Oracle Privileged Account Manager 機密リソースへのアクセスの保護と監査

Transcription

1 機密リソースへのアクセスの保護と監査 ORACLE ホワイト ペーパー 2015 年 4 月

2 免責事項 下記事項は 弊社の一般的な製品の方向性に関する概要を説明するものです また 情報提供を唯一の目的とするものであり いかなる契約にも組み込むことはできません マテリアルやコード 機能の提供をコミットメント ( 確約 ) するものではないため 購買を決定する際の判断材料にはなさらないでください オラクル社の製品に関して記載されている機能の開発 リリース および時期については 弊社の裁量により決定されます ORACLE PRIVILEGED ACCOUNT MANAGER: 機密リソースへのアクセスの保護と監査

3 目次 免責事項... 1 はじめに... 2 について... 3 のアーキテクチャ... 3 のプロセス フロー... 4 のパスワード チェックアウト プロセス... 5 アプリケーション アカウントの管理... 6 のセッション管理... 6 セッション開始... 7 セッション制御およびコマンド制御... 7 セッションの監視と監査... 7 Windowsセッションの録画と監査... 8 の監査とレポート... 8 のリソース グループおよび委任管理... 9 の拡張性とカスタマイズ フレームワーク およびOracle Identity Governance および補完的なセキュリティ テクノロジー およびOracle Database Enterprise User Security およびOracle Database Vault およびUNIX/Linuxユーザー管理 結論 ORACLE PRIVILEGED ACCOUNT MANAGER: 機密リソースへのアクセスの保護と監査

4 はじめに 大手組織と企業では セキュリティ侵害や機密情報の暴露が絶え間なく発生しており 特権ユーザーの管理に関わる既存の問題が目立つ形で露呈されました 特権ユーザーは 企業や連邦政府の戦略的資産へのアクセスを伴う機密性の高いアクティビティを実行します 大半の組織では 特権アカウントは明確に定義されておらず 複数のユーザーによって共有されていることがほとんどです オペレーティング システム (UNIX Windows など ) データベース サーバー (Oracle Database Microsoft SQL Server IBM DB2 など ) ユーザー ディレクトリ (Oracle Directory Services や Microsoft Windows Active Directory Services など ) ネットワーク デバイス ( ルーター ロードバランサ ファイアウォール ) ハイパーバイザ およびエンタープライズ アプリケーション ( 人材管理 サプライ チェーン マネジメントなど ) といった多数の重要な情報テクノロジー (IT) で特権アカウントが使用されていることは明白です 特権ユーザーには システム データベース ネットワークの管理者 サポート スタッフ ( ヘルプ デスクなど ) およびアプリケーション所有者などが含まれます これらのアカウントへの不適切なアクセスを検出し 不正アクティビティに加わっている管理者チーム内の特定の個人を判別することは極めて困難です なぜから 特権アカウントは必ずしも個々のエンドユーザーに関連付けられてはいないからです 管理対象のサーバー デバイス アプリケーションの数とともに 特権アカウントの数も増えています ほとんどの大組織には 数百個 ( 場合によっては数千個 ) もの特権アカウントがあり 複数の人がその資格証明を知っているにも関わらず 特定の時間にそのアカウントを実際に使用した人を追跡する方法がありません 特権アカウントの増加は管理が難しいため パスワードはめったに変更されず 結果的に全体的なセキュリティの低下と 企業コンプライアンスの遵守違反を招いています このドキュメントでは で上記の課題に対処する方法について説明します は 権限の分離を可能にし 特権アカウントに対するセルフサービス式のリクエストを管理し パスワードの使用に関する監査とレポート作成機能を提供するように設計されています Oracle Identity Governance Suite に不可欠なコンポーネントである Oracle Privileged Account Manager は Global Trade Management(GTM) 戦略の強化に役立ちます ( 特に 米国サーベンス オクスリー法などの規制への準拠に関連する場合 ) 2 ORACLE PRIVILEGED ACCOUNT MANAGER: 機密リソースへのアクセスの保護と監査

