专用 Exadata 基础结构上的自治 AI 数据库内的访问控制

在专用 Exadata 基础结构上配置自治 AI 数据库时，您需要确保您的云用户有权使用并仅创建相应类型的云资源来履行其工作职责。此外，您需要确保只有授权人员和应用才能访问在专用基础设施上创建的自治 AI 数据库。否则，您将面临使用专用基础设施资源“失控”或访问关键任务数据的不当风险。

在开始创建和使用提供专用基础设施功能的云资源之前，您需要制定访问控制计划，然后通过创建适当的 IAM（身份和访问管理）和网络资源来制定访问控制计划。因此，自治 AI 数据库中的访问控制可在各个级别实施：

Oracle Cloud 用户访问控制

您可以控制租户中的 Oracle Cloud 用户对云资源的访问，这些资源是您在专用 Exadata 基础结构上部署自治 AI 数据库的组成部分。

您可以使用身份和访问管理 (Identity and Access Management，IAM) 服务来确保您的云用户能够仅创建和使用相应类型的自治 AI 数据库资源来履行其工作职责。要为云用户实施访问控制，您可以定义策略来向特定用户组授予对特定区间中特定类型的资源的特定访问权限。

IAM 服务提供了多种组件来帮助您定义和实施安全的云用户访问策略：

策略和策略语句

用于为云用户定义访问控制的主要工具是 policy ，这是一个 IAM（Identity and Access Management，身份和访问管理）资源，其中包含根据“Who（谁）”、“How（如何）”、“What（什么）”和“Where（在哪里）”指定访问的策略语句。

策略语句的格式为：

Allow
  group <group-name>
  to <control-verb>
  <resource-type>
  in compartment <compartment-name>

有关自治 AI 数据库的策略详细信息，请参阅 IAM Policies for Autonomous AI Database on Dedicated Exadata Infrastructure 。

有关 IAM 服务及其组件的工作方式以及如何使用这些组件的信息，请参阅 Oracle Cloud Infrastructure Identity and Access Management 概述。有关 IAM 的常见问题的快速解答，请参阅身份和访问管理常见问题解答。

计划和安装访问控制时的最佳实践

在为专用基础设施功能规划和实施访问控制时，应考虑以下优秀实践。

客户机访问控制

通过控制网络访问控制和客户端连接，在自治 AI 数据库中实施客户端访问控制。

网络访问控制

在专用 Exadata 基础结构上设置和配置 Oracle Autonomous AI Database 的专用部署时，您可以定义自治 AI 数据库的网络访问控制。如何执行此操作取决于您的专用部署是基于 Oracle Public Cloud 还是 Exadata Cloud@Customer：

Zero Trust Packet Routing（零信任数据包路由）

适用于：适用 仅限 Oracle Public Cloud

Oracle Cloud Infrastructure Zero Trust Packet Routing (ZPR) 通过您为资源（例如您为其分配安全属性的自治 Exadata VM 集群 (AVMC)）编写的基于意图的安全策略，保护敏感数据免遭未经授权的访问。

安全属性是 ZPR 用于标识和组织资源的标签。每次请求访问时，ZPR 都会在网络级别强制实施策略，无论潜在的网络体系结构更改或配置错误。ZPR 基于现有网络安全组 (NSG) 和安全控制列表 (SCL) 规则构建。要使包到达目标，它必须传递所有 NSG 和 SCL 规则以及 ZPR 策略。如果任何 NSG、SCL 或 ZPR 规则或策略不允许流量，则会删除请求。

您可以使用 ZPR 通过三个步骤保护网络：

  1. 创建 ZPR 对象，即安全属性名称空间和安全属性。

  2. 编写 ZPR 策略以使用安全属性连接资源。ZPR 使用 ZPR 策略语言 (Policy Language，ZPL) 并对所定义资源的访问施加限制。作为专用 Exadata 基础结构上的自治 AI 数据库客户，您可以在租户中编写基于 ZPL 的策略，以确保来自 AVMC 的数据仅由授权用户和资源访问。

  3. 将安全属性分配给资源以启用 ZPR 策略。

    注：通过 Oracle Cloud Infrastructure 控制台、API 或 CLI 为云资源分配说明、标记、安全属性或友好名称时，请避免输入机密信息。

有关更多信息，请参见 Getting Started with Zero Trust Packet Routing 。

您可以选择以下选项将 ZPR 安全属性应用于 AVMC：

作为先决条件，必须定义以下 IAM 策略才能将 ZPR 安全属性成功添加到 AVMC：

allow group <group_name>
to { ZPR_TAG_NAMESPACE_USE, SECURITY_ATTRIBUTE_NAMESPACE_USE }
in tenancy
allow group <group_name>
to manage autonomous-database-family
in tenancy
allow group <group_name>
to read security-attribute-namespaces
in tenancy

