甲骨文云保障数据安全：为您本地及OCI部署的数据库实施Oracle Data Safe

本参考架构突出显示了将目标数据库连接到Oracle Data Safe的不同方式。它还描述了为安全部署特定目标数据库的连接所需采取的安全措施。

Oracle Data Safe是一项完全集成的区域性云服务，专注于数据安全。它为保护Oracle数据库中的敏感和受规管数据提供了Oracle Cloud Infrastructure的一整套完整且集成的功能。

Oracle Data Safe为Oracle Autonomous Database和运行在Oracle Cloud中的数据库提供必要的安全服务。Data Safe还支持本地数据库、Oracle Exadata Cloud@Customer和多云部署。所有Oracle数据库客户都可以通过使用Data Safe来评估配置和用户风险、监控和审计用户活动以及发现、分类和屏蔽敏感数据，从而降低数据泄露的风险并简化合规性。

例如欧盟通用数据保护条例（GDPR）和加利福尼亚州消费者隐私法（CCPA）等合规法律要求公司保护客户的隐私。在安全且高效的方式中运行各种托管数据库，需要管理这些数据的安全。Oracle Data Safe帮助您了解数据敏感性，评估数据风险，屏蔽敏感数据，实行和监控安全控制，评估用户安全，监控用户活动，以及满足数据安全合规性要求。

在将数据库添加为目标后，Data Safe识别、分类和优先处理风险，并就以下方面提供全面的评估报告：

• 安全参数
• 使用中的安全控制
• 用户角色和权限

Data Safe帮助满足各种合规要求，如识别敏感数据所在位置、为非生产用途屏蔽敏感数据、安全地捕获审计数据等。审计合规标准代表了一组有助于加速遵守监管标准的审计政策。它们还有助于评估您是否遵守数据库合规性要求。在活动审计期间，可以启用两种审计合规标准政策：

• 互联网安全中心（CIS）配置 - 适用于Oracle Database 12.2及更高版本。
• 安全技术实施指南（STIG） - 适用于Oracle Database 21c及更高版本。

架构

本参考架构概述了Data Safe连接到这些数据库的方式：

• 部署在本地的数据库。
• 部署在OCI裸金属数据库系统或虚拟机数据库系统上的数据库。
• 注意：本参考架构仅讨论具有私有IP地址的数据库。从安全角度来看，不建议配置具有公共IP地址的数据库。
• 下图展示了这一架构。

上图所示的本地连接器可以连接到多个数据库。这同样适用于FastConnect或VPN Connect选项，因为这是一种网络层连接。

对于这里讨论的所有不同的Data Safe部署，我们建议您在您的租户中部署一个登陆区。以下资源为安全和合规、登陆区概念提供最佳实践，以及如何使用terraform脚本在Oracle Cloud Infrastructure上部署登陆区：

• Oracle Cloud Infrastructure的最佳实践框架
• 部署符合CIS Foundations Benchmark的安全登陆区
• OCI符合CIS标准的登陆区 注意：请参考下方的更多探索主题以获取这些资源。

部署在本地的数据库

要连接位于本地且拥有私有IP地址的目标数据库，请选择以下两个选项之一：

• 本地连接器
• 私有端点 使用本地连接器时，无需FastConnect或VPN Connect。使用私有端点时，您需要在Oracle Cloud Infrastructure和非Oracle云环境之间已有一个现有的FastConnect或VPN Connect。然后，在Oracle Cloud Infrastructure的VCN中创建一个可以访问数据库的私有端点。 以下资源描述了这种架构及其在文档中的设置：
• 目标数据库的连接选项
• Oracle Data Safe私有端点
• Oracle Data Safe本地连接器
• 创建Oracle Data Safe私有端点
• 创建Oracle Data Safe本地连接器 注意：请参考下方的更多探索主题以获取这些资源。

部署在OCI裸金属数据库系统或OCI虚拟机数据库系统上的数据库

要连接位于OCI裸金属数据库系统或OCI虚拟机数据库系统上且拥有私有IP地址的目标数据库，请选择以下两个选项之一：

• 本地连接器
• 私有端点 当您需要特定数据库时，可以使用此解决方案；例如，OCI Oracle EBS部署或Oracle EBS FORM部署。您可以通过使用连接器，或结合FastConnect或VPN Connect和私有端点来连接这样的数据库。 以下资源描述了这种架构及其在文档中的设置：
• 目标数据库的连接选项
• Oracle Data Safe私有端点
• 创建Oracle Data Safe私有端点
• 多云服务模型 注意：请参考下方的更多探索主题以获取这些资源。