5 について (OPAM) は 特定のリソースにアクセスする特権ユーザーのパスワードとセッションを生成および管理するように設計された サーバーベースのパスワード リポジトリです OPAM は セキュアなセッション管理 制御 およびレポートにより 裁判分析と監査をサポートする履歴レコードを実現します OPAM は Oracle WebLogic Server 上で稼働する Oracle Fusion Middleware アプリケーションです Oracle WebLogic Server は Oracle Platform Security Services フレームワークをセキュリティ基盤として Oracle Database をバックエンド データ ストレージとして利用しています は Oracle Identity Governance Suite に不可欠なコンポーネントで ユーザー プロビジョニングとプロビジョニング解除 ユーザー セルフサービス ( 委任 アクセス リクエスト パスワード リセットなど ) 承認ワークフロー リスクベースのビジネス ユーザー フレンドリーな ID 認定 および高度なロール ライフ サイクル管理を行うことができます Oracle Identity Governance では コンプライアンス制御を継続的に監視して効果的に実施するため ユーザーのアクセス権を自動的かつ定期的にレビューし ( これらのアクセス権のクローズドループ修正も実施 ) 企業の監査ポリシーの例外を監視します また Oracle Identity Governance プラットフォームには豊富な監査機能とレポート機能があるため 各業務分野 IT 管理者 監査者は アクセス権の所有者とアクセス対象だけでなく ユーザーによるアクセス権の取得方法や排他的特権アカウントの使用時期も確認できます さらに のダッシュボードには 現在行われているユーザー アクティビティのリアルタイムのステータスが表示されます Oracle Identity Governance では 管理対象アプリケーションとターゲット システムが自動的にプロビジョニングされます これは 管理対象システム およびリソース間で堅牢なコネクタのセットを使用して 標準アクセスと特権アクセスの両方において権限を付与する際に実行されます 監視制御の結果 これらの権限付与の取消しが必要な場合は 同じコネクタを使ってプロビジョニングを自動的に解除し 包括的な監査証跡を実行できます は 特権アカウントを積極的に管理するだけでなく ロックボックス の概念も提供します アカウントが からアクセスできないネットワーク サブネット内のターゲット システムに関連付けられている場合 OPAM のセキュリティ管理者は OPAM ロックボックス を作成することで 特権アカウント パスワードを一元的に保存し パスワードへのアクセス権をセキュアに付与できるため これらのアカウントをメモする必要がなくなります のアーキテクチャ OPAM サーバー (Java EE アプリケーション ) は 管理対象パスワード ( およびメタデータ ) を Oracle データベース内にセキュアに保存します ( 図 1) はチェックアウトやチェックイン プロセス中 ターゲット システム上のパスワードを必要に応じてコネクタでリセットします 共通の Oracle Identity Governance コネクタを利用するので 管理オーバーヘッドと総所有コストが軽減します コネクタは Oracle Integrated Connector Framework に基づいて をターゲット エンタープライズ アプリケーション ユーザー ディレクトリ データベース サーバー オペレーティング システム ハイパーバイザ およびネットワーク デバイスの外部ストアにリンクし Oracle Privileged Account Manager による特権アカウントの検出およびパスワード管理機能の使用を可能にします は UNIX LDAP データベース Windows SSH ベースのターゲット および SAP 用のコネクタのセットに同梱されています はこれらのコネクタにより UNIX/Linux サーバー Oracle Database( Oracle Database 9~ Oracle Database 11g) Microsoft SQL Server SAP Sybase Adaptive Server Enterprise 15.x IBM DB2 LDAP ディレクトリ 3 ORACLE PRIVILEGED ACCOUNT MANAGER: 機密リソースへのアクセスの保護と監査

