# はじめに ![図01: 本書の位置づけ](/images/general_oci-overview-01.png) **図01: 本書の位置づけ** - 本書の想定読者ガバメントクラウド（OCI）の利用を検討または利用開始しているシステムの開発・運用事業者及びPJMOを読者として想定している。 - 改訂方針ガバメントクラウドの仕様変更やクラウドサービスの更改・仕様変更、上位文書の変更があった場合は、定期的に改訂を実施する。 # 1 テナンシ ## 1.1 テナンシの全体像 - OCIの組織管理（Organizations）機能を利用し、ガバメントクラウド全体を統括するデジタル庁が管理する親テナンシから利用者環境である子テナンシが払い出され、利用システムは子テナンシを利用する。 [OCIドキュメント:組織管理] [https://oracle\-japan\.github\.io/ocidocs/services/governance%20and%20administration/organization/](https://oracle-japan.github.io/ocidocs/services/governance%20and%20administration/organization/) - 払い出された子テナンシには、必須適用テンプレートによってベースラインとなるセキュリティ対策が適用される。 - 開発環境はCI/CD環境に接続する場合を除いてガバメントクラウドからは提供されない。 ![図02: テナンシの全体像](/images/general_oci-overview-02-001.png) **図02: テナンシの全体像** # 2 ユーザー ## 2.1 ユーザーの全体像ガバメントクラウドにて使用するユーザーの全体像および各ユーザーを説明する。ガバメントクラウドのOCI環境では、ガバメントクラウド利用組織からの利用申請の情報に基づき、デジタル庁より必要な環境数分のテナンシが払い出される。テナンシにおいて最も強力な権限を持ち、システムの所有者として位置付けられるテナンシ管理者（テナンシの最初のユーザーをガバメントクラウドでは便宜上、ルートユーザーと呼称する場合がある）はテナンシとともにデジタル庁が作成する。ユーザーアカウントは、GCASアカウントと各CSP環境へのシングルサインオン機能が令和6年度より展開されるため、GCASアカウント以外のユーザーアカウントを利用組織で作成する必要はない。デジタル庁が払い出したGCASアカウントによるテナンシへのアクセスが可能になる。なお、GCASアカウントとの連携ではOCI IAM Identity Domainsを用いている。以下に、国および地方公共団体におけるユーザーについて補足する。なお、これらのユーザーはIAMユーザーとして総称される。 ### 国の行政機関国の行政機関が利用するOCI環境では、各利用組織及びその開発運用委託業者がテナンシへのアクセスに用いるGCASアカウントをガバメントクラウド管理組織にて発行する。GCASにおけるシングルサインオン機能の展開後はこのGCASアカウントにより各テナンシにログインが可能となる。 ![図03-1-A: ユーザーの全体像(国の行政機関)](/images/general_oci-overview-03-1-a.png) **図03-1-A: ユーザーの全体像(国の行政機関)** ### 地方公共団体地⽅公共団体が利⽤するOCI環境も国同様である。地⽅公共団体（単独利⽤⽅式）に提供されるテナンシ管理者（ルートユーザー）はシステムの所有者を表し、地⽅公共団体のドメイン名のメールアドレスで作成する。⼈事異動などを考慮し、可能であれば、メーリングリストによる作成を推奨する。 ![図03-2-A: ユーザーの全体像(地方公共団体)](/images/general_oci-overview-03-2-a.png) **図03-2-A: ユーザーの全体像(地方公共団体)** ## 2.2 払い出すユーザーの種類と権限ガバメントクラウドで提供するOCI環境では、利用者はGCASアカウントと同期されたOCI IAM Identity Domainsのユーザーアカウントを利用して各OCIテナンシへの認証およびアクセスが制御されることになる。 GCASガイド（メンバー専用ページ）で公開されているドキュメント「GCAS SSO移行に係る事前作業マニュアル」（国の行政機関向け）または「GCASアカウント取得後の諸手続きについて」（地方公共団体向け）にて案内されている「CSPユーザー登録」を行うことでGCASアカウントとOCI IAM Identity Domainsが紐づけれられ、各OCIテナンシへのアクセスが可能になる。 CSPユーザー登録の際、各ユーザーに対し「管理者」または「メンバー」のロールを選択できる。「管理者」ロールを選択すれば図04のAdminユーザー、「メンバー」ロールを選択すれば図04の一般ユーザの権限が付与される。なお、一般ユーザーにはクラウドサービスのリソース作成権限などは付与されていない。