를 교체했습니다. 2월 1일부터 2월 14일까지 이전 인증서(C1)를 계속 사용할 수 있습니다. 이전 인증서(C1)를 계속 사용하거나 데이터베이스 연결에 대해 회전된 인증서(C2)에 대한 새 데이터베이스 전자 지갑을 다운로드할 수 있습니다. 2월 1일부터 2주 후, 즉 2월 14일부터 이전 인증서(C1)가 무효화되고 데이터베이스 연결에 사용할 수 없습니다. 이 2주 동안 C2(Post Certificate Rotation)를 다운로드한 데이터베이스 전자 지갑을 계속 사용할 수 있습니다. 또한 새 데이터베이스 전자 지갑을 다운로드하여 교체 후 2주 후에 데이터베이스 접속에 사용할 수 있습니다.

가장 최근 순환에서 2주 이내에 데이터베이스 SSL 인증서를 교체할 수도 있습니다. 이 시나리오에서는 이전 인증서(첫번째 교체로 인해 무효화하려고 함)가 즉시 사용 안함으로 설정됩니다. 다음 인증서(첫번째 교체 결과)는 활성 상태로 유지되고 세번째 인증서(두번째 교체 결과)는 두번째 교체로부터 2주 동안 활성화를 기다립니다. 첫번째 교체 전에 다운로드된 모든 데이터베이스 전자 지갑은 두번째 교체 직후 무효화됩니다. 첫번째 교체 후 두번째 교체 후 2주까지 다운로드된 데이터베이스 전자 지갑을 사용하여 데이터베이스 접속을 계속할 수 있습니다. 두번째 교체에서 2주가 완료되면 두번째 교체 후 다운로드된 클라이언트 전자 지갑(두번째 교체 이후 2주 이내에 다운로드된 전자 지갑)을 통해서만 데이터베이스에 접속할 수 있습니다.

위 예에서 2월 1일부터 2주 이내에 동일한 인증서(C1)를 다시 교체하면 인증서가 두 번 교체됩니다. 이 경우 이전 인증서(첫번째 교체 전 인증서, 즉 C1)가 즉시 무효화됩니다. 첫번째 교체(C2)로 인한 인증서는 활성 상태로 유지되고 두번째 교체(예: C3)로 인한 세번째 인증서는 두번째 교체로부터 2주 동안 활성화를 기다립니다. 두 번째 순환에서 2주 후 첫 번째 순환(C2)으로 인한 인증서도 무효화되고 두 번째 순환 이전에 다운로드된 모든 데이터베이스 전자 지갑은 데이터베이스 연결에 사용할 수 없습니다. 이 2주 동안 사후 인증서 교체(C3)를 다운로드한 데이터베이스 전자 지갑을 계속 사용할 수 있습니다. 또한 새 데이터베이스 전자 지갑을 다운로드하여 두번째 교체 후 2주 후에 데이터베이스 접속에 사용할 수 있습니다.

ORDS SSL 인증서의 경우 인증서 교체와 함께 모든 기존 응용 프로그램 연결이 손실되고 ORDS를 다시 시작하는 것이 좋습니다. 위에서 설명한 2주 버퍼 기간은 ORDS SSL 인증서를 교체할 때 적용되지 않습니다.

BYOC(자체 인증서 적용)

BYOC(자체 인증서 적용)를 사용하면 자율운영 AI 데이터베이스와 함께 CA 서명 서버측 인증서를 사용할 수 있습니다.

인증서 생성

고유 인증서를 가져오려면 먼저 인증서 생성에 설명된 대로 OCI(Oracle Cloud Infrastructure) 인증서 서비스를 사용하여 인증서를 생성해야 합니다. 이러한 인증서는 서명되어야 하며 PEM 형식이고 서명되어야 합니다. 즉, 파일 확장자는 .pem, .cer 또는 .crt이어야 합니다.

인증서 설치

CA 서명 서버측 인증서를 만든 후 AVMC와 함께 설치해야 해당 인증서에 생성된 모든 데이터베이스가 보안 연결에 이 인증서를 사용할 수 있습니다. BYOC 인증서를 AVMC와 연관시키는 작업은 OCI 콘솔의 인증서 관리 대화상자에서 진행됩니다. 이 대화 상자에서 자체 인증서 적용을 선택하고 선택 목록에서 이전에 만든 인증서를 선택합니다. 선택적으로 인증 기관 및 CA 번들과 함께 CA 인증서를 지정할 수도 있습니다. 그러나 ORDS SSL 인증서에 대한 CA 번들을 선택하는 경우 번들에는 인증서 체인의 일부인 인증서만 포함되어야 합니다. 단계별 지침은 자율운영 Exadata VM 클러스터 리소스에 대한 보안 인증서 관리를 참조하십시오.

