甲骨文云OCI-为您的本地数据库实施甲骨文数据安全解决方案

您需要一种安全高效的方式来管理数据中心的日常安全。可以通过安全的TLS隧道将数据库连接到Oracle云，并使用Oracle Data Safe作为Oracle数据库的统一控制中心。Oracle Data Safe旨在帮助您了解数据的敏感性，评估数据风险，掩盖敏感数据，实施并监控安全控制，评估用户安全，监控用户活动，并满足数据安全合规要求。

架构

Oracle Data Safe是一个统一的控制中心，监控Oracle数据库的日常安全。参考架构展示了使用安全TLS隧道从本地到Oracle云基础设施（OCI）的典型部署方式。将此架构作为在本地数据中心管理Oracle数据库时实施Oracle Data Safe的一个示例。连接数据库和Oracle Data Safe之间有多种选择，包括使用Oracle云基础设施FastConnect、VPN Connect，或使用Data Safe的本地连接器（如图所示）。在大多数情况下，如果没有FastConnect，则应使用本地连接器。如果您对哪种选项适合您有疑问，请咨询您的账户团队。以下图表说明了这一参考架构。

架构包含以下组件：

租户

• 当您注册Oracle云基础设施时，Oracle在Oracle云中为您设置一个安全且隔离的分区，称为租户。您可以在自己的租户内创建、组织和管理Oracle云中的资源。

• 当您订阅Oracle Data Safe时，如有必要，Oracle会自动在OCI中为您创建一个租户。

区域

• Oracle云基础设施区域是一个地理位置本地化的区域，包含一个或多个称为可用性域的数据中心。各区域相互独立，彼此之间可能相隔很远（横跨国家甚至大洲）。

• Oracle Data Safe可以在OCI控制台中启用。必须为打算使用Oracle Data Safe的每个区域分别启用。

Oracle Data Safe

• Oracle Data Safe是集成到Oracle云基础设施中的Oracle数据库的统一控制中心。它帮助您了解数据的敏感性，评估数据风险，掩盖数据，实施并监控安全控制，评估用户安全，监控用户活动，并满足数据安全合规要求。Data Safe支持Oracle云基础设施FastConnect、IPSec VPN和本地连接器，以将您的本地位置连接到Oracle云。

• Oracle Data Safe控制台是Oracle Data Safe的主要用户界面。打开Oracle Data Safe后，您会看到一个仪表板，可用于监控系统活动。侧边标签页提供主要功能的访问入口。顶部标签页提供对已注册目标数据库、库、报告、警报和作业的访问。在右上角，您可以访问用户安全和数据保留设置的链接。

本地连接器

• 本地连接器安装在本地数据中心的Linux主机上，并在Linux主机与Oracle Data Safe之间建立传输层安全（TLS）连接。TLS连接是使用TLS加密协议的TCPS连接。Oracle Data Safe的本地连接器支持TLS协议的1.2版本，并在443端口（标准HTTPS端口）上建立隧道。如有需要，本地连接器可以通过HTTPS代理服务器工作。

可用性域

• 可用性域是区域内独立、互不依赖的数据中心。每个可用性域中的物理资源与其他可用性域的资源隔离，提供故障容忍性。可用性域不共享基础设施，如电力或冷却系统，或内部可用性域网络。因此，一个可用性域的故障不太可能影响该区域内其他可用性域。

身份和访问管理（IAM）

• Oracle云基础设施身份和访问管理（IAM）使您能够控制谁可以访问Oracle云基础设施中的资源以及他们可以对这些资源执行的操作。

• Oracle Data Safe使用OCI中的所有共享服务，包括IAM。您可以使用IAM服务来设置对Oracle Data Safe的用户访问权限。

Oracle云基础设施控制台

• OCI控制台是一个简单直观的基于网络的用户界面，您可以通过它访问和管理Oracle云基础设施。您还可以通过OCI控制台访问Oracle Data Safe控制台。