6 (Microsoft Active Directory など ) SSH 経由でアクセス可能か RADIUS で管理されるネットワーク デバイス およびハイパーバイザなど 幅広いターゲット システムを管理できます さらに Oracle Privileged Account Manager は Oracle Exadata と Oracle Exalogic のエンジニアド システムで認定されています 特権アカウントはコネクタによって検出 識別されます コネクタはターゲット システムに対して これらのシステムのアカウントのリストを問い合わせます OPAM 管理者は リスト内のアカウントから特権アカウントとして管理するアカウント決定します 一般に は ターゲット上で検出可能なアカウントであればどれでも管理できます 図 1: のアーキテクチャ OPAM サーバーは RESTful API(REST は SOAP ベースの Web サービスに代わる軽量な HTTP ベースの Web サービス ) を公開します RESTful API は OPAM コンソールや OPAM コマンドライン クライアントを含む OPAM クライアント アプリケーションによって使用されます の RESTful API は SSL でセキュリティ保護されており ユーザー名 / パスワードによる HTTP 認証または証明書ベースの認証が必要です お客様とサービス インテグレータは のパブリック ( および実証済みの )RESTful API を使って カスタム インテグレーションを構築できます また では Oracle Platform Security Services Trust for Identity Propagation をサポートしているため OPAM コンソールに対して認証を行ったエンドユーザーの代わりに OPAM コンソールが OPAM サーバーへの REST API 呼出しを実行できます によって管理されるメタデータ情報とパスワードは Oracle データベース内で永続化されます お客様は Oracle Database Vault と透過的なデータ暗号化 (TDE) を利用してセキュリティを強化できます ベスト プラクティスとして TDE を使用することをお勧めします (Oracle Privileged Account Manager には 使用制限付きの TDE ライセンスが付属しています ) TDE の詳細については Oracle Technology Network(OTN) の Database Advanced Security を参照してください のプロセス フロー では パスワードまたはセッションを使った特権アカウントの使用をサポートしています では データベース管理者等のユーザーが特定のエンタープライズ アプリケーション オペレーティング システム またはデータベース サーバーのパスワードを " チェックアウト " することで特権アカウントを使用できます によってアカウント パスワードがリセットされると 管理者にパスワードが発行されます 管理者はパスワードを使用し 管理タスクの完了時にパスワードを " チェックイン " します 標準動作 ( デフォルトの構成ポリシー ) の場合 パスワードはチェックイン時に自動的に変更されるため 管理者は同じパスワードを再び使用しなくて済みます 注 : セッションをリクエストする場合 フローはやや異なります 以下の Oracle Privileged Account Manager のセッション管理を参照してください 4 ORACLE PRIVILEGED ACCOUNT MANAGER: 機密リソースへのアクセスの保護と監査

7 のパスワード チェックアウト プロセス パスワードは OPAM コンソールの OPAM コマンドラインを使用するか カスタム クライアント アプリケーションで OPAM RESTful API を使用してチェックアウトできます ( 図 3 を参照 ) たとえば 管理者が HR アプリケーション データベースにアクセスするために HR_ADMIN ユーザーのパスワードを要求しています ( が管理する他のどのターゲット システムにも同じプロセスが適用されます ) 図 2: のチェックアウト プロセスの概略図 1. 管理者は OPAM サーバーに対して認証を行って HR_ADMIN パスワードを要求します 2. OPAM サーバーは 要求元に HR_ADMIN アカウントが直接またはグループ メンバーシップ (HR アプリ ケーション管理者はグループに所属し HR_ADMIN アカウントがそのグループに付与されています ) を 介して付与されたかを確認します 3. エンタープライズ LDAP サーバー (ID ストア ) は 要求元の ID とロールを確認します 4. OPAM サーバーは アカウントの特定のパスワード ポリシーに基づいてパスワードを生成し データ ベース内の HR_ADMIN アカウントのパスワードをリセットします 注 : 複数のパスワード ポリシーを作成し 使用することができます 5. OPAM サーバーは 要求元にパスワードを返します 6. 要求元は によって生成された HR_ADMIN パスワードで 管理者とし てHRアプリケーション データベースにログインします タスクが完了すると 管理者はで再びパスワードを確認します Oracle Privileged Account Managerは パスワードを自動的に変更するように構成されているため パスワードが再使用される可能性がなくなります ( デフォルトの動作 ) また は構成可能なパスワード履歴を提供します たとえば 特定のユーザーとしてバックアップを実行し その時点のユーザー パスワードを取得する必要がある場合 パスワード履歴が必要になります 5 ORACLE PRIVILEGED ACCOUNT MANAGER: 機密リソースへのアクセスの保護と監査

