セキュリティとコンプライアンスの包括的な概要 - Hologres

データセキュリティ

Hologres は、Alibaba Cloud の AICPA Trust Services Criteria のセキュリティ、可用性、機密性の原則に基づいた独立した第三者監査に合格しています。詳細については、「SOC 3 レポート」をご参照ください。

Alibaba Cloud は、世界で最も厳格な金融データセキュリティ標準であるクレジットカード業界データセキュリティ基準 (PCI DSS) 認証を取得しています。この認証は、Alibaba Cloud が決済システムのセキュリティ保護要件を満たし、お客様に安全で信頼性の高いソリューションを提供できることを証明しています。詳細については、「PCI DSS 認証レポート」をご参照ください。

保存データの暗号化

Hologres は、Key Management Service (KMS) を使用した保存データの暗号化をサポートしています。

KMS の概要

KMS は、クラウドでのデータ暗号化のために設計された Alibaba Cloud の暗号化サービスです。中国国家暗号標準に準拠したキーサービスと、ご利用のアプリケーション向けのシンプルな暗号化および復号サービスを提供します。KMS は、キーを専用のクラウドハードウェアセキュリティモジュール (HSM) クラスターに保存できる、高セキュリティの専用バージョンも提供しています。詳細については、「KMS とは？」をご参照ください。

KMS は、国家暗号管理局 (SCA) によってテストおよび認定され、GM/T 0028 のレベル 2 認証を取得した HSM を提供しています。
KMS は、Transport Layer Security (TLS) ベースの安全なアクセスチャネルのみを提供し、安全なトランスポート暗号スイートのみを使用します。これは PCI DSS セキュリティ仕様に準拠しています。
キーは、高いシステムエントロピーをシードとして使用する安全な乱数生成アルゴリズムを用いて HSM 内で生成されます。これにより、攻撃者によるキーの回復が防止されます。
キーはハードウェアセキュリティメカニズムによって保護されます。キーのプレーンテキストは、HSM 内でのみ暗号操作に使用され、そのセキュリティ境界を離れることはありません。
ActionTrail を使用してキーの使用状況を完全に監査し、キーが正しく使用されていることを確認できます。呼び出しが Alibaba Cloud サービスまたはユーザーアプリケーションのいずれからであるかに関わらず、キーを使用する KMS API 呼び出しを監査できます。

Hologres の機能

データウェアハウスに保存される高価値データは、多くの場合、高いセキュリティ要件を持つため、Hologres は Bring Your Own Key (BYOK) のみをサポートしています。BYOK は、可視化され、制御可能な半管理型暗号化方式です。BYOK は、業界で認められた高度なセキュリティ技術です。これにより、ユーザーはオフラインで生成されたキーを、クラウド内の KMS がホストする HSM に安全にインポートできます。HSM は、キーがエクスポートできないことを保証します。ユーザーはいつでもクラウドからキーを削除でき、後で同じキーを再度インポートすることもできます。構成の詳細については、「保存データの暗号化」をご参照ください。

Hologres は、KMS キー管理とセキュリティ部門が提供する暗号化ライブラリを使用して、AES-256、AES-128、RC4、および国家標準 SM4 などのアルゴリズムに基づいた保存データの暗号化を有効にします。
Hologres では、テーブルごとに個別の暗号化ルールを設定できます。つまり、異なる KMS キーを設定して異なるテーブルを暗号化できます。

重要

データの読み書き時、Hologres は KMS API を呼び出してキー情報を取得します。システムはデフォルトでキー情報を 24 時間キャッシュします。データ暗号化機能を使用すると、KMS 料金が発生します。KMS 課金の詳細については、「KMS 1.0 課金」をご参照ください。
保存データの暗号化を有効にすると、クエリおよび書き込みパフォーマンスは暗号化および復号操作の影響を受けます。パフォーマンス損失は約 20% から 40% であり、クエリ特性によって異なります。

転送中の暗号化

Hologres リアルタイムデータウェアハウスのリンクセキュリティを向上させるために、SSL を有効にしてトランスポート層でネットワーク接続を暗号化できます。これにより、通信データのセキュリティと整合性が向上しますが、ネットワーク接続の応答時間が増加します。使用方法については、「転送中の暗号化」をご参照ください。

Secure Sockets Layer (SSL) は、安全な通信とデータセキュリティのために設計されたセキュリティプロトコルです。Alibaba Cloud SSL 証明書は、WebTrust 認定の著名な認証局 (CA) によってウェブサイトに発行される信頼できる認証情報です。ウェブサイトの身元確認と暗号化された送信という 2 つの機能があります。HTTP プロトコルはデータを暗号化しないため、データ送信は情報漏洩、改ざん、またはフィッシング攻撃に対して脆弱です。Web サーバーに SSL 証明書をデプロイすると、Web サーバーとウェブサイト訪問者の間に信頼できる暗号化された HTTPS 接続を確立するのに役立ちます。これにより、ご利用のウェブサイトが保護され、安全なデータ送信が保証され、関連するアプリマーケットプレイスまたはアプリケーションエコシステムのセキュリティおよびコンプライアンス要件を満たすのに役立ちます。詳細については、「SSL 証明書とは？」をご参照ください。

