VPC環境で利用できます。
Compliance対応のためのセキュリティ設定では、フルマネージドクラウドデータベースサービスが提供するサービス提供範囲を案内し、様々な Compliance対応に適したクラウドセキュリティレベルを設定するためにユーザーがすべきことについて説明します。主な内容は、次の通りです。
- サービスのサポート範囲と管理・責任主体
- OSのセキュリティポリシー
- データベースのセキュリティ設定
提供サービス
Compliance対応のためのセキュリティ設定をサポートするフルマネージドクラウドデータベースサービスは、次の通りです。
Classic環境はサポートしません。Compliance対応のためのセキュリティ設定が必要な場合は、まず VPC環境への移行を検討してください。
| サービス | リージョン(ゾーン) | プラットフォーム |
|---|---|---|
| Cloud DB for MySQL | 韓国(KR-1、KR-2)、シンガポール(SGN-4、SGN-5)、日本(JPN-4、JPN-5) | VPC |
| Cloud DB for Cache | 韓国(KR-1、KR-2)、シンガポール(SGN-4、SGN-5)、日本(JPN-4、JPN-5) | VPC |
| Cloud DB for MSSQL | 韓国(KR-1、KR-2)、シンガポール(SGN-4、SGN-5)、日本(JPN-4、JPN-5) | VPC |
| Cloud DB for MongoDB | 韓国(KR-1、KR-2)、シンガポール(SGN-4、SGN-5)、日本(JPN-4、JPN-5) | VPC |
| Cloud DB for PostgreSQL | 韓国(KR-1、KR-2)、シンガポール(SGN-4、SGN-5)、日本(JPN-4、JPN-5) | VPC |
各サービスの詳しい使用方法は、Cloud DB for MySQL ご利用ガイド、Cloud DB for Cache ご利用ガイド、Cloud DB for MSSQL ご利用ガイド、Cloud DB for MongoDB ご利用ガイド、Cloud DB for PostgreSQL ご利用ガイドをご参照ください。
サービスのサポート範囲と管理・責任主体
フルマネージドクラウドデータベースサービスは、「アプリケーションプログラムなどのソフトウェアの開発・リリース・運用・管理などのための環境を提供するサービス」である Platform-as-a-Service(PaaS)モデルに該当します。PaaSモデルでは、クラウドインフラに該当するサーバ、ネットワーク、ストレージデバイスおよびソフトウェアをプラットフォームの形式で提供し、ユーザーはインフラとソフトウェアを直接構成しなくてもアプリケーションを開発・リリース・運用・管理できます。NAVERクラウドプラットフォームは、クラウドサービスプロバイダとしての責任を果たすために最善の努力を尽くしており、ユーザーがユーザーの責任範囲を効果的に保護するのに役立つ別のセキュリティサービスを選択できるようにサービスを構成しています。
NAVERクラウドプラットフォームが提供するグローバルレベルのクラウドセキュリティサービスは、ユーザーのリソースを安全に保護できるよう、NAVERクラウドプラットフォームが担当するサービスサポート範囲内で責任を果たします。フルマネージドクラウドデータベースサービス利用時の NAVERクラウドプラットフォームと顧客の管理範囲および責任範囲の区分は、次の表の通りです。サービスサポート範囲は、各 Layerごとの管理範囲および責任範囲を意味します。
| Cloud Layer | フルマネージドクラウドデータベース |
|---|---|
| Data | 顧客 |
| Applications | 顧客 |
| Operation Systems(OS) | NAVERクラウドプラットフォーム |
| Virtual Machines | NAVERクラウドプラットフォーム |
| Hypervisors | NAVERクラウドプラットフォーム |
| Processing and Memory | NAVERクラウドプラットフォーム |
| Data Storage(hard drivers, removable disks, backups, etc.) | NAVERクラウドプラットフォーム |
| Network(Interfaces and devices, communications infrastructure) | NAVERクラウドプラットフォーム |
| Physical Facilities / Data Centers | NAVERクラウドプラットフォーム |
OSのセキュリティポリシー
フルマネージドクラウドデータベースサービスは PaaSモデルであり、Operation Systems(OS)領域はクラウドサービスプロバイダの責任領域です。フルマネージドクラウドデータベースサービスの OSは、NAVERクラウドプラットフォームが提供するサーバイメージをそのまま使用します。NAVERクラウドプラットフォームでは、毎年セキュリティの脆弱性を改善したサーバイメージを提供し、OSを最新バージョンに維持します。