8 図 3:OPAM コンソールを使用した HR_ADMIN パスワードのチェックアウト アプリケーション アカウントの管理 で管理できるアカウント タイプには サービスまたはアプリケーション アカウントも含まれます アプリケーションは実行時にこれらのアカウントを使って ターゲット システムに接続します 従来 管理者はインストール中にこれらのアカウントをセットアップした後で再び使用することはありません その結果 アプリケーション アカウントが原因で 環境内に隠れた脆弱性が生じることがあります たとえば 古いポリシーを使って作成されたためにパスワードのセキュリティが脆弱化したり 共通で使用されるデプロイメント パスワードが漏えいしたりする可能性があります サービスまたはアプリケーション パスワードの管理はさらに厄介です パスワードをターゲット システムで変更する必要があるだけでなく クライアント ( アプリケーション ) にも通知する必要があるからです Oracle Fusion Middleware(Oracle Fusion Applications など ) で構築したアプリケーションは Oracle Platform Security Services の Credential Store Framework をデフォルトで使用して パスワードを外部化します は クライアント アプリケーションを変更しなくても 資格証明ストアに保存されたパスワードを更新できます パスワードは 企業のパスワード ポリシーに基づいて アプリケーションには透過的に変更されます アプリケーションは常に パスワードのライフ サイクル管理に対処しなくても パスワードのチェックアウト / アクセスを実行できます の資格証明ストア フレームワークを利用しないアプリケーションの場合 プラグイン フレームワークを代わりに使用して パスワードをアプリケーション固有の外部ストレージ コンテナに対して同期できます この処理は アカウント パスワードの変更操作を実行し 新しいパスワードをプロパティ ファイルなどにプッシュするカスタム ロジックのプラグインで対応できます また アカウント パスワードを定期的に循環させるパスワード ポリシーを適用できます パスワードを循環させることで アプリケーション アカウントは常に最新の企業ポリシーに準拠し セキュアな状態に維持されます はサービスを中断することなく このタスクを実行します アプリケーションのアカウント パスワードの詳細については ブログ Oracle Privileged Account Manager を参照してください のセッション管理 最近のフロントページのセキュリティ侵害から 特権アカウントのアクセス制御と監視が重要であるという事実が重視されています 場合によっては 特権アカウント パスワードの管理だけでは十分ではありません はさらに セッション管理と監査機能を提供して 極端なユースケースに対応します の Privileged Session Manager(OPSM 図 4 を参照 ) 6 ORACLE PRIVILEGED ACCOUNT MANAGER: 機密リソースへのアクセスの保護と監査

9 はターゲット リソースへの単一のアクセス ポイントを作成することで 特権セッション内のすべてのアクティビティを制御および監視できるように管理者を支援します 図 4:OPAM Privileged Session Manager 環境のアーキテクチャ セッション開始 により エンドユーザーはターゲットへのアクセス権を取得します でアクセス権が付与された場合 Oracle Privileged Session Managerはゲートウェイのように動作し ターゲット上でユーザーのアクセス レベルを上げることができます たとえば ユーザー Joe は ユーザー root としてLinuxシステムにアクセスできます セッション開始時 権限資格証明 ( root パスワードなど ) がエンドユーザーに漏れることは絶対にありません セッション開始前に プラグイン フレームワークを使ってリアルタイムのアクセス承認を行うことができます たとえば 管理者がいないときに システムへの緊急アクセスを実行できます また セッション アクセスが付与されると 通知 ( テキスト メッセージまたは電子メール ) を監査者に送信できます 現在 準拠したサード パーティ クライアント (Putty OpenSSHなど ) ならいずれもサポートされています X11 VNC および他のプロトコルは 今後のリリースでサポートされる予定です セッション制御およびコマンド制御セッションは使用ポリシー ( セッションが終了するまで開いている時間を定義 ) によって制御されます ユーザーは 終了しないセッション たとえば 長時間実行のバックアップ ジョブに対応するためのセッションをリクエストできますが OPAM 管理者はいつでもセッションを強制終了できます アクセス制御のレベルを上げると 実行できるコマンドに関してユーザーに制限を課すことができます コマンドの制限は Oracle Privileged Session Manager から ホワイト リスト ベースのアプローチで行われます つまり ユーザーは 事前定義されたコマンド リストからのみコマンドを実行できます Oracle Privileged Session Manager を使用する場合 ターゲット システム上で agent は必要ないため ターゲット システム上でさらにソフトウェア コンポーネントのライフ サイクル管理を行う必要がなくなります セッションの監視と監査セッションが確立されると Oracle Privileged Session Managerはキーストロークを介してSSHセッション アクティビティを監視し 各セッションの入力 / 出力を検索可能な履歴レコード ( 記録 ) に記録して 裁判分析や監査データをサポートします ( 図 5を参照 ) 7 ORACLE PRIVILEGED ACCOUNT MANAGER: 機密リソースへのアクセスの保護と監査

