Download - オラクルのインフラおよびプラットフォーム・クラ 2 | ORACLE CLOUD SERVICES SECURITY WHITE PAPER » 制御: どのユーザーが、どのような条件の下にデータにアクセスできるかを制御するセキュリ

オラクルのインフラおよびプラットフォーム・クラウド・サービスのセキュリティ

ORACLE ホワイトペーパー | 2016 年 3月

ORACLE CLOUD SERVICES SECURITY WHITE PAPER

免責事項

以下の事項は、弊社の一般的な製品の方向性に関する概要を説明するものです。また、情報提供を唯

一の目的とするものであり、いかなる契約にも組み込むことはできません。以下の事項は、マテリア

ルやコード、機能を提供することをコミットメント（確約）するものではないため、購買決定を行う

際の判断材料になさらないで下さい。オラクルの製品に関して記載されている機能の開発、リリース、

および時期については、弊社の裁量により決定されます。

ORACLE CLOUD SERVICES SECURITY WHITE PAPER

目次

免責事項 1

目次 0

1. はじめに 1

2. Oracle Cloud Services: 信頼性を追及した設計 4

3. お客様とオラクルのセキュリティ責任 6

4. Oracle Cloud インフラのセキュリティ 8

5. 共有アイデンティティおよびアクセス管理 14

6. サービス固有のセキュリティ 18

7. セキュアなクラウド・サービス設計のためのオラクルのアプローチ 36

8. 結論 37

1 | ORACLE CLOUD SERVICES SECURITY WHITE PAPER

IaaSに関するグローバルな支出は、2015年には約165億USドルに達し、2014年から32.8パーセント上昇していま

す。また、Gartnerの最新の予測では、2014年から2019年への複合年間成長率(CAGR)は、29.1パーセントと予測

されています。[http://www.gartner.com/newsroom/id/3055225]

SUSAN MOORE氏

GARTNER

1. はじめに

Infrastructure as a Service (IaaS)へのグローバルな支出は急速に増加しています。しかし、多くの最

高情報責任者(CIO)は、クラウドのインフラおよびプラットフォーム・サービスを完全に活用すること

に抵抗を感じています。その疑念は、主にシステムやデータのセキュリティに関する懸念から生じて

います。CIO は、企業全体でデータを保護するための必要な措置を取る一方、スケーラブルでハイブ

リッドなソリューションの構築を求めています。適切なセキュリティ・ソリューションとプロセスを

用いれば、最も要求水準の高い企業でさえも、安心してクラウドに移行できます。

Oracle Cloud は、お客様がミッションクリティカルなエンタープライズ・ワークロードを実行しデー

タを格納するために使用される安全なインフラおよびプラットフォーム・サービスを提供するために

開発されました。オラクルのお客様が Oracle Cloudソリューションを選択する理由は何でしょうか。

答えは簡単です。オラクルのお客様は、次に示すような他のベンダーでは提供されていない独自の価

値をオラクルから手に入れています。

» オラクルは、深く幅広い機能を備えた、統合インフラおよびプラットフォーム・サービスの最も完

全なポートフォリオを提供しています。

» Oracle Cloud が提供するハイブリッド・クラウドにより、オンプレミスからのサービスの簡単な管

理と監視、およびワークロードの簡単な移行が可能です。

» Oracle Cloud ソリューションは、お客様が使い慣れた標準ベースのテクノロジを使用して構築され

ています。

このホワイペーパーでは、 Oracle Compute Cloud Service、Oracle Storage Cloud Service、Oracle

Network Cloud Service、Oracle Java Cloud Serviceおよび Oracle Database Cloud Service の各サー

