OCI Security Zone ポリシー 一覧

本記事ではOCI Security Zoneにて事前定義されているポリシーの一覧を紹介します。
OCI Security Zone ポリシーは７つに分類することができます。この記事では、7種類全てのポリシーを紹介すると同時に、各ポリシーの細かい定義について紹介していきます。

# タイプ1: "リソース移動の制限"（Restrict Resource Movement）
[ポリシー概要]
データの整合性を確保するため、セキュリティ・ゾーン内の特定のリソースは、セキュリティ・ゾーンの外部にあるコンパートメントに移動することを禁じます。また、セキュリティ・ゾーン内のすべてのポリシーが満たされないかぎり、既存のリソースをセキュリティ・ゾーン内のコンパートメントに移動することを禁止します。


![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3712857/ef51532a-255c-4130-c38d-6a2cf178ebbb.png)

<font color="red">**deny block_volume_in_security_zone_​move_to_compartment_​not_in_security_zone**</font>
リソースタイプ:ブロック・ストレージ	
セキュリティ・ゾーン内のブロック・ボリュームは、同じセキュリティ・ゾーンにないコンパートメントに移動できません。

<font color="red">**deny boot_volume_in_security_zone_​move_to_compartment_​not_in_security_zone**</font>	
リソースタイプ:ブロック・ストレージ	セキュリティ・ゾーン内のブート・ボリュームは、同じセキュリティ・ゾーンにないコンパートメントに移動できません。

　　　　　　
<font color="red">**deny instance_in_security_zone_​move_to_compartment_​not_in_security_zone**</font>	

リソースタイプ:コンピュート
セキュリティ・ゾーン内のコンピュート・インスタンスは、同じセキュリティ・ゾーンにないコンパートメントに移動できません。。

<font color="red">**deny instance_not_in_security_​zone_move_to_compartment_​in_security_zone**</font>	
リソースタイプ:コンピュート	
同じセキュリティ・ゾーンにないコンパートメントからコンピュート・インスタンスをセキュリティ・ゾーンに移動することはできません。

<font color="red">**deny subnet_in_security_zone_​move_to_compartment_​not_in_security_zone**</font>

リソースタイプ:仮想ネットワーク(VCN)	
セキュリティ・ゾーン内のサブネットは、同じセキュリティ・ゾーンにないコンパートメントに移動できません。
<font color="red">**deny bucket_in_security_zone_​move_to_compartment_​not_in_security_zone**</font>
	
リソースタイプ:オブジェクト・ストレージ	
セキュリティ・ゾーン内のバケットは、同じセキュリティ・ゾーンにないコンパートメントに移動できません。

<font color="red">**deny file_system_in_security_zone_move_to_compartment_not_in_security_zone**</font>

リソースタイプ:ファイル・ストレージ
セキュリティ・ゾーン内のファイル・システムは、同じセキュリティ・ゾーンにないコンパートメントに移動できません。


<font color="red">**deny mount_target_in_security_zone_move_to_compartment_not_in_security_zone**</font>	
リソースタイプ:ファイル・ストレージ
セキュリティ・ゾーン内のマウント・ターゲット(ファイル・ストレージ)は、同じセキュリティ・ゾーンにないコンパートメントに移動できません。

<font color="red">**deny db_instance_move_to_​compartment_not_in_​security_zone**</font>	
リソースタイプ:データベース(すべてのタイプ)	
セキュリティ・ゾーン内のデータベースは、同じセキュリティ・ゾーンにないコンパートメントに移動できません。

<font color="red">**deny database_with_dataguard_​association_move_to_​compartment_in_security_zone**</font>	
リソースタイプ:"データベース(ベア・メタルおよび仮想マシンDBシステム、Exadata DBシステム)"
Data Guardアソシエーションが同じセキュリティ・ゾーン内にない場合、データベースをセキュリティ・ゾーンに移動できません。!