Access Control List (访问控制列表，ACL)

为了提高安全性，您可以在 Oracle Public Cloud 和 Exadata Cloud@Customer 专用部署中启用访问控制列表 (Access Control List，ACL)。ACL 通过仅允许具有特定 IP 地址的客户机连接到数据库，为数据库提供额外的保护。可以单独或在 CIDR 块中添加 IP 地址。支持基于 IPv4 和基于 IPv6 的 IP/CIDR。这允许您通过限制自治 AI 数据库对特定应用程序或客户机的网络访问来制定细粒度的访问控制策略。

您可以选择在数据库预配期间或在之后的任何时间创建 ACL。您还可以随时编辑 ACL。启用 IP 地址列表为空的 ACL 会使数据库无法访问。有关详细信息，请参阅设置专用自治 AI 数据库的访问控制列表。

请注意以下有关将 ACL 与自治 AI 数据库结合使用的信息：

Web 应用程序防火墙 (WAF)

对于访问控制列表之外的高级网络控制，专用 Exadata 基础结构上的 Oracle Autonomous AI Database 支持使用 Web 应用防火墙 (Web Application Firewall，WAF)。WAF 可保护应用免受恶意和不需要的互联网流量的侵害。WAF 可以保护任何面向互联网的端点，并在客户应用中提供一致的规则实施。WAF 支持您创建和管理互联网威胁规则，包括跨站点脚本编写 (Cross-Site Scripting，XSS)、SQL 注入和其他 OWASP 定义的漏洞。访问规则可以根据地理位置或请求的签名进行限制。有关如何配置 WAF 的步骤，请参见 Web 应用防火墙策略入门。

客户端连接控制

Oracle Autonomous AI Database on Dedicated Exadata Infrastructure 通过基于证书的标准 TLS 1.2 和 TLS 1.3 验证实现客户端连接控制，以验证客户端连接。但是，仅 Oracle Database 23ai 或更高版本支持 TLS 1.3。

默认情况下，自治 AI 数据库使用自签名证书。但是，您可以从 Oracle Cloud Infrastructure (OCI) 控制台安装 CA 签名的服务器端证书。要自备证书，必须首先使用 Oracle Cloud Infrastructure (OCI) 证书服务创建证书，如创建证书中所示。这些证书必须已签名，并且必须采用 PEM 格式，即其文件扩展名必须为 .pem、.cer 或 .crt。有关更多详细信息，请参阅 Certificate Management in Dedicated Autonomous AI Database 。

Database User Access Control

Oracle Autonomous AI Database on Dedicated Exadata Infrastructure 可配置您创建的数据库，以使用 Oracle AI Database 的标准用户管理功能。它创建一个管理用户帐户 ADMIN，用于创建其他用户帐户并为帐户提供访问控制。

标准用户管理提供了一组强大的功能和控制，例如系统和对象权限、角色、用户配置文件和密码策略，使您能够在大多数情况下定义和实施安全的数据库用户访问策略。有关详细说明，请参阅创建和管理数据库用户。

有关标准用户管理的基本信息，请参阅 Oracle AI Database Concepts 中的 User Accounts 。有关详细信息和指导，请参阅 Oracle Database 19c Security Guide 或 Oracle Database 26ai Security Guide 中的 Managing Security for Oracle Database Users 。

如果您的数据库用户访问策略所需的控制比标准用户管理提供的控制多，您可以将自治 AI 数据库配置为使用以下任何工具来满足更严格的要求。

工具 说明
Database Vault

Oracle Database Vault 可在自治 AI 数据库中预先配置和使用。您可以使用其强大的安全控制来限制特权数据库用户对应用程序数据的访问，降低内部和外部威胁的风险，并满足常见的合规性要求。

有关详细信息，请参阅自治 AI 数据库的安全功能中的数据保护。

Oracle Cloud Infrastructure Identity and Access Management (IAM) 您可以将自治 AI 数据库配置为使用 Oracle Cloud Infrastructure Identity and Access Management (IAM) 验证和授权，以允许 IAM 用户使用 IAM 身份证明访问自治 AI 数据库。有关将此选项用于数据库的信息，请参阅将身份和访问管理 (IAM) 验证与自治 AI 数据库结合使用。
Azure OAuth2 访问令牌