10 図 5: のチェックアウト履歴 SSH セッションの録画は たとえば 共有アカウントが複数のユーザーによって同時に使用される場合でも ユーザーが開始したすべてのアクションに関する個別のアカウンタビリティになります Windowsセッションの録画と監査 Windowsベースのターゲット システムの場合 はターゲット上の OPAMエージェントを利用して ユーザー アクティビティをキャプチャし MPEG-4エンコード ビデオに録画されます ( 図 6) このビデオは標準 HTML5ブラウザで表示できます DVDやDVRと同様に 巻き戻しや先送りをしたり 特定のイベントの発生時点に直接ジャンプしたりすることができます 図 6:Windows での による録画 の監査とレポート で実施する監査では 特権アカウント パスワードやセッションをチェックアウトしたユーザーを判別できます ( 図 5 を参照 ) パスワードのチェックアウトに加えて すべての操作を監査および記録し 独自の組込みの監査レポートを提供します 実際 Oracle Privileged Account Manager の操作はすべて 監査データベースに保存されます のダッシュボード ( 図 7) は 現在使用中のアカウントとアクティブなセッションをリアルタイムで表示します 8 ORACLE PRIVILEGED ACCOUNT MANAGER: 機密リソースへのアクセスの保護と監査

11 図 7: のダッシュボード の監査とレポートは Oracle Fusion Middleware 監査サービスや Oracle Business Intelligence(BI)Publisher など 他の Oracle Fusion Middleware と組み合わせて カスタマイズしたレポートを生成できます ( 図 8) 図 8: と Oracle BI Publisher Enterprise を併用した監査とレポート のリソース グループおよび委任管理 では すべてのターゲットとアカウントがリソースと見なされます リソース グループは ターゲット アカウント その他のリソース グループを含めることができるリソースの集まりです ( 図 9) リソース グループは 環境内におけるより容易で優れたリソース管理を促進し さまざまな地域またはクラウド環境の数千ものシステムを管理する場合に特に威力を発揮します リソース グループは データをグループに編成し 管理を特定のユーザーまたはユーザー グループに委任することで 管理を簡素化します では セキュリティ管理者ロールなど グローバル管理ロールを持つユーザーには すべてのリソース つまり すべてのターゲットとアカウントへの管理アクセス権があります デプロイメントのニーズにより グローバル アクセス権ではなく リソースのサブセットに対する管理アクセス権をユーザーに付与する必要が生じます たとえば 地域の管理者は地域内のリソースのみを管理するためのアクセス権が必要な場合があります リソース グループは そのようなリソースのサブセットを作成し そのリソース グループの管理権限を特定のユーザー ユーザー グループ または両方に委任するためのメカニズムを実現します 9 ORACLE PRIVILEGED ACCOUNT MANAGER: 機密リソースへのアクセスの保護と監査

