誰が、どのアクセスで、何をしましたか? Oracle Fusionセキュリティ監査の説明 (2026/02/15)

誰が、どのアクセスで、何をしましたか? Oracle Fusionセキュリティ監査の説明 (2026/02/15)

https://www.ateam-oracle.com/who-did-what-and-with-which-access-demystifying-oracle-fusion-security-audits

投稿者：Ranveer Tiwari | Consulting Solution Architect | A-Team - Cloud Solution Architects

はじめに

Oracle Fusion Cloud アプリケーションで頻繁に発生するガバナンスと監査に関する質問は次のとおりです。

ユーザーが特定のロールを保持している間に、そのアクセスでどのようなトランザクションが実行されましたか?

この質問は一見単純なもののように見えますが、Oracle Fusion Cloud Applicationsはロールベースのアクセス制御（RBAC）モデルを実装しており、アクセスの割り当て、アクセス構成の変更、トランザクションの実行はそれぞれ異なるメカニズムによって管理および監査されます。これらの各コンポーネントは、セキュリティフレームワーク全体の中で明確な目的を果たします。

これらの監査レイヤーは、セキュリティとガバナンスのさまざまな側面に対応するために意図的に構造化されているため、完了したトランザクションを特定のロールまたは権限に直接関連付けようとすると、誤解を招く可能性があります。正確で一貫性があり、Oracleに準拠した監査応答を提供するには、Fusionセキュリティの仕組みを明確に理解することが不可欠です。

目的

この記事の目的は次のとおりです。

  • Oracle Fusion のロールベースのアクセス制御モデルのアーキテクチャに関する明確な説明を提供します。
  • アクセスの割り当て、アクセスの変更履歴、トランザクションの監査を区別する
  • アクセス構成とトランザクション アクティビティを相関させるための構造化された Oracle 準拠のアプローチを提示します。
  • Fusion セキュリティ データを正確に解釈することで、ガバナンス、コンプライアンス、監査の準備をサポートします。

詳細

これを3つのパートに分けて説明します。

セクション1 – Oracle Fusion RBACの仕組み

Oracle Fusion Cloud Applications は、構造化された継承を通じてアクセスが導出されるさまざまなロール タイプを使用して、ロール ベースのアクセス制御モデルを実装します。

アクセス構造

  1. ユーザーには次のものが割り当てられます:
    • 抽象的な役割
    • 職務
  2. 職務の役割は以下を継承します:
    • 職務
    • 集約権限
  3. 権限は以下にマッピングされます:
    • ユーザーインターフェースコンポーネント、RESTサービス、スケジュールされたプロセスなどのリソースタイプ
    • 特定のリソースまたは成果物の識別子
    • 表示、管理、実行、取得、投稿などの定義されたアクション
Fusion Cloud アプリケーション RBAC - Fusion セキュリティ認可モデル
Oracle Fusion Cloud アプリケーション RBAC – 機能セキュリティ認可モデル

さらに、データ ロールはジョブ ロールから派生し、機能アクセスを範囲指定されたデータ セキュリティ ポリシーに関連付けて、ビジネス ユニット、法人、部門、監督階層などの特定の組織データ セットへのアクセスを制限します。

ランタイム認証フロー

実行時:

  • ユーザーに割り当てられたすべてのロールが評価されます
  • 継承された権限はすべて集約されます
  • 承認は要求されたリソースとアクションに対して評価されます
  • システムは承認結果 = 許可 / 拒否を記録します
  • 特定の評価パスは保持されない

この動作は、アクセスの決定がユーザーの完全な有効な権限セットに基づいて行われる、Oracle Fusion の集中管理された認可モデルを反映しています。

これは重要な建築原則です。

セクション2 – アクセスと使用状況と変更履歴

Oracle Fusion は、アクセスの可視性、アクセス変更の追跡、トランザクション アクティビティを個別の監査レイヤーに分離します。

1. アクセスの割り当て

レポート:

参照: セクション3.h – ユーザーロールメンバーシップレポート
SIEM統合のためのFusionクラウドアプリケーションから監査および監視データを抽出する方法

参照: セクション3.g – ユーザーおよびロールアクセス監査レポート
SIEM統合のためのFusionクラウドアプリケーションから監査および監視データを抽出する方法

これらのレポートでは、次の点について可視化できます。

  • ユーザーに割り当てられた役割
  • 継承された義務と特権
  • レポート生成時の有効なアクセス

このレイヤーは、「誰がどのようなアクセス権を持っているか」という質問に答えます。

2. アクセス変更履歴

アプリケーション ロールの監査を有効にすると、監査レポートの生成によってセキュリティ構成の変更履歴が表示されます。

参照 – Oracle Fusion Applications監査レポートの監査の設定:

