本参考架构突出显示了将目标数据库连接到Oracle Data Safe的不同方式。它还描述了为安全部署特定目标数据库的连接所需采取的安全措施。

Oracle Data Safe是一项完全集成的区域性云服务，专注于数据安全。它为保护Oracle数据库中的敏感和受规管数据提供了Oracle Cloud Infrastructure的一整套完整且集成的功能。

Oracle Data Safe为Oracle Autonomous Database和运行在Oracle Cloud中的数据库提供必要的安全服务。Data Safe还支持本地数据库、Oracle Exadata Cloud@Customer和多云部署。所有Oracle数据库客户都可以通过使用Data Safe来评估配置和用户风险、监控和审计用户活动以及发现、分类和屏蔽敏感数据，从而降低数据泄露的风险并简化合规性。

例如欧盟通用数据保护条例（GDPR）和加利福尼亚州消费者隐私法（CCPA）等合规法律要求公司保护客户的隐私。在安全且高效的方式中运行各种托管数据库，需要管理这些数据的安全。Oracle Data Safe帮助您了解数据敏感性，评估数据风险，屏蔽敏感数据，实行和监控安全控制，评估用户安全，监控用户活动，以及满足数据安全合规性要求。

在将数据库添加为目标后，Data Safe识别、分类和优先处理风险，并就以下方面提供全面的评估报告：

安全参数使用中的安全控制用户角色和权限

Data Safe帮助满足各种合规要求，如识别敏感数据所在位置、为非生产用途屏蔽敏感数据、安全地捕获审计数据等。审计合规标准代表了一组有助于加速遵守监管标准的审计政策。它们还有助于评估您是否遵守数据库合规性要求。在活动审计期间，可以启用两种审计合规标准政策：

互联网安全中心（CIS）配置 - 适用于Oracle Database 12.2及更高版本。安全技术实施指南（STIG） - 适用于Oracle Database 21c及更高版本。

架构

本参考架构概述了Data Safe连接到这些数据库的方式：

部署在本地的数据库。部署在OCI裸金属数据库系统或虚拟机数据库系统上的数据库。

注意：本参考架构仅讨论具有私有IP地址的数据库。从安全角度来看，不建议配置具有公共IP地址的数据库。

下图展示了这一架构。

上图所示的本地连接器可以连接到多个数据库。这同样适用于FastConnect或VPN Connect选项，因为这是一种网络层连接。

对于这里讨论的所有不同的Data Safe部署，我们建议您在您的租户中部署一个登陆区。以下资源为安全和合规、登陆区概念提供最佳实践，以及如何使用terraform脚本在Oracle Cloud Infrastructure上部署登陆区：

Oracle Cloud Infrastructure的最佳实践框架部署符合CIS Foundations Benchmark的安全登陆区OCI符合CIS标准的登陆区 注意：请参考下方的更多探索主题以获取这些资源。

部署在本地的数据库

要连接位于本地且拥有私有IP地址的目标数据库，请选择以下两个选项之一：

本地连接器私有端点 使用本地连接器时，无需FastConnect或VPN Connect。使用私有端点时，您需要在Oracle Cloud Infrastructure和非Oracle云环境之间已有一个现有的FastConnect或VPN Connect。然后，在Oracle Cloud Infrastructure的VCN中创建一个可以访问数据库的私有端点。 以下资源描述了这种架构及其在文档中的设置：目标数据库的连接选项Oracle Data Safe私有端点Oracle Data Safe本地连接器创建Oracle Data Safe私有端点创建Oracle Data Safe本地连接器 注意：请参考下方的更多探索主题以获取这些资源。

部署在OCI裸金属数据库系统或OCI虚拟机数据库系统上的数据库

要连接位于OCI裸金属数据库系统或OCI虚拟机数据库系统上且拥有私有IP地址的目标数据库，请选择以下两个选项之一：

本地连接器私有端点 当您需要特定数据库时，可以使用此解决方案；例如，OCI Oracle EBS部署或Oracle EBS FORM部署。您可以通过使用连接器，或结合FastConnect或VPN Connect和私有端点来连接这样的数据库。 以下资源描述了这种架构及其在文档中的设置：目标数据库的连接选项Oracle Data Safe私有端点创建Oracle Data Safe私有端点多云服务模型 注意：请参考下方的更多探索主题以获取这些资源。