12 図 9: のリソース グループ ビューア の拡張性とカスタマイズ フレームワーク は Java ベースのプラグイン フレームワークを提供することで の管理と操作を拡張およびカスタマイズして 特定の要件をより的確に満たすことを可能にします このフレームワークにより 次のことが可能になります が操作 ( 電話を介したリアルタイムの緊急承認など ) を実行する前に データを検証および操作する が操作を実行した後 特定のアクションを実行する ( アカウントがチェックアウトされると通知を送信するなど ) OPAM コンソール コマンドライン または RESTful インタフェースを介してプラグインを登録および管理する をウォレット チケット管理システム 監査システムなど サード パーティ システムと統合する および Oracle Identity Governance はスタンドアロン コンポーネントとして実行できますが 特権アカウント管理 (PAM) システムの真価は 企業の ID 管理環境との相乗効果にあります 実際 Oracle Privileged Account Manager のおもな利点の 1 つには Oracle Identity Governance Suite への統合があります この統合により 通常のユーザーと特権ユーザーの両方をサポートする完全なガバナンス ソリューションが実現され 個々のアカウントや共有アカウントへのユーザーのアクセス権の認定と監査といった 企業のコンプライアンス要件を満たします この独自の利点によって 標準および特権アクセスの両方でシングル ユーザー エクスペリエンスがもたらされ 共通の認定およびレポート プロセスが実現します と Oracle Identity Governance プラットフォームの緊密な統合によって得られる利点を示す典型的なユースケースを以下に紹介します Oracle Identity Governance Suite のプロビジョニング機能により ユーザーを のディレクトリにプロビジョニング :Oracle Identity Governance のポリシーおよびロールベースのプロビジョニングの利用により が承認ワークフローを完全にサポートしながら 特権アカウント アクセス用に使用する特定の LDAP グループにシステム管理者をプロビジョニングできます Oracle Identity Governance プラットフォームによる特権アカウント アクセスのリクエストアカウント アクセスは通常 LDAP によって制御されます を使ったベスト プラクティスは 特権アカウント アクセスを LDAP グループ メンバーシップに結び付けることです これにより プロビジョニングなど 既存の LDAP グループ メンバーシップ プロセスで へのアクセスを管理できるようになります このユースケースの場合 ユーザーは 現在承認を受けていないアカウントへのアクセスをリクエストする必要があります 10 ORACLE PRIVILEGED ACCOUNT MANAGER: 機密リソースへのアクセスの保護と監査

13 Oracle Identity Governance プラットフォームがそのリクエスト カタログで特権アカウントの権限を公開 :( 図 9 を参照 ) 管理者は Oracle Identity Governance プラットフォームのアクセス リクエスト セルフサービスを使用して カタログを検索し 必要なグループを選択して 承認を得るためのリクエストを送信します 承認後 ユーザーにはグループ メンバーシップがプロビジョニングされて にアクセス可能になり 特権パスワードをチェックアウトできます これは事前統合済みのオプションですが アクセスをリクエストし ユーザーを適切な LDAP に追加するための他のメカニズムも代わりに使用できます 図 9:Oracle Identity Governance プラットフォームのリクエスト カタログの識別 Oracle Identity Governance プラットフォームによる break-glass アクセスのリクエスト管理者は Break-glass アクセスによって 通常は資格のない特権アカウントへの緊急アクセスを要求できます (break-glass メタファは ガラスを破って火災警報器を引くという意味から来ています ) このような状況は 重要なサーバーがダウンして 指定したサーバー管理者が使用できない場合に発生する可能性があります この場合 管理者は break-glass 緊急リクエストを示す Oracle Identity Governance プラットフォームのリクエスト プロセスを使用します リスエストを送信すると 顧客のプロセスやポリシーに基づく最小限または自動的な承認により break-glass ワークフローが開始されます 管理者は の LDAP グループにプロビジョニングされ 権限資格証明にアクセスできます イベントの特別なアラートが生成および監査され セキュリティ管理者に送信されます 顧客が定義したセキュリティ ポリシーに基づいて アクセスが自動的にプロビジョニング解除されます 特権アカウントへのアクセス権の委任 : 特定の期間休職する特権ユーザーは Oracle Identity Governance プラットフォームのセルフサービス委任機能を利用することで 休職中 組織のポリシー ガイドライン内で別のユーザーに自分の権限を委任し 復帰したら権限を再請求できます リスクベースの認定とクローズドループ修正の利用 :Oracle Identity Governance プラットフォームの標準機能を利用することで 特権アクセス情報をアクセス認定で使用できます リスクは 特権アクセスのステータス プロビジョニング方法などのその他のデータに基づいて計算できます アクセス違反が検出された場合は Oracle Identity Governance プラットフォームの中核機能であるクローズドループ修正を利用してアクセスを取り消すことができます さらに は Oracle Access Management プラットフォームの利点を活用して OPAM コンソールへのアクセスと不正検出を簡素化できます Oracle Access Management プラットフォームはサーバーベースのソリューションで Web アプリケーション認証 Web シングル サインオン ID アサーション およびセッション管理向けに一元的なポリシー駆動型サービスを提供します また Oracle Access Management プラットフォームは リアルタイムの不正予防 ソフトウェアベースの複数ファクタの認証 独自の認証強化機能を通じてリソースの保護を行います は Oracle Access Management プラットフォームを利用して OPAM コンソールのシングル サインオンおよびレイヤー化されたアクセス制御に対応します 11 ORACLE PRIVILEGED ACCOUNT MANAGER: 機密リソースへのアクセスの保護と監査