这种架构包含以下组件：

租户（Tenancy）

Oracle Autonomous Transaction Processing是一种自驾、自保护、自修复的数据库服务，专为交易处理工作负载优化。您无需配置或管理任何硬件，也无需安装任何软件。Oracle Cloud Infrastructure负责创建数据库，以及备份、打补丁、升级和调优数据库。

地区（Region）

Oracle Cloud Infrastructure地区是一个包含一个或多个数据中心（称为可用性域）的地理区域。地区相互独立，它们之间可能相隔很远（跨越国家甚至大陆）。

分区（Compartment）

分区是Oracle Cloud Infrastructure租户内跨地区的逻辑分区。使用分区来组织Oracle Cloud中的资源，控制对资源的访问，并设置使用配额。要控制对特定分区中资源的访问，您需要定义策略，指定谁可以访问这些资源以及他们可以执行哪些操作。

可用性域（Availability domains）

可用性域是地区内独立的、自主的数据中心。每个可用性域中的物理资源与其他可用性域中的资源隔离，从而提供故障容忍。可用性域不共享基础设施，如电源或冷却系统，或内部的可用性域网络。因此，一个可用性域的故障不太可能影响该地区内的其他可用性域。

故障域（Fault domains）

故障域是可用性域内的硬件和基础设施分组。每个可用性域有三个故障域，它们具有独立的电源和硬件。在多个故障域中分布资源时，您的应用程序可以承受物理服务器故障、系统维护和故障域内的电力故障。

虚拟云网络（VCN）和子网

VCN是您在Oracle Cloud Infrastructure地区中设置的可自定义、软件定义的网络。与传统数据中心网络一样，VCN使您完全控制您的网络环境。VCN可以拥有多个不重叠的CIDR块，这些块在创建VCN后可以更改。您可以将VCN分割为子网，这些子网可以是针对地区或可用性域。每个子网由不与VCN中其他子网重叠的连续地址范围组成。创建后，您可以更改子网的大小。子网可以是公共的或私有的。

负载均衡器（Load balancer）

Oracle Cloud Infrastructure负载均衡服务提供从单个入口点到后端多个服务器的自动流量分配。负载均衡器为不同的应用程序提供访问。

服务网关（Service gateway）

服务网关提供从VCN到其他服务（如Oracle Cloud Infrastructure对象存储）的访问。从VCN到Oracle服务的流量通过Oracle网络织物传输，永远不会穿越互联网。

Cloud Guard

您可以使用Oracle Cloud Guard来监控和维护Oracle Cloud Infrastructure中资源的安全性。Cloud Guard使用您可以定义的检测器配方来检查资源的安全弱点，并监控运营商和用户的高风险活动。当检测到任何配置错误或不安全活动时，Cloud Guard会推荐纠正措施，并根据您可以配置的响应者配方协助采取这些措施。

FastConnect

Oracle Cloud Infrastructure FastConnect提供了一种简单的方法来创建您的数据中心与Oracle Cloud Infrastructure之间的专用、私有连接。FastConnect提供更高带宽选项和相比基于互联网的连接更可靠的网络体验。

自动化数据库（Autonomous database）

Oracle Cloud Infrastructure自动化数据库是完全托管、预配置的数据库环境，您可以用于事务处理和数据仓库工作负载。您无需配置或管理任何硬件，也无需安装任何软件。Oracle Cloud Infrastructure负责创建数据库，以及备份、打补丁、升级和调优数据库。

自动事务处理（Autonomous Transaction Processing）

Oracle Autonomous Transaction Processing是一种自驾、自保护、自修复的数据库服务，专为事务处理工作负载优化。您无需配置或管理任何硬件，也无需安装任何软件。Oracle Cloud Infrastructure负责创建数据库，以及备份、打补丁、升级和调优数据库。