一般ユーザーにこれらの権限を付与するには、一般ユーザーが属するグループGovCloud_User_Groupに対して、Adminユーザーがポリシーを付与することで実現できる。管理者権限ユーザーに付与される権限については、技術マニュアル[「ユーザー管理方法」](https://guide.gcas.cloud.go.jp/oci/how-to-manage-users/)を参照すること。管理者権限ユーザーが侵害される可能性を減らすため、本番環境の管理者権限ユーザーの人数は3名までを推奨する。通常の運用は、必要最小限の権限を付与したユーザーで実施する。 ![図04: 払い出すユーザーの種類と権限](/images/general_oci-overview-04-003.png) **図04: 払い出すユーザーの種類と権限** # 3 ガバナンス・セキュリティ ## 3.1 ガバナンス・セキュリティの全体像 - ガバメントクラウドのガバナンス・セキュリティは必須適用テンプレートによって担保される。 - 従来のゲート型ではなく、予防的統制と発見的統制からなるガードレール型のガバナンス・セキュリティを提供する。 ![図05: ガバナンス・セキュリティの全体像](/images/general_oci-overview-05-002.png) **図05: ガバナンス・セキュリティの全体像** ## 3.2 予防的統制の設定内容 - 全てのユーザーに共通して最低限禁止すべき内容を設定する方針である。 - クラウドサービスの利用にあたって制限となる内容は、ここに記述する予防的統制で設定される内容だけである。 - 詳細な設定内容は実際のテンプレート内容を確認すること。＜主な設定内容＞ - 東京/大阪リージョン以外の使用禁止 - セキュリティや監査ログの収集に関するサービスの削除防止 - クラウドサービス証跡ログを有効化 - Security Zonesにより、セキュリティ上問題となりやすいサービスを禁止 - 現状、統制の実現が難しいと考えている⼀部サービスの禁⽌ - OCI Cloud Shell - Oracle Cloud VMware Solution - 一度の誤操作で高額請求となるサービスの作成防止 - ユーザーにMFAの有効化を強制し、必要な権限はポリシーで管理 - APIキーの作成・利用を禁止 ※1 - Adminユーザー以外によるIAM権限の付与禁止 ※1 本番環境で利用許可されているのはトークンベースの認証だけで、APIキーや顧客秘密キー（Amazon S3互換APIキー）、認証トークン（Swiftパスワード）は原則禁止となる。利用システムは早期段階でAPIキーを利用しない方式を検討する必要がある。 - トークンベース認証でOCI CLIの利用 OCI CLIはセッションの作成方法としてAPIキーではなく、セッション・トークンベース認証という認証方法が利用可能となる。本方式は利用時にブラウザ上での認証が必要になる。 [OCIドキュメント:CLIでのトークンベースの認証] [https://docs.oracle.com/ja-jp/iaas/Content/API/SDKDocs/clitoken.htm] [OCI技術情報:IDおよびアクセス管理 (IAM) 詳細/CLIでのトークンベースの認証] [https://speakerdeck.com/ocise/ociji-shu-zi-liao-idoyobiakusesuguan-li-iam-xiang-xi?slide=21] - プリンシパルの利用 OCIではプリンシパルと呼ばれるリソース自体にアクセス権を付与し、APIをコールできる機能がある。本方式はインスタンス上でのアプリケーションからOCIのAPIを呼び出すときに利用可能。 [OCIドキュメント:インスタンスからのサービスのコール/概念/インスタンス・プリンシパル] [https://docs.oracle.com/ja-jp/iaas/Content/Identity/Tasks/callingservicesfrominstances.htm#concepts] [OCI技術情報:IDおよびアクセス管理 (IAM) 詳細/プリンシパル] [https://speakerdeck.com/ocise/ociji-shu-zi-liao-idoyobiakusesuguan-li-iam-xiang-xi?slide=9] ## 3.3 発見的統制の設定内容 - セキュリティ事故や設定誤りによるリスクを早期発見し対応するための設定を実施する。 - 発見的統制はアラート通知が出るのみで、クラウドサービスの利用の制限とはならない。 - 詳細な設定内容は実際のテンプレート内容を確認すること。＜主な設定内容＞ - ルートユーザー保護違反の発見 - IAMユーザー保護の確認 - バケット保護の確認 - Secret失効やローテート、漏洩防止の確認 - セキュリティ監視の確認 - 鍵保護の確認 - 暗号化の確認 - 脆弱性の確認 - 外部公開設定の発見 - 攻撃対策有効化の確認 - バックアップの確認 - サービス構成の確認 - 指定リソース利用の確認 - タグの確認 - 無駄の検出 - 不正利用の検知 ## 3.4 発見的統制によるアラートの運用 - ガバメントクラウド利用組織が発見的統制の仕組みによるアラートの確認/修正対応に責任を持つ。 - セキュリティ関連で違反があった場合に、メールと通知システムでアラートを確認し対応する。 - サービスイン前後はアラートが多数出ることが想定されるため、アラート内容のレビューの体制やプロセスを計画する。 - 通常運用中もアラート内容を恒常的に確認レビューし、優先順位を付けて対応する。 ![図06: 発見的統制によるアラートの運用](/images/general_oci-overview-06-001.png) **図06: 発見的統制によるアラートの運用** ## 3.5 発見的統制によるリソースの修復（是正的統制） - 現在は実装されておらず、将来的に実装予定。 - 予防的統制を実施できない（実施すると利用者側の利便性が著しく悪くなる）が、一度設定されるだけで認証情報漏洩や攻撃の標的にされるリスクの高い設定は自動削除を実施する。 ![図07: 発見的統制によるリソースの修復（是正的統制）](/images/general_oci-overview-07.png) **図07: 発見的統制によるリソースの修復（是正的統制）** ## 3.6 必須適用テンプレートの提供方法必須適用テンプレートはデジタル庁より提供する。詳細な設定内容は実際のテンプレート内容を確認すること。一部は払い出し時に適用済みとなっている。＜提供方法＞ - 必須適用テンプレートは、GCASアカウントを取得の上、GCASガイド（メンバー専用ページ）で公開されているガバメントクラウドテンプレート/ポリシー（メンバー専用ページ→ガバメントクラウドテンプレート/ポリシー→ガバメントクラウドテンプレート/ポリシーのダウンロードページ）を参照すること。 - 一部のテンプレートは、払い出し時にOCI Resource Managerのプライベート・テンプレートに設定している。 - OCI Resource Managerのスタックとして提供し、変更可能なパラメータ以外の記述は変更できない。 # 4 モダンアプリケーション ## 4.1 テンプレートの全体像 - ガバメントクラウドが提供するテンプレートは必須適用テンプレート、サンプルテンプレートの2種類あり、このうちサンプルテンプレートはモダンアプリケーション化の推進に有効なテンプレートである。 ![図08: テンプレートの全体像](/images/general_oci-overview-08-001.png) **図08: テンプレートの全体像** ## 4.2 サンプルテンプレートの提供方法ガバメントクラウド利用組織にて任意で適用するサンプルテンプレートをデジタル庁より提供する。サンプルテンプレートの種類や構成、詳細な設定内容は実際のテンプレート内容を確認すること。＜提供方法＞ - サンプルテンプレートはResource Managerのスタック（Terraformのスクリプト）などで提供予定。 - ガバメントクラウド利用組織にて自由にカスタマイズできるが、テンプレートにより構築されたサービスはガバメントクラウド利用組織の責務となるため、テンプレートの内容をよく理解した上で利用すること。 # 5 ネットワーク ## 5.1 GSSネットワークとの接続イメージ詳細については、GCASアカウントを取得の上、GCASガイド（メンバー専用ページ）で公開されているドキュメントを参照すること。 ## 5.2 ガバメントクラウド接続サービスとの接続イメージ詳細については、GCASアカウントを取得の上、GCASガイド（メンバー専用ページ）で公開されているドキュメントを参照すること。 # 6 可視化 ## 6.1 データの可視化 - ガバメントクラウド利用組織は、利用するCSPが提供するシステムメトリクス監視機能や、データ可視化機能を使って、自システム状況の可視化をし、システムの稼働状況や目的達成度合いを恒常的に把握する。 - デジタル庁からデータ可視化に役立つダッシュボードのサンプルテンプレートを利用システムに提供する。 - 現在提供準備中であり、仕様が確定次第本書を更新する予定。 ![図09: データの可視化](/images/general_oci-overview-11.png) **図09: データの可視化** # 7 サポート ## 7.1 サポートの全体像 - ガバメントクラウドの問い合わせやナレッジ提供などのサポートは、デジタル庁のヘルプデスクとOCIサポートの2つとなる。 - ガバメントクラウドに係る問い合わせや情報取得はガバメントクラウドのヘルプデスクツールを利⽤する。 - OCIに係る問い合わせはOCIサポートを直接利⽤する。 ![図10: サポートの全体像](/images/general_oci-overview-12.png) **図10: サポートの全体像** ## 7.2 利用できるOCIサポート - サポート契約 - デジタル庁がまとめてOCIサポートの契約を執り行い、ガバメントクラウド利用組織は個別にOCIサポートを調達する必要はない。 - サポート内容は優先的なサポートを受けられ、デジタル庁経由でエスカレーションを行うことが可能である。 - サポート利用方法 - Oracle Cloud Support を直接利用でき、サービスリクエスト（SR）を起票してOCIサポートからの技術サポートを受けられる。 - 重大度は起票画面の「問題タイプ」で選択した内容と指定したその他の情報に基づいて自動的に決定される。 - SR作成時には下リンク先のガイドラインを参照。 [https://www\.oracle\.com/jp/a/ocom/docs/cloud\-1stguide\-sr\-2765641\-ja\.pdf](https://www.oracle.com/jp/a/ocom/docs/cloud-1stguide-sr-2765641-ja.pdf) - オプションプラン（追加契約） - サービスイン時の特別対応などが必要な場合は、別契約と追加料金でオプションプラン（利用組織毎の専任担当者）をデジタル庁と相談の上、契約できる。 - オプションプランは、年単位ではなく月単位で契約できる。 # 8 初期設定以降の手順は2024年3月31日までに払い出された環境の設定であり、2024年4月以降に払い出された環境は一部の必須適用テンプレートを除きデジタル庁が実施して払い出す。 ## 8.1 初期設定の概要 - ガバメントクラウドはOCIテナンシ払い出し後の初期設定として以下を行う。 ① OCIテナンシ発行の確認 ② システム所有者（ルートユーザー）のサインアップ/初期設定 ③ テナンシ初期設定 ![図11: 初期設定の概要](/images/general_oci-overview-13.png) **図11: 初期設定の概要** ## 8.2 ルートユーザーのサインアップ/初期設定 - 初回環境払い出し時にテナンシのルートユーザー設定が必要である。 - 払い出されたOCIテナンシの所有者もしくは所有者から依頼された者が作業すること。 - 具体的手順は以降で説明する。 - 以下の理由でこの作業が必要となる。 - ガバメントクラウドの運用ルールとして、ルートユーザーにはMFA（多要素認証）での保護を必須としており、その設定が必要なため。 - ガバメントクラウドのテナンシの払い出しでは、初回にパスワードリセットが必要なため。 - 環境が払い出されたら、以降の手順に従ってパスワードを一度リセットして再設定し、その後MFAの設定を行うため。 - 子テナンシ環境払い出し後に下記メールが管理者として指定したユーザーに送信されるので、ガイドに従ってユーザー設定を行う。アクティベーションメールのボタンをクリックして、ルートユーザーの設定作業を開始する。 ![図12: ユーザーに送付されるメール](/images/general_oci-overview-14.png) **図12: ユーザーに送付されるメール** ![図13: パスワードの設定](/images/general_oci-overview-15.png) **図13: パスワードの設定** - ルートユーザーのアクティベーション後、払い出し環境にログインできる。「サインインに進む」ボタンをクリックしてサインイン画面へ自動遷移し、ユーザー名とパスワードを入力して初期設定を続ける。 ![図14: Oracle Cloudアカウント（テナンシ）のサインイン](/images/general_oci-overview-16.png) **図14: Oracle Cloudアカウント（テナンシ）のサインイン** - 初回サインイン時にルートユーザーのMFA設定が必要である。 - MFA設定画面は初回ログイン時に自動的に表示され、設定が成功した後にログインを続けることができる。 - ルートユーザーのMFAは耐タンパ性が確保されたFIDO認証デバイスなどのハードウェアトークン（セキュリティキー）を用いることを前提とする。 - 次のリンク先の手順に沿ってルートユーザーのMFAを有効化する。 [https://docs\.oracle\.com/ja\-jp/iaas/Content/Identity/mfa/understand\-multi\-factor\-authentication\.htm](https://docs.oracle.com/ja-jp/iaas/Content/Identity/mfa/understand-multi-factor-authentication.htm) - MFAに用いる認証デバイスは厳格に管理する。 - なお、令和6年度より展開されるGCASシングルサイオン機能の利用開始後は、ルートユーザー以外のユーザーはGCASアカウントログイン時のMFA設定で代替する。 ## 8.3 必須適用テンプレート実行ルートユーザーのアクティベーション後、払い出された環境に対して必須適用テンプレートを実行する。以下の手順を実施する。 1. ポリシー追加のため、OCID情報収集テンプレートを実行する。 2. 情報収集テンプレート実行出力（OCID）をデジタル庁に伝える。 3. デジタル庁環境側でログ転送テンプレートを実行し、ポリシーとバケットを作成し、作成されたバケット情報とネームスペース名を子テナンシのルートユーザーに伝える。 