OCI IAM Identity Domains_IPアドレスによるOCIコンソールアクセスの制御 / OCI IAM Identity Domains_Control OCI console access by IP Address

OCI IAM Identity Domains IPアドレスによるOCIコンソールへのアクセス制御日本オラクル株式会社 2024/1/10

Safe harbor statement 以下の事項は、弊社の一般的な製品の方向性に関する概要を説明するものです。また、情報提供を唯一の目的とするものであり、いかなる契約にも組み込むことはできません。以下の事項は、マテリアルやコード、機能を提供することを確約するものではないため、購買決定を行う際の判断材料になさらないで下さい。オラクル製品に関して記載されている機能の開発、リリース、時期及び価格については、弊社の裁量により決定され、変更される可能性があります。 Copyright
© 2024, Oracle and/or its affiliates 2

3 Copyright © 2024, Oracle and/or its affiliates はじめに Identity
Domainsを持つOCIテナンシにおいて、OCIコンソールへのアクセスをIPアドレスにより制御(アクセス許可 or 拒否) するためには、Identity Domainsのネットワークペリメータ機能およびサインオンポリシー機能を使い設定を行う必要があります。本資料では、OCIコンソールアクセスのIPアドレス制御を実現するための2種類の設定方法を説明します。・ケース1：OCIコンソール用のMFA強制サインオンポリシー「Security Policy for OCI Console」を活用する方法 ⇒利用シーン(例)：OCIコンソールアクセス時にMFA＋IPアドレス制御の両方を実施したい場合・ケース2：Defaultサインオンポリシーを活用する方法 (OCIコンソール用のMFA強制ポリシーは使わない方法) ⇒利用シーン(例)：OCIコンソールアクセス時にIPアドレス制御のみを実施したい場合

ケース1： OCIコンソール用のMFA強制サインオンポリシー「Security Policy for OCI Console」を活用する方法 Copyright © 2024,
Oracle and/or its affiliates 4

本手順で実現する内容 Copyright © 2024, Oracle and/or its affiliates 5 •
OCIコンソール用MFA強制化サインオン・ポリシー「Security Policy for OCI Console」の設定内容を活かして、 MFA強制化に加えてIPアドレスによるアクセス制御の設定を追加します。管理者社内NWからのアクセス AND Administratorグループ所属社内NWからのアクセス社内以外NWからのアクセス 2要素認証要求 (MFA強制) 2要素認証要求 (MFA強制) アクセス拒否条件アクション社外 NW 社内 NW 一般ユーザー全員 2要素認証 (MFA強制) OCIコンソールパスワード認証ルール：MFA for administrators ルール：MFA for all users ルール：新規 Security Policy for OCI Console 【実現イメージ】【サインオンポリシー構成】アクセス可アクセス可アクセス不可アクセス許可アクセス許可

OCIコンソール用MFA強制サインオンポリシー「Security Policy for OCI Console」を活用したIPアドレス制御 ~設定手順 Copyright © 2024,
Oracle and/or its affiliates 6 1) OCI管理者でOCIコンソール(https://www.oracle.com/jp/cloud/sign-in.html)にアクセスし、テナント名(クラウド・アカウント名)を入力し「Next」を選択します。ドメイン選択画面にて”Default”を選択します。ログイン画面にて管理者ユーザーのID/パスワードを指定し、MFAを実施し、OCIコンソールにログインします。

Oracle and/or its affiliates 7 2) 左上メニューより「アイデンティティとセキュリティ」ー「ドメイン」を選択します。

Oracle and/or its affiliates 8 3)ドメイン画面にてrootコンパートメントを指定し、アイデンティティ・ドメイン「Default」を選択します。 ※Defaultドメイン以外のアイデンティティ・ドメインに対してもIPアドレス制御を設定する場合には、ここで該当ドメインを選択し後続手順を実施します。

Oracle and/or its affiliates 9 4)ネットワーク・ペリメータを登録するため、左側メニューより「セキュリティ」ー「ネットワーク・ペリメータ」を選択します。「ネットワーク・ペリメータの作成」を選択します。 ※ネットワークペリメータとは、IPアドレス制御の条件設定で使うIPアドレスを定義するための機能です。