Exadata Cloud Service允许您在云中利用Exadata的强大功能。您可以配置灵活的X8M系统，根据需求增加数据库计算服务器和存储服务器。X8M系统提供RoCE（RDMA over Converged Ethernet）网络，以实现高带宽和低延迟，持久内存（PMEM）模块，以及智能Exadata软件。您可以使用等同于四分之一机架X8系统的形状来配置X8M或X9M系统，然后在配置后的任何时候增加数据库和存储服务器。

推荐

在为您的本地和OCI部署的数据库实施Oracle Data Safe时，以下推荐可作为起点。您的需求可能与这里描述的架构不同。

VCN

• 创建VCN时，根据您计划连接到VCN子网的资源数量，确定所需的CIDR块数量及每个块的大小。使用标准私有IP地址空间内的CIDR块。
• 选择不与您打算建立私有连接的任何其他网络（在Oracle Cloud Infrastructure、您的本地数据中心或其他云提供商）重叠的CIDR块。
• 创建VCN后，您可以更改、添加和移除其CIDR块。
• 在设计子网时，考虑您的流量流向和安全需求。将特定层或角色内的所有资源连接到同一个子网，这可以作为一个安全边界。

安全

主动使用Oracle Cloud Guard来监控和维护Oracle Cloud Infrastructure中资源的安全。Cloud Guard使用您可以定义的检测器配方来检查资源的安全弱点，并监控运营商和用户的高风险活动。当检测到任何配置错误或不安全活动时，Cloud Guard会推荐纠正措施，并根据您可以配置的响应者配方协助采取这些措施。

对于需要最高安全性的资源，Oracle建议您使用安全区域。安全区域是与Oracle定义的基于最佳实践的安全策略配方相关联的分区。例如，安全区域中的资源不得从公共互联网访问，并且必须使用客户管理的密钥进行加密。在安全区域中创建和更新资源时，Oracle Cloud Infrastructure会根据安全区域配方中的策略验证操作，并拒绝违反任何策略的操作。

Cloud Guard

克隆并自定义Oracle提供的默认配方，以创建自定义的检

测器和响应者配方。这些配方使您能够指定哪种类型的安全违规会生成警告，以及允许对其执行的操作。例如，您可能希望检测将可见性设置为公共的对象存储桶。

在租户级别应用Cloud Guard，以覆盖最广泛的范围并减少维护多种配置的管理负担。

您还可以使用管理列表功能，将特定配置应用于检测器。

网络安全组（NSGs）

您可以使用NSGs定义一组适用于特定VNICs的入站和出站规则。我们建议使用NSGs而不是安全列表，因为NSGs使您能够将VCN的子网架构与应用程序的安全需求分离。

负载均衡器带宽

创建负载均衡器时，您可以选择提供固定带宽的预定义形状，或指定一个自定义（灵活）形状，设置带宽范围，并根据流量模式让服务自动调整带宽。无论采用哪种方法，您都可以在创建负载均衡器后随时更改其形状。

开启您的Oracle云之旅：Agilewing - 您的智能云服务伙伴

作为Oracle的高级合作伙伴，Agilewing正重新定义企业体验Oracle云服务的方式。借助于其简化的开户流程和一流的技术支持，Agilewing将复杂的开户和操作流程转化为一种轻松、直观的体验。通过我们的一站式服务，您可以迅速开启并享受Oracle云的全方位服务，从而无缝融入云端世界。

Agilewing的AgileCDN服务，结合了OCI的云基础服务，提供了一流的全球内容加速解决方案。超过2800个全球POP节点和7000个直连点的强大网络，确保了无论您的业务扩展到全球哪个角落，都能保持高效稳定的运行。

利用Oracle云的先进技术，Agilewing致力于简化云服务搭建、云迁移和业务出海的过程。我们的合作模式为客户带来经济高效的解决方案，使他们能够更加专注于核心业务，同时享受Oracle云的高性能和安全保障。

Oracle云服务，作为一个充满潜力的领域，以其高性能、安全性和全球统一的服务标准，为各类企业开启了新的机遇之门。通过Agilewing的专业服务，无论是个人用户还是企业，都能轻松步入这个充满技术革新和高效能的新时代。现在，就让Agilewing引领您开始探索Oracle云服务，打开一个全新的世界大门。