ビスに共通するセキュリティ機能および各サービス固有のセキュリティ機能について説明します。

提供されている Oracle Cloud サービスの完全なリストについては、https://www.oracle.com/cloud に

アクセスしてください。

Oracle Cloudのお客様は、主として次のセキュリティ機能をオラクルに求めています。


» 制御: どのユーザーが、どのような条件の下にデータにアクセスできるかを制御するセキュリ

ティ・メカニズム

» 監査: セキュリティ構成を管理するためのリソース監査機能

» 可視性: アカウントおよびリソースへの可視性を提供するログ

» 保証: データがどのように格納されているか、どのようにアクセスされているか、また不正な

アクセスや変更に対してどのように保護されているかを独立して検証する機能

» セキュリティ: 安全に設計、コーディング、テスト、デプロイおよび管理されているサービス

» 標準で提供される、既存の Oracle テクノロジとの統合: アイデンティティおよびアクセス管

理など、既存の Oracleソリューションとのシームレスな統合

セキュリティは、Oracle Cloud ソリューションの最優先事項です。オラクルのビジョンは、企業や政

府組織のための最も安全で信頼できるパブリック・クラウド・インフラおよびプラットフォーム・

サービスを構築することです。オラクルの使命は、お客様がワークロードをより確実に実行するため

の効果的で管理しやすいセキュリティを備えた、より信頼性の高い、安全なパブリック・クラウド・

インフラおよびプラットフォームを構築することであり、スケーラブルで信頼できる安全なクラウ

ド・ソリューションを構築することです。

オラクルには、強力なセキュリティ文化および正式なセキュリティ・ポリシーがあり、オラクル製品

は、過去 30 年にわたり企業や政府組織のミッションクリティカルなアプリケーションに世界中で使

用されてきました。

オラクルのセキュリティ哲学は、次のアプローチを核として構築されています。

» オラクルの予防的戦略は、多層防御に基づいています。オラクルは、ペリメータを引き下げ、

データにより近いセキュリティ制御を追加する必要性を確信しています。

» オラクルは、多層防御の予防的戦略に加えて、違反検出、インシデント対応、効果的な改善

のための強力で有効なプロセスの開発を続けています。

» オラクルは、クラウド・コンピューティングで効果的に機能するセキュリティおよび信頼モ

デルの定義に取り組んでいます。たとえば、オラクルは、全権限を持つ強力な管理者コンセ

プトに基づく従来の管理者モデルは、お客様により強い権限を付与するモデルに置き換わる

べきと考えています。オラクルは、インフラ・オブジェクトのみを管理し、お客様のデータ

にアクセスするためのチャネルを持ちません。

オラクルには、情報、データベース、アプリケーション、インフラおよびネットワーク・セキュリ

ティにおける一流のセキュリティ・エキスパートがいます。オラクルは創業以来、セキュア・アプリ

ケーションおよびシステムの開発におけるけん引役であり続けています。オラクルでは、この経験を

包括的なクラウド製品の開発に活かしています。


大企業や最も要求水準の高い政府から小規模の企業まで、世界中の組織で使用される Oracle Cloud は、

包括的な IaaSおよび Platform as a Service (PaaS)ポートフォリオを提供し、これらには、Compute、

Storage、Networking、Database、Java、Process、Mobile、Data Management および Business

Analytics が含まれます。オラクルの IaaS および PaaS サービスはすべて、アイデンティティおよび

アクセス管理など、共通のセキュリティ機能セットを共有しています。


2. Oracle Cloud Services: 信頼性を追及した設計

オラクルの使命は、世界中のあらゆる場所でインターネットを介し、業界をリードするテクノロジと

ビジネス・アプリケーション・ソフトウェアをお客様に提供することです。Oracle Cloud は、業界標

準ベースの統合された広範なサービス・セットであり、お客様にサブスクリプションベースでの

Oracle プラットフォーム・サービス、アプリケーション・サービスおよびソーシャル・サービスへの

アクセスを提供します。これらのサービスはすべて、オラクルによって完全に管理、ホストおよびサ

ポートされます。

Oracle Cloud Infrastructure as a Service (IaaS)は、柔軟なコンピュートやストレージなどのコア・イ

ンフラ機能セットを備えており、クラウド内のワークロードの実行機能を提供します。Oracle Cloud

IaaS はコア機能として、お客様が仮想環境、アプリケーションおよび関連する構成を構築し管理する

ために使用する主に 3つの機能を提供します。

» Oracle Compute Cloud Service は、柔軟でスケーラブルなコンピューティング、ブロック・スト

レージおよびネットワーク・サービスを Oracle Cloudで提供します。お客様は、マルチテナントの

Elastic Compute サービスまたは Dedicated Compute サービスのいずれかを選択できます。後者は、

分離されたコンピューティング・リソースでプロビジョニングされたコンピュート環境を提供しま

す。コンピュート・ゾーンは、完全なネットワーク分離により、完全にお客様専用です。Oracle

Compute Cloud Serviceへは、Representational State Transfer (REST) API、コマンドライン・イン

タフェース(CLI)および Webベースの UIを通じてアクセスできます。

» Oracle Storage Cloud Service は、エンタープライズ・データおよびアプリケーション用のコスト効

率の高いリモート・バックアップおよびアーカイブ・ソリューションです。Oracle Storage Cloud

Service へは、業界標準の OpenStack Swift 互換の REST API、Oracle Storage Cloud Software

Appliance を介した NFSv4、Java API によるプログラム、またはその他の認証されたサードパー

ティ・アプリケーションを使用してアクセスできます。また、お客様は、Web ベースのグラフィカ

ル・コンソールを使用して、主要なストレージ・メトリックを監視し、ユーザーやロールを管理で

きます。セキュリティを強化するために、クラウド・サービスでオブジェクトをアップロードおよ

び格納する前に、クライアント側のソフトウェア暗号化機能および Java ライブラリを使用して、

独自の対称鍵によりすべてのオブジェクトを暗号化できます。

» Oracle Network Cloud Service は、2 つの VPN ソリューションを提供しています。Dedicated

Compute 用の Site-to-Site VPN では、IPSec トンネルでお客様のデータ・センターを Oracle Cloud

に接続できます。2 つ目の VPN ソリューションは、ネットワーク・エッジに配置されている分散仮

想アプライアンスを使用する、Corente Cloud Services Exchange を介して提供されます。オラク

ルのお客様は、VPN ソリューションに加えて、お客様のデータ・センターと Oracle Cloud 間のプ

ライベートな高帯域接続を可能にし、より予測可能なネットワーク・パフォーマンスを提供するオ

ラクルの FastConnect ソリューションを使用できます。また、FastConnect は、インターネットと

異なり、あらかじめ定められたパスをデータ転送に提供するため、データは信頼できる境界を超え

ることはなく、より優れたセキュリティを実現しています。


Oracle Cloud Platform as a Service (PaaS)では、エンタープライズ ITおよび独立系ソフトウェア・ベ

ンダー(ISV)の開発者が、業界 No.1 のデータベースおよびアプリケーション・サーバーに基づくエン

タープライズ・グレードのクラウド・プラットフォームを使用して、機能豊富なアプリケーションを

迅速に構築、デプロイでき、また Oracle Cloud Software as a Service (SaaS)アプリケーションを拡

張できます。Oracle Cloud PaaS には、Oracle Database および Oracle Exadata Database Machine

に基づくデータベース機能を提供する、複数のデータベース・エンタープライズ・クラウド・サービ

スが含まれます。Oracle WebLogic Serverによって強化されている Oracle Java Cloud Service は、新

規または既存の Java EE アプリケーションを開発しデプロイするための、オラクルのエンタープライ

ズ・グレード・クラウド・インフラで稼働するプラットフォームを提供します。提供されている

Oracle Cloud サービスの完全なリストについては、https://www.oracle.com/cloud にアクセスしてくだ

さい。

https://www.oracle.com/cloud


3. お客様とオラクルのセキュリティ責任

セキュリティ責任の一環としてお客様が実行する必要がある構成作業は、お客様が使用するサービス

によって決まります。Oracle Cloud インフラおよびプラットフォーム・サービスは、共有責任モデル

に従って動作し、オラクルは基礎となるクラウド・インフラの責任を負い、お客様は自身のワーク

ロード、および Oracle Databaseや Oracle WebLogic Serverなどのプラットフォーム・サービスの保

護の責任を負います。次の図は、共有セキュリティ責任を示しています。

オラクルのお客様の

責任

- 仮想マシンで実行中の

オペレーティング・

システムとアプリケー

ションの保護、および

オラクルが提供する

ツールを使用した

セキュリティ構成の管理

オラクルの

責任

- クラウド・インフラ

およびサービスの

セキュリティ

仮想マシン・セキュリティ

アプリケーションおよびオペレーティング・

システムを保護するためのゲスト内サードパーティ・

ソリューション

アイデンティティおよびアクセス管理

ユーザー、ロール、SSO

ネットワークおよび動的なファイアウォール構成

インスタンスへの SSHベースのアクセス、

ネットワーク・セキュリティ・ルール

データ・セキュリティ

保存データの暗号化、ネットワーク・

トラフィック保護

その他のサービス

Oracle Cloud インフラ


すべての Oracle Cloud サービスと同様、お客様が Oracle Cloud Services アクセス資格証明を保護し、

個人のユーザー・アカウントを設定する必要があります。お客様が、自身の従業員のアカウントのア

クセスの管理と確認、およびそのアカウントで発生したすべてのアクティビティの責任を負います。

Oracle Compute Cloud Service や Oracle Storage Cloud Service などの IaaS カテゴリに分類される

Oracle Cloud Services は、完全にお客様の管理下にあり、お客様がすべてのセキュリティ構成および

管理タスクを実行する必要があります。たとえば、Oracle Compute Cloud Service の場合、アプリ

ケーションを含むクラウド・サービスのオペレーティング・システムおよびその他の関連ソフトウェ

アの構成、運用、管理および保護の全責任をお客様が負います。お客様が、コンテンツの適切なセ

キュリティ、保護、アーカイブおよびバックアップの管理の全責任を負います。これには、不正アク

セスからコンテンツを保護するためのアプリケーションまたはゲスト内暗号化テクノロジの使用が含

まれる場合があります。いつパッチを適用するかについては、お客様が完全に管理できます。Oracle

Storage Cloud Serviceの場合、クライアント側にあるデータを Oracle Storage Cloud Service に格納

する前のデータの暗号化の責任はお客様にあります。

Oracle Database Cloud Service や Oracle Java Cloud Service などの PaaS カテゴリに分類される

Oracle Cloud Services は、完全にお客様の管理下にあり、お客様がすべてのセキュリティ構成および

管理タスクを実行する必要があります。たとえば、Oracle Database Cloud Service の場合、オラクル

が提供するクラウド・ツールを使用したバックアップ、リカバリ、パッチ適用および拡張については、

お客様が責任を負います。また、仮想マシン・インスタンスおよび仮想マシンで稼働するデータベー

ス・インスタンスへの完全なアクセス権限をお客様は持っているため、仮想マシン・レベルでのネッ

トワーク・セキュリティ・ポリシーおよびデータベース・アクセス制御ポリシーを定義する責任もお

客様が負います。お客様のデータは、表領域においてデフォルトで暗号化されます。

Oracle Java Cloud Service の場合、オラクルが提供するクラウド・ツールを使用したバックアップ、

リカバリ、パッチ適用および拡張については、お客様が責任を負います。Oracle Java Cloud Service

の Virtual Image以外のバージョンの場合、オラクルが自動バックアップを提供します。

Oracle Cloud 内で提供されるすべてのサービスを実行するグローバル・インフラの保護は、オラクル

が責任を負います。このインフラは、Oracle Cloud サービスを実行するハードウェア、ソフトウェア、

ネットワークおよび施設で構成されます。以降の項では、オラクルのインフラおよびサービス固有の

セキュリティ機能について詳しく説明します。


4. Oracle Cloudインフラのセキュリティ

Oracle Cloud インフラは、SaaS、PaaS および IaaS など多岐にわたるサービスのプロビジョニング

