Microsoft PowerPoint - J-DBVAULT4SAP.ppt [互換モード]

Transcription

1 < ここに画像を挿入 > Oracle Database Vault for SAP Christoph Kersten Oracle/SAP Global Technology Center, Walldorf

2 以下の事項は 弊社の一般的な製品の方向性に関する概要を説明するものです また 情報提供を唯一の目的とするものであり いかなる契約にも組み込むことはできません 以下の事項は マテリアルやコード 機能を提供することをコミットメント ( 確約 ) するものではないため 購買決定を行う際の判断材料になさらないで下さい オラクル製品に関して記載されている機能の開発 リリースおよび時期については 弊社の裁量により決定されます Oracle PeopleSoft JD Edwards 及び Siebel は 米国オラクル コーポレーション及びその子会社 関連会社の登録商標です その他の名称はそれぞれの会社の商標の可能性があります 2

3 Agenda Database Vault の機能の概要 < ここに画像を挿入 > 概念 アクセス制御コンポーネント ツール ポリシー実装レベル Oracle Database Vault for SAP プロジェクト概要 インストールおよび構成 変更の概要 未解決の問題

4 Agenda Database Vault の機能の概要 < ここに画像を挿入 > 概念 アクセス制御コンポーネント ツール ポリシー実装レベル Oracle Database Vault for SAP プロジェクト概要 インストールおよび構成 変更の概要 未解決の問題

5 機密データの保護 質問 : 会社では 機密データの保護を支援する技術を使用していますか はい いいえ 0% 20% 40% 60% 80% 100% 出典 : InformationWeek 2008 年 10 月号

6 Oracle Database Security Database Vault Configuration Management Advanced Security Total Recall Secure Backup Audit Vault Data Masking Label Security

7 Oracle Database Vault が扱うのは 規制の準拠 インサイダーによる脅威 柔軟なセキュリティ ポリシーの必要性 統合における懸案事項 アウトソーシングの懸案事項

8 Oracle Database Vault の概念 Database Vault が変更しないこと DB のオブジェクト権限に基づいたアクセス権限 アプリケーション固有のルールに基づいたアクセス権限ルに基づいたアクセス権限 オペレーティング システムの権限に基づいたアクセス権限 ( たとえば root Oracle 所有者 ) Database Vault が行うこと DBのシステム権限に基づいたデータ アクセスの防止 次のような方針に基づいて これらのアクセス権限をより柔軟な権限に置き換える 職務の分離 ( 職務分掌 ) デュアルキー セキュリティ その他

9 アプリケーションDBAとアプリケーション ユーザー ALTER, DROP SELECT SOME_APP オブジェクト アプリケーション DBA アプリケーションの実行 アプリケーション ユーザー

10 Agenda Database Vault の機能の概要 < ここに画像を挿入 > 概念 アクセス制御コンポーネント ツール ポリシー実装レベル Oracle Database Vault for SAP プロジェクト概要 インストールおよび構成 変更の概要 未解決の問題

11 レルム レルムは オブジェクト権限が付与されている場合を除き 次のようなデータベース オブジェクトへのアクセスを防止する SELECT ON HR.EMPLOYEES EXECUTE ON HR.GIVE_RAISE RAISE したがって これらのシステム権限は レルムによって保護された次のオブジェクトに対するアクセスを許可しない SELECT ANY TABLE EXECUTE ANY PROCEDURE CREATE TABLE オブジェクト権限を付与されないかぎり 非メンバーのスキーマ所有者であっても自分自身のオブジェクトにアクセスできない

12 ファクタ ファクタとは データベース セッションの属性 アイデンティティとしてラベル付けできる値を持つことができる アクセスを識別するために 他のアクセス制御コンポーネントで簡単に参照できる 他のファクタと組み合わせて 複数ファクタ認可を提供できる 事前定義されたファクタ ( 例 ): Authentication_Method Client_IP Database_Instance Database_Name Domain Language Machine Network_Protocol Program Session_User