14 および補完的なセキュ リティ テクノロジー は Oracle Enterprise User Security Oracle Database Vault UNIX/Linux ユーザー管理など 他のセキュリティ コンポーネントと連携して 通常のユーザーと特権ユーザーの両方をサポートする本格的なセキュリティ ソリューションを実現します 以下のセクションでは Oracle Privileged Account Manager でこれらのテクノロジーを補完する方法について説明します および Oracle Database Enterprise User Security Oracle Enterprise User Security(EUS) は 管理者が自社のデータベース ユーザーを一元的に管理できるようにする Oracle Database の機能です エンタープライズ ユーザーは LDAP ディレクトリで作成され 1 つ以上のユーザー ディレクトリに登録された各種エンタープライズ データベースのロールと権限が割り当てられます オラクルの ID 管理製品の主要な差別化要因の 1 つに Oracle Enterprise User Security を Oracle Unified Directory に統合することで より優れた柔軟性とユーザー ディレクトリの選択肢をお客様に提供できるということがあります Oracle Unified Directory の仮想化機能により 組織は Oracle Internet Directory Oracle Unified Directory Oracle Directory Services Enterprise Edition およびその他のサード パーティ ディレクトリ サービス (Microsoft Active Directory(AD) など ) といった既存の企業ディレクトリを使って データベース ユーザーの ID を一元的に管理できます は 表 1 に示すように Oracle Enterprise User Security を補完するサービスを提供します 機能の説明 以下によりサポート エンドユーザー パスワード用に既存のエンタープライズ LDAP パスワードを使用 EUS データベースのユーザー名を LDAP ユーザーに データベース ロールを LDAP グループにマッピング EUS SYS/SYSTEM パスワードを管理 特権アプリケーション アカウントのパスワードを管理 非 Oracle データベース管理者パスワードを管理 表 1:Oracle Enterprise User Security および 12 ORACLE PRIVILEGED ACCOUNT MANAGER: 機密リソースへのアクセスの保護と監査