に使用されます。Oracle Cloud インフラには、これらのサービスのプロビジョニングをサポートする

施設、ネットワーク、ハードウェアおよび運用ソフトウェアが含まれます。クラウド・インフラは、

お客様がミッションクリティカルなエンタープライズ・ワークロードを実行しデータを格納するため

に使用される安全なインフラおよびプラットフォーム・サービスを提供するために開発されました。

お客様は、世界で最も安全なクラウド・インフラの 1 つで稼働するオラクルのコンピュート、スト

レージ、ネットワークおよびプラットフォーム・サービスを使用して、スケーラブルなエンタープラ

イズ・クラウド・ソリューションを構築していることを確信できるでしょう。

4.1 物理的なセキュリティ保護

オラクルは、オフィスとクラウド・インフラの稼働場所の両方に対して、セキュリティ保護されたコ

ンピューティング施設を提供しています。オラクルのデータ・センターは、革新的な工学的手法を使

用した最先端のものです。各データ・センターの周辺には、コンクリートの車両用防護柵、有線テレ

ビによる監視、警報装置および常駐の守衛所を配しており、これらすべてにより入口以外の攻撃箇所

に対して防御できます。権限のあるスタッフがデータ・センターにアクセスするには、2 要素認証に

合格しなければなりません。オラクルは、データ・センターへのアクセス権および情報を、これらの

権限に対して正当な業務上の必要性がある従業員と請負業者にのみ提供しています。オラクルの従業

員によるデータ・センターへの物理的なアクセスはすべて記録され、定期的に監査されます。入口に

は、警備員が 24時間 365日常駐し、視覚 ID認識および訪問者の付添い管理を行っています。

4.2 オラクルの従業員による Oracle Cloud Services へのアクセス

クラウド・システムへのアクセスは、権限を持つ個人にアクセスを制限することで制御されています。

オラクルでは、多要素認証を使用する保護された VPNトンネルを従業員のアクセスに使用し、Oracle

Cloud 環境の運用に使用されるインフラ・コンポーネントおよびクラウド管理システムに対してアク

セス・ポリシーを実施しています。システムのアクセス制御には、従業員およびその他のオラクルが

定義したユーザーに対するシステム認証、認可、アクセス承認、プロビジョニング、および取消しが

含まれます。キー・ストロークを含むすべてのオペレータ操作は、オラクルが監査およびフォレン

ジックを実行できる方法で記録されます。

オラクル従業員のネットワークおよびオペレーティング・システム・アカウントは、適切な従業員ア

クセス・レベルを保証するためにレビューされます。従業員の雇用終了時には、ネットワーク、電話

および物理的なアクセスを終了する措置がただちに取られます。


4.3 身元調査

オラクルは、法律で許可されている範囲で、米国内の新規従業員の雇用前審査の一環として犯罪歴の

チェックを実施しています。米国外での身元調査の実施については、現地の規定および現地のオラク

ル・ポリシーに従います。

4.4 従業員のリスクを最小化する手段

ヒューマン・エラー、窃盗、詐欺および施設の悪用に関するリスクを最小化する手段には、個人の審

査、秘密保持契約、および懲戒処分の執行を伴うセキュリティ認識に関する教育や研修などがありま

す。オラクルの従業員は、お客様データの守秘義務を守ることが義務付けられています。オラクルの

従業員は、最初の雇用条件として、秘密保持契約に署名し、機密情報の保護に関する企業方針(企業倫

理/行動規範、会社リソースのオラクル利用規定、情報保護方針)に従うことが義務付けられています。

オラクルは、下請業者によってサービスが提供される前に、各下請業者から書面による秘密保持契約

を入手しています。

4.5 オラクルの企業ネットワークの分離

Oracle Cloud の本番ネットワークは、オラクルの企業ネットワークとは分離されており、論理アクセ

スのための個別の資格証明セットを必要とします。保守管理のために Oracle Cloudコンポーネントに

アクセスする必要がある、企業ネットワーク上の Oracle Cloudの開発者および管理者は、アクセス資

格証明を明示的にリクエストする必要があります。すべてのリクエストは、適切なサービス所有者に

よってレビューおよび承認されます。

4.6 セキュアなネットワーク・アーキテクチャ

Oracle Cloud ネットワークは、分散 DoS (DDoS)攻撃、中間者攻撃、IP スプーフィングおよびポー

ト・スキャニングなど、従来のネットワーク・セキュリティの問題に対して、意義のある防御策を提

供しています。

オラクルでは、ファイアウォールなどの防御デバイスを使用して、ネットワークの外部境界および

ネットワーク内の内部境界におけるネットワーク通信を監視し制御しています。これらのネットワー

ク境界デバイスは、トラフィックのフローを強制するトラフィック・フロー・ポリシー、つまりアク

セス制御リスト(ACL)を採用しています。ファイアウォールが階層的アプローチでデプロイされ、セ

キュリティ・ポリシーによりパケット・インスペクションを実行しています。このセキュリティ・ポ

リシーは、プロトコル、ポート、ソースおよび宛先 IP アドレスに基づいてパケットをフィルタ処理し、

認可されたソース、宛先およびトラフィック・タイプを識別するように構成されています。Oracle

Cloud サービスでは、ネットワーク脆弱性評価ツールを使用して、セキュリティの脅威および脆弱性

を識別しています。正式な手順を使用して、識別された問題を評価、検証、優先順位付けおよび修正

しています。オラクルは、脆弱性通知システムにサブスクライブしており、セキュリティ・インシデ


ント、勧告およびその他の関連情報の通知を常に受けられる状態を保っています。オラクルは、脅威

またはリスクの通知に対してアクションを取りますが、これは、根拠のあるリスクが存在すること、

推奨される変更がサービス環境に適用可能であること、およびその変更がサービスに悪影響を及ぼさ

ないことを確認した後に実行します。

DDoS 防御/軽減は、専用の DOS 防御が有効な認証済のファイアウォール・アプライアンスを通じて

主に提供されます。デバイスは、大量のトラフィックをサポートし接続を維持するように拡張されて

います。これにより、レイヤー3-7 の攻撃防止機能が提供されます。攻撃が、帯域幅消費型、1 秒当た

りの接続のオーバーロード、または正当な接続の改ざん、メモリーの過剰消費のいずれであろうと、

ロード・バランサ環境のプロキシの本質として、各接続に対して検査、対応し、必要に応じて緩和ま

たは削除します。これらのデバイスは、プロトコル検査、コンテンツ調査および Web アプリケー

ション(レイヤー7)ファイアウォールのために各セッションを積極的に終了させるように設計されてい

ます。これらのデバイスは、SYN cookie 暗号化、高容量接続表、パターン一致、フロー検証、ICMP

(Internet Control Message Protocol)フラッディング制限および厳密な TCP転送などのテクノロジも提

供します。

Oracle Cloud Services では、侵入検知システム(NIDS)を使用して、環境を保護しています。NIDS セ

ンサーは、ネットワーク上で侵入防御モード(IPS)または侵入検知モード(IDS)のいずれかでデプロイ

され、疑われるネットワーク・トラフィックを監視し、内部ネットワークに到達するのをブロックし

ます。NIDS のアラートは、セキュリティ・オペレーション・チームによって 24 時間 365 日管理され

ている一元化された監視システムにルーティングされます。

4.7 Oracle Cloud Servicesへの暗号化されたアクセス

お客様によるシステムへのアクセスは、ほとんどインターネットを介して行われます。業界標準の

Transport Layer Security (TLS)プロトコルが、Oracle Cloud Service へのアクセスに使用されています。

TLS 接続は、少なくとも 128 ビットまたはより強力な暗号化でネゴシエーションされます。暗号鍵の

生成に使用される秘密鍵は、少なくとも 2048 ビットです。TLS は、Oracle でデプロイされるすべて

の Web ベースの TLS 認証アプリケーションに対して実装されるか、構成可能です。暗号化機能がよ

り強力であり、セキュリティが改善されている、Oracle プログラムに認定済の最新ブラウザを、Web

対応プログラムの接続に使用することをお薦めします。Oracle プログラムの各バージョンの認定済ブ

ラウザのリストは、オーダーされた個々のサービス用に指定されているクラウド・カスタマ・サポー

ト・ポータル(My Oracle Supportポータルなど)で参照できます。場合によっては、オラクルの管理下

にないクラウド・サービスで使用されるサードパーティ・サイトで、暗号化されない接続が強いられ

ることがあります。あるいは、お客様がクラウド・サービスとの統合を望むサードパーティ・サイト

が、暗号化された接続を受け入れないこともあります。サードパーティ・サイトとの暗号化されない


接続がオラクルによって許可されているクラウド・サービスの場合、オラクルは必要に応じて、暗号

化される相手側に加えて、これらの接続を有効にします。また、Oracle Cloudサービスへは、SSHま

たは IPsec対応の VPNサービスを使用してアクセスすることもできます。

4.8 プラットフォームの強化と監視

オラクルは、Oracle Cloud システムを潜在的な攻撃から防御するために、Oracle Cloud 全体で標準の

システム強化プラクティスを採用しています。プラットフォームの強化プラクティスには、プロトコ

ル・アクセスの制限、不要なソフトウェアおよびサービスの削除または無効化、不要なユーザー・ア

カウントの削除、パッチ管理、ロギングおよびアラート生成などがあります。

4.9 セキュリティ・インシデントへの対応

オラクルは、お客様のデータがオラクルのハードウェア資産にあるか、またはオラクルの従業員およ

び請負業者の個人のハードウェア資産にあるかどうかにかかわらず、データへの不正なアクセスまた

は処理の疑いがあるインシデントを評価し、それに対応します。

担当のオペレータが、24 時間 365 日、セキュリティ・インシデントを検知し管理する体制をとってい

ます。通知があると、オラクルの Global Information Security (GIS)組織が、アクティビティの種別に応

じて、エスカレーション・パスおよび対応チームを明確にし、これらのインシデントに対処します。

GIS は、必要に応じて、お客様、該当するテクニカル・チームおよび法執行機関と連携し、インシデン

トに対応します。インシデント対応チームの目標は、お客様の環境の機密性、整合性および可用性を

回復させ、根本原因および復旧手順を確立することです。オペレーション担当者は、データの処理が

不正である可能性があるインシデントの識別および対応の手順を文書化しています。これには、即時

かつ妥当なレポーティング、エスカレーション手順および過程管理のプラクティスなどが含まれます。

4.10 マルウェアの阻止

効力のあるマルウェア攻撃は、アカウントのセキュリティ侵害やデータ窃盗を引き起こす可能性があ

ります。Oracle Cloud オペレーション・チームは、多様な手法を使用して、マルウェアを阻止、検知

および除去します。オラクルは、Oracle Cloud Services で使用されている関連システムにウィルス/マ

ルウェア対策ソフトウェアをデプロイしています。検出されたウィルスおよびマルウェアは自動的に

削除(または隔離)されます。ウィルスおよびマルウェア定義は頻繁に更新され、関連するクライアン

ト・システムは、定義の更新およびリアルタイム・スキャンを実行するように構成されています。オ

ラクルの Global Desktop Strategy (GDS)組織は、ウィルス/マルウェア対策製品および Windows

Server Update Service (WSUS)サーバーを、ウィルス/マルウェア定義およびセキュリティ更新により

最新の状態に保ちます。GDS は、信ぴょう性のあるウィルスまたはマルウェアの脅威、および

WSUSセキュリティ更新が提供される時期をユーザー・コミュニティに通知する場合があります。


4.11 幹部による社内の監視

オラクルの上級役員で構成される Oracle Security Oversight Committee (OSOC)は、オラクルのセ

キュリティおよびプライバシ・ポリシーおよびプログラムをレビューし承認します。Global

Information Security (GIS)は、会社レベルでのセキュリティの監視および実施の責任を負う社内組織

です。また、GIS は、情報セキュリティのポリシーと戦略、情報セキュリティ評価、および研修と意

識向上プログラムの開発および管理の責任も負っています。GIS は、セキュリティ・インシデント対

応の主たる窓口であり、インシデントの防止、識別、調査および解決の全体的な方向性を指示します。

オラクルの個人情報保護管理責任者は、プライバシに関連する規制の問題を監視し管理します。オラ

クルのビジネス監査および評価組織が、オラクルの取締役会に対して責任を負い、すべての職務のコ

ンプライアンスを監査し、監査結果を報告します。

4.12 データの消去

サービスが終了したとき、またはお客様の要望があった場合、オラクルは環境またはデータを、合理

的にアクセスしたり、読み取ったりできないようにする方法で削除します。ただし、オラクルが環境

またはデータのすべてまたは一部を削除しないようにする法的義務がオラクルに課せられた場合を除

きます。

4.13 物理メディアの輸送

指定されているオラクルの担当者が、メディアを扱い、定義済の手順に従って、必要な場合のみ輸送

の準備を行います。デジタル・メディアは記録、暗号化されて、安全に輸送され、必要な場合はバッ

クアップ用に、サード・パーティのオフサイト・ベンダーによって保管場所にアーカイブされます。

ベンダーは、オラクルが定義したメディア保護の条件に準拠することを契約で義務付けられています。

4.14 データのプライバシ

オラクルの Data Processing Agreement for Oracle Cloud Services (Data Processing Agreement)およ

