Рекомендации по безопасности для Oracle Database@Azure
Эта статья основана на нескольких рекомендациях и рекомендациях, определенных в области проектирования безопасности Azure. Он предоставляет основные рекомендации по проектированию и рекомендациям по мерам безопасности Oracle Database@Azure.
Обзор
Большинство баз данных содержат конфиденциальные данные, требующие безопасной архитектуры за пределами защиты уровня базы данных. Стратегия глубокой защиты обеспечивает комплексную безопасность путем наслоения нескольких механизмов защиты. Этот подход объединяет различные меры, чтобы избежать использования исключительно одного типа безопасности, например защиты сети. К этим мерам относятся надежные платформы проверки подлинности и авторизации, сетевая безопасность, шифрование неактивных данных и шифрование передаваемых данных. Эта многоуровневая стратегия необходима для эффективной защиты рабочих нагрузок Oracle.
Дополнительные сведения см. в руководстве по безопасности службы базы данных Oracle Exadata для выделенной инфраструктуры и элементов управления безопасностью Exadata.
Рекомендации по проектированию
При разработке рекомендаций по безопасности для Oracle Database@Azure следует учитывать следующие рекомендации.
Рабочие нагрузки Oracle Database@Azure содержат ресурсы, развернутые в виртуальных сетях и центрах обработки данных Azure. Плоскость управления Azure и плоскость управления Oracle Cloud Infrastructure (OCI) управляют этими ресурсами. Плоскость управления Azure управляет запуском инфраструктуры и сетевого подключения. Плоскость управления Oracle обрабатывает управление базами данных и управление отдельными узлами. Дополнительные сведения см. в разделе "Группы и роли" для Oracle Database@Azure.
Служба Oracle Database@Azure развертывается только в частных подсетях в Azure. Служба не сразу доступна из Интернета.
Oracle Database@Azure делегированные подсети не поддерживают группы безопасности сети (NSG).
Решение Oracle Database@Azure использует множество портов протокола TCP по умолчанию для различных операций. Полный список портов см. в разделе "Назначения портов по умолчанию".
Для хранения ключей и управления ими с помощью прозрачное шифрование данных (TDE), которая включена по умолчанию, решение Oracle Database@Azure может использовать хранилища OCI или Oracle Key Vault. Решение Oracle Database@Azure не поддерживает Azure Key Vault.
По умолчанию база данных настраивается с помощью ключей шифрования, управляемых Oracle. База данных также поддерживает ключи, управляемые клиентом.
Чтобы повысить защиту данных, используйте Oracle Data Safe с oracle Database@Azure.
Агенты, отличные от Майкрософт и Oracle, могут получить доступ к ос Oracle Database@Azure, если они не изменяют или не компрометируют ядро ОС.
Рекомендации по проектированию
При разработке безопасности для Oracle Database@Azure рассмотрите следующие рекомендации.
Сегментирование доступа к инфраструктуре из доступа к службам данных, особенно если разные команды обращаются к нескольким базам данных в одной инфраструктуре по разным причинам.
Используйте правила NSG, чтобы ограничить диапазон ip-адресов источника, который защищает плоскость данных и доступ к виртуальной сети. Чтобы запретить несанкционированный доступ к Интернету, откройте только необходимые порты, необходимые для безопасного взаимодействия. Правила NSG можно настроить в OCI.
Настройте преобразование сетевых адресов (NAT), если требуется доступ к Интернету. Всегда требуется шифрование для передаваемых данных.
Если вы используете собственные ключи шифрования, установите строгий процесс смены ключей для обеспечения безопасности и соответствия стандартам.
Если вы используете агенты, отличные от Майкрософт или Oracle, на Database@Azure Oracle установите эти агенты в расположениях, на которые не влияют исправления инфраструктуры баз данных или сетки.