建议

在实施Oracle Data Safe时，以下建议可作为起点。您的需求可能与这里描述的架构不同。

虚拟云网络（VCN）

• 创建VCN时，根据您计划连接到VCN子网的资源数量，确定所需的CIDR块数量及每个块的大小。使用标准私有IP地址空间内的CIDR块。

• 选择不与您打算建立私有连接的任何其他网络（在Oracle云基础设施、您的本地数据中心或其他云提供商）重叠的CIDR块。

• 创建VCN后，您可以更改、添加和移除其CIDR块。

• 在设计子网时，考虑您的流量流向和安全要求。将特定层或角色内的所有资源连接到同一个子网，这可以作为一个安全边界。
安全列表

• 使用安全列表定义适用于整个子网的入站和出站规则。

网络安全组（NSGs）

• 您可以使用NSGs为特定VNIC定义一组入站和出站规则。我们建议使用NSGs而不是安全列表，因为NSGs允许您将VCN的子网架构与应用程序的安全要求分开。

Cloud Guard

• 克隆并自定义Oracle提供的默认配方，创建自定义探测器和响应器配方。这些配方允许您指定哪种类型的安全违规行为会生成警告，以及允许执行的操作。例如，您可能希望检测设置为公开的对象存储桶。

• 在租户级别应用Cloud Guard，以涵盖最广泛的范围，并减少维护多种配置的管理负担。

• 您还可以使用托管列表功能将某些配置应用于探测器。

安全区域

• 对于需要最高安全性的资源，Oracle建议您使用安全区域。安全区域是一个与Oracle定义的基于最佳实践的安全策略配方相关联的隔间。例如，安全区域中的资源必须不能从公共互联网访问，并且必须使用客户管理的密钥加密。在安全区域中创建和更新资源时，Oracle云基础设施会根据安全区域配方中的策略验证操作，并拒绝违反任何策略的操作。

高可用性/灾难恢复（HA/DR）

• 在生产环境中，Oracle建议您在两台Linux主机上安装相同的本地连接器，以实现高可用性。如果其中一台主机因系统故障或维护而宕机，Oracle Data Safe连接会自动故障转移到另一台主机上运行的本地连接器，并且持续的Oracle Data Safe操作不会受到影响。

安全

• 仅打开特定端口，允许与连接管理器通信。您可以控制从主机到云连接管理器的出站流量，后者监听443端口。云连接管理器的地址为accesspoint.datasafe.REGIONNAME.oci.oraclecloud.com。例如，对于Ashburn区域，地址是accesspoint.datasafe.us-ashburn-1.oci.oraclecloud.com。要获取云连接管理器的IP地址，请使用DNS查找。

开启您的Oracle云之旅：Agilewing - 您的智能云服务伙伴

作为Oracle的高级合作伙伴，Agilewing正重新定义企业体验Oracle云服务的方式。借助于其简化的开户流程和一流的技术支持，Agilewing将复杂的开户和操作流程转化为一种轻松、直观的体验。通过我们的一站式服务，您可以迅速开启并享受Oracle云的全方位服务，从而无缝融入云端世界。

Agilewing的AgileCDN服务，结合了OCI的云基础服务，提供了一流的全球内容加速解决方案。超过2800个全球POP节点和7000个直连点的强大网络，确保了无论您的业务扩展到全球哪个角落，都能保持高效稳定的运行。

利用Oracle云的先进技术，Agilewing致力于简化云服务搭建、云迁移和业务出海的过程。我们的合作模式为客户带来经济高效的解决方案，使他们能够更加专注于核心业务，同时享受Oracle云的高性能和安全保障。

Oracle云服务，作为一个充满潜力的领域，以其高性能、安全性和全球统一的服务标准，为各类企业开启了新的机遇之门。通过Agilewing的专业服务，无论是个人用户还是企业，都能轻松步入这个充满技术革新和高效能的新时代。现在，就让Agilewing引领您开始探索Oracle云服务，打开一个全新的世界大门