15 および Oracle Database Vault Oracle Database(Oracle DB)Vault は Oracle DB 管理者の職務分離 最小権限 データ整合性とデータ プライバシを確保するためのその他の予防措置を実施します Oracle DB Vault は Oracle DB に格納されたアプリケーション データを 特権データベース ユーザーによる不適切なアクセスから予防的に保護します は 表 2 に示すように Oracle DB を補完するサービスを提供します 機能の説明 以下によりサポート 特権ユーザー アクセス制御により アプリケーション データへのアクセスを制限 複数ファクタの認可により エンタープライズ セキュリティ ポリシーを実施 セキュアなアプリケーション統合 Oracle DB Vault の特権アカウント パスワード (SEC_ADMIN など ) を管理 データベースの特権アカウント パスワード (SYS など ) を管理 Oracle DB Vault Oracle DB Vault Oracle DB Vault 表 2:Oracle Database Vault および および UNIX/Linux ユーザー管理 Oracle Authentication Services for Operating Systems(OAS4OS) により 企業は Oracle Internet Directory を使用して UNIX と Linux の認証 ユーザー アカウント パスワード ポリシー Sudo(UNIX スーパーユーザー ) 認可ポリシーを一元管理できるようになります Oracle Authentication Services for Operating Systems は オープン標準インタフェースを基にしており クライアント構成とユーザー移行を完全に自動化し ネットワーク情報システム (NIS) ネーミング サービス ( 現在廃止 ) を置き換える LDAP ベースのネーミング サーバーとしての役割を果たします ( 注 :Oracle Authentication Services for Operating Systems をデプロイしない場合でも Oracle Unified Directory や Oracle Directory Server Enterprise Edition など 他の Oracle ディレクトリ サービスを使って 一元化した UNIX/Linux 環境を構築できます ) は 表 3 に示すように Oracle Authentication Services for Operating Systems を補完するサービスを提供します 機能の説明 以下によりサポート エンドユーザー パスワード用に既存のエンタープライズ LDAP を使用 UNIX グループと NIS マップを LDAP にマッピング root パスワードを管理 特権アプリケーション アカウントを管理 Microsoft Active Directory のパスワード (AD ドメインで認証を行う Microsoft Windows マシン ) を管理 OAS4OS OAS4OS 表 3:OS および 用 Oracle Authentication Services 13 ORACLE PRIVILEGED ACCOUNT MANAGER: 機密リソースへのアクセスの保護と監査

16 結論 組織は大量の管理アカウントをセキュアで効率的 スケーラブルな方法で管理しようと頭を悩ませています 特権アカウントはシステム 企業や国家の機密情報に幅広くアクセスできるため もっとも重要な管理対象アカウントです 特権アカウントの管理に失敗すると データ侵害 盗難 コンプライアンス違反 サービスの停止が生じる可能性があります Oracle Privileged Session Manager はターゲット リソースへの単一のアクセス ポイントを作成することで 特権セッション内のすべてのアクティビティを容易に制御および監視できるように管理者を支援します は 組織による特権アカウント パスワードの管理を可能にする 汎用性の高い統合ソリューションを実現します はスタンドアロン ソリューションとして動作できますが 他の Oracle Identity Management コンポーネントと併用するとさらに高い価値を発揮します Oracle Identity Governance プラットフォームの一部である Oracle Privileged Account Manager は全面監査およびレポート機能を搭載して データベース サーバー オペレーティング システム エンタープライズ アプリケーション アカウントへのセキュアなセルフサービス アクセスを提供します または他の Oracle Identity Management ソリューションの詳細については オラクルの Web サイト ( を参照してください 14 ORACLE PRIVILEGED ACCOUNT MANAGER: 機密リソースへのアクセスの保護と監査

17 Oracle OAuth Service の著者 : Kanishk Mahajan 2015 年 3 月 : 海外からのお問い合わせ窓口 : 電話 : ファクシミリ : Copyright 2015, Oracle and/or its affiliates.all rights reserved. 本文書は情報提供のみを目的として提供されており ここに記載されている内容は予告なく変更されることがあります 本文書は一切間違いがないことを保証するものではなく さらに 口述による明示または法律による黙示を問わず 特定の目的に対する商品性もしくは適合性についての黙示的な保証を含み いかなる他の保証や条件も提供するものではありません オラクル社は本文書に関するいかなる法的責任も明確に否認し 本文書によって直接的または間接的に確立される契約義務はないものとします 本文書はオラクル社の書面による許可を前もって得ることなく いかなる目的のためにも 電子または印刷を含むいかなる形式や手段によっても再作成または送信することはできません OracleおよびJavaはOracleおよびその子会社 関連会社の登録商標です その他の名称はそれぞれの会社の商標です IntelおよびIntel XeonはIntel Corporationの商標または登録商標です すべてのSPARC 商標はライセンスに基づいて使用されるSPARC International, Inc. の商標または登録商標です AMD Opteron AMDロゴおよびAMD Opteronロゴは Advanced Micro Devicesの商標または登録商標です UNIXは The Open Groupの登録商標です 機密リソースへのアクセスの保護と監査 2015 年 4 月著者 :Olaf.Stullich@oracle.com 共著者 : Marc Chanliau Buddhika Kottahachchi Arun Theebaprakasam