ID 및 권한 부여 정책 관리

Oracle Cloud Infrastructure Identity and Access Management를 사용하면 클라우드 리소스에 접근할 수 있는 사용자를 제어할 수 있습니다. 액세스 및 권한 부여를 위한 인증서에는 API 키, 사인인 비밀번호, 통합 사인인 및 인증 토큰이 포함됩니다. 적절한 자격 증명을 사용하여 클라우드 계정 및 리소스를 보호합니다. Oracle은 클라우드에서 ID 관리를 구현할 때 다음 권장사항을 채택하도록 권장합니다.

MFA(다단계 인증) 사용

Enterprise Architect, Security Architect, Application Architect

리소스에 대한 액세스를 기업의 Single Sign-On 솔루션을 통해 인증된 사용자, 시간 제한이 있는 일회용 비밀번호 또는 생체 인식 스캔 함수와 같은 기타 적합한 요소로만 제한합니다.

OCI Identity and Access Management(IAM) ID 도메인을 사용하면 OCI 콘솔에 대해 사전 정의된 사인온 정책에서 MFA가 구성 및 적용됩니다. 이 정책은 비활성화하면 안됩니다.

사용자 레벨에서 이를 요구하고 IAM을 통해 리소스 레벨에서 적용해야 합니다. 리소스에 대한 액세스를 허용하는 액세스 정책의 리소스에 대해 MFA를 적용할 수 있습니다.

또한 사용자에게 정기적인 액세스 제어를 우회하여 중요한 시스템에 즉시 액세스할 수 있도록 임시로 향상된 액세스를 제공해야 하는 경우 긴급 사용 사례에 대해 MFA를 구성할 수 있습니다.

일상적인 작업에 테넌시 관리자 계정 사용 안함

Enterprise Architect, Security Architect, Application Architect

관리 액세스를 추가로 제한하려면 테넌시의 서비스 레벨 관리자를 생성해야 합니다. 서비스 레벨 관리자는 특정 서비스 또는 도메인의 리소스만 관리해야 합니다.

예를 들어, 다음 정책을 사용하면 VolumeAdmins 그룹의 사용자가 블록 볼륨 계열의 리소스만 관리할 수 있습니다.

Allow group VolumeAdmins to manage volume-family in tenancy

관리자 계정 잠금을 방지하는 보안 정책 생성

엔터프라이즈 설계자, 보안 설계자

테넌시 관리자가 조직을 떠나는 경우 또는 사용 가능한 테넌시 관리자가 없는 경우 기타 긴급 상황에 사용할 수 있도록 특별히 관리자 계정을 만들고 보호합니다.

예를 들어, 통합이 아닌 Administrators OCI 그룹에 멤버쉽이 있고 로컬 비밀번호만 있는 Emergency User Persona를 생성합니다. 이를 "Break glass" 계정이라고도 합니다.

Break glass는 IT 긴급 상황 발생 시 높은 권한을 가진 액세스를 얻기 위해 사용되는 프로세스와 메커니즘을 말합니다. 이 용어는 무단 또는 비긴급 활성화를 방지하기 위해 물리적 장벽 역할을하는 보호 유리 창 뒤에 알람 트리거를 배치하는 관행에서 파생됩니다. IT 부서에서는 확립된 업무 분장(SOD) 및 최소 권한 액세스 제어 내에서 해결할 수 없는 중요한 비상 시 전체 액세스 권한의 필요성을 설명하기 위해 비유적으로 break glass를 사용합니다. 효과적인 긴급 프로세스의 주요 기능은 고가용성, 제한된 액세스, 위험 평가, 신속한 승인, 수명이 짧은 자격, 감사 및 정기적인 테스트입니다. 잘 설계된 접근 모델조차도 가능한 모든 비상 사태를 고려하지 않을 수 있습니다. 이러한 경우 break glass는 설정된 액세스 모델을 초월하여 하나 이상의 break-glass 계정에 가장 높은 레벨의 액세스 권한을 집중시키는 방법을 제공합니다. OCI Administrators Group은 대체 자격 옵션과 함께 긴급 액세스 권한을 부여하는 데 사용할 수 있습니다.