このレポートでは以下の内容を取り上げます。

  • 役割メンバーシップの追加と削除
  • ロールの作成、更新、削除
  • ロール内の権限変更
  • 変更を行った俳優
  • 変更のタイムスタンプ

OPSS監査レポートイベントパラメータ –

監査報告書

監査報告書の例

監査報告書の例


この監査情報は、ここで説明されているFusion Audit REST APIによってダウンロードすることもできます。

参照: セクション5.b - Fusionアプリケーションロール監査
SIEM統合のためのFusionクラウドアプリケーションから監査および監視データを抽出する方法

このレイヤーは、「アクセスはいつ変更されたか、誰が変更を実行したか」という質問に答えます。

3. 使用方法（トランザクション実行）

関連するビジネスオブジェクトに対して監査を有効にすると、ビジネスオブジェクト/プラットフォーム構成の監査を通じて使用状況情報を取得できます。トランザクションテーブルの標準WHO列（CreatedBy、LastUpdatedBy）から使用状況を部分的に推測することもできますが、監査を有効にすると、どの属性が変更されたかなど、より詳細な情報が得られます。

ビジネス オブジェクト/プラットフォーム構成監査のキャプチャ:

  • 取引を実行したユーザー
  • 関連するビジネスオブジェクト/プラットフォーム構成
  • 属性が変更されました
  • タイムスタンプ
  • 古い価値観と新しい価値観

Fusion Audit REST エンドポイント–   /fscmRestApi/fndAuditRESTService/audittrail/getaudithistory

例 – Fusionビジネスオブジェクト  

次のペイロードを使用して、Person ビジネス オブジェクトの監査を有効にし、監査履歴を要求します。

操作 – POST

リクエストペイロード–


クリップボードにコピーされました
エラー: コピーできませんでした
クリップボードにコピーされました
エラー: コピーできませんでした
{
"fromDate":"2025-11-15 00:00:00",
"toDate":"2025-12-15 23:59:59",
"product":"hcmCore",
"businessObjectType":"oracle.apps.hcm.people.core.uiModel.view.ManagePersonVO",
"includeChildObjects":"true",
"includeAttributes":"true",
"attributeDetailMode":"true"
}

レスポンスペイロード–

応答は次のようになります:

  • 変更を実行した人
  • 変化が起こったとき
  • 変更されたビジネスオブジェクトと属性
  • 古い価値観と新しい価値観

クリップボードにコピーされました
エラー: コピーできませんでした
クリップボードにコピーされました
エラー: コピーできませんでした
"auditData": [
{
"voForeignKeyMap": {},
"userInternalName": "FIN_IMP",
"userName": "FIN_IMP",
"eventType": "Object Data Update",
"qualifiedBusinessObject": "oracle.apps.hcm.people.core.uiModel.view.ManagePersonEmailAddressVO",
"businessObject": "Person Email",
"description": "Person ID:Curtis Feitty/PersonId:Curtis Feitty",
"descriptionInternal": "Person ID:300000047888610/PersonId:300000047888622",
"attributeInternalName": "EmailAddress",
"attribute": "Email",
"oldValue": "curtis.feitty_zbic@oracledemos.com",
"newValue": "ccc.yyy@oracle.com",
"attributeDetails": [
{
"attributeInternalName": "EmailAddress",
"attribute": "Email",
"oldValue": "curtis.feitty_zbic@oracledemos.com",
"newValue": “ccc.yyy@XXXX.com"
}
],
"date": "2025-12-10 11:42:09"
}

同様に、Fusionプラットフォーム構成の監査も取得できます。

  • ESS (エンタープライズ スケジューラ サービス ジョブ)
  • OPSS（プラットフォームセキュリティ - 融合のためのポリシーストア）
  • MDS (Fusion メタデータ/サンドボックス)
  • SOA（承認構成）
  • ADF (ADF ページ定義/タスクフローの変更)

監査データは、監査レポート生成ジョブからダウンロードすることもできます。

参照–セクション4 – Fusionビジネスオブジェクト監査[トランザクション]
セクション5 – Fusionプラットフォーム監査[構成]
SIEM統合のためにFusionクラウドアプリケーションから監査および監視データを抽出する方法

このレイヤーは、「ユーザーはいつ、何をしたか」という質問に答えます。

セクション3 – 監査モデル（能力ベースの相関関係）

Oracle Fusion Cloud Applications は、トランザクション アクティビティと割り当てられたアクセスを一致させる構造化された相関アプローチを通じて、ガバナンスと監査の要件をサポートします。

