Hologres:セキュリティ ホワイトペーパー

ストレージの暗号化

Hologres では、Key Management Service (KMS) を使用して静的データを暗号化し、安全に保管できます。

暗号化データ転送

Hologres の転送セキュリティを向上させるために、SSL 暗号化転送を有効にできます。SSL は、トランスポート層でネットワーク接続を暗号化します。これにより、転送されるデータのセキュリティと整合性が向上しますが、応答時間が長くなります。詳細については、「[転送の暗号化]」をご参照ください。

SSL は、安全な通信を確保し、データを保護するために開発されたプロトコルです。Alibaba Cloud SSL 証明書は、よく知られている認証局 (CA) によって発行された信頼できる資格情報です。CA は WebTrust によって認証されています。SSL 証明書を使用して、Web サイトの ID を検証し、転送中のデータを暗号化できます。HTTP を使用してデータを暗号化することはできません。HTTP 転送中に、データ漏洩、データ改ざん、またはフィッシング攻撃が発生する可能性があります。Web サーバーに SSL 証明書をインストールすると、Web サーバーと Web サイトの間に HTTPS 暗号化接続を確立できます。これにより、Web サイトとデータ転送のセキュリティが確保され、Web サイトはアプリストアまたはアプリケーションエコシステムのセキュリティ要件を満たすことができます。詳細については、「[SSL 証明書とは]」をご参照ください。

データマスキング

Hologres は、データマスキング機能を提供します。この機能を使用して、列ごとにデータをマスキングし、特定のユーザーにデータマスキングルールを設定できます。この機能を有効にすると、機密情報はクエリ結果でマスキングされます。これは、機密データとプライベートデータを保護するのに役立ちます。Hologres は、IP アドレスのマスキング、メールアドレスのマスキング、ハッシュなどの複数のマスキングルールをサポートしています。詳細については、「[データをマスキングする]」をご参照ください。

アカウント

Hologres インスタンスを購入して使用するには、Alibaba Cloud アカウントを使用する必要があります。Hologres インスタンスを購入する前に、Alibaba Cloud アカウントを作成し、実名認証を完了する必要があります。Hologres インスタンスにアクセスする前に、AccessKey ペアを作成する必要があります。

Hologres は、Resource Access Management (RAM) 認証をサポートしています。RAM は Alibaba Cloud によって提供されるサービスであり、リソースに対する権限を管理するために使用されます。Alibaba Cloud アカウントを使用して RAM ユーザーを作成し、RAM ユーザーに Alibaba Cloud アカウントが所有する特定のリソースにアクセスするための権限を付与できます。

認証

Alibaba Cloud コンソールで AccessKey ペアを作成できます。

AccessKey ペアは、AccessKey ID と AccessKey シークレットで構成されます。AccessKey ID は公開されており、ユーザーを一意に識別します。AccessKey シークレットは非公開であり、ユーザーを認証するために使用されます。

Hologres にリクエストを送信すると、リクエストに対して指定された形式の署名文字列が生成され、AccessKey シークレットを使用して署名文字列が暗号化され、リクエスト署名が生成されます。Hologres はリクエストを受信すると、AccessKey ID に対応する AccessKey シークレットに基づいて署名文字列の署名を生成します。署名がリクエスト署名と一致する場合、Hologres はリクエストを有効と見なします。そうでない場合、Hologres はリクエストを拒否し、HTTP ステータスコード 403 を返します。

承認

Alibaba Cloud アカウントを使用するか、RAM ユーザーとして Hologres インスタンスにアクセスできます。柔軟なアクセス制御を実装するために、Alibaba Cloud アカウントに対して異なる権限を持つ RAM ユーザーを作成できます。Hologres は、Alibaba Cloud アカウントを使用するか、RAM ユーザーとして Hologres インスタンスにアクセスするときに、権限ベースの承認ポリシーを使用します。

• Alibaba Cloud アカウントを使用する場合、Hologres は Alibaba Cloud アカウントが Hologres インスタンスの所有者アカウントであるかどうかを確認します。所有者のみが Hologres インスタンスにアクセスできます。

• RAM ユーザーを使用して Hologres インスタンスにアクセスする場合、RAM ユーザー権限ポリシーがトリガーされます。Hologres は、Hologres インスタンスを所有する Alibaba Cloud アカウントが RAM ユーザーに Hologres インスタンスにアクセスするための権限を付与しているかどうかを確認します。

• 次の表に、Hologres でサポートされている 3 つの権限モデルを示します。これらのモデルは、RAM ユーザーのアクセス権限を制御するために使用されます。権限モデルの設定方法の詳細については、「[Hologres 権限モデル]」をご参照ください。

  権限モデル	シナリオ	説明
  標準 PostgreSQL 承認モデル	このモデルは、権限が厳密に管理されているシナリオに適しています。このモデルでは、特定のテーブルに対する権限を RAM ユーザーに付与できます。たとえば、zinan.tang ユーザーに table1 テーブルに対する読み取り権限を付与できます。	このモデルでは、権限はきめ細かく柔軟に付与されます。特定のテーブルに対する権限をユーザーに付与できます。GRANTまたは REVOKE コマンドを実行して、既存のインスタンス内のデータベース、スキーマ、テーブル、またはビューに対する権限を付与または取り消すことができます。
  シンプル権限モデル (SPM)	このモデルでは、データベースレベルの権限を管理できます。このモデルは、権限が粗く管理されているシナリオに適しています。	このモデルでは、各ユーザーグループのデータベースに対する特定の権限を変更することはできません。このモデルは、承認操作が簡単であるため、ほとんどのシナリオに適しています。
  スキーマレベル権限モデル (SLPM)	このモデルでは、スキーマレベルの権限を管理できます。このモデルは、権限がきめ細かく管理され、シンプルな承認プロセスが必要なシナリオに適しています。	このモデルでは、各ユーザーグループのスキーマに対する特定の権限を変更することはできません。承認操作は簡単です。