# タイプ２:"リソース移動の制限"（Restrict Resource Movement）"	
[ポリシー概要]
データの整合性を確保するため、セキュリティ・ゾーン内の特定のリソースは、セキュリティ・ゾーンの外部にあるコンパートメントに移動できません。移動するとセキュリティが低下する可能性があるためです。また、セキュリティ・ゾーン内のすべてのポリシーが満たされないかぎり、既存のリソースをセキュリティ・ゾーン内のコンパートメントに移動することはできません。	

<font color="red">**deny block_volume_in_security_zone_​move_to_compartment_​not_in_security_zone**</font>	ブロック・ストレージ	セキュリティ・ゾーン内のブロック・ボリュームは、同じセキュリティ・ゾーンにないコンパートメントに移動できません。
		deny boot_volume_in_security_zone_​move_to_compartment_​not_in_security_zone**</font>	ブロック・ストレージ	セキュリティ・ゾーン内のブート・ボリュームは、同じセキュリティ・ゾーンにないコンパートメントに移動できません。
		<font color="red">**deny instance_in_security_zone_​move_to_compartment_​not_in_security_zone**</font>	コンピュート	セキュリティ・ゾーン内のコンピュート・インスタンスは、同じセキュリティ・ゾーンにないコンパートメントに移動できません。。
		deny instance_not_in_security_​zone_move_to_compartment_​in_security_zone**</font>	コンピュート	同じセキュリティ・ゾーンにないコンパートメントからコンピュート・インスタンスをセキュリティ・ゾーンに移動することはできません。
		<font color="red">**deny subnet_in_security_zone_​move_to_compartment_​not_in_security_zone**</font>	仮想ネットワーク(VCN)	セキュリティ・ゾーン内のサブネットは、同じセキュリティ・ゾーンにないコンパートメントに移動できません。
		<font color="red">**deny bucket_in_security_zone_​move_to_compartment_​not_in_security_zone**</font>	オブジェクト・ストレージ	セキュリティ・ゾーン内のバケットは、同じセキュリティ・ゾーンにないコンパートメントに移動できません。
		<font color="red">**deny file_system_in_security_zone_move_to_compartment_not_in_security_zone**</font>	ファイル・ストレージ	セキュリティ・ゾーン内のファイル・システムは、同じセキュリティ・ゾーンにないコンパートメントに移動できません。
		<font color="red">**deny mount_target_in_security_zone_move_to_compartment_not_in_security_zone**</font>	ファイル・ストレージ	セキュリティ・ゾーン内のマウント・ターゲット(ファイル・ストレージ)は、同じセキュリティ・ゾーンにないコンパートメントに移動できません。
		<font color="red">**deny db_instance_move_to_​compartment_not_in_​security_zone**</font>	データベース(すべてのタイプ)	セキュリティ・ゾーン内のデータベースは、同じセキュリティ・ゾーンにないコンパートメントに移動できません。
		<font color="red">**deny database_with_dataguard_​association_move_to_​compartment_in_security_zone**</font>	"データベース
(ベア・メタルおよび仮想マシンDBシステム、Exadata DBシステム)"	Data Guardアソシエーションが同じセキュリティ・ゾーン内にない場合、データベースをセキュリティ・ゾーンに移動できません。

# タイプ２: リソース関連の制限（Restrict Resource Association）
[ポリシー概要]
セキュリティ・ゾーンのリソースに必要なすべてのコンポーネントも同じセキュリティ・ゾーンに配置されている必要があります。セキュリティ・ゾーンにないリソースは脆弱で、別のセキュリティ・ゾーンのリソースはセキュリティ状態が低い可能性があります。

# タイプ３: パブリック・アクセスの拒否（Deny Public Access）
[ポリシー概要]
セキュリティ・ゾーン内のリソースは、パブリック・インターネットからアクセスできない必要があります。

プライベート・サブネットを作成する場合、そのサブネットで起動されたコンピュート・インスタンスは、パブリックIPアドレスを持つことができません。この制限により、サブネット内のコンピュート・インスタンスにインターネット・アクセスできないことが保証されます。プライベート・サブネットのコンピュート・インスタンスの場合、サービス・ゲートウェイによって、オブジェクト・ストレージなどのパブリック・サービスへのプライベート・アクセスが可能になります。