13 アイデンティティ アイデンティティとは 値である ファクタに関連付けられている 信頼レベルが指定されている ラベルを付けることができる 他のファクタから解決できる INTERNET アイデンティティ INTRANET アイデンティティ DOMAIN ファクタ SECURE アイデンティティ

14 ルール セット マシンはローカルか TRUE または FALSE AND / OR 週末か TRUE またはFALSE AND / OR AND / OR APP.STATUS 列は > 0 か TRUE または FALSE ルール セットの結果 TRUE または FALSE

15 コマンド ルール コマンド タイプ オブジェクト 実行するコマンド 対象オブジェクト 所有者所有者であるユーザー ルール セット このルール セットは TRUEに評価されることが必要である コマンド ルール

16 セキュア アプリケーション ロール セキュア アプリケーション ロールは 特定のPL/SQLプロシージャを使用することで有効にできるデータベース ロールである Database Vault Administratorは Database Vaultのルール セットの結果に基づいて セキュア アプリケーション ロールを作成できる アプリケーションは Database Vault API を呼び出して これらのロールを設定できる ロールは 必要な権限を持っている ロールが有効ではない ロールが有効である

17 Agenda Database Vault の機能の概要 < ここに画像を挿入 > 概念 アクセス制御コンポーネント ツール ポリシー実装レベル Oracle Database Vault for SAP プロジェクト概要 インストールおよび構成 変更の概要 未解決の問題

18 Database Vault Administrator(DVA)

19 レポート作成

20 Agenda Database Vault の機能の概要 < ここに画像を挿入 > 概念 アクセス制御コンポーネント ツール ポリシー実装レベル Oracle Database Vault for SAP プロジェクト概要 インストールおよび構成 変更の概要 未解決の問題

21 ポリシー実装レベル : 概要 アプリケーション固有のコンポーネント ( 顧客 ) アプリケーション固有のコンポーネント (Oracle) Database Vaultの標準コンポーネント (Oracle)

22 Database Vault: 標準アカウント Database Vaultのインストール時に 次のデータベース アカウントが設定される Database Vault Owner 任意の有効なデータベース アカウント名 DV_OWNERロールの付与 DV_ACCTMGR ロールの付与 (Database Vault Account Managerアカウントが作成されていない場合 ) Database Vault に必要 Database Vault Account Manager 任意の有効なデータベース アカウント名 DV_ACCTMGRロールを付与 オプション ( 作成必須ではない ) 2つのアカウント間で職務分掌していない場合 Database Vault Ownerは一時的にユーザーを新規作成し これら Database Vaultコンポーネントに追加して一時的なアクセスを許可し 続いてこれらのユーザーを削除する

23 Database Vault: 標準レルム

24 標準の Database Vault: まとめ 標準の Database Vault に付属するもの 自身の保護に必要なものすべて データベースのシステム データ (data t dictionary) ) の保護に必要なものすべて 標準の Database Vault ほとんどの場合 すぐに使用できない アプリケーションの要件と顧客のセキュリティ要件に応じて 追加ポリシー コンポーネントの定義が必要

25 アプリケーション固有の DB Vault ポリシー Oracle E-Business Suite JD Edwards Oracle Internet Directory SAP Peoplesoft Siebel Oracle Content DB

26 Database Vault for SAP Oracle Database Vault for SAP 標準 DVに加えて Oracle が提供するアプリケーション固有のDVポリシーを実装したもの 前章のアプリケーション固有のポリシー実装で学んだレッスンを活用 顧客指定のポリシー コンポーネントで拡張可能

27 Agenda Database Vault の機能の概要 < ここに画像を挿入 > 概念 アクセス制御コンポーネント ツール ポリシー実装レベル Oracle Database Vault for SAP プロジェクト概要 インストールおよび構成 変更の概要 未解決の問題