• RAM 認証

  • Hologres は RAM 認証をサポートしています。RAM は、Alibaba Cloud によって提供されるリソースアクセス制御サービスです。RAM で Alibaba Cloud アカウントの RAM ユーザーを作成できます。作成された RAM ユーザーは、Alibaba Cloud アカウントに従属します。すべての Hologres インスタンスは Alibaba Cloud アカウントに属しています。Alibaba Cloud アカウントは、Hologres インスタンスに対するアクセス権限を RAM ユーザーに付与できます。

  • ロールベースのシングルサインオン (SSO) を使用して Alibaba Cloud にログオンし、Hologres にアクセスすることもできます。この場合、RAM ロールは Hologres インスタンスのメンバーになります。RAM ロールを引き受けるユーザーは、Alibaba Cloud アカウントまたは RAM ユーザーであるメンバーと同じ権限を持ちます。詳細については、「[RAM ロール承認モード]」をご参照ください。

監査

ActionTrail

Hologres では、ActionTrail コンソールで、API オペレーションを呼び出すか、開発者ツールを使用して、過去 90 日間のインスタンスのイベントログをクエリできます。これにより、イベントを監視し、イベントのアラートルールを設定し、イベントをリアルタイムで監査し、問題のトラブルシューティングを行うことができます。イベントログのクエリ方法の詳細については、「[イベントログをクエリする]」をご参照ください。ActionTrail の詳細については、「[ActionTrail とは]」をご参照ください。

• ActionTrail は、Alibaba Cloud サービスで実行される操作を記録します。これには、コンソールでユーザーがトリガーした操作、API オペレーションを呼び出すことによって実行された操作、およびサービロールを使用して実行された操作が含まれます。ActionTrail は、10 分で操作を追跡および記録できます。

• ActionTrail コンソールで、または API オペレーションを呼び出すことによって、過去 90 日間の操作レコードをクエリできます。レコードには、操作を開始したユーザー、操作が実行された時刻、操作が実行されたオブジェクト、操作が開始された IP アドレス、操作が Alibaba Cloud 管理コンソールで実行されたか、API オペレーションを呼び出すことによって実行されたか、操作の結果、および操作が失敗した場合の失敗の原因などの操作情報が含まれます。操作レコードを Simple Log Service または Object Storage Service (OSS) にダウンロードできます。その後、動作分析、セキュリティ分析、リソース変更追跡、コンプライアンス監査などの操作を実行できます。

• ActionTrail を使用すると、操作レコードを OSS または Simple Log Service に配信できます。これにより、非常に高い可用性が提供され、暗号化とアクセス制御を使用して監査データのセキュリティが確保されます。ActionTrail は、操作レコードが配信されると通知を送信します。

• 複数の証跡を作成して、操作レコードを異なるストレージスペースに配信できます。これにより、異なるリージョンで実行される異なるタイプの操作を追跡し、組織メンバーの責任に基づいてさまざまなタイプのデータをバックアップできます。

実装の原則

Hologres クエリログ

Hologres は、過去 30 日間に実行されたすべての DDL ステートメントと、過去 30 日間に 100 ミリ秒以上実行された DML および DQL ステートメントを記録します。Hologres は、各ユーザーに関する詳細な操作情報をクエリするために使用できるクエリログを提供します。詳細については、「[低速クエリログのクエリと分析]」をご参照ください。

アクセスの分離

Alibaba Cloud によって開発されたワンストップのリアルタイムデータウェアハウスエンジンとして、Hologres はセキュリティ分離仕様の要件を満たす必要があります。次の項目に注意してください。

• 各 Hologres インスタンスのクラシックネットワーク、仮想プライベートクラウド (VPC)、およびインターネットは互いに分離されています。ネットワークに対応するエンドポイントと仮想 IP アドレス (VIP) を使用して、ネットワーク経由で Hologres インスタンスにアクセスできます。

• Hologres インスタンスに特定の VPC を設定して、指定された VPC からのみ Hologres インスタンスにアクセスできるようにすることができます。

IP アドレスホワイトリスト

Hologres は、セキュリティ認証メカニズムなどの複数のレベルのアクセス制御をサポートして、セキュリティを確保します。承認された AccessKey ID と AccessKey シークレットを持つユーザーのみが、付与された権限に基づいてデータにアクセスできます。

IP アドレスホワイトリスト機能は、上記のアクセス認証メカニズムに基づいて強化されたアクセス制御を提供します。IP アドレスホワイトリストを設定すると、ホワイトリストに含まれる IP アドレスからのみ Hologres インスタンスにアクセスできます。ホワイトリストに含まれていない IP アドレスから Hologres インスタンスにアクセスすると、有効な AccessKey ペアを持っている場合でも、アクセスリクエストは拒否されます。詳細については、「[IP アドレスホワイトリストを設定する]」をご参照ください。