OCIはデータ保護の最適化を支援 (2024/10/16)
OCIはデータ保護の最適化を支援 (2024/10/16)
https://blogs.oracle.com/cloud-infrastructure/post/oci-helps-optimize-data-protection
投稿者： Heinz Mielimonka | Customer Success Director and Cloud Architect
今日のデータドリブンの世界では、情報の保護が最も重要です。このブログ投稿では、Oracle Cloud Infrastructure(OCI)が、企業がCIAトライアド(機密性、整合性、可用性)を使用してデータを保護するのにどのように役立つかをご紹介します。
CIAトライアドについて
ほとんどの企業は、最も重要な資産であるデータの最適なセキュリティを確保するために規制されています。国立標準技術研究所(NIST)は、次の属性を持つ情報セキュリティの柱について説明します。
- 機密性: 個人情報保護および個人情報保護のための手段を含む、情報へのアクセスおよび開示に関する許可された制限の保持
- 完全性: 不適切な情報変更や破壊を防止し、情報の否認や信頼性の確保を支援
- 可用性: 情報へのタイムリーで信頼性の高いアクセスと使用
破壊的なマルウェア、ランサムウェア、悪意のあるインサイダー・アクティビティ、さらには正直なミスさえも、組織がデータの整合性に影響を与えるイベントを検出して対応する必要がある理由の段階を設けています。企業は、これらのイベントが適切なタイミングで検出され、適切に応答することを確信する必要があります。
OCI Vaultは機密性と整合性に対処しますが、OCI Block Volumeのストレージ・レプリケーションなどの機能は可用性に対応できます。両方をまとめましょう。
OCIでの暗号化
OCIは、通常、Oracle管理キーを使用してデータを自動的に暗号化します。ただし、多くの顧客は、セキュリティを強化するために効果的にレプリケートできる顧客管理キーを柔軟に使用することを好みます。OCIサービスが提供する暗号化の詳細は、次のリソースを参照してください。
- Oracle Cloud Infrastructure Vault: ブロック・ボリューム暗号化
- ブロック・ボリュームのVault暗号化キーの管理
- Oracle Cloud Infrastructure(OCI)がデフォルトの暗号化でデータを保護する方法
データ暗号化キーはデータの保護に不可欠ですが、マスター暗号化キーはDEKを暗号化します。
OCIでの暗号化のレベルを理解したので、キー管理のベストプラクティスについて見ていきましょう。
主要管理のベストプラクティス
ソリューション・プレイブック、Oracle Cloud Infrastructureのベスト・プラクティス・フレームワークおよびブロック・ボリューム内のデータの暗号化では、顧客管理キーを使用することをお薦めします。OCIのベスト・プラクティス・フレームワークに基づいて、シークレット・コンテンツを定期的にローテーションし、シークレットが公開された場合の影響を軽減することをお薦めします。
シークレットをローテーションする場合は、マスター暗号化キーを更新します。つまり、マスター・キーにアタッチされているデータ暗号化キーを再暗号化する必要があります。マスター・キーを更新しても、データへのアクセスに必要なボリュームから継承された基礎となるデータ暗号化キーは変更されません。この変更は、ボールト内の顧客管理キーにのみ適用され、可用性ドメインのマスター・キーには適用されません。可用性ドメインのマスター・キー・ローテーションは、既存のキー・ローテーション・アクティビティで行われます。
キーのローテーションとは、キーのバージョンを更新することを意味します。現在、Key Management Service (KMS)でのブロック・ストレージの顧客管理キーの自動更新はサポートされていません。そのため、KMSキーをOCI Vaultサービスの新しいバージョンにローテーションすると、ボリュームでは古いバージョンのキーが引き続き使用されます。VaultでKMSキーをローテーションすると、ブロック・ボリュームでボリュームの更新操作を実行して新しいバージョンを適用できます。KMSキーは、ダウンタイムなしで Vaultの最新バージョンを使用する新しいキーまたは同じキーに更新できます。