4. 必須適用テンプレートを実行する。 ![図15: 必須適用テンプレート実行](/images/general_oci-overview-20.png) **図15: 必須適用テンプレート実行** ## 8.4 管理コンソールへのアクセス OCIの管理コンソールへは、下記URLからアクセスする。 [https://cloud\.oracle\.com/](https://cloud.oracle.com/) ![図16: 管理コンソールへのアクセス](/images/general_oci-overview-21.png) **図16: 管理コンソールへのアクセス** 以下のポップアップが表示された場合、「Oracle.comに移動日本」を選択することで日本語表示のサイトへ移動する。 ![図17: ポップアップが表示された場合](/images/general_oci-overview-22.png) **図17: ポップアップが表示された場合** ## 改訂履歴 | 改訂年月日 | 改訂箇所 | 改訂内容 | | ---------- | ---------- | ---------- | | 2023年7月3日 | - | 新規作成 | | 2023年7月24日 | 2.1 ユーザーの全体像8.初期設定 | 図の修正
章の追加 | | 2023年9月22日 | - | 版数の統一 | | 2023年11月02日 | ・ユーザー管理の全体像に関する図の修正
（2.1 ユーザーの全体）
・GSSネットワーク接続に関する図の修正
（5.1 GSSネットワークとの接続イメージ）
・ガバメントクラウド接続サービスに関する図の修正
（5.2 ガバメントクラウド接続サービスとの接続イメージ） | 図の修正 | | 2023年11月27日 | ・「図01: 本書の位置づけ」の図修正
・「5 ネットワーク」の文章と図を削除| 図の修正
文章修正 | | 2024年3月1日 | 2.1 ユーザーの全体像 | GCAS SSOを考慮した内容へ修正、図の差し替え | | | 2.2 払い出すユーザーの種類と権限 | GCAS SSOを考慮した内容へ修正 | | | 3.6 必須適用テンプレートの提供⽅法 | 提供方法の記述を修正 | | | 4.1 テンプレートの全体像 | 提供方法の記述を修正 | | | 4.2 サンプルテンプレートの提供⽅法 | 提供方法の記述を修正 | | | 8.2 ルートユーザーのサインアップ/初期設定 | ルートユーザーの認証を、HWトークンを前提とした記述に修正し、
不要な図を削除| | 2024年3月29日 | 3.1 ガバナンス・セキュリティの全体像 | 図の修正
必須適用テンプレートエリアからObject Storage除外 | | | 3.2 予防的統制の設定内容 | APIキーに関する記述を追加 | | | 4.1 テンプレートの全体像 | 図の修正
必須適用テンプレートエリアからObject Storageを除外し
サンプルテンプレートエリアへ移動 | | | 7.1 サポートの全体像 | 図の修正
アイコンを使用した理解しやすい図に修正 | | | 8 初期設定 | 2024年4月以降の払い出し環境の設定はデジタル庁が実施
して払い出すことを記述する | | | その他 | 図04,11,18用語の揺らぎを修正 | | 2024年6月14日 | 3.1 ガバナンス・セキュリティの全体像 | 図の修正 Security ZoneをSecurity Zonesに変更 | | | 3.2 予防的統制の設定内容 | Security ZoneをSecurity Zonesに変更 | | | 3.6 必須適用テンプレートの提供方法
4.2 サンプルテンプレートの提供方法 | ガバメントクラウドテンプレートの説明とダウンロードページ
についての記載を修正 | | 2024年7月19日 | 3.2 予防的統制の設定内容＜主な設定内容＞ | ・利用制限しているサービスを「3.2 予防的統制の設定内容」に明記 | | その他 | ・用語の揺らぎ/誤記を修正 | 2024年9月2日 | 2.2 払い出すユーザーの種類と権限 | 図04の説明列を修正 | | | 3.2 予防的統制の設定内容＜主な設定内容＞ | ・利用制限しているサービスを「3.2 予防的統制の設定内容」に追加
Oracle Cloud VMware Solution | | | 3.6 必須適用テンプレートの提供方法 | 「ガバメントクラウドテンプレート」を
「ガバメントクラウドテンプレート/ポリシー」に変更 | | 2024年10月01日 | 2.1 ユーザーの全体像
国の行政機関・地方公共団体 | ドキュメント「ユーザー管理方法」に合わせて記述する | | 2024年11月29日 | 2.2 払い出すユーザーの種類と権限 | GCAS-SSOユーザーの権限区分に合わせて記載内容を修正
上記に伴い図04を修正
「ガバメントクラウド概要解説（全編）」の「3.3.2 ユーザーの全体像」に
合わせて記載内容を修正 |

ガバメントクラウド利用概要（OCI編）