Oracle Data Safeを有効化する

※本記事は内容が若干古くなっていますが、内容は一部参考にできるので残しておきます。こちらの記事もご参考にして下さい、
[Oracle Data SafeでAutonomous Databaseを管理する](https://qiita.com/western24/items/b772d95148b8855b8bb0)


Oracle Databaseをより安全に利用するためのクラウドベースのデータベース・セキュリティ・サービスです。
セキュリティ対策が後手になりがちなデータベースに対して、CISベンチマークを基準にしたリスク評価やマスキング、監査ログ監視等の運用によりデータベースをセキュアな状態に保つことが可能です。

主に以下の5つの機能で構成されています。
セキュリティ・アセスメント（Security Assessment）
ユーザー・アセスメント (User Assessment）
機密データ検出（Sensitive Data Discovery ）
データ・マスキング（Data Masking）
アクティビティ監査（Activity Auditing）

Oracle Cloud上のOracle DBだけでなく、オンプレミスや他社クラウドのOracle DBも同様に管理することが可能です。サポートしているCloud Databaseサービスは[こちら](https://docs.oracle.com/en/cloud/paas/data-safe/admds/target-database-registration-overview.html#GUID-34BA45C2-A48E-45CE-B9E3-D2D7B7D4E3F6)

Oracle Cloud Databaseが対象の場合は無償です。※アクテビティ監査は100万レコード/月まで無量。オンプレミス、他社クラウド上のOracle DBの場合は有償です。価格は[こちら](https://www.oracle.com/jp/cloud/price-list.html#data-safe)


## Data Safe用のアカウントの作成
2020/1/17からフェデレーテッド・ユーザーがサポートされました。フェデレーテッド・ユーザーを使用したい場合はこちらのリンクを参照して下さい。
https://qiita.com/western24/items/f86a6b7d789e017a6361

また、OCI上にAdministrator権限を持つローカル・ユーザーを使用する場合は以下の手順は不要です。スキップして、次のData Safeの有効化から実施して下さい

- IAMにData Safe用のローカルユーザーを作成する。アイデンティティからユーザをクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/885c4b36-7b67-9924-e2aa-aec5015237a5.png)

- ユーザーの作成をクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/7f4e10bd-49d4-f7f3-aa86-48cb785253cd.png)

- 名前: datasafe, メールアドレス: 任意
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/742c06a0-49d8-43a5-bcb8-d72665ea11b4.png)

- datasafeユーザーをクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/27396921-6dae-0b77-08a9-c36ec33e1e51.png)

- ローカルユーザーのパスワードを作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/220a892b-6f9d-658c-6af1-c9bbafacfa7c.png)

- Data Safeに必要なグループの作成。アイデンティティからグループをクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/559d47b5-cfeb-9f4d-8c69-2d281cc2755c.png)


- グループの作成をクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/724b694f-8488-4a50-2121-5e9e19e32462.png)

- グループ名は、datasafegrpで作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/af92c556-ee44-5fa5-36a4-bba0ec780eff.png)

- datasafegrpグループをクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/02f2e043-c0e9-3f72-703b-1b450a1b660b.png)

- ユーザーをグループに追加をクリックし、datasafeユーザーを追加する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/8c459cc5-e62a-cc89-fa31-97edc0cd0421.png)

- ポリシーのリンクから、ポリシーの作成をクリック。コンパートメントはrootを選択しておくこと
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/485e745d-7426-05e4-9646-afc94c1de8d4.png)

- 以下の通りに入力
    - 名前: datasafepolicy
    - ポリシー・ステートメント: 
    - allow group datasafegrp to manage data-safe in tenancy
    - allow group datasafegrp to inspect groups in tenancy
    - allow group datasafegrp to manage autonomous-database in compartment datasafe
    - allow group datasafegrp to manage database-family in compartment datasafe
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/4d97074f-a5e2-7748-2aee-6c941a61b097.png)

※必須なのは、data-safeとgroupsの権限。それ以外、今回の場合はAutonomousがdatasafeコンパートメントに作成しているので、manage権限を付与しています。ご自身の環境に合わせてポリシーは適宜修正して下さい

- ポリシーが追加された
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/867b38b2-e3fa-ec10-89a1-4fc33111cdac.png)

以上で、Data Safeを操作することができるローカル・ユーザーの作成は完了です

## Data Safeの有効化

- ローカル・ユーザーで明示的にOracle Cloudにサインイン。すでにフェデレーテッド・ユーザーでサインインしている場合は、サインアウトすると下記の画面に遷移する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/04508a59-c537-5df2-103c-12807a978f54.png)


- Data Safeを有効化したいリージョンを選択し、データセーフをクリック
※Data Safeは、Regional Serviceなので、Database Cloudのインスタンスがあるリージョンと同じ場所で作成する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/4ac363d1-0ec4-e82b-21b6-a12d1e84126b.png)

- Data Safeの有効化をクリック
※一旦、Oracle Data Safeを有効にすると、無効化にできないことに注意
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/df781498-ab65-757b-0999-4d4f5e95dea6.png)

- サービスコンソールをクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/aab228cc-cbc3-dba2-3fd1-ea0295bafaa7.png)

- 再度、SIGN INの画面が表示される場合は、datasafeでサインインする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/ae261d03-9ac6-a7ba-2852-926fa7c92aea.png)


- Data Safeのホーム画面
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/f95c177f-3e9e-de42-ca27-be5c5174cbc7.png)

- Securityタブを選択し、datasafegrpのグループにManageの権限を付与する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/47cde034-f1b5-de81-e668-8d394e0c2329.png)

これで、Data Safeを使用するための準備が完了しました。

次は、実際にAutonomous Databaseにテストデータを生成して、Data Safeのデータ・マスキング機能を実施する一連の手順を紹介していきます。

Oracle Data Safeの関連情報は[こちら](https://qiita.com/western24/items/4824e4b3799b824197c6)