Oracle DBSec Tutorial

Oracle Databaseのセキュリティ機能を短い手順で試せるチュートリアル集です。

各手順は Oracle Database 26ai Free を前提にしています。まず Getting Started で SQLcl とサンプルスキーマを用意してください。
このサイトのチュートリアルは，上から順に読む必要はなく，ご興味のある各機能から試すことが可能です。

認証 — 誰がログインできるか

DB に接続できる主体を制御し，なりすましや不正ログインのリスクを下げます。
ローカルユーザーの認証強化（MFA）に加え，OCI IAM や Microsoft Entra ID などの外部 IdP と連携し，ユーザー管理を一元化する方式を扱います。

OCI IAM DBパスワード OCI IAM にて設定したユーザーとパスワードで Database にログインします。

OCI IAM DBトークン OCI IAM にて認証の後，短時間で失効する IAM トークンでログインすることで，DB 固有のパスワードをなくします。

MS Entra ID 認証 Microsoft Entra ID のユーザー／ロールと連携し，Database にログインします。

多要素認証（MFA）パスワードに加えて第二の認証要素を要求し，Database ログインを強化します。

アクセス制御 — 何が見え，何を操作できるか

正規のログイン後に，行・列・操作の単位でアクセスを絞ります。
利用時のデータ（Data in Use）を守る層で，行・列レベルの絞り込み（VPD / OLS / Deep Data Security），特権ユーザーの抑止と職務分離（Database Vault），想定外の SQL の遮断（SQL Firewall）が含まれます。

Virtual Private Database Database 側で暗黙的に制御を行うことで，アプリの SQL を変えないままに行・列単位でユーザーごとに見えるデータを変えます。

Database Vault DBA などの特権ユーザーの操作も制限する強力なアクセス権限の分離を強制します。

SQL Firewall 許可済み SQL の特性から逸脱した SQL を検知・遮断し，SQLインジェクションを防止します。

Oracle Label Security データとユーザーに付けたラベルの関係で，参照・更新の可否を判定します。

Deep Data Security 26ai 新機能。エンドユーザーのコンテキストで行・列制御を DB 層に実装し，AI エージェントのアドホックなクエリにもアクセス制御を対応させます。

暗号化・マスキング — データそのものを読めなくする

データを暗号化またはマスクし，経路や媒体を奪われても中身を読めなくします。
保存データ（Data at Rest）は TDE，通信経路（Data in Transit）は NNE / TLS，クエリ結果は Data Redaction が担当します。

透過的データ暗号化（TDE）データファイルとバックアップを暗号化します。クエリに対しては透過的に復号されます。

通信暗号化クライアント- DB 間の通信を暗号化。NNE（Oracle Net）と TLS（TCPS）の2方式を扱います。

Data Redaction クエリ結果を動的にマスクします。データ自体は書き換えず，参照時の見せ方だけを制御します。