Oracle Advanced Security Data Redactionのご紹介

Copyright © 2014 Oracle and/or its affiliates. All rights reserved. |Copyright © 2016 Oracle and/or its affiliates. All rights reserved. |
Oracle Advanced Security
Data Redactionのご紹介
日本オラクル株式会社

Copyright © 2015 Oracle and/or its affiliates. All rights reserved. |
以下の事項は、弊社の一般的な製品の方向性に関する概要を説明するものです。また
、情報提供を唯一の目的とするものであり、いかなる契約にも組み込むことはできませ
ん。以下の事項は、マテリアルやコード、機能を提供することをコミットメント（確約）する
ものではないため、購買決定を行う際の判断材料になさらないで下さい。
オラクル製品に関して記載されている機能の開発、リリースおよび時期については、弊
社の裁量により決定されます。
Oracleは、米国オラクル・コーポレーション及びその子会社、関連会社の米国及びその他の国における登録商標または商標です。
他社名又は製品名は、それぞれ各社の商標である場合があります。
2

Oracle Data Redaction
3
• ユーザーの権限やクライアント情報に応じてリアルタイムにデータをリダクション
• アプリケーションのコード修正は必要のないデータベース内で完結する列アクセス制御
• コールセンターやサポート業務などの職責に応じた顧客情報へのアクセス制御の実現や
PCIDSSに対応したクレジットカード番号の表示、アプリ開発者の直接アクセスも制御
クレジットカード番号
4451-2172-9841-4368
5106-6342-4881-5211
4891-3311-0090-5055
Policyデータ
責任者
業務
オペレーター

サポートされるリダクションの種類
4
052-51-2147 XXX-XX-2147
格納されているデータリダクション結果
10/09/1992
tim.lee@acme.com [hidden]@acme.com
4451-2172-9841-4368 4943-6344-0547-0110
Full
Partial
Regular
Expression
Random
01/01/2001

Oracle Data Redactionのアーキテクチャ
5
Oracle Database 12c
Customer
Redaction
Policy
Applications
通常表Product
ポリシーの条件となる要素
- IPアドレス
- DBユーザー
- アプリケーションID等
929-55-2147
XXX-XX-2147
• リダクション・ポリシーを表やビューに対してDBMS_REDACTプロシージャで定義
• 対象にできる列は、CHAR/VARCHAR2、 NUMBER、 DATE、 BLOB/CLOB型
• リダクション・ポリシーの条件に応じて、列の値を任意にリダクションする
Users

リダクション・ポリシーの作成
6
DBMS_REDACT.ADD_POLICYプロシージャ
DBMS_REDACT.ADD_POLICY
object_schema リダクション・ポリシーを適用するスキーマ名
object_name リダクション・ポリシーを適用する表、またはビュー名
policy_name 作成するリダクション・ポリシー名
column_name リダクション・ポリシーを適用する列名
※複数指定したい場合は、DBMS_REDACT.ADD_POLICYで別途追加する
function_type DBMS_REDACT.FULL
DBMS_REDACT.RANDOM
DBMS_REDACT.PARTIAL
DBMS_REDACT.REGEXP
expression SYS_CONTEXTの値に基づく、Boolean型の条件式を定義。
条件の結果値が“True”である場合のみ、リダクションが実行される
function_parameters DBMS_REDACT.PARTIALを使用する場合のデータのINとOUTの定義
regexp……. function_typeがDBMS_REDACT.REGEXPの場合のオプション群

Expression(条件式)の作成方法
7
SYS_CONTEXT('USERENV', 'IP_ADDRESS') = '130.35.46.77'
SYS_CONTEXT(’USERENV’, CLIENT_IDENTIFIER’) != ‘Applicaton001’ OR
SYS_CONTEXT('USERENV', 'CLIENT_IDENTIFIER') IS NULL
SYS_CONTEXT('USERENV', 'SESSION_USER') = 'SCOTT’
SYS_CONTEXT('SYS_SESSION_ROLES','MGR') = 'FALSE'
•DBユーザー名がSCOTTの場合
•IPアドレスがNULLの場合
•ユーザーがMGRロールを持っていなかった場合
• SYS_CONTEXTからセッション情報を取り出し、比較する条件の値を取得する。また、それ以外の関数や
ユーザ独自の関数などは条件に使用できない
• 結果がTRUE or FALSEで評価できるように作成し、TRUEの場合にリダクションが行われる
• 使用できる演算子は、=、!=、>、<、>=、<=のみ
• クライアント情報にApplicaton001の識別子がない ※null値をフォローすることを忘れずに

ポリシー式ビルダーで条件作成をサポート
8
Oracle Enterprise Manager 12c

実際にアプリケーションで使用した場合
• 接続するユーザーの所有するロールで制御しており、アプリケーションの修正は必要なし
expression => ‘SYS_CONTEXT(’‘SYS_SESSION_ROLES’‘,’‘MGR’‘) = ’‘FALSE’‘‘でコントロール
9

Data Redactionの設定例
10

・FIRSTNAME列
・ランダムリダクション

・CARDNO列 (部分リダクション)
・FISRTNAME列 (ランダムリダクション)
・LASTNAME列 (ランダムリダクション)
・VALIDATE列 (フルリダクション)

リダクション条件
・SCOTTユーザ以外は
リダクションさせる

リダクション・ポリシー定義
・SCOTTユーザ
・CUSTOMER表
・CARDNO列 (部分リダクション)
・FISRTNAME列 (ランダムリダクション)
・LASTNAME列 (ランダムリダクション)
・VALIDATE列 (フルリダクション)
・条件
・SCOTTユーザ以外は
リダクションさせる

Data Redactionの設定完了
16

Oracle Advanced Security Data Redactionのご紹介

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Andere mochten auch

Andere mochten auch (6)

Ähnlich wie Oracle Advanced Security Data Redactionのご紹介

Ähnlich wie Oracle Advanced Security Data Redactionのご紹介 (20)

Mehr von オラクルエンジニア通信

Mehr von オラクルエンジニア通信 (20)

Kürzlich hochgeladen

Kürzlich hochgeladen (8)

Oracle Advanced Security Data Redactionのご紹介