び Oracle Services Privacy Policy は、ほとんどのクラウド・サービスのプロビジョニングに関連して

アクセス権がオラクルに提供されている、Oracle システム内にあるデータ(個人情報(PII)を含む)のオ

ラクルの取扱いについて説明しています。Data Processing Agreement には、クラウド・サービスの

一環としてお客様がオラクルに提供する個人データの処理および管理について、特にオラクルとお客

様それぞれの役割にについて記載されています。


これらの文書は、次の場所で入手できます。

» Data Processing Agreement for Oracle Cloud Services

http://www.oracle.com/dataprocessingagreement

» Oracle Services Privacy Policy

http://www.oracle.com/us/legal/privacy/services-privacy-policy-078833.html

4.15 サード・パーティの監査報告書

Oracle Cloud Services の監査報告書は、オラクルのサード・パーティの監査人によって定期的に公開

されていますが、報告書はすべてのサービスに対して、または常に入手可能というわけではありませ

ん。お客様は、特定の Oracle Cloudサービスに提供されている現在公開済の監査報告書のコピーを要

求できます。これらの報告書は機密事項であり、Oracle Cloud Servicesに適用される定義済のコント

ロールの設計および運用の有効性をお客様が評価するためだけに使用でき、無保証"AS-IS"で提供され

ます。

http://www.oracle.com/dataprocessingagreement

http://www.oracle.com/us/legal/privacy/services-privacy-policy-078833.html


5. 共有アイデンティティおよびアクセス管理

Oracle Cloud は、PaaS、IaaS サービスを含むすべての Oracle Cloud サービスによって使用される共

有アイデンティティおよびアクセス管理ソリューションを提供しています。アイデンティティは、オ

ラクルのお客様が信頼できる、オラクルの PaaSおよび IaaSサービスへの安全なアクセスを提供する

中心的な機能です。ユーザー、サービスおよびアプリケーションを安全な方法で結び付ける Oracle

Cloud機能が共有アイデンティティです。

5.1 アイデンティティ・ドメイン、ユーザーおよびロール

Oracle Cloud内のテナントとは、Oracle Cloudの 1つ以上のサービスにサブスクライブしているお客

様を表します。通常、Oracle Cloud のテナントとオラクルのお客様は 1 対 1 で対応しています。

Oracle Cloud 内のアイデンティティ・ドメインは、テナントに割り当てられているネームスペースを

表します。アイデンティティ・ドメインによって、テナントの資産が識別、関連付けされ、それによ

り、テナントのデータ資産およびトランザクションを他のテナントのものから分離できます。テナン

トの資産には、ユーザー、グループ、トークン、cookie およびポリシーなどのセキュリティ・アー

ティファクトを含む、サブスクライブ済のサービスおよびデータ資産が含まれます。オラクルのお客

様は、複数の Oracle Cloudアイデンティティ・ドメインに関連付けることができます。

オラクルの共有クラウド・アイデンティティ管理ソリューションは、Oracle Cloud 内のサービスにサ

インインできるユーザーの認証および認可、ならびに、そのサービスに関連してアクセス可能な機能

を制御します。Oracle Cloud サービス・アカウントは、様々なサービス・タイプの複数のクラウド・

サービスを所有できる独自のお客様アカウントです。たとえば、単一の Oracle Cloudサービス・アカ

ウントの一部として、Java、Database および Infrastructure as a Service (IaaS)などの 3 つの異なる

サービスを所有できます。すべての Oracle Cloudサービスは、アイデンティティ・ドメインに属しま

す。複数のサービスを単一のアイデンティティ・ドメインに関連付けて、ユーザー定義と認証を共有

できます。アイデンティティ・ドメイン内のユーザーには、ドメインに関連付けられている各サービ

スに対して、様々なアクセス・レベルを付与できます。お客様が Oracle Cloudサービス・アカウント

にサインアップすると、Oracle Cloud は、お客様に固有のアイデンティティ・ドメインを作成します。

お客様のユーザーがサービス・アカウントを使用して Oracle Cloudサービスにログインすると、クラ

ウド・アイデンティティ管理によって、ユーザー認証が制御され、ユーザーがアクセスできるサービ

スの機能が制御されます。

アイデンティティ・ドメイン内のアクセス管理は、ユーザーおよびそのロールによって異なります。

管理ロールを持つユーザーは、ローカルのクラウド・アイデンティティおよびその権限を管理します。


アイデンティティ・ドメイン内には、管理対象の 2つのタイプのユーザーがあります。

» 標準ユーザー: ユーザー・アカウントの追加、一連のユーザー・アカウントのインポート、

ユーザーへのロールの割当て、ユーザー・アカウントの変更、パスワードのリセットおよび

ユーザー・アカウントの削除を行います。

» SFTP ユーザー: SFTP (Secure FTP)ユーザー・アカウントのパスワードを設定します。

SFTP ユーザー・アカウントは、Oracle Cloud サービスに関連する FTP 操作を実行するため

に SFTPサーバーにサインインする際に使用されます。

アイデンティティ・ドメイン内には、管理対象の 2つのタイプのロールがあります。

» 事前定義されたロール: Oracle Cloud によって作成されたすべての事前定義済ロールのリス

トを表示し、選択したロールに割り当てられるユーザー・リストにリンクします。

» カスタム・ロール: Oracle Cloud サービスへのカスタマイズされたアクセスに作成したロー

ルを表示、追加および削除します。

サービス・アカウントがアクティブ化されると、Oracle Cloud によって、次のロールがお客様に自動

的に割り当てられます。

» アカウント管理者: アカウント管理者ロールは、サービス・インスタンス・レベルのものです。

このロールでは、1 つ以上の Oracle Cloud サービスを管理するためのいくつかの責務が付与

されます。アカウント管理者は、クラウド・ユーザー・インタフェース(UI)を通じた Oracle

Cloud アカウント管理の責任を負います。アカウント管理者は、1 つ以上のアイデンティ

ティ・ドメインにわたるサービス・インスタンスのビジネスの監視の責任を負います。アカ

ウント管理者は、アカウント管理者が購入するサービスのサービス管理者およびアイデン

ティティ・ドメイン管理者を指名できます。アカウント管理者は、個別のサービス・インス

タンスのメトリックを表示できます。

» アイデンティティ・ドメイン管理者: アイデンティティ・ドメイン管理者は、ユーザーおよび

そのロールを管理します。アイデンティティ・ドメイン管理者のビューは、管理対象として

割り当てられたアイデンティティ・ドメイン内のユーザーおよびロールに限られます。アイ

デンティティ・ドメイン管理者は、ドメインおよびサービス・レベルのすべてのロールを表

示できます。アイデンティティ・ドメイン管理者は、アイデンティティ・ドメインおよびド

メイン内のすべてのサービスの"スーパー管理者"です。アイデンティティ・ドメイン管理者

は、他のアイデンティティ・ドメイン管理者に権限を委任したり、サービス管理者に割り当

てられているロールを管理したりできます。アイデンティティ・ドメイン管理者は、アイデ

ンティティ・ドメイン全体の管理責務を実行できます。

» サービス管理者: サービス管理者は、特定のサービス・インスタンスの"スーパー管理者"です。

サービス管理者は、追加のサービス管理者をロールに割り当てたり、サービスに関連付けら

れているその他のロールを管理したりできます。ただし、サービス管理者は、ユーザーおよ

びロールを作成することはできません。


5.2 パスワード

ユーザー・アカウントにアクセスするには、必ずパスワードが必要です。アカウントを作成する際に

パスワードを指定し、その後クラウド UI からいつでも変更できます。Oracle Cloud では、アイデン

ティティ・ドメイン内でパスワード・ポリシーを管理できます。パスワード・ポリシーは、強力なパ

スワードを採用し、適切に使用するようユーザーに促すことで、コンピュータ・セキュリティを強化

するように設計された一連のルールです。パスワード・ポリシーは、多くの場合、企業の規定の一部

です。たとえば、自分のパスワードを変更する場合、パスワード・ポリシーを調べて、選択したパス

ワードがポリシーのガイドラインを満たしているかどうかを確認できます。

5.3 SAML 2.0 を使用したシングル・サインオン

会社の ID と自分のアイデンティティ・ドメインをフェデレートすることで、オンプレミスと Oracle

Cloud 間のシングル・サインオン(SSO)を実現できます。SSO サービスにより、ユーザーは 1 つのド

メインにログインしたら、再度ログインすることなく他のドメインにアクセスできます。Oracle

Cloudでは、オープン・スタンダードの Security Assertion Markup Language (SAML) 2.0 を使用して、

ブラウザベースのアクセスに対するシングル・サインオンを実装できます。SSO サービスにより、あ

るドメインへのアクセスを、異なるドメインまたはオンプレミスのアイデンティティ・ストアに対し

て認証済のユーザーに提供できます。たとえば、Active Directory や Oracle Unified Directory などの

ローカル・ディレクトリを使用して、ユーザーをクラウドにログインさせる場合などがあります。

SSO サービスは、アイデンティティ・インフラのフェデレーション機能に基づいて構築されています。

SSO サービスでは、業界標準の SAML 2.0 を使用して、アイデンティティ・プロバイダとサービス・

プロバイダ間で情報をやりとりします。

Oracle Cloud アイデンティティ・インフラは、LDAP スキーマを使用してアイデンティティを格納し

ます。ほとんどのアイデンティティ管理システムと同様に、Oracle Cloud には、アイデンティティ・

ストアが含まれます。ユーザー、グループおよびロールの形式およびルールは、個別の LDAP ディレ

クトリ・スキーマによって決定されます。

5.4 ログイン管理

アイデンティティ・ドメインでは、ユーザー・グループが分けられる場合があり、その場合のユー

ザーのアイデンティティは次のようになります。

» 非フェデレーテッド: 1つのローカル・アイデンティティ管理システムに格納されます。この

ユーザー・アイデンティティは、Oracle Cloudとのみ関連付けられます。結果として、

Oracle Cloudにのみ認識されます。

» フェデレーテッド: 複数の異なるアイデンティティ管理システムにわたり格納され、様々なド

メインからのものです。フェデレーテッド・ユーザーは、管理者からアイデンティティを受


け取ります。これらのアイデンティティは、共有アイデンティティ管理(SIM)への LDAPエク

スポートを通じて Oracle Cloudに認識されます。ただし、このユーザーは、Oracle Cloudに

直接ログインできません。かわりに、ログインするためのフェデレーテッド・サイトにリダ

イレクトされます。その際、Oracle Cloud Single Sign-Onサービスが、アイデンティティ・

プロバイダから SAMLアサーションを取得します。SAMLアサーションには、アイデンティ

ティ・プロバイダからのユーザー情報が含まれます。Oracle Cloud Single Sign-Onサービス

は、SAMLアサーションを解析し、アイデンティティをアイデンティティ・ドメインにア

サートします。

5.5 管理者のオンボーディング

Oracle Cloud では、管理者のオンボーディングを簡単に行えます。Oracle Cloud アカウントにサイン

アップすると、電子メールが送信されます。電子メールを受信したら、アカウントをアクティブ化し、

関連付けられているクラウド・サービスに移動します。Oracle Cloud Webサイトからトライアル・サ

ブスクリプションのリクエストを開始します。トライアル・サブスクリプションをリクエストすると、

次のロールが自動的に割り当てられます。

» Oracle Cloudサービスのアカウント管理者

» アイデンティティ・ドメインのアイデンティティ・ドメイン管理者

» サービスのサービス管理者

Oracle Cloudアイデンティティの概念の詳細な説明は、

http://www.oracle.com/webfolder/technetwork/tutorials/obe/cloud/sharedidm/doc/Identity_Concepts.pdf

を参照してください。


6. サービス固有のセキュリティ

以降の項では、Oracle Compute Cloud Service、Oracle Storage Cloud Service、Oracle Network

Cloud Service、Oracle Database Cloud Service および Oracle Java Cloud Service で提供されている

