管理識別和授權原則

Oracle Cloud Infrastructure Identity and Access Management 可讓您控制能夠存取您雲端資源的人員。存取與授權的證明資料包括 API 金鑰、登入密碼、聯合登入以及認證記號。使用適當的證明資料保護您的雲端帳戶和資源。Oracle 建議您在雲端實行識別管理時採取下列建議。

強制使用多重因素認證 (MFA)

企業規劃總監、安全規劃總監、應用程式規劃總監

將資源的存取權限僅限於透過時間限制的一次性密碼認證的使用者。

您必須在使用者層次執行此動作，並透過 IAM 在資源層次強制實行此動作。您可以針對存取原則中允許存取資源的資源強制實行 MFA。例如，當 GroupA 中的使用者管理任何區間中屬於執行處理系列的資源時，下列原則會強制實行 MFA。

allow group GroupA to manage instance-family in tenancy where request.user.mfaTotpVerified='true'

請勿使用租用戶管理員帳戶進行日常作業

企業規劃總監、安全規劃總監、應用程式規劃總監

必須建立租用戶中的服務層次管理員，才能進一步限制管理存取權。服務層次管理員應該只管理特定服務或網域的資源。

例如，下列原則可讓 VolumeAdmins 群組中的使用者只管理區塊磁碟區系列中的資源。

Allow group VolumeAdmins to manage volume-family in tenancy

建立防止管理員帳戶鎖定的安全原則

企業規劃總監、安全規劃總監

這會在租用戶管理員離開您的組織時發生。

限制租用戶管理員群組的管理員功能

企業規劃總監、安全規劃總監

管理員權限應遵循最低權限規則，因此「管理」群組的成員身分或「管理」原則的附件應視情況限制。

下列原則允許 UserAdmins 群組中的使用者只檢查租用戶中的群組。

Allow group UserAdmins to inspect groups in tenancy

防止意外或惡意刪除 (以及變更) 存取原則

企業規劃總監、安全規劃總監、應用程式規劃總監

例如，下列原則只允許 PolicyAdmins 群組中的使用者建立原則，不允許編輯或刪除原則。

Allow group PolicyAdmins to manage policies in tenancy where
      request.permission='POLICY_CREATE'

聯合 Oracle Cloud Infrastructure Identity and Access Management

企業規劃總監、安全規劃總監、應用程式規劃總監

如果可能且相關，請將 Oracle Cloud Infrastructure Identity and Access Management 與您組織的集中身分識別提供者 (IdP) 聯合在一起。

• 建立對應至同盟 IdP 之管理員群組的同盟管理員群組，並由與同盟 IdP 之管理員群組相同的安全原則所控制。
• 建立本機使用者，並將該使用者指派給預設的 Administrators IAM 群組。將此使用者用於緊急類別案例 (例如，無法透過聯合項目存取資源)。
• 定義防止同盟管理員 IAM 群組修改預設租用戶 Administrators 群組之成員身分的原則。
• 監督租用戶管理員和 Administrators 群組變更之作業的稽核日誌，以偵測未授權的存取和作業。

監視與管理所有使用者的活動與狀態

企業規劃總監、安全規劃總監、應用程式規劃總監

監視與管理所有使用者的活動與狀態。

• 當員工離開組織時，請立即刪除使用者以停用租用戶的存取權。
• 每 90 天以內，強制輪換使用者密碼和 API 金鑰。
• 確定您的軟體或作業文件中沒有硬式編碼的 Identity and Access Management (IAM) 證明資料。
• 為組織中需要存取租用戶資源的每個人建立 IAM 使用者。不要在多個人工使用者之間共用 IAM 使用者。
• 定期複查 IAM 群組中的使用者，並移除不再需要存取的使用者。
• 請至少每 90 天變更 IAM API 金鑰，以減少受到危害的風險。

瞭解其他資訊

• 管理多重因素認證
• 保護 IAM
• IAM Federation