你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
Oracle Database@Azure 的安全准则
本文基于 Azure 安全设计区域中定义的几个注意事项和建议。 其中提供了 Oracle Database@Azure 安全措施的关键设计注意事项和建议。
概述
大多数数据库都包含敏感数据，这些数据需要数据库级保护之外的安全体系结构。 深层防御策略通过分层多种防御机制提供全面的安全保障。 这种方法结合了各种措施，以避免仅依赖于一种安全类型，如网络防御。 这些措施包括强大的身份验证和授权框架、网络安全、静态数据加密和传输中的数据加密。 这种多层策略对于有效保护 Oracle 工作负载至关重要。
有关详细信息，请参阅专用基础结构上 Oracle Exadata 数据库服务的安全指南和 Exadata 安全控制措施。
设计注意事项
在为 Oracle Database@Azure 设计安全准则时，请考虑以下指导：
Oracle Database@Azure 工作负载包含部署在 Azure 虚拟网络和数据中心的资源。 Azure 控制平面和 Oracle 云基础结构 (OCI) 控制平面都管理这些资源。 Azure 控制平面管理基础结构和网络连接的启动。 Oracle 控制平面处理数据库管理和单个节点管理。 有关详细信息，请参阅 Oracle Database@Azure 的组和角色。
Oracle Database@Azure 服务仅部署在 Azure 中的专用子网上。 该服务不能立即从 Internet 上访问。
Oracle Database@Azure 委托子网不支持网络安全组 (NSG)。
Oracle Database@Azure 解决方案使用许多默认的传输控制协议 (TCP) 端口进行各种操作。 有关端口的完整列表，请参阅默认端口分配。
若要使用默认启用的透明数据加密 (TDE) 存储和管理密钥，Oracle Database@Azure 解决方案可以使用 OCI 保管库或 Oracle 密钥保管库。 Oracle Database@Azure 解决方案不支持 Azure 密钥保管库。
默认情况下，数据库是使用 Oracle 管理的加密密钥配置的。 数据库还支持客户管理的密钥。
若要增强数据保护，请将 Oracle 数据安全与 Oracle Database@Azure 配合使用。
非 Microsoft 和 Oracle 代理在不修改或危及 OS 内核的情况下，可以访问 Oracle Database@Azure OS。
设计建议
在为 Oracle Database@Azure 设计安全性时，请考虑以下建议：
将基础结构访问与数据服务访问分开，特别是当不同团队出于各种原因访问同一基础结构上的多个数据库时。
使用 NSG 规则限制源 IP 地址范围，从而保护数据平面和虚拟网络访问。 若要防止对 Internet 进行未经授权的访问和传出，请仅打开安全通信所需的必要端口。 可以在 OCI 上配置 NSG 规则。
如果需要 Internet 访问，请配置网络地址转换 (NAT)。 始终要求对传输中的数据进行加密。
如果使用自己的加密密钥，请建立严格的密钥轮换流程，以维护安全性和合规性标准。
如果在 Oracle Database@Azure 上使用非 Microsoft 或 Oracle 代理，请在数据库或网格基础结构修补程序不会影响的位置安装这些代理。