セキュリティについて説明します。

6.1 Oracle Compute Cloud Service のセキュリティ

インスタンスの分離

Oracle Compute Cloud Service では、Oracle Cloudインフラ上で仮想マシンを作成および実行できま

す。Oracle Compute Cloud Service は、オラクルのデータ・センター内のサーバー・インスタンスを

使用して、サイズ変更が可能な演算処理を提供します。

Oracle Compute Cloud Service 内のセキュリティは、複数のレベルで提供され、具体的には、ハイ

パーバイザ、ゲスト・オペレーティング・システム、動的ファイアウォール、トークンベースの API

コール、ユーザー権限およびインスタンスへの SSH ベースのセキュア・アクセスがあります。目標

は、お客様のワークロードおよびデータへの、承認されていないユーザーおよびシステムからのアク

セスを防止することです。

他の多くのクラウド・コンピュート・サービスと同様に、仮想化は、Oracle Compute Cloud Service

の基盤です。仮想化についての多くのセキュリティに関する懸念は根拠のないものです。ハードウェ

アおよびソフトウェアでサポートされている複数の分離技術により、仮想化関連のリスクに対応して

います。

最初の技術は、命令分離です。Intel VT-x および AMD-V の双方とも、仮想マシン・モニターを有効に

し、直接実行のために CPU を仮想マシンに与えますが、これは仮想マシンが特権命令の実行を試行

するまでです。その時点で、仮想マシンの実行は一時停止され、CPU は仮想マシン・モニターに戻さ

れます。

CPU 命令分離に加えて、ハイパーバイザも、物理メモリーおよび、ディスクを含む物理デバイスの仮

想化により、メモリーおよびデバイスの分離を提供します。物理リソースのこの明示的な仮想化によ

り、ゲスト OS とハイパーバイザ間が明確に分離され、その結果セキュアなコンピュート環境が実現

されます。したがって、同じ物理マシンで稼働している異なるお客様のインスタンスは、ハイパーバ

イザを介して互いに分離されます。

オラクルのマルチテナントの Elastic Compute サービスでは、前述のとおり、論理テナント分離が仮


想化によって実現されています。オラクルは、Dedicated Compute ソリューションも提供しており、

これは、完全に分離された Elastic Compute サービスです。Dedicated Compute サービスは専用の物

理サーバーおよびコア、ならびにオラクルのデータ・センター内のネットワークを提供します。した

がって、お客様は、IO、CPU およびネットワークの完全な分離を得られます。Dedicated Compute

サービスでは、Elastic Compute サービスで使用されている仮想化テクノロジと同じものが使用され

ます。

Elastic Computeサービスでは、APIネームスペース分離も提供し、リソースがアカウント間で誤用さ

れないようにします。

ゲスト・オペレーティング・システム

お客様は、インスタンス全体の完全な管理アクセス権およびルート・アクセス権を持ちます。オラク

ルは、お客様のインスタンス内のお客様データへはアクセスしません。オラクルは、SSH の使用をサ

ポートしており、お客様およびそのユーザーが Oracle Linux インスタンスに安全にログインできるよ

うにしています。ユーザーごとに独自の SSH 鍵ペアを生成することをお薦めします。これらの鍵は、

オラクルまたは他の組織と共有しないでください。

セキュリティ更新も含め、ゲスト OS の更新およびパッチ適用は、お客様が管理します。オラクルが

提供する Oracle Linux マシン・イメージは、最新のパッチにより定期的に更新されます。

SSH を使用したインスタンスへのセキュア・アクセス

オラクルは、SSH ネットワーク・プロトコルの使用をサポートしており、Oracle Linux インスタンス

に安全にログインできるようにしています。オラクルが提供する Oracle Linux イメージを使用してイ

ンスタンスを作成した場合、SSH を使用して opc ユーザーとしてインスタンスにログインできます。

このユーザーは、オラクル提供の Oracle Linux インスタンスを使用して作成されたインスタンスにお

けるデフォルト・ユーザーです。

コンピュート・インスタンスを作成する前に、少なくとも 1 つの SSH 鍵ペアを生成し、SSH 公開鍵

をアップロードする必要があります。既存の SSH 公開鍵は、無効化、有効化および削除できます。

インスタンスにログインした後、インスタンスにユーザーを追加できます。これを行うには、新規

ユーザー用の新規の SSH 鍵ペアを生成し、インスタンスにログインして、ルート・ユーザーになる

必要があります。次に、新規ユーザーを作成して、SSH 公開鍵を新規ユーザーに関連付けることがで

きます。


動的ファイアウォール

Oracle Compute Cloud Service は、インスタンスのネットワーク・トラフィックを制御する完全な

ファイアウォール・ソリューションを提供します。ファイアウォールは、デフォルトのすべて拒否

モードで構成されます。これは、インスタンスを作成した時点では、デフォルトで、他のインスタン

スまたは外部ホストとのネットワーク・トラフィックはすべて許可されないことを意味します。他の

インスタンスおよび外部ホストの両方から Oracle Compute Cloud Service インスタンスへのネット

ワーク・アクセスに対する粒度の高い制御を実装できます。ファイアウォールは、グループ単位で構

成でき、これにより、様々なインスタンス・クラスが異なるルールを持つことができます。

一部のインスタンス間で制限なしの通信を有効にする場合(たとえば、開発環境をホストするすべての

インスタンスが相互に通信できるようにするなど)、セキュリティ・リストを作成し、そのセキュリ

ティ・リストにインスタンスを追加できます。インスタンスをセキュリティ・リストに追加すると、

インスタンスは、同じセキュリティ・リスト内にある他のすべてのインスタンスと通信できます。デ

フォルトで、セキュリティ・リストにあるインスタンスは、セキュリティ・リストにないホストから

分離されます。このデフォルトは、セキュリティ・ルールを作成することで上書きできます。各セ

キュリティ・ルールでは、通信が許可される特定のソース、宛先およびプロトコルとポートの組合せ

が定義されます。セキュリティ・ルールは、実質的にはファイアウォールのルールです。これを使用

して、異なるセキュリティ・リストにある Oracle Compute Cloud Service 間、およびインスタンスと

外部ホスト間のトラフィックを許可します。セキュリティ・ルールに指定されているソースおよび宛

先は、セキュリティ IP リスト(つまり外部ホストのリスト)またはセキュリティ・リストのいずれかで

す。セキュリティ・アプリケーションは、セキュリティ・ルールで使用できる、プロトコルとポート

のマッピングです。ポート・タイプおよびポートを指定してセキュリティ・アプリケーションを作成

するか、セキュリティ・ルール内の事前定義済のセキュリティ・アプリケーションのいずれか(SSH、

HTTPS、SNMP-TCP など)を使用できます。例として、一連の外部ホスト(セキュリティ IP リストで

指定)から、セキュリティ・リスト内のすべてのインスタンスへのポート 22を介した SSHアクセスを

許可するセキュリティ・ルールを設定できます。

Web コンソールを使用してインスタンスを作成する際、インターネット上のホストからの SSH アク

セスを許可するようにインスタンスを構成するよう指定できます。このオプションを選択すると、イ

ンスタンスはデフォルト・セキュリティ・リストに追加され、デフォルト・セキュリティ・リスト内

のインスタンスへの SSH アクセスを有効化する、DefaultPublicSSHAccess と呼ばれるセキュリ

ティ・ルールが作成されます。インスタンスの作成中に SSH アクセスを有効化せず、後でインスタ

ンスへの SSH アクセスを有効化するには、セキュリティ・リストを作成して、それにインスタンス

を追加し、SSH トラフィックを許可するセキュリティ・ルールをセキュリティ・リストに設定する必

要があります。次の図は、次の通信パスを示しています。

» セキュリティ・リスト-a 内のインスタンスは、セキュリティ・ルール-a によって定義されて

いるように、任意のプロトコルで、セキュリティ・リスト-b 内のインスタンスにトラフィッ

クを送信できます。

» セキュリティ・リスト-a 内のインスタンスは、セキュリティ・ルール-b で定義されているよ

うに、インターネット上の任意のホストからの HTTPSトラフィックを受信できます。


» セキュリティ・リスト-b 内にあるインスタンスは、セキュリティ・ルール-c に定義されてい

るように、セキュリティ IP リスト-a で指定されている任意の IP アドレスから SSH を介して

トラフィックを受信できます。

セキュリティ・ルールがセキュリティ・リストに定義されていない場合、デフォルトで、セキュリ

ティ・リスト内のインスタンスはセキュリティ・リストにないホストからのトラフィックを受信できま

せん。ただし、セキュリティ・リスト内のインスタンスは、同じセキュリティ・リスト内の他のインス

タンスにはアクセスできます。セキュリティ・リストからインスタンスを削除すると、インスタンスは、

そのセキュリティ・リスト内の他のインスタンスとは通信できなくなり、そのインスタンスと送受信す

るトラフィックは、そのセキュリティ・リストに定義されたセキュリティ・ルールでは制御されなくな

ります。セキュリティ IP リストでは、セキュリティ・ルール内のソースとして使用できる一連の IP ア

ドレスが指定されます。セキュリティ IPリストまたはセキュリティ・リストは、複数のセキュリティ・

ルールで使用できます。ポリシーが競合する場合、最も厳しいポリシーが優先されます。

インスタンスをインターネットに接続し、予約された IP を使用してどこからでも Oracle Cloud リ

ソースにアクセスできます。

API アクセス

Oracle Compute Cloud Service は、インスタンスおよび関連するリソースをプログラムでプロビジョニ

ングし管理するために使用できる REST アプリケーション・プログラミング・インタフェース(API)を提


供しています。Oracle Compute Cloud Serviceへの APIコールは、基本認証(ユーザー名とパスワード)ま

たはトークンベースの認証を使用して行うことができます。認証リクエストが成功すると、30 分間有効

である認証トークンを含む cookie がサーバーから返されます。API コールを行うクライアントは、API

コールにこの cookie を必ず含める必要があります。認証トークンの有効期限は、refresh_token コマン

ドを実行してから、5 分間延長できます。トークンをリフレッシュするとセッションは延長されますが、

セッションの有効期間を超えることはありません。セッションは 3時間です。

ユーザーとロール

「MyServices ユーザー」ページを使用して、アイデンティティ・ドメイン管理者、サービス管理者、

ユーザー、ロールおよびパスワードを管理できます。(「共有アイデンティティおよびアクセス管理」

の項を参照してください。)