データマスキング

Hologres はデータマスキング機能を提供します。列レベルのマスキングをサポートし、特定のユーザーに対してマスキングポリシーを設定できます。この機能を有効にすると、クエリに機密情報が含まれる場合、結果内のデータがマスクされます。これにより、機密データおよびプライベートデータの保護が向上します。Hologres は、IP アドレスマスキング、メールアドレスマスキング、ハッシュマスキングなど、複数のマスキングルールをサポートしています。構成の詳細については、「データマスキング」をご参照ください。

システムセキュリティ

アカウント

Hologres を購入して使用するには、Alibaba Cloud アカウントを使用する必要があります。Alibaba Cloud アカウントを登録し、本人確認を完了すると、Hologres サービスを購入できます。プロダクトにアクセスするために AccessKey を作成できます。

Hologres は Resource Access Management (RAM) 認証をサポートしています。RAM は、Alibaba Cloud が提供するリソースアクセスコントロールサービスです。RAM を使用すると、ルートアカウントは RAM ユーザーを作成できます。RAM ユーザーはルートアカウントに従属します。すべてのリソースはルートアカウントに属します。ルートアカウントは、そのインスタンスへのアクセス権限を制御し、それらを RAM ユーザーに付与できます。

認証

Alibaba Cloud 管理コンソールで AccessKey を作成できます。

AccessKey は、AccessKey ID と AccessKey Secret で構成されます。AccessKey ID は公開されており、ユーザーを識別します。AccessKey Secret は非公開であり、ユーザーを認証します。

ユーザーが Hologres にリクエストを送信する際、まず Hologres が指定するフォーマットでリクエストの署名文字列を生成する必要があります。次に、AccessKey Secret を使用して署名文字列を暗号化し、リクエスト署名を生成します。Hologres がリクエストを受信すると、AccessKey ID に対応する AccessKey Secret を使用して署名文字列の署名を生成します。この署名がリクエスト署名と一致する場合、リクエストは有効と見なされます。そうでない場合、Hologres はリクエストを拒否し、HTTP 403 エラーを返します。

権限付与

Hologres インスタンスにアクセスする方法は、Alibaba Cloud アカウントを使用する方法と RAM ユーザーを使用する方法の 2 つがあります。Alibaba Cloud アカウントは、柔軟な権限付与のために複数の RAM ユーザーを持つことができます。Hologres は、Alibaba Cloud アカウントと RAM ユーザーのアクセスポリシーをサポートしています。

Alibaba Cloud アカウントでインスタンスにアクセスすると、Hologres はそのアカウントがインスタンスの所有者であるかどうかを確認します。インスタンスの所有者のみがそのインスタンスにアクセスする権限を持ちます。
RAM ユーザーでインスタンスにアクセスすると、RAM ユーザーのアクセスポリシーがトリガーされます。Hologres は、対応する Alibaba Cloud アカウントによって RAM ユーザーにインスタンスへのアクセス権限が付与されているかどうかを確認します。

Hologres は、RAM ユーザーのアクセスを制御するために、次の 3 つの権限付与メカニズムをサポートしています。構成の詳細については、「Hologres 権限モデル」をご参照ください。

権限タイプ	シナリオ	説明
標準 PostgreSQL 権限モデル	非常に厳格な権限制御が必要なシナリオに適しています。たとえば、特定のユーザーに特定のテーブルに対する権限を付与する場合などです。例: ユーザー zinan.tang がテーブル table1 からデータを読み取ることを許可します。	標準 PostgreSQL 権限モデルは、詳細で柔軟な権限付与を提供します。ユーザーに特定のテーブルに対する権限を付与できます。`GRANT/REVOKE` コマンドを使用して、既存のインスタンス内のデータベース、スキーマ、テーブル、およびビューに対する権限を付与または取り消します。
簡易権限モデル (SPM)	データベースレベルの権限制御。粗粒度の権限管理シナリオに適しています。	簡易権限モデルは、事前パッケージ化された権限モデルです。データベース中心であり、各ユーザーグループには変更できない対応する権限があります。ほとんどの権限付与シナリオのニーズを満たし、権限付与操作はシンプルです。
スキーマレベル権限モデル (SLPM)	スキーマレベルの権限制御。より詳細な権限の粒度が必要でありながら、簡素化された権限付与プロセスも必要なシナリオに適しています。	スキーマレベルの簡易権限モデルは、事前パッケージ化された権限モデルです。スキーマ中心であり、各ユーザーグループには変更できない対応する権限があります。より詳細な制御のニーズを満たし、権限付与操作はシンプルです。