这种架构包含以下组件：

租户（Tenancy）

Oracle Autonomous Transaction Processing是一种自驾、自保护、自修复的数据库服务，专为交易处理工作负载优化。您无需配置或管理任何硬件，也无需安装任何软件。Oracle Cloud Infrastructure负责创建数据库，以及备份、打补丁、升级和调优数据库。

地区（Region）

Oracle Cloud Infrastructure地区是一个包含一个或多个数据中心（称为可用性域）的地理区域。地区相互独立，它们之间可能相隔很远（跨越国家甚至大陆）。

分区（Compartment）

分区是Oracle Cloud Infrastructure租户内跨地区的逻辑分区。使用分区来组织Oracle Cloud中的资源，控制对资源的访问，并设置使用配额。要控制对特定分区中资源的访问，您需要定义策略，指定谁可以访问这些资源以及他们可以执行哪些操作。

可用性域（Availability domains）

可用性域是地区内独立的、自主的数据中心。每个可用性域中的物理资源与其他可用性域中的资源隔离，从而提供故障容忍。可用性域不共享基础设施，如电源或冷却系统，或内部的可用性域网络。因此，一个可用性域的故障不太可能影响该地区内的其他可用性域。

故障域（Fault domains）

故障域是可用性域内的硬件和基础设施分组。每个可用性域有三个故障域，它们具有独立的电源和硬件。在多个故障域中分布资源时，您的应用程序可以承受物理服务器故障、系统维护和故障域内的电力故障。

虚拟云网络（VCN）和子网

VCN是您在Oracle Cloud Infrastructure地区中设置的可自定义、软件定义的网络。与传统数据中心网络一样，VCN使您完全控制您的网络环境。VCN可以拥有多个不重叠的CIDR块，这些块在创建VCN后可以更改。您可以将VCN分割为子网，这些子网可以是针对地区或可用性域。每个子网由不与VCN中其他子网重叠的连续地址范围组成。创建后，您可以更改子网的大小。子网可以是公共的或私有的。

负载均衡器（Load balancer）

Oracle Cloud Infrastructure负载均衡服务提供从单个入口点到后端多个服务器的自动流量分配。负载均衡器为不同的应用程序提供访问。

服务网关（Service gateway）

服务网关提供从VCN到其他服务（如Oracle Cloud Infrastructure对象存储）的访问。从VCN到Oracle服务的流量通过Oracle网络织物传输，永远不会穿越互联网。

Cloud Guard

您可以使用Oracle Cloud Guard来监控和维护Oracle Cloud Infrastructure中资源的安全性。Cloud Guard使用您可以定义的检测器配方来检查资源的安全弱点，并监控运营商和用户的高风险活动。当检测到任何配置错误或不安全活动时，Cloud Guard会推荐纠正措施，并根据您可以配置的响应者配方协助采取这些措施。

FastConnect

Oracle Cloud Infrastructure FastConnect提供了一种简单的方法来创建您的数据中心与Oracle Cloud Infrastructure之间的专用、私有连接。FastConnect提供更高带宽选项和相比基于互联网的连接更可靠的网络体验。

自动化数据库（Autonomous database）

Oracle Cloud Infrastructure自动化数据库是完全托管、预配置的数据库环境，您可以用于事务处理和数据仓库工作负载。您无需配置或管理任何硬件，也无需安装任何软件。Oracle Cloud Infrastructure负责创建数据库，以及备份、打补丁、升级和调优数据库。

自动事务处理（Autonomous Transaction Processing）

Oracle Autonomous Transaction Processing是一种自驾、自保护、自修复的数据库服务，专为事务处理工作负载优化。您无需配置或管理任何硬件，也无需安装任何软件。Oracle Cloud Infrastructure负责创建数据库，以及备份、打补丁、升级和调优数据库。

