セキュリティ機能

VeloDB Cloudは、リソース分離、アイデンティティとアクセス管理、暗号化、ネットワーク制御、監査のためのセキュリティ機能を提供します。利用可能な制御とその範囲は、デプロイメントとアクセスパスによって異なります。

セキュリティ機能

VeloDB Cloudは以下の領域でセキュリティ機能を提供します：

リソース分離： 組織間でストレージとコンピューティングリソースを分離します。
アイデンティティ認証： 各ユーザーまたはアプリケーションのアイデンティティを検証します。
アクセス制御： きめ細かい権限によりデータへのアクセスを管理します。
データ保護： サポートされているパスとプロトコルについては、Encryption at RestとEncryption in Transitを参照してください。
ネットワークセキュリティ： デプロイメント固有の接続制御については、Network Securityを参照してください。
セキュリティ監査： サポートされている組織とウェアハウスの監査レコードについては、Audit Loggingを参照してください。
アプリケーションセキュリティ： クラウドファイアウォール、Webアプリケーションファイアウォール（WAF）、データベース監査でクラウドアプリケーションを保護します。

リソース分離

SaaSデプロイメント

VeloDB Cloudは、ストレージとコンピューティング層で組織を分離します。

データストレージ

各組織は、各リージョンで別々のオブジェクトストレージバケットを使用します。バケットはプライベートで、Security Token Service（STS）認証を使用します。
各ウェアハウスには独自のクラウドIAMロールがあり、そのロールのみがオブジェクトストレージ内のウェアハウスのデータにアクセスできます。
キャッシュデータはローカルクラスターディスクに保存され、ウェアハウス間で分離されます。

コンピューティングリソース

各クラスターは単一のウェアハウスに属し、ウェアハウス間で共有されません。
セキュリティグループルールは、異なる組織のクラスターが相互に接続することを防ぎます。

BYOCデプロイメント

VeloDB Cloud BYOCデプロイメントでは、ウェアハウスコンピューティングとカスタマーウェアハウスストレージがお客様のクラウド環境で実行されます。この配置は顧客データプレーンに適用されます。これは、すべてのコントロールプレーンメタデータ、運用テレメトリ、ログ、サポートレコード、診断、クエリ関連レコード、アクセスエビデンス、またはその他の運用レコードがお客様の環境に残ることを意味するものではありません。

データストレージ

カスタマーウェアハウスストレージはお客様のクラウド環境にデプロイされ、BYOCデプロイメントモデルとお客様のクラウドプロバイダー設定によって管理されます。

コンピューティングリソース

ウェアハウスコンピューティングリソースは、お客様のクラウドリソースプールで実行され、データウェアハウスサービスを提供します。
ウェアハウスには、同じ基盤データを共有する複数のクラスターを含めることができます。別々のクラスターは、コンピューティングリソースを競合することなく、レポート、インタラクティブ分析、その他のワークロードを処理できます。

アイデンティティ認証

VeloDB Cloudコントロールプレーンまたはデータプレーンへのすべてのアクセスには認証が必要です。コントロールプレーンは多要素認証（MFA）をサポートします。データプレーンはMySQLプロトコルとHTTP接続を認証し、IP許可リストとブロックリストをサポートし、パスワードポリシーとブルートフォース攻撃からの保護を実行します。

詳細については、Identity and Accessを参照してください。

アクセス制御

VeloDB Cloudは、コンソールアクセス（組織ロール）、管理APIアクセス（APIキー）、ウェアハウスアクセス（データベースユーザー）を分離します。ウェアハウス内では、アクセスはロールベースアクセス制御（RBAC）、オブジェクトレベル権限、きめ細かい行レベル、列レベル、マスキング制御を備えたMySQLスタイルの権限モデルに従います。アクセスモデルとロールの詳細については、Identity and Accessを参照してください。行ポリシー、ビュー、マスキング構文については、Data Access Controlを参照してください。

データ保護

ストレージ暗号化

保存されたデータは2つの層で保護されます：ストレージ層（クラウドプラットフォームによってクラウド管理キーで暗号化されるクラウドオブジェクトストレージとキャッシュディスク）と、オプションのウェアハウス層（透過的データ暗号化、顧客管理KMSキーでサポート可能）です。詳細については、Encryption at Restを参照してください。

転送暗号化

VeloDB Console への接続は HTTPS を使用します。オブジェクトストレージの読み込みとエクスポート（Amazon S3、Azure Blob Storage、Google Cloud Storage）はデフォルトでHTTPSを使用し、レイクハウスアクセス、Kafka、PostgreSQLとMySQLからのCDCは有効化時にSSLをサポートします。MySQLプロトコル、JDBC、Stream Loadのプロトコルレベル暗号化の現在の利用可能性については、VeloDB Supportにお問い合わせください。詳細については、Encryption in Transitを参照してください。

高可用性、バックアップ、災害復旧は、Reliabilityで別途説明されています。

ネットワークセキュリティ

最小権限の原則の下、VeloDBはVPCネットワークルールを制限します：外部アクセスはゲートウェイ経由、運用アクセスはVPN経由、組織は相互に分離されます。ウェアハウスには、パブリックネットワーク経由（IP許可リストで制限）または単一のVPCにスコープされたプライベートネットワーク接続経由でアクセスできます。

アクセス方法、IP許可リスト、PrivateLink、BYOCネットワーク配置については、Network Securityを参照してください。

セキュリティ監査

コンソールとコントロールプレーンの操作、およびウェアハウスアクセスが監査されます。VeloDB Consoleで監査情報を確認できます。組織アクティビティログ、クエリ監査、audit_logテーブルについては、Audit Loggingを参照してください。

アプリケーションセキュリティ

VeloDBは、クラウドファイアウォール、Webアプリケーションファイアウォール（WAF）、データベース監査を使用してクラウドアプリケーションを保護します。