RAM 認証
- Hologres は RAM 認証をサポートしています。RAM は Alibaba Cloud のリソースアクセスコントロールサービスであり、ルートアカウントが RAM ユーザーを作成および管理できるようにします。ルートアカウントはすべてのリソースを所有し、RAM ユーザーにその Hologres インスタンスへのアクセス権限を付与できます。
- ロールベース SSO を介して Alibaba Cloud にログインし、Hologres を使用することもできます。この場合、Alibaba Cloud RAM ロールは Hologres インスタンスのメンバーになります。RAM ロールを引き受けるユーザーは、Alibaba Cloud アカウントを使用するメンバーと同じプロダクト使用権限を持ちます。構成の詳細については、「RAM ロール権限付与モード」をご参照ください。

監査

ActionTrail

Hologres では、Alibaba Cloud ActionTrail のコンソール、OpenAPI、および開発者ツールを通じて、過去 90 日間のインスタンス管理イベントログをクエリできます。これにより、イベントのモニタリングとアラート、タイムリーな監査、および問題分析が可能になります。構成の詳細については、「イベント監査ログ」をご参照ください。

ActionTrail は、Alibaba Cloud サービスで実行される操作のレコードを収集できます。これらの操作には、コンソールでユーザーによってトリガーされる操作、Alibaba Cloud API を呼び出すことによって実行される操作、またはサービスロールを使用する Alibaba Cloud サービスによって実行される操作が含まれます。操作レコードは、ActionTrail によって 10 分以内に追跡および記録されます。
過去 90 日間の操作レコードは、ActionTrail コンソールで、または API を呼び出すことによって表示できます。誰が操作を開始したか、どのような操作であったか、どのオブジェクトが影響を受けたか、いつ操作が発生したか、およびソース IP アドレスを特定できます。また、操作が API からかコンソールからか、成功したか失敗したか、および失敗の理由を特定できます。これらの行動イベントをダウンロードするか、Simple Log Service または Object Storage Service (OSS) に保存できます。その後、行動分析、セキュリティ分析、リソース変更追跡、および行動コンプライアンス監査を実行できます。
ActionTrail は、Alibaba Cloud Object Storage Service (OSS) または Simple Log Service などのストレージプロダクトへの操作レコードの配信をサポートしています。これらのストレージプロダクトは高可用性であり、暗号化とアクセスの制御を使用して監査データを保護できます。配信が発生すると、ActionTrail は通知も送信します。
複数のトレイルを作成して、異なるイベントタイプとリージョンを個別に追跡し、異なるバケットに配信できます。これにより、異なる責任を持つ従業員向けに、異なる範囲の行動データをバックアップするという要件を満たすのに役立ちます。

実装原理

Hologres クエリログ

Hologres はクエリログ情報を提供します。システムは、すべての DDL ステートメントと、実行に 100 ミリ秒以上かかるすべての DML および DQL ステートメントを記録します。ログは 30 日間保持されます。ログは、各ユーザーの特定の操作を詳細に記録します。構成の詳細については、「スロークエリログの表示と分析」をご参照ください。

ネットワークセキュリティ

アクセス隔離

Alibaba が独自に開発したワンストップのリアルタイムデータウェアハウスエンジンとして、Hologres はセキュリティ隔離標準を満たす必要があります。Hologres は次のネットワークサポートを提供します。

各インスタンスのクラシックネットワーク、VPC、およびパブリックネットワークは相互に隔離されています。各ネットワークに対応するエンドポイントと仮想 IP アドレス (VIP) を介してのみインスタンスにアクセスできます。
Hologres インスタンスは、特定の VPC ID の構成をサポートしており、インスタンスが対応する VPC からのみアクセスできることを保証します。

IP ホワイトリスト

Hologres は、前述の認証メカニズムなど、セキュリティのための複数の層のアクセスの制御を提供します。有効で認可された AccessKey ID と AccessKey Secret を持つユーザーのみが認証を通過し、付与された権限の範囲内でデータにアクセスして計算できます。

IP ホワイトリストは、このアクセス認証の上に構築された強化されたアクセスの制御方法です。ホワイトリスト機能が有効になっている場合、ホワイトリスト上のデバイスのみが Hologres インスタンスにアクセスできます。ユーザーがホワイトリストにないデバイスからインスタンスにアクセスしようとすると、有効な AccessKey ID と AccessKey Secret を提供しても認証は失敗します。構成の詳細については、「IP ホワイトリスト」をご参照ください。