相関関係により：

  1. ビジネスオブジェクト/プラットフォーム構成監査ログは、ユーザーが何をいつ行ったかを記録します。
  2. ロールの割り当て履歴とアクセスレポート。その時点でユーザーが保持していたアクセスとそのプロビジョニング方法を記録します。

組織は、日付D1に実行されたトランザクションが、ユーザーがロールR1を保持している間に発生し、そのロールにはアクション（削除）を実行できる権限（P1）が含まれていたことを証明できます。

このアプローチは、ユーザーの有効な権限に基づいて実行時にアクセスが動的に評価される Fusion 認証モデルを反映しています。

Fusion SaaSでは、使用状況 と アクセスが 別々に追跡されます。Oracle Fusion SaaSは、異なる監査メカニズムを通じて使用状況（トランザクション）とアクセス（ロール／権限）を追跡します。これらのデータセットは、監査のために相関付けられています。

構造化相関プロセス

監査とコンプライアンスの目標をサポートするために、次の手順が適用されます。

  1. 関連する期間の取引監査記録を抽出する
  2. トランザクション時のユーザーの役割の割り当てを再構築する
  3. 割り当てられた役割を有効な権限に拡張する
  4. 有効なアクセスに、観察されたアクションを承認できる権限が含まれていることを検証する

この構造化された方法論を通じて、Fusion 監査機能により、組織は Oracle のセキュリティ アーキテクチャと一致する方法でトランザクション証拠を有効なアクセスと一致させることができます。

Fusion Cloud アプリケーション監査と使用パスの比較
Fusion Cloud アプリケーション監査と使用パスの比較

このアプローチは、ユーザーがアクションを実行できるアクセス権を保持している間にトランザクションが発生したことを示す、明確で Oracle に準拠した方法を提供します。

まとめ

Oracle Fusion Cloud Applicationsは、ロールベースのアクセス制御に基づく構造化されたセキュリティ・フレームワークを提供します。このフレームワークでは、アクセス権限の割り当て、アクセス権限の変更、そしてトランザクションアクティビティが、明確に定義されたメカニズムを通じて管理・監査されます。

Fusion は次のものを可視化します:

  • ユーザーが持つアクセス権
  • アクセスが許可、変更、または取り消されたとき
  • どのような取引がいつ行われたか

監査を有効にすると、組織は次のことを追跡できます。

  • 役割メンバーシップの追加と削除
  • 役割と権限の変更
  • 変更を実行したユーザー
  • イベントのタイムスタンプ
  • 変化に伴う古い価値観と新しい価値観

トランザクション監査記録をロールの割り当て履歴および有効な権限定義と相関させることで、組織はユーザーアクティビティが割り当てられたアクセスの範囲内で発生したことを証明できます。この構造化された相関アプローチは、Oracleのセキュリティ・アーキテクチャと整合しており、ガバナンスとコンプライアンスの目標をサポートします。

アクセス構成とトランザクション実行の違いを理解することで、組織は次のことが可能になります。

  • 正確で一貫性のある監査対応を提供する
  • 役割の変更に対する管理された監視を維持する
  • 構造化されたアクセスレビュープロセスを実装する
  • 最小権限と内部統制の実践を強化する

監査準備のためのガバナンスのベストプラクティス

Oracle Fusion 内で監査の準備を維持するには:

  • セキュリティおよびビジネス オブジェクトに関連する監査ポリシーを有効にする
  • 正式なアクセス変更ガバナンスプロセスを実施する
  • 定期的に監査レポートを作成し、保管する

重要なポイント

Oracle Fusionは、アクセスレイヤーとトランザクションレイヤー全体にわたる包括的な監査記録を保持します。構造化され、Oracleに準拠した相関分析方法論を適用することで、組織はガバナンス、コンプライアンス、監査の要件を確実に満たすことができます。

参考文献

  1. Oracle Fusion セキュリティ リファレンス 
  2. Fusion セキュリティ コンソール
  3. Fusion アプリケーション監査
  4. 監査報告書
  5. SIEM統合のためのFusionクラウドアプリケーションから監査および監視データを抽出する方法

コメント

コメントを投稿

このブログの人気の投稿

Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20)