Oracle Compute Cloud Serviceでは、次の事前定義済のロールを使用できます。

» TenantAdminGroup (アイデンティティ・ドメイン管理者): このロールが割り当てられてい

るユーザーは、ユーザーおよびロール管理タスクなど、MyServices アプリケーション内のす

べてのタスクを実行できます。

» Service-instance-name.Compute_Operations (サービス管理者): このロールが割り当てら

れているユーザーは、Oracle Compute Cloud Service リソースを表示、作成、更新および削

除できます。アイデンティティ・ドメイン管理者は、必要に応じて、このロールを Oracle

Cloud MyServices で割り当てて、追加のサービス管理者を作成できます。ビジネスの継続性

のために、Compute_Operations ロールを持つユーザーを少なくとも 2 人作成することを検

討してください。このユーザーは、組織内の ITシステム管理者である必要があります。

» Service-instance-name.Compute_Monitor: このロールが割り当てられているユーザーは、

Oracle Compute Cloud Service リソースを表示できます。アイデンティティ・ドメイン管理

者は、このロールを持つユーザーを Oracle Cloud MyServices で作成できます。

ブロック・ストレージ・セキュリティ

ストレージ・ボリュームは、インスタンスの永続ブロック・ストレージ領域を提供する仮想ディスク

です。Oracle Compute Cloud Service では、1GB から 2TB までのストレージ・ボリュームを作成で

きます。各 Oracle Compute Cloud Service インスタンスに最大 10 ストレージ・ボリュームをアタッ

チできます。ストレージ・ボリュームは、1 度に 1 つのインスタンスにのみアタッチできます。イン

スタンスへの 1 つ以上のストレージ・ボリュームのアタッチは、インスタンスの作成時またはインス

タンスの稼働中に後で行えます。インスタンスの作成後、ストレージ・ボリュームをアタッチまたは

デタッチして、インスタンスのブロック・ストレージ容量を簡単に拡大または縮小できます。ただし、

インスタンスの作成時にアタッチされたストレージ・ボリュームはデタッチできません。ストレージ

容量がインスタンスからデタッチされる際、またはインスタンスが削除される際、ストレージ・ボ

リュームに格納されたデータは失われないことに注意してください。


ストレージ・ボリュームへのアクセスは、ストレージ・ボリュームを作成した Oracle Cloud アカウン

ト、およびストレージ・ボリュームの表示またはアクセス権限を持つ Oracle Cloudユーザーに制限さ

れます。これらのユーザーへのアクセスの付与は、Oracle Shared Identity Management を使用して作

成されたロールを通じて行う必要があります。(「共有アイデンティティおよびアクセス管理」の項を

参照してください。) Oracle Compute Cloud Service で、次のストレージ・ボリューム操作を実行す

るにはロールを必要とします。

» ストレージ・ボリュームの作成およびアタッチ: ストレージ・ボリュームを作成して、インス

タンスにアタッチし、データやアプリケーションを格納するためのブロック・ストレージ容

量を提供できます。また、ストレージ・ボリュームをマシン・イメージに関連付けて、その

ストレージ・ボリュームをインスタンスのブート・ディスクとして使用することもできます。

このタスクを実行するには、Compute_Operations ロールが必要です。

» ストレージ・ボリュームの詳細の表示: Web コンソールを使用して、ステータス、サイズお

よびアタッチされるインスタンスなどのストレージ・ボリュームの詳細を表示できます。こ

のタスクには、Compute_Monitorまたは Compute_Operations ロールが必要です。

» ストレージ・ボリュームの削除: ストレージ・ボリュームを削除する場合、そのストレージ・

ボリュームに保存されているすべてのデータおよびアプリケーションが失われます。スト

レージ・ボリュームに格納されているすべてのデータが確実に必要ない場合のみ、ストレー

ジ・ボリュームを削除します。このタスクを実行するには、Compute_Operations ロールが

必要です。

機密扱いの仮想マシン・ディスクの暗号化は、一般的に適正なセキュリティ・プラクティスです。任

意のゲスト内暗号化ソリューションを使用して、サード・パーティのゲスト内暗号化ソリューション

を使用する仮想マシン内のデータを暗号化できます。これらのソリューションのほとんどは、鍵管理

ポリシーの実装に使用できる鍵管理機能を提供しています。

6.2 Oracle Storage Cloud Service のセキュリティ

Oracle Storage Cloud Service は、Infrastructure as a Service (IaaS)製品であり、非構造化データを格

納し、いつでもどこからでもアクセスするためのエンタープライズ・グレードの多層ストレージ・ソ

リューションを提供します。データ・バックアップ、アーカイブ、ファイル共有、およびログ、セン

サーにより生成されたデータおよび仮想マシン(VM)イメージなどの大量の非構造化データの格納に理

想的です。

Oracle Storage Cloud Service アーキテクチャは、可用性および冗長性の高いアーキテクチャです。

REST APIを介して直接アクセスでき、また、NFSv4、クライアント SDKおよびサードパーティ・ア

プリケーションを介して間接的にアクセスできます。オブジェクトが Oracle Storage Cloud Service

に格納されている場合、データはデータ・センター内の複数のストレージ・ノード間で複製されます。

この複製の方針により、格納されたオブジェクト・データはハードウェア障害時にも存続し続けます。


次の図は、Oracle Cloud Storage Service のアーキテクチャの概要です。

オブジェクトへの読取りおよび書込みアクセス

Oracle Storage Cloud Service は、コンテナのフラット階層内にオブジェクトとしてデータを格納しま

す。オブジェクトは、通常、ファイルをアップロードすることで作成されます。これは、一時的な非

構造化データからも作成されます。オブジェクトはコンテナ内で作成されます。単一のオブジェクト

は、最大 5GB のデータを保持できますが、複数のオブジェクトを関連付けて、5GB を超える連続

データ保持できます。コンテナは、ユーザー作成リソースであり、コンテナに割当て量を指定しない

限り、無制限のオブジェクト数を保持できます。コンテナはネストできないことに注意してください。

オブジェクトへの読取りおよび書込みアクセスは、コンテナのアクセス制御リスト(ACL)を介して制

御されます。各コンテナには、独自の読取りおよび書込み ACL を割り当てられます。デフォルトでは、

コンテナおよびオブジェクトへのアクセスはプライベート(つまり、コンテナを作成したユーザーのみ

がアクセス可能)ですが、読取りアクセスは必要に応じてパブリックにできます。

ストレージ管理者ロールを持つユーザーは、サービス・インスタンス内のすべてのコンテナへの読取

りおよび書込みアクセスを常に持ちます。管理者ではないすべてのユーザーは、指定のコンテナの

ACL の対象です。サービス・インスタンスのルート・パスはこの例外ですが、それは関連付けられて

いる ACL がないためです。このパスの場合、すべてのユーザーはコンテナのリストを取得できますが、

ストレージ管理者ロールを持つユーザーのみが、コンテナを作成または削除できます。


API アクセス

Oracle Storage Cloud Service にアクセスする主な方法は、OpenStack Swift に基づく RESTful Web

サービスを介する方法です。サービスは、インターネットのどこからでも、いつでも任意のデバイス

からアクセス可能です。RESTful Web サービスをラップする Java ライブラリも使用可能です。サー

ビスの使用を開始するのに、特別なハードウェアは必要ありません。


「MyServices ユーザー」ページを使用して、アイデンティティ・ドメイン管理者、サービス管理者、

ユーザー、ロールおよびパスワードを管理できます。(「共有アイデンティティおよびアクセス管理」

の項を参照してください。)

Oracle Storage Cloud Service では、次の事前定義済のロールを使用できます。

» TenantAdminGroup (アイデンティティ・ドメイン管理者): このロールが割り当てられてい

るユーザーは、ユーザーおよびロール管理タスクなど、MyServices アプリケーション内のす

べてのタスクを実行できます。

» Storage.Storage_Administrator (サービス管理者): このロールが割り当てられているユー

ザーは、ユーザー管理を含めて、Oracle Storage Cloud Service インスタンスのすべてのタス

クを実行できます。また、このユーザーは、サービスの監視および管理、ユーザーへのロー

ルの付与、コンテナの作成および削除、ならびにコンテナの ACL を変更できます。非従量制

のサブスクリプションの場合、ロール名は service-instance-name.Storage_Administrator と

なります。

» Storage.Storage_ReadWriteGroup: このロールが割り当てられているユーザーは、ロール

がコンテナの読取り ACL から削除されない限り、コンテナ内のオブジェクトを作成、読取り、

変更および削除でき、コンテナおよびコンテナ内のオブジェクトをリストできます。非従量

制のサブスクリプションの場合、ロール名は service-instance-

name.Storage_ReadWriteGroupとなります。

» Storage.Storage_ReadOnlyGroup: このロールが割り当てられているユーザーは、ロールが

コンテナの読取り ACL から削除されない限り、オブジェクトを読み取り、コンテナをリスト

し、コンテナ内のオブジェクトをリストできます。非従量制のサブスクリプションの場合、

ロール名は service-instance-name.Storage_ReadOnlyGroupとなります。

オブジェクトの暗号化

オブジェクトは暗号化してから、Oracle Storage Cloud Service に送信できます。Java ライブラリま

たはその他の暗号化ソリューションを使用してこれを行えます。


Java ライブラリのクライアント側の暗号化機能を使用する場合、すべての暗号化は Java ライブラリ

内で行われ、暗号化はサービス内では行われません。サービス管理者ロール、またはコンテナの X-

Container-Write ACLで指定されているロールを持つユーザーは、このタスクを実行できます。

Java ライブラリを使用している場合、Oracle Storage Cloud Service で作成したすべてのオブジェク

トに対して、独自の対称鍵が生成されます。Java ライブラリでは、対称鍵を使用して、データを暗号

化してから格納します。加えて、非対称鍵ペアを指定し管理する必要があります。データを暗号化し

た後、Java ライブラリは、非対称鍵を使用して、エンベロープ鍵として対称鍵を暗号化します。各オ

ブジェクトをダウンロードして再暗号化することなく、以前に使用していた鍵ペアを新規鍵ペア用に

ローテーションできます。エンベロープ鍵は、オブジェクト・データとともにメタデータとして格納

されます。

Java ライブラリを使用して、このような暗号化されたオブジェクトにアクセスすると、エンベロープ

鍵がまず取得され、指定された非対称鍵ペアを使用して復号化されます。次に、その結果の対称鍵が

使用され、オブジェクト・データが復号化されます。エンベロープ鍵はオブジェクト・メタデータで

あるため、これを削除または改ざんすると、暗号化されたオブジェクト・データはリカバリ不能にな

ります。このようなことが起こらないようにするには、クライアント側の暗号化済オブジェクトへの

書込みアクセスを制限することが最善の方法です。

Javaライブラリを使用してデータを暗号化する場合、データは REST APIを通じてアクセスできない

ことに注意してください。これは、Oracle Storage Cloud Service がオブジェクト上でエンベロープ鍵

をメタデータとして格納し、オラクルは、エンベロープ鍵の抽出、復号化、およびオブジェクトの復

号化の方法を公開していないためです。Java ライブラリを使用してクライアント側の暗号化によりオ

ブジェクトを暗号化する場合、その後は、Java ライブラリを排他的に使用して、暗号化済オブジェク

トにアクセスする必要があります。Java ライブラリなしでは、暗号化されたオブジェクトを復号化で

きません。

Java ライブラリの暗号化機能を使用する際は、2048 ビットの RSA 鍵ペアのみがサポートされ、オブ

ジェクト・データのみが暗号化され、オブジェクト・メタデータは暗号化されません。分割されたオ

ブジェクトは暗号化できません。暗号化機能を使用している間は、暗号化されていないオブジェクト

はダウンロードできません。

また、独自のエンベロープ暗号化ソリューションを使用して、データを暗号化してから、Oracle

Storage Cloud Service にデータを格納することもできます。この場合、REST APIを使用して、暗号

化されたオブジェクトにアクセスできます。

クライアント側の暗号化を使用する場合、暗号化鍵の生成、ローテーションおよびアーカイブを含む、

暗号化鍵のライフサイクルの管理の責任はお客様が負うことに注意してください。


Oracle Storage Cloud Software Appliance のセキュリティ

Oracle Storage Cloud Software Appliance は、Oracle Storage Cloud Service における簡単で安全、信

頼性の高いデータの格納および取得を促進する仮想アプライアンスです。データが Oracle Storage

Cloud Service に格納されている間も転送されている間も保護された状態を維持するために、Oracle

Cloud Storage Serviceにデータを格納する前に、Oracle Storage Cloud Software Appliance でデータ

の暗号化を有効にできます。

Oracle Storage Cloud Software Appliance 内のデータ暗号化は、対称鍵を使用して実行されます。こ

れは、アプライアンス上のデータベースに格納され、非対称公開/秘密鍵ペアを使用して暗号化されま

す。管理者は、非対称鍵をバックアップおよび格納し、これを使用して、暗号化されたデータをリカ

バリできます。

ファイルが Oracle Storage Cloud Software Appliance に格納される際、最初は当初の形式でローカ

ル・ディスク・キャッシュに格納されます。ファイルは暗号化されてから、Oracle Storage Cloud

Serviceにアップロードされます。ファイルが Oracle Storage Cloud Service から取得される際、デー

タがローカル・ディスク・キャッシュに移動するときに復号化されます。

ファイル・システムの暗号化を有効化するには、管理コンソールでファイル・システムを作成する際

に、「暗号化の有効化」チェック・ボックスを選択する必要があります。ファイル・システムの暗号

化を有効化すると、暗号化鍵を生成し、管理コンソールで鍵を指定できます。必要な場合、暗号化鍵

を変更できます。

コンテナ・レベルで暗号化を適用することで、暗号化する必要がある内容を制御できます。暗号化を

制御することで、機密性の高い資産のみを暗号化でき、ストレージの効率性を高められます。データ

がデータ・パスを通じて Oracle Storage Cloud Service と送受信される際に、組込みのデータ整合性

チェックが検証することで、シームレスなエンドツーエンドのデータ整合性を実現しています。

6.3 Oracle Network Cloud Service のセキュリティ

Oracle Cloud は、幅広いネットワーク・サービスを提供し、論理的に分離されたネットワークの作成、

Oracle Cloud へのプライベート・ネットワーク接続の確立、および予測可能なパフォーマンスによる

確定的ルーティングの確立を実現しています。

Dedicated Compute 向けの Site-to-Site VPN

Oracle Cloudでは、Oracle VPNゲートウェイと、お客様のデータ・センターにインストールされた

ゲートウェイ間でセキュアな IPsec トンネルを構築することで、Oracle Compute Cloud Serviceゾー

ンからのセキュアな接続を可能にしています。


Dedicated Compute向けの Site-to-Site VPNには次の機能があります。

» Oracle Compute Cloud Service ゾーンで複数のサイト間トンネルを設定できます。

» コンピュート・インスタンスに広範な IPアドレスを構成できます。

» インスタンスは、クラウド内の他の Oracleサービスにアクセスできます。

» インターネット・アクセスのために外部 IPアドレスを構成できます。

» お客様のデータ・センターと Oracle Dedicated Compute Cloud 間のすべてのデータは、128

ビット AES対称鍵を使用して暗号化されます。

» VPNデバイスが、高可用性のためにクラスタとして構成されます。

Oracle Cloud REST API は、Site-to-Site VPN用に次の 2つのモデルをサポートしています。

» VPN ゲートウェイ: VPNゲートウェイ・モデルは、VPNゲートウェイ機能を提供するネット

ワーク・デバイスを表します。ゲートウェイは、IPアドレス、ログイン情報、およびゾーン

に関連付けられているインタフェースのインタフェース名などの、デバイスにアクセスする

ための情報を保持します。

» VPN エンドポイント: VPNエンドポイント・モデルは、VPNトンネルのリモート・エンドの

ピアに接続される VPNエンドポイントを表します。VPNエンドポイントは、VPNゲート

ウェイで作成されます。このモデルには、ピアの IPアドレス、事前に共有済の使用鍵、この

エンドポイントを介してアクセス可能なルート、および VPN接続が有効か否かなどの属性が

含まれます。

Corente Cloud Services Exchange を使用したマルチテナント VPN

Oracle Network Cloud Service は、マルチテナント IPSec VPNソリューションを提供します。これは、

ネットワーク・エッジに配置される分散仮想アプライアンスを使用し、ゼロタッチ・インストールで、

あらゆる IP ネットワークの仮想プライベート・ネットワークに安全なエンドポイントを提供します。

サービス・ゲートウェイは、お客様のデータ・センターにインストールされ、データ・センターと

Oracle Cloud間の安全なエンドツーエンドの接続を構築します。


FastConnect

ほとんどのエンタープライズ・アプリケーションは、遅延の変動または絶対的な遅延そのものに非常

に敏感です。プライベート・クラウド上のアプリケーション(ハイブリッド・クラウド・モデルなど)