28 プロジェクト概要 2007 年 12 月 DB Vaultの統合および評価の初回テスト Oracle Release Beta DB Vault Beta Shiphome SAP NetWeaver(ABAP+Java) Linux 32bit 版 2008 年 5 月 OracleおよびDB Vault Beta Shiphome SAP NetWeaver(ABAP+Java) Linux 32bit 版 SAP NetWeaver(ABAP+Java) ) Windows 32bit 版 2008 年 8 月 Oracle Release DV ( 製品 ) SAP NetWeaver(ABAP+Java) AIX 64Bit 版 2008 年 8/9 月パイロット プログラムの開始 計画 : ~55 パイロット顧客 2008 年末パイロット プログラムの終了 2009 年 SAP 用 DV 認定第 1 四半期

29 プロジェクト概要 2007 年 12 月 DB Vaultの統合および評価の初回テスト Oracle Release Beta DB Vault Beta Shiphome SAP NetWeaver(ABAP+Java) Linux 32bit 版 2008 年 5 月 OracleおよびDB Vault Beta Shiphome SAP NetWeaver(ABAP+Java) Linux 32bit 版 SAP NetWeaver(ABAP+Java) ) Windows 32bit 版 2008 年 8 月 Oracle Release DV ( 製品 ) SAP NetWeaver(ABAP+Java) AIX 64Bit 版 2008 年 8/9 月パイロット プログラムの開始 計画 : ~55 パイロット顧客 2008 年末パイロット プログラムの終了 2009 年 SAP 用 DV 認定第 1 四半期

30 前提条件および要件 Oracle Database Release 10204( ( 製品 ) Oracle/SAP 共同推奨事項に従って Oracleデータベースがインストールされ構成されていること データベース パッチ SAP Note データベース パラメータタ SAP Note SAP NetWeaver with SAP Kernel Release 7.00 以上 SAP BR*Tools Release 7.00 Patchlevel 36 以上

31 DV のソフトウェアおよびドキュメント RDBMS および Database Vault 用の Oracle ソフトウェアは SAP Service Marketplaceからダウンロード可能 p Oracle RDBMS パッチ セット RDBMSパッチ DV ソフトウェア DVパッチ DVスクリプト Oracle Database Vault for SAP に関するドキュメント SAP Note ( パイロット顧客のみアクセス可能 ) 提供予定 : DVを使用するOracle 上のSAPに関するOracleホワイト ペーパー Oracleドキュメント ( インストール ガイド 管理ガイド リリース ノート OTNのホワイト ペーパー )

32 Agenda Database Vault の機能の概要 < ここに画像を挿入 > 概念 アクセス制御コンポーネント ツール ポリシー実装レベル Oracle Database Vault for SAP プロジェクト概要 インストールおよび構成 変更の概要 未解決の問題

33 Database Vault のインストール 準備手順 : 以下をバックアップ ORACLE_HOMEおよびOracle Inventory データベース (brbackup) データベース構成ファイル ($ORACLE_HOME/dbs $ORACLE_HOME/network/admin) (init.ora sqlnet.ora tnsnames.ora listener.ora) インストールに使用する作業ディレクトリの作成 ( スプール出力 インストール ログ ソフトウェア パッチ ステージなど ) データベースのすべての接続が正しく動作していることを確認する DVをインストールする前に データベース接続を (ora<sid> または <sid>admユーザーとして ) チェックする R3trans d を介してデータベース接続を検証するス接続を検証する データベース ユーザーのリストを取得する ( 後で比較するため )

34 Database Vault のインストール 準備手順 : データベースの監査をオフにする DVインストール後に 再度オンにできる 一時表領域の名前を変更する SQL> ALTER TABLE PSAPTEMP RENAME TO TEMP; Oracle Enterprise Manager DB Control の設定 EM DB Controlは デフォルトではSAP 環境に設定されていない Database Vault Administrator(DVA)GUIの前提条件 DVAはDB Controlと同一のOC4Jを使用する EM DB Controlのインストールには Database Configuration Assistant DBCA を実行する %dbca

35 Database Vault のインストール 準備手順 : Database Vault Policy Scripts for SAPをダウンロードして解凍する (DVをインストールする前に データベース アカウントを新規作成するス ) sqlplus / as sysdba SAP Service Marketplace からDatabase Vault をダウンロードし ステージング エリアに解凍する SAPアプリケーションを停止する % stopsap r3 ORACLE_HOME から Oracle インスタンスと実行されているすべての Oracleプロセスをシャットダウンする

