ネットワーク・ペリメータの管理

Oracle Cloud Infrastructure (OCI) Identity and Access Management (IAM)のアイデンティティ・ドメイン内のネットワーク・ペリメータは、ユーザーがサインインに使用できるIPアドレス、国およびVCNsを制限します。

ネットワーク・ペリメータに関連する次のタスクを実行できます。

IPアドレス

ネットワーク・ペリメータを作成した後、ユーザーのIPアドレスに基づいてアイデンティティ・ドメインにサインインできるユーザーを制御できます。

指定したIPアドレスのみを許可します。
特定のIPアドレスまたは範囲をブロックします。

IAMは、IPv4とIPv6の両方をサポートしています。

許可リストおよびブロックリスト

許可リスト: 定義したIPアドレスからサインインしているユーザーのみが、アイデンティティ・ドメインへのサインインを許可されます。
ブロックリスト: 定義したIPアドレスからサインインするユーザーは、アイデンティティ・ドメインへのアクセスを拒否されます。

セキュリティ・ポリシーに応じて、許可リストまたはブロックリスト、あるいはその両方を使用できます。

使用できるIPアドレス形式

単一のIPアドレス

1つ以上の正確なIPアドレスを入力します。
複数のIPアドレスはカンマで区切ります。
例: 10.11.12.13 (IPv4)、2001:db8::1 (IPv6)。

IP範囲(ハイフンで区切られた2つのアドレス)

開始IPアドレスと終了IPアドレスをハイフンで指定します。
例: (IPv4): 10.10.10.1-10.10.10.10。10.10.10.1から10.10.10.10までのすべてのアドレスが含まれます。

CIDRブロック(マスクされた範囲)

クラスレス・ドメイン間ルーティング(CIDR)表記を使用して、ネットワークを定義します。
スラッシュの後の数字は、接頭辞の長さ(ネットワーク・ビットの数)です。
例: 10.11.12.0/24 (10.11.12で始まるすべてのIPv4アドレス)、2001:db8::/32 (IPv6)。

ノート

リストされている例では、IPv4プロトコルでIPアドレスを使用します。ただし、IPv6プロトコルを使用するIPアドレスに同じフォーマットを適用できます(B138:C14:52:8000:0:0:4D8など)。

ネットワーク・ペリメータを定義した後、それらをサインオン・ポリシーに割り当てて、ネットワーク・ペリメータで定義されたIPアドレスを使用してアイデンティティ・ドメインにサインインしようとする場合、アイデンティティ・ドメインにサインインするか、アイデンティティ・ドメインにアクセスしないようにポリシーを構成できます。また、ネットワーク・ペリメータをOAuthクライアント・アプリケーションのOAuthトークン発行の許可リストとして使用することもできます。ネットワーク・ペリメータ外部からのトークン・リクエストは拒否されます。

クライアント構成を指定することで、エンタープライズ・アプリケーションまたは機密アプリケーションを構成することもできます。

サインオン・ポリシーのネットワーク・ペニメータの割当ての詳細は、サインオン・ポリシーの追加を参照してください

ネットワーク・ペリメータ(クライアント構成)によるクライアントIPアドレスの制限の詳細は、OAuthの構成を参照してください。

ネットワーク・ペリメータ構成オプション

ネットワーク・ペリメータは、リクエストのソースを指定してアクセスを制御するのに役立ちます。次のオプションを使用して、ネットワーク・ペリメータを構成できます。

リスクのあるIP NetworkPerimeter

Oracle管理のRisky IP NetworkPerimeterは、各アイデンティティ・ドメインで使用できます。この境界には、リスクありと指定されたIPアドレスの動的セットが含まれます。

サインオン・ポリシー・ルールでこの組込みネットワーク・ペリメータを使用するか、対話型サインインおよびOAuthトークン発行を保護するためにそれをアプリケーションに割り当てることができます。リスクのあるIP NetworkPerimeterの「IPを除外」リストのみを更新できます。他の変更は許可されません。「Exclude IPs」リスト内のIPは、「Risky IP NetworkPerimeter」から除外されます。

名前付きIPとしての地理的位置

国名を指定することで、地理的な場所を含めることができます。

ノート

ネットワーク・ペリメータに「不明な場所」を追加して、不明な場所をネットワーク・ペリメータに含めます。

IAMは、IP位置情報データを使用して、各アクセス・リクエストのIPアドレスの送信元国を決定します。

仮想クラウド・ネットワーク

OCI仮想クラウド・ネットワーク(VCNs)をネットワーク・ペリメータに追加し、特定のIP範囲を定義します。

IPリストを除外

ネットワーク・ペリメータからIPアドレスを除外します。除外されたIPアドレスは、「IPアドレス」フィールドにリストされている場合でも、境界に含まれません。ネットワーク・ペリメータから除外するIP範囲を定義することもできます。

ノート

「IPの除外」リストは、VCNsではなくIPアドレスおよび国にのみ適用されます。

ネットワーク・ペリメータを使用する場合

ネットワーク・ペリメータを使用して、次のことを行います。

リスクのあるIPからのリクエストの拒否または多要素認証(MFA)を指定して、対話型のサインインを保護します。Risky IP NetworkPerimeterを使用するようにサインオン・ポリシーを更新します。
Risky IP NetworkPerimeterをアプリケーションに割り当てることで、トークンの発行を保護します。
Define conditional access for interactive sign-ins based on geographic locations or VCNs (or both) by specifying countries and VCNs in a network perimeter and updating sign-on policy rules to Deny or require MFA.
ネットワーク・ペリメータをアプリケーションに割り当てることで、特定の地理的場所またはVCNs、あるいはその両方からのトークン発行のみを許可します。

これらのオプションを使用すると、組み込みのRisky IP NetworkPerimeterを使用して、最新の脅威から防御できます。また、地理的な制限に関する規制コンプライアンス要件を満たし、IAM内のプライベート・ネットワークに対してより詳細な境界制御を適用することもできます。

Oracle Cloud Infrastructureドキュメント