で、一貫した遅延特性レベルが要求される場合、インターネットはそのレベルは達成できず、

FastConnect が固定の一貫した遅延を提供することでこれに対応します。FastConnect は、お客様の

データ・センターと Oracle Cloud 間にプライベートな高帯域幅の接続を提供し、より予測可能なネッ

トワーク・パフォーマンスを実現します。

大量のデータのインターネットでの転送は予測不能であり、結果として、パフォーマンスが大幅に低

下するか、バッチ・ジョブが時間内に完了しない場合があります。データ転送要件の高まりに応じて、

インターネット容量を企業ネットワークに追加すると全体のコストが上昇するもののリターンや全体

的なパフォーマンスの改善は限定されます。FastConnect は、Oracle Cloud のトラフィックをすべて

専用のパスにリダイレクトすることでこの問題を克服し、全体のパフォーマンスを向上させ、Equinix

施設内にコロケーションされる際の遅延も削減します。オラクルは、Equinix Cloud Exchange 経由の

FastConnectのパートナ・エディションを提供しています。

Equinix Cloud Exchange 経由の FastConnect Partner Edition を使用する場合、次の前提条件を満たす

必要があります。

» サービスを使用する都市の Equinix IBX にコロケーションされている BGP によるレイヤー3

ルーティングをサポートできるネットワーク機器が必要です。

» サービスを使用する都市の ECX –L3との接続を確立する必要があります。

» 適切なポート速度が定義された FastConnect Partner Edition の Oracle オーダーが必要です

(現在、1Gbpsまたは 10Gbps)。

» Equinix Cloud Exchangeとの接続を確立するための有効な IPアドレスおよび有効な自律シス

テム番号(ASN)が必要です。インターネット・サービス・プロバイダ(ISP)と連携するかいず

れかのレジストリを操作して、IPアドレスおよび ASNを取得してください。


6.4 Oracle Database Cloud Service のセキュリティ

Oracle Database Cloud Service は、クラウドで Oracle Databaseの強力な機能と柔軟性を提供します。

選択肢として、完全な管理コントロールを持つ専用のデータベース・インスタンス、およびオラクル

によって管理される開発/デプロイメント・プラットフォーム一式を持つ専用スキーマがあります。こ

のドキュメントでは、完全インスタンス・クラウド・サービスのセキュリティ機能について詳細に説

明します。完全に管理されたクラウド製品であるスキーマ・サービスでは、デフォルトのセキュリ

ティ設定を変更するお客様の機能は制限されます。

Oracle Database Cloud Service は、事前構成済で、Oracle Database 12c または Oracle Database

11gインスタンスを実行する専用の仮想マシンを提供します。Oracle Database Cloud Serviceは、汎

用でハイ・メモリーな仮想マシン・コンピュート・シェイプを提供し、本番ワークロードのデプロイ

または開発やテストであるかにかかわらず、あらゆるタイプのアプリケーションに Oracle Database

の強力なすべての機能を提供します。Oracle Database Cloud Service は、クラウドで Oracle

Database のすべての機能を必要とするビジネスに最適であり、一方、ルート OS および SYSDBA ア

クセスなどの完全な管理制御を保持できます。Oracle Database Cloud Serviceは、ポイントインタイ

ム・リカバリによるワンクリックの自動バックアップ、ワンクリック・パッチ適用およびワンクリッ

ク・アップグレードなど、データベースの管理がより簡単になる高度なクラウド・ツールを提供して

います。

SSH ベースのアクセス

Oracle Database Cloud Service インスタンスに関連付けられているコンピュート・ノードでポートに

安全にアクセスするには、トンネリングをサポートする Secure Shell (SSH)クライアント・ソフト

ウェアを使用します。Oracle Database Cloud Service インスタンスの作成時、サービス・インスタン

スのコンピュート・ノードへのネットワーク・アクセスがポート 22の SSH接続で提供されます。

トンネリングをサポートするいくつかの SSH クライアントが無償で提供されています。Linux プラッ

トフォームで ssh ユーティリティを使用できます。Windows からデータベース・インスタンスにアク

セスするには、SSH トンネリングをサポートする、無償で提供されている SSH クライアント・プロ

グラムである PuTTY を使用できます。SSH トンネルが Linux または Windows で作成された後、シス

テムで localhost:local-port (local-port は、トンネルの作成時に指定されたソース・ポート)を指定して

ターゲット・コンピュート・ノードのポートにアクセスできます。MacOS は、デフォルトで SSH が

インストールされています。


データベース・インスタンスへのセキュアなアクセス

Oracle Database Cloud Service は、Oracle Compute Cloud Service を使用して、クラウド・データ

ベース・インスタンスにセキュアなネットワーク・アクセスを提供します。Oracle Compute Cloud

Service コンソールを使用すると、クラウド・データベースに関連付けられているコンピュート・

ノード上のポートへのアクセスの有効化などの、ネットワーク・アクセス操作を実行できます。

ネットワークの暗号化および整合性

Oracle Database Cloud Service のお客様は、データベース・ネットワーク暗号化を使用して、クラウ

ド・データベースへの接続を保護できます。SSL/TLS により、暗号化を行い、オプションでデータ

ベース・ネットワーク接続の相互認証を構成できます。Oracle ネイティブ・ネットワーク暗号化

(SQLNet)により、暗号化を行い、伝送中のデータの変更や不正リプレイを防止するために、オプショ

ンで整合性チェックを実行できます。これらのネットワーク暗号化オプションは、Advanced

Encryption Standard (AES)などの強力な暗号化をサポートしています。整合性チェックは、SHA-2な

どの最新のハッシュ・アルゴリズムをサポートしています。

デフォルトで、Oracle Database Cloud Service インスタンスおよびデータベース・クライアントは、

Oracle ネイティブ・ネットワーク暗号化(SQLNet)および整合性チェック用に構成されています。デー

タベース・クライアントが、ネットワーク暗号化を使用しないように後で再構成された場合、この潜

在的な脅威はサーバー上で検出され、デフォルト・サーバー設定により接続は拒否されます。

保存データの暗号化

お客様が通常データを格納する、ユーザー作成のデータベース表領域は、Oracle Database Cloud

Service においてデフォルトで暗号化されます。SQL CREATE TABLESPACE コマンドまたはこのコ

マンドを実行するツールを使用して作成した新規表領域は、AES128 アルゴリズムを使用してデフォ

ルトで暗号化されます。データベースの内部システムの一部である特定の標準表領域は暗号化されま

せん。表領域データ・ファイルの暗号化は、Oracle Database Cloud Service の Standard Editionをは

じめとした全てのエディションおよびバージョンで有効化されます。

また、クラウド・データベースから生成された RMAN バックアップおよび Data Pump エクスポート

も暗号化できます。データベース内の最適化により、すでに暗号化済の表領域データはパス・スルー

されるか、必要に応じてデータ・ストリーム全体が暗号化されます。バックアップおよびエクスポー

トは、表領域暗号化で使用された同じ鍵、パスワード、またはその両方で暗号化できます。


保存データの暗号化に使用されるマスター暗号化鍵は、クラウド・データベースによって自動的に作

成され、テナントごとの Oracle ウォレットに格納されます。現在の鍵は、お客様の承認済データベー

ス・セキュリティ管理者が SQL コマンドを使用して定期的にローテーションできます。過去のマス

ター鍵は、将来リストアする必要がある可能性のある暗号化済バックアップ用に Oracle ウォレットに

保管されます。多くのクラウド・データベースおよび増加する Oracle ウォレットを持つお客様は、

Oracle Key Vault(個別のライセンスが必要な製品)を使用して、暗号化鍵およびウォレットを一元的に

管理できます。Oracle Key Vault は、データ・センターで実行される、セキュリティが強化されたソ

フトウェア・アプライアンスであり、Oracle Cloud またはオンプレミスで稼働する暗号化されたデー

タベースに接続されます。

追加のセキュリティ制御

Oracle Database Cloud Service は、重要なクラウド・データの保護に使用できる追加のデータベー

ス・セキュリティ制御を数多く提供しています。このオプションの制御は、各データベースの一部で

あり、クラウド・データベースのプロビジョニングが完了した後に構成できます。

主要な制御機能として、ユーザー権限およびユーザー・ロールがあります。ベスト・プラクティスと

して、最小限のセキュリティ原則に従って、適切な権限およびロールのみをクラウド・データベー

ス・ユーザーに付与してください。別の主要な制御機能として、クラウド・データベースの監査があ

ります。監査を使用して、データベース操作のレコードを取得し、悪意のあるアクティビティを検出

する必要があります。監査を最大限に活かすには、Oracle Audit Vault and Database Firewall(個別の

ライセンスが必要な製品)をデプロイすることをお薦めします。これにより、監査情報を中央のオンプ

レミス・リポジトリに移動でき、そこで、データベース・アクティビティ・レポートを実行し、セ

キュリティ・アラートを生成できます。また、データベース・セキュリティ・ファイアウォール、お

よびインバウンド SQL 文を追跡できる監視機能も提供しており、不正なデータベース・アクティビ

ティを早期に警告でき、オプションとして、害が及ぶ前に脅威をブロックできます。特定のクラウ

ド・サブスクリプションおよびデータベース・リリースには、追加費用なしで使用できるセキュリ

ティ制御がさらに用意されています。これらは、Oracle Database Cloud Service で最も機密性が高い

または規制されているデータへのアクセス制限を構成できる予防的コントロールです。これらのコン

トロールの多くは、データベース領域内で独自のものであり、Oracle Database でのみ提供されます。


コントロール説明

含まれる

(クラウド・サブスクリプション)

利用可能

(データベース・

リリース)

Enterprise Edition

High Perf.

Extreme Perf.