Exadata Cloud Service允许您在云中利用Exadata的强大功能。您可以配置灵活的X8M系统，根据需求增加数据库计算服务器和存储服务器。X8M系统提供RoCE（RDMA over Converged Ethernet）网络，以实现高带宽和低延迟，持久内存（PMEM）模块，以及智能Exadata软件。您可以使用等同于四分之一机架X8系统的形状来配置X8M或X9M系统，然后在配置后的任何时候增加数据库和存储服务器。

推荐

在为您的本地和OCI部署的数据库实施Oracle Data Safe时，以下推荐可作为起点。您的需求可能与这里描述的架构不同。

VCN

创建VCN时，根据您计划连接到VCN子网的资源数量，确定所需的CIDR块数量及每个块的大小。使用标准私有IP地址空间内的CIDR块。选择不与您打算建立私有连接的任何其他网络（在Oracle Cloud Infrastructure、您的本地数据中心或其他云提供商）重叠的CIDR块。创建VCN后，您可以更改、添加和移除其CIDR块。在设计子网时，考虑您的流量流向和安全需求。将特定层或角色内的所有资源连接到同一个子网，这可以作为一个安全边界。

安全

主动使用Oracle Cloud Guard来监控和维护Oracle Cloud Infrastructure中资源的安全。Cloud Guard使用您可以定义的检测器配方来检查资源的安全弱点，并监控运营商和用户的高风险活动。当检测到任何配置错误或不安全活动时，Cloud Guard会推荐纠正措施，并根据您可以配置的响应者配方协助采取这些措施。

对于需要最高安全性的资源，Oracle建议您使用安全区域。安全区域是与Oracle定义的基于最佳实践的安全策略配方相关联的分区。例如，安全区域中的资源不得从公共互联网访问，并且必须使用客户管理的密钥进行加密。在安全区域中创建和更新资源时，Oracle Cloud Infrastructure会根据安全区域配方中的策略验证操作，并拒绝违反任何策略的操作。

Cloud Guard

克隆并自定义Oracle提供的默认配方，以创建自定义的检

测器和响应者配方。这些配方使您能够指定哪种类型的安全违规会生成警告，以及允许对其执行的操作。例如，您可能希望检测将可见性设置为公共的对象存储桶。

在租户级别应用Cloud Guard，以覆盖最广泛的范围并减少维护多种配置的管理负担。

您还可以使用管理列表功能，将特定配置应用于检测器。

网络安全组（NSGs）

您可以使用NSGs定义一组适用于特定VNICs的入站和出站规则。我们建议使用NSGs而不是安全列表，因为NSGs使您能够将VCN的子网架构与应用程序的安全需求分离。

负载均衡器带宽

创建负载均衡器时，您可以选择提供固定带宽的预定义形状，或指定一个自定义（灵活）形状，设置带宽范围，并根据流量模式让服务自动调整带宽。无论采用哪种方法，您都可以在创建负载均衡器后随时更改其形状。

开启您的Oracle云之旅：Agilewing - 您的智能云服务伙伴

作为Oracle的高级合作伙伴，Agilewing正重新定义企业体验Oracle云服务的方式。借助于其简化的开户流程和一流的技术支持，Agilewing将复杂的开户和操作流程转化为一种轻松、直观的体验。通过我们的一站式服务，您可以迅速开启并享受Oracle云的全方位服务，从而无缝融入云端世界。

Agilewing的AgileCDN服务，结合了OCI的云基础服务，提供了一流的全球内容加速解决方案。超过2800个全球POP节点和7000个直连点的强大网络，确保了无论您的业务扩展到全球哪个角落，都能保持高效稳定的运行。

利用Oracle云的先进技术，Agilewing致力于简化云服务搭建、云迁移和业务出海的过程。我们的合作模式为客户带来经济高效的解决方案，使他们能够更加专注于核心业务，同时享受Oracle云的高性能和安全保障。

Oracle云服务，作为一个充满潜力的领域，以其高性能、安全性和全球统一的服务标准，为各类企业开启了新的机遇之门。通过Agilewing的专业服务，无论是个人用户还是企业，都能轻松步入这个充满技术革新和高效能的新时代。现在，就让Agilewing引领您开始探索Oracle云服务，打开一个全新的世界大门。