Oracle and/or its affiliates 10 5)ネットワーク・ペリメータの作成画面にて、名前に適当な名前(今回はInternal NW）、 IPアドレスに社内NWのIPアドレスの範囲を指定し、「作成」を選択します。ネットワーク・ペリメータではいくつかの方法でIPアドレスを登録可能・1つのIPアドレスを登録（例：10.0.0.1) ・カンマ区切りで複数のIPアドレスを登録（例：10.0.0.1,10.0.0.1,10.1.0.100) ・ハイフンを利用しIPアドレス範囲を登録（例：10.0.0.1-10.0.0.100) ・CIDR表記によるIPアドレス範囲を登録（例：10.0.0.1/16)

Oracle and/or its affiliates 11 6)サインオン・ポリシーの設定のため、左メニューより「セキュリティ」－「サインオン・ポリシー」を選択します。「Security Policy for OCI Console」がアクティブ化済になっていることを確認し、このポリシーを選択します。 ※ 「Security Policy for OCI Console」が非アクティブになっている場合には、より「アクティブ化」を選択しアクティブ化します。・・・

Oracle and/or its affiliates 12 7) Security Policy for OCI Consoleの詳細画面にて、画面下部のサインオン・ルール「MFA for administrators」の編集マークを開き、「サインオン・ルールの編集」を選択します。

Oracle and/or its affiliates 13 8) サインオン・ルール「MFA for administrators」の編集画面にて、”クライアントIPアドレスでフィルタ”部分にて下記を設定します。・次のネットワーク・ペリメータに制限します：チェックONにする・ネットワーク・ペリメータ：上記にて定義した社内NWを示すネットワーク・ペリメータを選択(例：Internal NW) 「変更の保存」を選択します。本手順ではデフォルトのMFA設定をそのままの状態に保つ内容になってます。必要に応じてMFA要素の追加等を実施してください。

Oracle and/or its affiliates 14 9) Security Policy for OCI Consoleの詳細画面にて、画面下部のサインオン・ルール「MFA for all users」の編集マークを開き、「サインオン・ルールの編集」を選択します。

Oracle and/or its affiliates 15 10) サインオン・ルール「MFA for all users」の編集画面にて、”クライアントIPアドレスでフィルタ”部分にて下記を設定します。・次のネットワーク・ペリメータに制限します：チェックONにする・ネットワーク・ペリメータ：上記にて定義した社内NWを示すネットワーク・ペリメータを選択(例：Internal NW) 「変更の保存」を選択します。本手順ではデフォルトのMFA設定をそのままの状態に保つ内容になってます。必要に応じてMFA要素の追加等を実施してください。

Oracle and/or its affiliates 16 11) 続けて、社内NW以外からのアクセスの場合にはアクセス拒否をするための新規ルールを作成するため、 Security Policy for OCI Consoleの詳細画面にて、画面下部のサインオン・ルールにて「サインオン・ルールの追加」選択します。

Oracle and/or its affiliates 17 12) サインオン・ルールの追加画面にて、ルール名に適当な名前(例：Not Internal NW)を指定します。 ”アクション”部分にて下記を設定します。・アクセスの拒否：チェックONにする「サインオン・ルールの追加」を選択します。

Oracle and/or its affiliates 18 13) Security Policy for OCI Consoleの詳細画面にて、画面下部のサインオン・ルールにて各ルールが下記の優先度になっていることを確認します。 1．MFA for administrators 2．MFA for all users 3．上記で新規作成したルール（例：Not Internal NW）

OCIコンソール用MFA強制サインオンポリシー「Security Policy for OCI Console」を活用したIPアドレス制御 ~確認 Copyright © 2024,
Oracle and/or its affiliates 19 ※重要※ サインオンポリシーで間違った設定をした場合、管理者を含む全員がOCIコンソールにアクセスできなくなり、設定修正を行うことができない状況になる可能性があります。そのため、サインポリシーの動作確認をする場合には、OCIコンソールにログインした状態のセッション(ブラウザ)を残したまま、別セッションで動作確認を行うことを強くお勧めします。