Oracle Cloud Infrastructureのベスト・プラクティス・フレームワークに基づいて、シークレットが公開された場合の影響を軽減するために、シークレット・コンテンツを定期的にローテーションすることをお薦めします。
更新はマスター暗号化キー(MEK)のみで、特定のMEKでデータ暗号化キー(DEK)を再暗号化することを意味します。これによって、ボリュームから継承された基礎となるデータ暗号化キー(DEK)は変更されません(データへのアクセスに必要です)。この変更は、ADマスター・キーではなく、ボールト内のKMSキー用です。ADマスター・キー・ローテーションは、既存のキー・ローテーション・アクティビティによって処理されます。
キーのローテーションとは、キーのバージョンを更新することを意味します。現在、お客様が管理するブロック・ストレージ(KMS)キーの自動バージョン更新はサポートされていません。つまり、お客様がOCI Vault ServiceでKMSキーを(新しいバージョンに)ローテーションしても、ボリュームはローテーションの前に古いバージョンのKMSキーを引き続き使用します。Vault ServiceでKMSキーがローテーションされると、お客様はブロック・ボリュームで「ボリュームの更新」操作を実行して新しいバージョンを適用できます。KMSキーは、お客様が新しいキーに更新することも、同じキー(Vault Serviceの最新バージョンを使用)にダウンタイムなしで更新することもできます。
次に、キー管理のベスト・プラクティスを理解し、クロスリージョン・レプリケーションの設定について説明します。
リージョン間のレプリケーション
クロスリージョン・レプリケーションの例を確認します。次の資産があります。
- ソースリージョン: Frankfurt
- ソース・ブロック・ボリューム(フランクフルトにあります)
- ソース・ボールト(フランクフルトにあります)
- ソース・マスター暗号化キー
- ソース・データ暗号化キー
- ターゲットリージョン: ロンドン
- クロスリージョン・コピー・ターゲットを使用したバックアップ・ポリシー: ロンドン
前提条件として、データ暗号化キーをターゲット・リージョンにレプリケートする必要があります。マスター暗号化キーやデータ暗号化キーなど、ボールトのレプリケート方法の詳細は、GitHubのチュートリアルを参照してください。このレプリケーションでは、ターゲット・リージョンのロンドンのターゲット・データ暗号化キーのOCIDが提供されます。
GitHubチュートリアルのCloud Resilienceのデフォルトでは、ブロック・ボリュームの自動クロスリージョン・レプリケーションが導入されています。これで、Oracle Cloudコンソールを使用して、デフォルトで自己回復性を備えたサーバーを設定するために、ターゲット・データ暗号化キーのOCIDを追加するだけで済みます。OCI CLIを使用してこのプロセスを自動化するには、デフォルトでCLIを使用した自己回復性でのサーバーの設定を参照してください。
このプロセスにより、本番環境を自動化し、すべてのサーバーの機密性、整合性および可用性を向上させることができます。OCIがデータ保護の最適化にどのように役立つか、すべての技術的な詳細を確認できます。
まとめ
OCIサービスを使用すると、情報セキュリティのための最適な機密性、整合性、可用性の目標を達成できます。シニア・プリンシパル製品マネージャMax Verunは、ブログ投稿の詳細、クロスリージョン・ボリューム・レプリケーションおよびスケジュール済ポリシーベースのバックアップ・コピーに対する顧客管理キーのサポートを提供します。あなたは私たちをあてにしていい。お客様のセキュリティ・ニーズを成功に導くお手伝いをいたします。
Free Tierにサインアップして、OCIの機能を今すぐご覧ください。クラウド・セキュリティにおけるお客様のジャーニーをどのようにサポートできるかをお知らせください。コメントでフィードバックを共有し、Oracle Cloud Infrastructureでのユーザー・エクスペリエンスの継続的な改善方法をお知らせください。
コメント
コメントを投稿