Oracle DBSec Tutorial

Oracle Databaseのセキュリティ機能を短い手順で試せるチュートリアル集です。

Getting Started — まずはここから Oracle DB 26ai Free のセットアップと SQLcl・サンプルスキーマの準備手順です。各チュートリアルの前提環境をここで整えます。

このサイトがカバーする保護の範囲

保存データ（Data at Rest）

ディスク上のデータファイル・バックアップを暗号化し、媒体盗難・流出時のリスクを低減します。

→ TDE

転送データ（Data in Transit）

クライアント〜DB間の通信を暗号化し、ネットワーク上の盗聴・改ざんを防ぎます。

→ NNE / TLS（TCPS）

利用時データ（Data in Use）

クエリ結果を動的にマスキング・フィルタリングし、権限のないユーザーへの情報漏えいを防ぎます。

→ Data Redaction / VPD / OLS / DDS

認証・認可

誰がDBにアクセスできるか・何を操作できるかを制御し、なりすましや不正操作を防ぎます。

→ IAM / MFA / DB Vault / SQL Firewall

ディスク上のデータと通信経路を保護し、漏えい・盗聴リスクを低減します。

透過的データ暗号化（TDE）データファイルを暗号化し、ディスク上のデータ漏えいリスクを下げます。クエリに対しては透過的に復号されるため、利用側の改修を最小化できます。

通信暗号化クライアントとDB間の通信を暗号化し、盗聴リスクを低減します。NNE（Oracle Net）と TLS（TCPS）の2方式を扱います。

Data Redaction クエリ結果に対して動的にマスキングを行い、機微情報の表示を抑止します。データ自体を書き換えず、参照時の見せ方だけを制御できる点が特徴です。

DBへのアクセスや操作を制限し、不正利用・内部脅威を抑止します。

Virtual Private Database 行・列レベルでアクセス制御を行い、同じ表でもユーザーごとに見えるデータを変えます。アプリケーションのSQLを変えずに、DB側のポリシーで条件を付与できます。

Database Vault 職務分離のための制御を追加し、強力な権限ユーザーの操作も制限できます。保護領域や操作ルールを定義し、運用上の不正や誤操作のリスクを下げます。

SQL Firewall 許可されたSQLの特性を基に、逸脱したSQLを検知・遮断する仕組みです。予期しないSQL実行による被害を抑止するための追加防御として使えます。

Oracle Label Security ラベル（分類）に基づいてアクセス制御を行い、データの取り扱い基準を一貫させます。ユーザーのラベルとデータのラベルの関係で、参照・更新可否を判定します。

Deep Data Security Oracle Database 26ai の新機能。エンドユーザーのコンテキストをベースに行・列レベルのアクセス制御を DB 層で実現します。AI エージェントのようなアドホックなクエリへのデータ保護にも対応します。

DBへのログインを強化し、なりすましや不正ログインのリスクを下げます。

IAM DBパスワード OCI IAM のユーザーを使ってDBへログインする方式です。IAM側のユーザー/グループ管理と、DB側の権限付与を連携することができます。

IAM DBトークン OCI IAM が発行する、短時間で失効するトークンを用いてDBへログインする方式です。長期的に固定の秘密情報を配布・保持する運用を減らせます。

MS Entra ID 認証 Microsoft Entra ID のユーザーを使用してDBにログインする方式です。Entra ID 側のユーザーやロールと連携し、一元化されたユーザーおよび認可管理を行うことができます。

多要素認証（MFA）パスワードに加えて第二の認証要素を要求し、ログインを強化します。パスワード漏えい時の不正ログインリスクを低減できます。