# タイプ4: 暗号化の要求（Require Encryption）
[ポリシー概要]
セキュリティ・ゾーン内のリソースは、顧客管理キーを使用して暗号化する必要があります。データは、転送中も保存中も暗号化する必要があります。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3712857/38184cd2-8799-66f3-ef9c-7707fe32212c.png)
"暗号化の要求
（Require Encryption）"	セキュリティ・ゾーン内のリソースは、顧客管理キーを使用して暗号化する必要があります。データは、転送中も保存中も暗号化する必要があります。	
<font color="red">**deny block_volume_without_​vault_key**</font>	ブロック・ストレージ	セキュリティ・ゾーン内のブロック・ボリュームは、ボールト・サービスの顧客管理マスター暗号化キーを使用する必要があります。Oracleによって管理されるデフォルトの暗号化キーは使用できません。
		<font color="red">**deny boot_volume_without_​vault_key**</font>	ブロック・ストレージ	セキュリティ・ゾーン内のブート・ボリュームは、ボールト・サービスの顧客管理マスター暗号化キーを使用する必要があります。Oracleによって管理されるデフォルトの暗号化キーは使用できません。
		<font color="red">**deny buckets_without_vault_key**</font>	オブジェクト・ストレージ	セキュリティ・ゾーン内のオブジェクト・ストレージ・バケットは、ボールト・サービスの顧客管理マスター暗号化キーを使用する必要があります。Oracleによって管理されるデフォルトの暗号化キーは使用できません。
		<font color="red">**deny file_system_without_vault_key**</font>	ファイル・ストレージ	セキュリティ・ゾーン内のファイル・システムは、ボールト・サービスの顧客管理マスター暗号化キーを使用する必要があります。Oracleによって管理されるデフォルトの暗号化キーは使用できません。


# タイプ5: データ耐久性の保証（Ensure Data Durability）
[ポリシー概要]
セキュリティ・ゾーン内のリソースに対して定期的に自動バックアップを実行する必要があります。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3712857/04e07a9e-4ab5-b96b-181a-d1328ac8d44d.png)
<font color="red">**deny database_without_backup**</font>	
"データベース
(ベア・メタルおよび仮想マシンDBシステム、Exadata DBシステム)"	

"セキュリティ・ゾーン内のデータベースは、自動バックアップを実行するように構成する必要があります。
Oracle Cloud Infrastructure Object Storageへのデータベースのバックアップを参照してください"

# タイプ6: データ・セキュリティの保証（Ensure Data Security）
[ポリシー概要]
セキュリティ・ゾーン内のデータは特権的とみなされ、セキュリティ・ゾーンの外部にコピーできません。


![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3712857/dec75fdc-f12c-0300-44d5-2e3391f6a0bf.png)
<font color="red">**deny database_not_in_security_​zone_create_from_backup_​in_security_zone**</font>	"データベース
(ベア・メタルおよび仮想マシンDBシステム、Exadata DBシステム)"	セキュリティ・ゾーン内のデータベース・バックアップを使用して、同じセキュリティ・ゾーンにないデータベースを作成することはできません。
<font color="red">**deny database_in_security_​zone_create_clone_not_​in_security_zone**</font>	"データベース
(仮想マシンDBシステム、Autonomous Database)"	セキュリティ・ゾーン内のデータベースをクローニングして、同じセキュリティ・ゾーンにないデータベースを作成することはできません。
<font color="red">**deny file_system_in_security_zone_clone_to_compartment_not_in_security_zone**</font>	ファイル・ストレージ	セキュリティ・ゾーンにファイル・システムをクローニングして、同じセキュリティ・ゾーンにないファイル・システムを作成することはできません。