인증서 관리

자율운영 AI 데이터베이스 클라이언트 전자 지갑을 사용하거나 사용하지 않고 CA 서명 서버측과 연관된 자율운영 AI 데이터베이스에 접속할 수 있습니다.

인증서 교체

조직의 보안 규제준수 요구사항을 충족하기 위해 OCI(Oracle Cloud Infrastructure) 콘솔 또는 API를 사용하여 CA 서명 서버측 인증서를 교체할 수 있습니다. 단계별 지침은 자율운영 Exadata VM 클러스터 리소스에 대한 보안 인증서 관리를 참조하십시오.

만료 날짜 이전에 교체해야 합니다. 이 AVMC의 데이터베이스는 유효한 인증서를 제공할 때까지 TLS 포트에서 연결할 수 없습니다. 그러나 비TLS 포트(예: 1521)의 데이터베이스에 계속 액세스할 수 있습니다.

인증서 이벤트

다음 이벤트가 보안 인증서 관리를 위해 게시됩니다.

이벤트 생성 시기
SSL 인증서 만료 자율운영 Exadata VM 클러스터에 따라 전자 지갑이 6주 이내에 만료될 예정이라고 결정됩니다. 이 이벤트는 일주일에 한 번만 보고됩니다. 이 이벤트는 만료 예정인 전자 지갑(wallet)을 사용하는 연결이 있을 때 트리거됩니다.
sslcertificate.expired SSL 인증서가 만료됩니다. 이 자율운영 Exadata VM 클러스터와 관련된 모든 자율운영 AI 데이터베이스 전자 지갑이 만료됩니다.
sslcertificaterotation.알림 SSL 인증서가 365일보다 오래되었으며 고객이 인증서를 교체할 것을 권장합니다. SSL 인증서가 365일을 넘으면 이 미리 알림은 교체될 때까지 주당 한 번입니다.
slcertificate.rotated SSL 인증서는 수동으로(Oracle Cloud Infrastructure 콘솔 또는 API 사용) 또는 만료 시 자동으로 교체됩니다.

참고: OCI Notifications Service를 사용하여 해당 이벤트를 구독하여 게시될 때마다 수신합니다. 자세한 내용은 구독 생성을 참조하십시오.

자율운영 AI 데이터베이스 이벤트의 전체 목록은 전용 Exadata 인프라의 자율운영 AI 데이터베이스 이벤트를 참조하십시오.

데이터 보안

데이터 보호는 모든 데이터베이스에서 데이터 보안의 중요한 측면입니다. 권한 있는 데이터베이스 계정은 데이터베이스의 중요한 애플리케이션 데이터에 대한 액세스를 얻기 위해 가장 일반적으로 사용되는 경로 중 하나입니다. ADMIN이나 Oracle 운영자와 같은 권한이 있는 사용자는 데이터베이스 유지 관리를 용이하게 하기 위해 광범위하고 제한되지 않은 액세스가 필요하지만 동일한 액세스는 대량의 데이터에 대한 액세스 권한을 얻기 위한 공격 지점도 생성합니다.

자율운영 AI 데이터베이스를 사용하면 다음을 사용하여 PAM(Privileged Access Management)을 구현할 수 있습니다.

민감한 데이터 검색 및 데이터 마스킹

민감한 데이터(예: 신용 카드 번호, SSN)를 식별하고 필요에 따라 마스킹 또는 수정하면 데이터 보호와 전반적인 데이터 보안이 향상됩니다.

규제 준수 인증

전용 Exadata 인프라의 자율운영 AI 데이터베이스는 다음과 같은 광범위한 국제 및 산업별 규제준수 표준을 충족합니다.

자세한 내용과 전체 인증 목록은 Oracle Cloud 규제준수를 참조하십시오. 인증 문서의 복사본을 다운로드하려면 준수 문서를 참조하십시오.

관련 콘텐츠