在 Azure oAuth2 访问令牌的帮助下，您可以在 Microsoft Azure Active Directory (Azure AD) 服务中集中管理 Oracle Autonomous AI Database on Dedicated Exadata Infrastructure 用户。通过这种集成，Azure AD 用户可以访问专用 Exadata 基础结构上的 Oracle Autonomous AI Database。Azure AD 用户和应用程序可以使用 Azure AD 单点登录 (SSO) 凭证登录，以获得要发送到数据库的 Azure AD OAuth2 访问令牌。

有关将 Microsoft Azure Active Directory 与数据库集成的更多信息，请参见 Authenticate and Authorize Microsoft Azure Active Directory Users for Autonomous AI Database 。

Microsoft Active Directory (CMU-AD)

如果使用 Microsoft Active Directory 作为用户资料档案库，则可以将自治 AI 数据库配置为对 Microsoft Active Directory 用户进行验证和授权。无论您使用标准用户管理、Database Vault、Real Application Security 还是虚拟专用数据库，这种集成都可以帮助您整合用户存储库，同时仍然实施严格的数据库用户访问策略。

有关将 Microsoft Active Directory 与数据库集成的详细信息，请参阅 Microsoft Active Directory 与 Autonomous AI Database 。

Kerberos

Kerberos 是依赖共享密钥的可信第三方验证系统。它假定第三方是安全的，并提供单点登录功能、集中密码存储、数据库链接验证和增强的 PC 安全性。它通过 Kerberos 验证服务器执行此操作。

对 Kerberos 的自治 AI 数据库支持可为 Oracle 用户提供单点登录和集中身份验证的优势。有关更多信息，请参见 Authenticate Autonomous AI Database Users with Kerberos 。

带 CMU-AD 的 Kerberos

可以在 CMU-AD 之上配置 Kerberos 验证，以便为 Microsoft Active Directory 用户提供 CMU-AD Kerberos 验证。

要为 Microsoft Active Directory 用户提供 CMU-AD Kerberos 验证，可以在 CMU-AD 上启用 Kerberos 验证，方法是在启用外部验证时将 type 设置为 CMU，如 Enable Kerberos Authentication on Autonomous AI Database 中介绍的示例中所示。

Real Application Security 和 Virtual Private Database

Oracle Real Application Security (RAS) 提供了一个声明式模型，该模型支持安全策略，不仅包含受保护的业务对象，还包含有权对这些业务对象进行操作的主体（用户和角色）。与其前身 Oracle Virtual Private Database 相比，RAS 更安全、可扩展且经济高效。

使用 Oracle RAS，应用用户可以在应用层和数据库中进行身份验证。无论数据访问路径如何，数据安全策略都基于数据库中的最终用户本机会话在数据库内核中强制实施。分配给用户的权限控制可以对数据库对象的行和列执行的操作类型（选择、插入、更新和删除）。

有关 Oracle RAS 的更多信息，请参阅 Introducing Oracle Database Real Application Security in Oracle Database 19c Real Application Security Administrator's and Developer's Guide 或 Oracle Database 26ai Real Application Security Administrator's and Developer's Guide 。

Oracle Autonomous AI Database on Dedicated Exadata Infrastructure 还支持 Oracle RAS 的前身 Oracle Virtual Private Database (VPD)。如果您已经熟悉并使用 Oracle VPD，则可以配置它并将其与自治 AI 数据库一起使用。

有关虚拟专用数据库的更多信息，请参阅 Oracle Database 19c Security Guide 或 Oracle Database 26ai Security Guide 中的 Using Oracle Virtual Private Database to Control Data Access 。

特许访问管理 (PAM)

Oracle Access Control 中记录了 Oracle 在产品和服务的用户访问和权限管理方面的安全态势。

专用 Exadata 基础结构上的自治 AI 数据库旨在隔离和保护客户服务和数据库数据，使其免受未经授权的访问。自治 AI 数据库将客户与 Oracle 职责分离。客户控制对数据库方案的访问。Oracle 控制对 Oracle 管理的基础设施和软件组件的访问。

Autonomous AI Database on Dedicated Exadata Infrastructure 旨在帮助保护数据以供客户授权使用，并帮助保护数据免受未经授权的访问，包括防止 Oracle Cloud Ops 员工访问客户数据。旨在防止未经授权访问 Exadata 基础结构、自治 VM 和 Oracle 数据库数据的安全措施包括：

PAM 还通过 Database Vault 实施，以实现数据保护，如自治 AI 数据库的安全特性中所述。

相关内容

主要安全功能