# タイプ7: Oracleが承認する構成のみの使用（Use Only Configurations Approved by Oracle）
[ポリシー概要]
Oracleでは、セキュリティ・ゾーン内のリソースに対して特定のセキュリティ機能を有効にして構成する必要があります。
1つの例は、コンピュート・インスタンス(コンピュート)のオペレーティング・システム構成です。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3712857/f90b6b8b-92f6-ff81-66d2-be02534725cd.png)
<font color="red">**deny instance_without_​sanctioned_image**</font>	コンピュート、コンピュートマネジメント	プラットフォーム・イメージを使用して、セキュリティ・ゾーンにコンピュート・インスタンスを作成する必要があります。カスタム・イメージからセキュリティ・ゾーンにコンピュート・インスタンスを作成することはできません。
<font color="red">**deny free_database_creation**</font>	"データベース
(すべてのタイプ)"	セキュリティ・ゾーンにAlways Freeデータベース・インスタンスは作成できません。
<font color="red">**deny security_list_to_allow_traffic_to_restricted_port**</font>	
仮想ネットワーク(VCN)	セキュリティ・ゾーン内の制限付きポートへのトラフィックを許可するセキュリティ・リストを作成または変更することはできません。
<font color="red">**deny delete_network_security_group**</font>	
仮想ネットワーク(VCN)	セキュリティ・ゾーン内のVCNネットワーク・セキュリティ・グループは削除できません。
<font color="red">**deny load_balancer_with_weak_SSL_communication	Load Balancer**</font>	セキュリティ・ゾーン内のロード・バランサ・リスナーのSSLポリシーは、TLS 1.2以上を使用する必要があります。
<font color="red">**deny network_security_group_with_unsecure_ingress_rule**</font>	仮想ネットワーク(VCN)	セキュリティ・ゾーン内のセキュアでないポートまたはIPアドレスへのイングレスを許可するルールでは、ネットワーク・セキュリティ・グループを追加できません。
<font color="red">**deny revoke_certificate_authority_version**</font>	証明書管理	セキュリティ・ゾーン内の認証局(CA)バンドル内の中間証明書を取り消すことはできません。
<font color="red">**deny delete_vcn**</font>	仮想ネットワーク(VCN)	セキュリティ・ゾーン内のVCNは削除できません。
<font color="red">**deny update_route_table**</font>	仮想ネットワーク(VCN)	セキュリティ・ゾーンのVCNルート表は更新できません。
<font color="red">**deny update_network_security_group_ingress_rule**</font>	仮想ネットワーク(VCN)	セキュリティ・ゾーン内のネットワーク・セキュリティ・グループのイングレス・ルールは変更できません。
<font color="red">**deny update_network_security_group_egress_rule**</font>	仮想ネットワーク(VCN)	セキュリティ・ゾーン内のネットワーク・セキュリティ・グループのエグレス・ルールは変更できません。
<font color="red">**deny delete_vcn_security_list**</font>	仮想ネットワーク(VCN)	セキュリティ・ゾーン内のVCNセキュリティ・リストは削除できません。
<font color="red">**deny update_vcn_security_list_ingress_rules**</font>	仮想ネットワーク(VCN)	セキュリティ・ゾーン内のVCNセキュリティ・リストのイングレス・セキュリティ・ルールは変更できません。
<font color="red">**deny update_vcn_security_list_egress_rules**</font>	仮想ネットワーク(VCN)	セキュリティ・ゾーン内のVCNセキュリティ・リストのイングレス・セキュリティ・ルールは変更できません。
<font color="red">**deny update_DHCP_options**</font>	仮想ネットワーク(VCN)	セキュリティ・ゾーンのDHCPオプションは更新できません。
	仮想ネットワーク(VCN)	セキュリティ・ゾーン内のローカル・ピアリング・ゲートウェイは更新できません。
<font color="red">**deny detach_volume**</font><br>	
ブロック・ストレージ	セキュリティ・ゾーン内のボリュームはデタッチできません。
<font color="red">**deny delete_certificate_authority**</font>	
証明書管理	セキュリティ・ゾーン内の認証局は削除できません。