Oracle and/or its affiliates 20 【社内NW＋管理者(Administratorsグループ所属)でOCIコンソールへアクセスした場合】 OCIコンソール(https://www.oracle.com/jp/cloud/sign-in.html)にアクセスし、テナント名(クラウド・アカウント名)を入力し「Next」を選択します。ドメイン選択画面にて”Default”を選択します。ログイン画面にて管理者ユーザーのID/パスワードを指定するとMFAを求められることを確認します。 MFA実施後、OCIコンソールにアクセスできることを確認します。

Oracle and/or its affiliates 21 【社内NW＋一般ユーザーでOCIコンソールへアクセスした場合】 OCIコンソール(https://www.oracle.com/jp/cloud/sign-in.html)にアクセスし、テナント名(クラウド・アカウント名)を入力し「Next」を選択します。ドメイン選択画面にて”Default”を選択します。ログイン画面にて管理者ユーザーのID/パスワードを指定するとMFAを求められることを確認します。 MFA実施後、OCIコンソールにアクセスできることを確認します。

Oracle and/or its affiliates 22 【社外NWからOCIコンソールへアクセスした場合】 OCIコンソール(https://www.oracle.com/jp/cloud/sign-in.html)にアクセスし、テナント名(クラウド・アカウント名)を入力し「Next」を選択します。ドメイン選択画面にて”Default”を選択します。ログイン画面にてユーザーのID/パスワードを指定するとアクセス拒否の画面が表示されOCIコンソールにアクセスできないことを確認します。

ケース2： Defaultサインオンポリシーを活用する方法 (OCIコンソール用のMFA強制ポリシーは使わない方法) Copyright © 2024, Oracle and/or its affiliates
23 ※MFAを利用しない際のセキュリティ上の懸念等を精査・理解した上で実施をお願いします。

本手順で実現する内容 Copyright © 2024, Oracle and/or its affiliates 24 •
OCIコンソール用MFA強制化サインオン・ポリシー「Security Policy for OCI Console」の設定内容を活かして、 MFA強制化に加えてIPアドレスによるアクセス制御の設定を追加します。社内NWからのアクセス社内以外NWからのアクセスアクセス許可アクセス拒否条件アクション社外 NW 全員 OCIコンソールルール：新規ルール1 ルール：新規ルール2 Default Sign-On Policy 【実現イメージ】【サインオンポリシー構成】アクセス不可社内 NW 全員パスワード認証アクセス可

Defaultサインオンポリシーを活用したIPアドレス制御 ~設定手順 Copyright © 2024, Oracle and/or its affiliates 25
1) OCI管理者でOCIコンソール(https://www.oracle.com/jp/cloud/sign-in.html)にアクセスし、テナント名(クラウド・アカウント名)を入力し「Next」を選択します。ドメイン選択画面にて”Default”を選択します。ログイン画面にて管理者ユーザーのID/パスワードを指定し、MFAを実施し、OCIコンソールにログインします。

2) 左上メニューより「アイデンティティとセキュリティ」ー「ドメイン」を選択します。

3)ドメイン画面にてrootコンパートメントを指定し、アイデンティティ・ドメイン「Default」を選択します。 ※Defaultドメイン以外のアイデンティティ・ドメインに対してもIPアドレス制御を設定する場合には、ここで該当ドメインを選択し後続手順を実施します。

4)ネットワーク・ペリメータを登録するため、左側メニューより「セキュリティ」ー「ネットワーク・ペリメータ」を選択します。「ネットワーク・ペリメータの作成」を選択します。 ※ネットワークペリメータとは、IPアドレス制御の条件設定で使うIPアドレスを定義するための機能です。

5)ネットワーク・ペリメータの作成画面にて、名前に適当な名前(今回はInternal NW）、 IPアドレスに社内NWのIPアドレスの範囲を指定し、「作成」を選択します。ネットワーク・ペリメータではいくつかの方法でIPアドレスを登録可能・1つのIPアドレスを登録（例：10.0.0.1) ・カンマ区切りで複数のIPアドレスを登録（例：10.0.0.1,10.0.0.1,10.1.0.100) ・ハイフンを利用しIPアドレス範囲を登録（例：10.0.0.1-10.0.0.100) ・CIDR表記によるIPアドレス範囲を登録（例：10.0.0.1/16)