Exadata Service

Oracle Databas

e12c

Oracle Database

11gR2

Advanced Security Data Redaction

問合せ結果の機密クラウド・データを、それ

らがアプリケーションによって表示される前

に改訂します。実行時の改訂を、低いオー

バーヘッドで、かつポリシーに設定された条

件に従い、強制的に実行します。

○ ○ ○ ○ ○

Database Vault

DBAなどの強力なデータベース・ユーザーお

よび特権を持つアプリケーション接続から受

けるリスクを削減します。これらの特権アカ

ウントが実行できる操作を制限します。実行

時の条件や要因に基づいて強制されます。

○ ○ ○ ○ ○

Label Security

米国国防総省のマルチレベル・セキュリティ

(MLS)の概念を実装し、機密性の異なる行を

同じ表に格納できるようにします。グルー

プ、コンパートメントおよび機密性レベルに

より、クラウド・データベース内の行に明示

的にラベルを付けます。

○ ○ ○ ○ ○

Real Application Security

軽量なデータベース・ユーザー・アカウント

(スキーマなし)および詳細なオブジェクト認可

を定義するためのフレームワークをアプリ

ケーション開発者に提供します。開発者は、

Oracle Database層でセキュリティ・モデル

を作成すると、複数のカスタム・アプリケー

ションでこのモデルを再利用できるようにな

ります。

○ ○ ○ ○ ○

また、Oracle Database Cloud Service で実行されているデータベースを、Oracle Enterprise Manager

12cのオプション・パックである Oracle Data Masking and Subsetting Packのデータ・ソースとして

使用できます。この重要なセキュリティ制御により、本番クラウド・データのサニタイズされたコ

ピーを、ビジネス・パートナが本番以外の環境(開発およびテスト・データベースなど)で使用するた

めに簡単に作成できます。Oracle Data Masking and Subsetting Pack のデータ・ソース・ライセンス

は、High Performance、Extreme Performanceおよび Exadata Serviceサブスクリプションに含まれ

ます。Oracle Database 11g R2または Oracle Database12c とともに使用できます。

6.5 Oracle Java Cloud Service のセキュリティ

Oracle Java Cloud Service は、Java EEアプリケーションを構築、デプロイおよび管理するための完

全なプラットフォームおよびインフラ・クラウド・ソリューションです。業界随一のアプリケーショ

ン・サーバーをエンタープライズ・グレードのクラウド・インフラで実行できます。プラットフォー


ムは、従来の環境およびクラウド環境全体で No.1 のアプリケーション・サーバーである Oracle

WebLogic Serverで強化されています。また、Oracle Coherenceのキャッシュとデータ・グリッド層

を自身のデプロイメントに追加するオプションもあります。

お客様の環境は、パフォーマンス、スケーラビリティおよび信頼性を最大化する、オラクルのアプリ

ケーション・デプロイメントに関するベスト・プラクティスを使用して、あらかじめインストールお

よび構成されます。インフラは、Oracle Cloud Infrastructure as a Service で提供されるコア・セキュ

リティ機能と同じ機能を備えています。柔軟なコンピュートおよびストレージなどの機能により、

Oracle Java Cloud Service では、あらゆるワークロードを実行でき、アプリケーションを拡大する必

要性が生じたときは環境を拡張できます。

Oracle Java Cloud Service インスタンス内にデプロイされているすべてのアプリケーションは、オン

プレミス・インスタンス内の Oracle WebLogic Server のアプリケーション環境を保護し、セキュリ

ティを管理する方法と同じように保護されます。

デフォルト・セキュリティ構成は、デフォルト認証、認可、資格証明マッピングおよびロール・マッ

ピング・セキュリティ・プロバイダで構成されているユーザー、グループ、セキュリティ・ロールお

よびセキュリティ・ポリシーを利用します。デフォルトで、WebLogic Server セキュリティ・プロバ

イダがデフォルトのセキュリティ・レルムで構成され、 WebLogic Server組込み LDAPサーバーが、

セキュリティ・プロバイダのデータ・ストアとして使用されます。

Oracle Java Cloud Service インスタンスでデフォルト・セキュリティ構成を使用するには、

WebLogic Server 管理コンソールを使用してセキュリティ・レルムのユーザー、グループおよびセ

キュリティ・ロールを定義し、セキュリティ・ポリシーを作成してドメイン内の WebLogic Server リ

ソースを保護します。

デフォルト・セキュリティ構成では要件が満たされない場合、WebLogic Server とカスタム・セキュ

リティ・プロバイダを任意に組み合せて、新しいセキュリティ・レルムを作成できます。その後、そ

の新しいセキュリティ・レルムをデフォルト・セキュリティ・レルムとして設定します。本番アプリ

ケーションには、組込み LDAP サーバーではなく、Oracle Identity Management などのアイデンティ

ティ管理システムを使用することをお薦めします。


Oracle Java Cloud Service では、タスクおよびリソースへのアクセス制御にロールが使用されます。

Oracle Java Cloud Service アカウントの設定時、サービス管理者には、Java管理者ロール、および関

連する Oracle Cloud サービスと連携するために必要なその他のロールが付与されます。Oracle Java

Cloud Service にアクセスし使用するには、Java 管理者ロールと、必要に応じてその他のロールを持


つユーザー・アカウントを作成する必要があります。アイデンティティ・ドメイン管理者のみが、

ユーザー・アカウントを作成し、ロールを割当てできます。

Java 管理者ロールを持つユーザーは、サービス・インスタンスで多くの操作を実行できます(作成、

削除、開始、停止、拡張、パッチ適用、バックアップおよびリストアなど)。このユーザーは、サービ

ス・インスタンスのロード・バランサの管理、および Oracle Cloud内のサービスの使用状況の管理も

行えます。

Oracle Coherence をサービス・インスタンスに有効化すると、Java 管理者は、サービス・インスタ

ンスから Oracle Coherenceデータ層を削除でき(REST APIのみ)、Oracle Coherenceデータ層を既存

のサービス・インスタンスに追加できます(REST APIのみ)。

Oracle Java Cloud Service インスタンスを作成すると、次の Oracle Compute Cloud Service VMおよ

び Oracle WebLogic Server 管理ユーザー・アカウントが作成されます。

» VM オペレーティング・システム・ユーザーである opc は、VM 上で実行されるオペレーティ

ング・システムでのルート権限を持ちます。このユーザーは、Oracle Java Cloud Service イ

ンスタンスへの直接 VM レベル・アクセスのために SSH を通じて VM に接続できます。opc

ユーザーは、SSH インタフェースを介し、適切な OS ツールを使用して VM 上で他の OS ア

カウントを作成できます。oracle ユーザーは、マシンのログインには使用できません。この

ユーザーには、マシンにインストールされている Oracle 製品を開始および停止するための通

常のユーザー権限しかありません。

» WebLogic Server管理者は、Oracle Java Cloud Service 内の Oracle WebLogic Serverを管理

でき、WebLogic Server管理コンソールにアクセスし、使用できます。WebLogic管理者は、

組込み LDAP 内のユーザーやグループの管理の他、他のアイデンティティ・プロバイダの構

成も行えます。

WebLogic Sever管理者アカウントおよび VM OSユーザー・アカウントは、Oracle Cloud内に格納さ

れず管理もされないことに注意してください。Oracle Java Cloud Service インスタンスを作成すると

きに、WebLogic Server 管理者のユーザー名およびパスワードを指定します。WebLogic Server 管理

者の資格証明および権限、ならびに WebLogic Server 管理者が作成したすべてのユーザー・アカウン

トは、Oracle WebLogic Serverに格納され管理されます。WebLogic Serverセキュリティ機能を使用

した Oracle Java Cloud インスタンスの保護についての詳細は、オンラインの WebLogic Server セ

キュリティ・ドキュメントを参照してください。


7. セキュアなクラウド・サービス設計のためのオラクルのアプローチ

Oracle Cloud Services 開発プロセスは、Oracle Software Security Assurance (OSSA)プログラムに

従っています。OSSA は、サービスの設計、構築、テストおよび保守にセキュリティを組み込むオラ

クルの手法です。

初期のアーキテクチャの検討からサービスのリリース後まで、クラウド・サービス開発のすべての側

面においてセキュリティが考慮されています。オラクルが実践しているセキュアなソフトウェア開発

フェーズの概要を次に示します。

» 設計フェーズ: セキュリティ原則に関するセキュリティ・トレーニングおよびオラクルのセキュ

ア・コーディング・スタンダードを活用し、エンジニア、アーキテクトおよび製品マネージャは、

最適なセキュリティの決定を下します。アーキテクチャのリスク分析のミーティングにおいて脅威

の評価を行うことで、可能な限り開発ライフサイクルの早い段階での潜在的なセキュリティの問題

の特定を図っています。

» コーディング・フェーズ: セキュア・コーディング・スタンダードおよびパターンの使用を通じて、

標準的な脆弱性タイプに対処しています。このフェーズでは、静的なコード分析ツールを使用して、

セキュリティの欠陥を識別し、サービスがテスト・フェーズに進む前にセキュリティに関する重大

な検出結果をすべて修正します。

» テスト・フェーズ: 社内のセキュリティの専門家および独立したセキュリティ・コンサルタントが

オラクルの社内ツール、動的分析およびファズ・テストのためのサード・パーティ・ツールおよび

手動テストにより、潜在的なセキュリティの問題を識別しています。

» サービス・リリースの前: クラウド・サービスをリリースする前に、オラクルは、開発した機能が

オラクルのクラウド・セキュリティ要件を満たしていることを検証しています。独立したセキュリ

ティの専門家に、製品に潜在的なセキュリティの問題がないか、評価とモニターを依頼しています。

OSSAの詳細は、Oracle Software Security Assurance のオンライン・ドキュメントを参照してくだ

さい。

https://www.oracle.com/support/assurance/index.html


8. 結論

お客様データの保護は、オラクルのクラウド・インフラおよびサービスすべての設計における最も重

要な検討事項です。Oracle Cloud は、お客様がミッションクリティカルなエンタープライズ・ワーク

ロードを実行しデータを格納するために使用する安全なインフラおよびプラットフォーム・サービス

を提供するために開発されました。お客様のデータを保護し、お客様が安全なプライベート・クラウ

ド・ソリューションを構築するための正しいセキュリティ哲学、戦略、実証済の専門知識およびリ

ソースをオラクルは有していると確信しています。オラクルは、最も安全なパブリック・クラウド・

インフラおよび信頼できるクラウド・サービスの開発のためにセキュリティ機能への継続的な投資に

全力で取り組んでいます。このセキュリティ機能により、オラクルのお客様に有効で管理しやすいセ

キュリティを提供し、より安心なワークロードの実行、および信頼できるハイブリッド・クラウド・

ソリューションの構築を実現します。

Oracle Corporation、本社お問合せ窓口

500 Oracle Parkway 電話: +1.650.506.7000

Redwood Shores, CA 94065, USA Fax: +1.650.506.7200


Copyright © 2016, Oracle and/or its affiliates. All rights reserved. 本文書は情報提供のみを目的として提供されており、ここに記

載される内容は予告なく変更されることがあります。本文書は一切間違いがないことを保証するものではなく、さらに、口述

による明示または法律による黙示を問わず、特定の目的に対する商品性もしくは適合性についての黙示的な保証を含み、いか

なる他の保証や条件も提供するものではありません。オラクル社は本文書に関するいかなる法的責任も明確に否認し、本文書

によって直接的または間接的に確立される契約義務はないものとします。本文書はオラクルの書面による許可を前もって得る

ことなく、いかなる目的のためにも、電子または印刷を含むいかなる形式や手段によっても再作成または送信することはでき

ません。

Oracle および Javaは Oracle およびその子会社、関連会社の登録商標です。その他の名称はそれぞれの会社の商標です。

Intel および Intel Xeon は Intel Corporation の商標または登録商標です。

すべての SPARC 商標はライセンスに基づいて使用される SPARC International, Inc.の商標または登録商標です。AMD、

Opteron、AMDロゴおよび AMD Opteron ロゴは、Advanced Micro Devices の商標または登録商標です。

UNIXは、The Open Group の登録商標です。0116

Oracle Cloud Services のセキュリティ

2016年 3月

C O N N E C T W I T H U S

blogs.oracle.com/oracle

facebook.com/oracle

twitter.com/oracle

oracle.com

Download - オラクルのインフラおよび プラットフォーム・クラ 2 | ORACLE CLOUD SERVICES SECURITY WHITE PAPER » 制御: どのユーザーが、どのような条件の下にデータにアクセスできるかを制御するセキュリ

Download - オラクルのインフラおよびプラットフォーム・クラ 2 | ORACLE CLOUD SERVICES SECURITY WHITE PAPER » 制御: どのユーザーが、どのような条件の下にデータにアクセスできるかを制御するセキュリ