イメージ
Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20) https://mikedietrichde.com/2024/11/20/important-update-to-oracle-database-19c-support-timelines/ 長い沈黙は、私が隠れているという意味ではありません。つまり、今はとても忙しいということです。そして、より少ない旅行で、私はあなたのコメントにもブログと返信するより多くの時間を持っていることを願っています。それでも、Oracle Database 19cサポート・タイムラインの非常に重要な更新について説明します。 * 更新された内容 2024年11月19日現在、Oracle Database 19cのサポート・タイムラインが調整されています。 MOSノート: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールを見ると、新しい日付が表示されます。 Premier Support、2029年12月31日まで 2030年1月1日から2032年12月31日までの拡張サポート 2033年1月1日から2034年12月31日までのアップグレード・サポート これは知ることがとても大切です。 他のリリースの更新はありますか。 MOSノートの終わりにある変更ログ: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールでは、Oracle Database 21cの最新の更新も確認できます。このリリースのPremier Support期間は、2027年7月31日まで延長されました。 また、Oracle Database 23aiのパッチ適用終了日は2032年12月31日に設定されています。 Lifetime Support Policy 更新は、Oracle Technology Productsの Oracle Lifetime Support Policy (6ページ)でも確認できます。 From: Oracle Lifetime Support Policy for Oracle Technology Product s – page 6 – Nov 19, 2024 特に、次の表に示す制限事項に注意してください。 Oracle Database 1...
続きを読む

ミリ秒の問題: BCCグループとOCIが市場データ・パフォーマンスを再定義する方法(AWSに対するベンチマークを使用) (2025/11/13)

イメージ
ミリ秒の問題: BCCグループとOCIが市場データ・パフォーマンスを再定義する方法(AWSに対するベンチマークを使用) (2025/11/13) https://blogs.oracle.com/cloud-infrastructure/post/milliseconds-matter-bcc-group-and-oci-vs-aws 投稿者： Steven Riley | Senior Cloud Architect William Bierds | Business Analyst and Systems Engineer - BCC Group International Travis Liles | Master Principal Cloud Architect Puru Patel | Cloud Architect - FSI これは、BCC グループと Oracle Cloud Infrastructure (OCI) 間の市場データ パートナーシップを紹介するブログ シリーズの第 2 部です。   はじめに 金融市場データアプリケーションは、トレーダー、金融機関、そして市場参加者が情報に基づいた意思決定を行えるよう、リアルタイムデータを提供することで、取引エコシステムにおいて重要な役割を果たしています。 前回のブログ で述べたように、取引環境において最適なパフォーマンスを確保するには、市場データを超低レイテンシかつ高い信頼性で配信する必要があります。 今日の急速に変化する金融市場において、クラウドは市場データ・アプリケーションにとって強力な推進力として台頭しています。適切なネットワークとインフラストラクチャがあれば、企業は実行時間の短縮、可用性の向上、そして堅牢なセキュリティを実現できます。しかし、企業によるクラウド導入は遅れており、ワークロードのクラウド移行計画を中止しているケースもあります。そこで、BCCグループとOracle Cloud Infrastructure（OCI）のパートナーシップが注目されています。 BCCグループは、主力市場データアプリケーションであるONE PlatformをOCI上に導入しました。このブログでは、以下の点について説明します。 このパートナーシップがなぜこれほど相乗効果をもたらすのかを探る OC...
続きを読む

OCIサービスを利用したWebサイトの作成 その4～Identity Cloud Serviceでサイトの一部を保護 (2021/12/30)

イメージ
OCIサービスを利用したWebサイトの作成 その4～Identity Cloud Serviceでサイトの一部を保護 (2021/12/30) https://blogs.oracle.com/cloudsecurity/post/using-oci-services-part-4 投稿者： Christopher Johnson 今回は、OCI Native Servicesを使って完全にサーバーレスでWebサイトをホスティングするシリーズの第4弾です。     パート1 では、OCI WAF + API Gateway + Functionを使用して、OCI Object Store Bucketから静的コンテンツを提供する基本的な方法を紹介しました。     パート2 では、バケットを（公開ではなく）非公開にし、Resource Prinicpalを使用して安全にアクセスする方法を紹介しました。     パート3 では、ハードコードされた設定を削除し、代わりにそれらの設定をアプリケーションに保存する方法を紹介しました。 パート4では、サイトの一部をログインの後ろに置いてみようと思っています。 この記事は、ちょっとした「フクロウの描き方」のようなものになりそうです。でも、コードを見ればきっと理解できるはずです! IDCSでアプリケーションを作成 注：OCI Identity Domains は、OCI の新規顧客に対して IDCS の機能を直ちに提供します。現在 IDCS を使用している顧客については、既存の IDCS ストライプは今後数ヶ月の間に OCI Identity Domains に移行される予定です。詳細については、OCI Identity Domainの ドキュメント を参照してください。この変更は、このブログで説明したセキュリティ・パターンに影響を与えるものではありません。このブログで IDCS に起因するセキュリティ機能は、OCI Identity Domainsでも提供されます。 まず最初に、サイトを表現するために IDCS で実際にアプリケーションを作成する必要があります。 IDCSコンソールを開き、「アプリケーション」に移動し、「作成」をクリックします。Functionアプリケーシ...
続きを読む