기본 관리자 및 인증서 관리자 그룹 관리에서 IAM 관리자 그룹 제한

엔터프라이즈 설계자, 보안 설계자

관리자 권한은 최소 권한 규칙을 따라야 하므로 관리자 그룹에 대한 멤버쉽 또는 관리 정책에 대한 첨부는 필요에 따라 제한되어야 합니다.

다음 정책을 사용하면 UserAdmins 그룹의 사용자가 테넌시의 그룹만 검사할 수 있습니다.

Allow group UserAdmins to inspect groups in tenancy

미리 정의된 테넌시 관리 정책도 변경해서는 안됩니다.

액세스 정책의 우발적 또는 악의적 삭제(및 변경) 방지

Enterprise Architect, Security Architect, Application Architect

예를 들어, 다음 정책은 PolicyAdmins 그룹의 사용자만 정책을 만들 수 있지만 편집하거나 삭제할 수는 없습니다.

Allow group PolicyAdmins to manage policies in tenancy where
      request.permission='POLICY_CREATE'

인증서 관리자가 사용자 기능 및 사용자 인증서(예: API 키, 인증 토큰 및 암호 키)만 관리하도록 제한합니다.

다중 ID 도메인 사용

엔터프라이즈 설계자, 보안 설계자

OCI 관리자에 대해서만 기본 OCI ID 및 액세스 관리 ID 도메인을 사용합니다.

응용 프로그램 작업 로드의 경우 개발, 테스트 및 운용과 같은 각 환경에 대해 별도의 ID 도메인을 사용합니다.
각 도메인은 애플리케이션 및 OCI 서비스를 보호하기 위해 서로 다른 ID 및 보안 요구사항을 가질 수 있습니다.
여러 ID 도메인을 사용하면 각 ID 도메인에 대한 관리 제어 격리를 유지 관리할 수 있습니다. 여러 ID 도메인이 필요합니다. 예를 들어, 보안 표준으로 인해 운용 환경에 존재하는 사용자 ID를 개발할 수 없는 경우입니다. 여러 도메인은 여러 관리자가 다양한 환경을 제어해야 하는 경우에도 사용됩니다.

Oracle Cloud Infrastructure Identity and Access Management 통합

엔터프라이즈 설계자, 보안 설계자, 애플리케이션 설계자

가능하고 관련성이 높은 경우 Oracle Cloud Infrastructure Identity and Access Management를 조직의 중앙 집중식 ID 제공자(IdP)와 통합합니다.

통합 IdP의 관리자 그룹에 매핑되고 통합 IdP의 관리자 그룹과 동일한 보안 정책으로 제어되는 통합 관리자 그룹을 생성합니다.
로컬 사용자를 만들고 기본 Administrators, IAM Administrators 및 Credential Administrators IAM 그룹에 사용자를 지정합니다. 긴급 유형 시나리오(예: 통합을 통해 리소스에 액세스할 수 없음)에는 이러한 사용자를 사용합니다.
통합 관리자 IAM 그룹이 기본 테넌시 Administrators 그룹의 멤버쉽을 수정하지 못하도록 하는 정책을 정의합니다.
테넌시 관리자의 작업에 대한 감사 로그 및 Administrators 그룹에 대한 변경사항을 모니터링하여 무단 액세스 및 작업을 감지합니다.

모든 사용자의 활동 및 상태 모니터링 및 관리

엔터프라이즈 설계자, 보안 설계자, 애플리케이션 설계자

모든 사용자의 활동 및 상태를 모니터링하고 관리합니다.

직원이 조직을 떠나는 경우 사용자를 즉시 삭제하여 테넌시에 대한 액세스를 사용 안함으로 설정합니다.
사용자 암호, API 키 및 모든 인증 관련 사용자 기능을 90일 이하로 교체합니다.
IAM(ID 및 액세스 관리) 자격 증명이 소프트웨어 또는 작업 설명서에 하드 코딩되지 않았는지 확인합니다.
테넌시의 리소스에 액세스해야 하는 조직의 모든 사용자에 대해 IAM 사용자를 생성합니다. 여러 사용자 간에 IAM 사용자를 공유하지 마십시오.
통합 Single Sign-On을 구현하여 여러 애플리케이션에 대한 액세스를 간소화하고 인증을 중앙 집중화합니다.
IAM 그룹의 사용자를 정기적으로 검토하고 더 이상 액세스할 필요가 없는 사용자를 제거합니다.