6)MFA強制化ポリシーを無効化するため、左メニューより「セキュリティ」－「サインオン・ポリシー」を選択します。「Security Policy for OCI Console」の編集マークより「サインオン・ポリシーの非アクティブ化」を選択します。確認画面でも「サインオン・ポリシーの非アクティブ化」を選択し、非アクティブ化されたことを確認します。 ※ 本手順にて「Security Policy for OCI Console」を非アクティブ化しないと OCIコンソールアクセス時のポリシーとしてDefault Sign-On Policyが使われません。 ※ 本手順にて「Security Policy for OCI Console」を非アクティブ化する際、 MFAを利用しないセキュリティ上の懸念等を精査・理解した上で実施をお願いします。

7)Default Sign-On PolicyへIP制御の設定を追加するため、「Default Sign-On Policy」を選択します。

8) Default Sing-On Policyの詳細画面にて、画面下部のサインオン・ルールの「サインオン・ルールの追加」を選択します。

9) サインオン・ルールの追加画面にて、ルール名に適当な名前(例：Internal NW)を指定します。・次のネットワーク・ペリメータに制限します：チェックONにする・ネットワーク・ペリメータ：上記にて定義した社内NWを示すネットワーク・ペリメータを選択(例：Internal NW) 「サインオン・ルールの追加」を選択します。サインオンルール作成の際にMFAの設定を追加することも可能です。

10) サインオン・ルールが作成されたことを確認します。続けて、「サインオン・ルールの追加」を選択します

11) サインオン・ルールの追加画面にて、ルール名に適当な名前(例：Not Internal NW)を指定します。 ”アクション”部分にて下記を設定します。・アクセスの拒否：チェックONにする「サインオン・ルールの追加」を選択します。

12) サインオン・ルールが作成されたことを確認します。「優先度の編集」を選択します

13) 優先度の編集画面にて、下記の順序になるように変更し、「変更の保存」を選択します。 1．Internal NW ※上記9)で作成したルール 2．Not Internal NW ※上記11)で作成したルール 3．Default Singn-On Rule

14) サインオン・ルールの順序が変更されたことを確認します。

Defaultサインオンポリシーを活用したIPアドレス制御 ~確認 Copyright © 2024, Oracle and/or its affiliates 39
※重要※ サインオンポリシーで間違った設定をした場合、管理者を含む全員がOCIコンソールにアクセスできなくなり、設定修正を行うことができない状況になる可能性があります。そのため、サインポリシーの動作確認をする場合には、OCIコンソールにログインした状態のセッション(ブラウザ)を残したまま、別セッションで動作確認を行うことを強くお勧めします。

【社内NWOCIコンソールへアクセスした場合】 OCIコンソール(https://www.oracle.com/jp/cloud/sign-in.html)にアクセスし、テナント名(クラウド・アカウント名)を入力し「Next」を選択します。ドメイン選択画面にて”Default”を選択します。ログイン画面にて管理者ユーザーのID/パスワードを指定するとOCIコンソールにアクセスできることを確認します。 OCIコンソール

【社外NWからOCIコンソールへアクセスした場合】 OCIコンソール(https://www.oracle.com/jp/cloud/sign-in.html)にアクセスし、テナント名(クラウド・アカウント名)を入力し「Next」を選択します。ドメイン選択画面にて”Default”を選択します。ログイン画面にてユーザーのID/パスワードを指定するとアクセス拒否の画面が表示されOCIコンソールにアクセスできないことを確認します。

OCI IAM Identity Domains_IPアドレスによるOCIコンソールアクセスの...

OCI IAM Identity Domains_IPアドレスによるOCIコンソールアクセスの制御 / OCI IAM Identity Domains_Control OCI console access by IP Address

More Decks by oracle4engineer

Other Decks in Technology

Featured

Transcript