36 Database Vault のインストール Database Vault ステージからインストーラを開始./runInstaller ( 対話インストールまたはサイレント インストール )

37 Database Vault のインストール

38 Database Vault のインストール

39 Database Vault のインストール Enterprise Manager Database Control URL: Database Vault Administrator URL: /

40 Database Vault のインストール インストール後の手順 : EM DB Control を開始 一時表領域の名前を元の名前に変更 : SQL> ALTER TABLE TEMP RENAME TO PSAPTEMP; DV インストール時に変更されたデータベース パラメータを適用タを適用 OS_AUTHENT_PREFIX, REMOTE_OS_AUTHENT SAP 用 DVポストインストール スクリプトを実行スクリプトを実行 post_dbv_install_secadmin.sql post_dbv_install_secacctmgr.sql DV Administrator にログオン

41 Database Vault のインストール インストール後の手順 : SAP 用 DV 設定スクリプトを実行 sqlplus /nolog SQL> connect SECADMIN/<pwd> SQL> spool create_dbv_sap_policies.log i l SQL> spool off

42 Database Vault Administrator(DVA)

43 Agenda Database Vault の機能の概要 < ここに画像を挿入 > 概念 アクセス制御コンポーネント ツール ポリシー実装レベル Oracle Database Vault for SAP プロジェクト概要 インストールおよび構成 変更の概要 未解決の問題

44 変更の概要 Database Vault のインストールが与える影響 Database Server ソフトウェア ORACLE_HOME データベース データベース ユーザーおよびスキーマの新規作成 データベース オブジェクトの新規作成 データベース構成 構成ファイル パスワード ファイル

45 変更の概要 Database Vault のデータベース スキーマスキ SYSMANスキーマ (EM DBControl) DVSYS/DVFスキーマ (DVリポジトリ) Database Vault アカウント SECADMIN: DV セキュリティ管理者 SECACCTMGR: DV アカウント マネージャ SAP の新しいデータベース アカウント ABAP_CRED_MGR: SAP アカウント パスワードを管理するためのアカウント SUPPORT_USER: Oracle/SAPサポートのログイン アカウント EMERGENCY_USER: 緊急 / サポート状況におけるログイン アカウント BR_DBA: DBA アカウント (Oracle デフォルト アカウント SYSTEM のかわり )

46 SAP の新しいデータベース アカウント ABAP_CRED_MGR: SAPアカウント パスワードを管理するためのアカウント : SQL> alter user sapsr3 identified by <new pwd>; SUPPORT_USER: USER: Oracle/SAPサポートのログイン アカウント デフォルトではロックされている EMERGENCY_USER: 緊急状況でのログイン アカウント SUPPORT_USERUSER と同じ権限 BR_DBA: SAP BR*Toolsを使用してデータベース管理を行うためのDBA 権限を持ったアカウント Oracle のデフォルト DBA アカウント SYSTEM を置き換える

47 Agenda Database Vault の機能の概要 < ここに画像を挿入 > 概念 アクセス制御コンポーネント ツール ポリシー実装レベル Oracle Database Vault for SAP プロジェクト概要 インストールおよび構成 変更の概要 未解決の問題

48 SAP および DV の未解決の問題 セグメント管理 オンラインでの索引の再構築 オンラインでの再定義 BRSPACE によるオンラインでの表の再編成 Database Vaultのパッチ処理 MOPatchによってまだサポートされていないDVパッチのインストール DVパッチのインストールには 複数のステップが必要 DVを無効にする パッチをインストールする DV を再度有効にする

49 特別な構成 環境 次の SAP 内の Oracle Database Vault の統合を開始 単一インスタンスであること MCOD でない スタンバイ /Data Guardでない サードパーティー製アプリケーションがインストールされていない さらに複雑な環境をテストし 後日説明および認証する MCOD RAC スタンバイ /DataGuard

50 50