初回作成する場合、NAVERクラウドプラットフォームが提供する最新バージョンのサーバイメージをベースにサービスを利用できます。
NAVERクラウドプラットフォームでは、サーバイメージのアップデートスケジュールに合わせて最新のバージョンに OSをアップグレードできる機能を提供します。既に使用中のクラスタがある場合、ユーザーはサーバイメージの更新スケジュールに合わせて使用中のクラスタの OSをアップグレードできます。コンソールで各サービスの OS情報を確認し、最新バージョンへのアップグレード有無を確認できます。
現在提供中のサービス別 OS情報は、次の通りです。
| サービス | OS | サーバが属する世代 | 詳細情報 |
|---|---|---|---|
| Cloud DB for MySQL | Linux | G2, G3 | Rocky 8.10 |
| Cloud DB for Cache | Linux | G2, G3 | Rocky 8.10 |
| Cloud DB for MSSQL | Windows | G2 | Windows Server 2016 (64-bit) |
| Windows | G3 | Windows Server 2019 (64-bit) | |
| Cloud DB for MongoDB | Linux | G2, G3 | Rocky 8.10 |
| Cloud DB for PostgreSQL | Linux | G2, G3 | Rocky 8.10 |
Linuxのセキュリティポリシー
Cloud DB for MySQL、Cloud DB for Cache、Cloud DB for MongoDB、Cloud DB for PostgreSQLは、Linux OSベースのサービスです。これらのサービスの OSは、NAVERクラウドプラットフォームが提供する Rocky 8.10サーバイメージと同じです。
NAVERクラウドプラットフォームでは定期的にサーバイメージをアップデートしており、OS別のアップデートスケジュールと詳細情報はポータルのお知らせで確認できます。
フルマネージドクラウドデータベースサービスは、サーバイメージのアップデートスケジュールに合わせて最新のバージョンに OSをアップグレードできる機能を提供します。利用中のクラスタの OSアップグレードに関する詳しい使用方法は、Cloud DB for MySQL ご利用ガイド、Cloud DB for Cache ご利用ガイド、Cloud DB for MongoDB ご利用ガイド、Cloud DB for PostgreSQL ご利用ガイドの OS管理機能をご参照ください。
Windowsのセキュリティポリシー
Cloud DB for MSSQLは、Windows OSベースのサービスです。このサービスの OSは、NAVERクラウドプラットフォームが提供する Windows Server 2016(64-bit)、Windows Server 2019(64-bit)サーバイメージと同じです。
NAVERクラウドプラットフォームでは定期的にサーバイメージをアップデートしており、OS別のアップデートスケジュールと詳細情報はポータルのお知らせで確認できます。
フルマネージドクラウドデータベースサービスは、サーバイメージのアップデートスケジュールに合わせて最新のバージョンに OSをアップグレードできる機能を提供します。利用中のクラスタ OSのアップグレードの詳しい使用方法は、Cloud DB for MSSQL ご利用ガイドの OS管理機能をご参照ください。
データベースのセキュリティ設定
フルマネージドクラウドデータベースサービスは PaaSモデルであり、データベースの構成とパッチ管理はユーザーの責任領域です。NAVERクラウドプラットフォームでは、ユーザーの責任領域を効果的に保護できるセキュリティ設定機能とガイドを提供します。フルマネージドクラウドデータベースサービスを利用して Compliance対応が必要な場合は、適切なデータベースセキュリティ設定が必要です。
各サービスごとのデータベースセキュリティの設定方法は、次の通りです。この方法は、韓国インターネット振興院(KISA)が公開したクラウドセキュリティ認証(CSAP)の CCE脆弱性点検診断基準および対処方法であり、Compliance対応時にご参照ください。
Cloud DB for MySQL
| 診断項目 | 分類 | 項目名 | 項目の説明 | 対処方法 |
|---|---|---|---|---|
| DY-01 | アカウント管理 | 不要なアカウントの削除 | データベースのアカウントのうち、許可されていないアカウント、退職者アカウント、テストアカウントなど、実質的に業務に使用していない不要なアカウントがある場合、許可されていないユーザーが簡単にデータベースにアクセスしてデータを閲覧、削除、変更などを行うリスクがある |
|
| DY-02 | アカウント管理 | 脆弱なパスワードの使用制限 | パスワードがアカウント名と同じであったり、Defaultパスワードを使用する場合、許可されていないユーザーが簡単にデータベースにアクセスするリスクがあり、アクセス時にデータベースの削除、変更などの重大な侵害事故を引き起こす可能性がある |
|
| DY-03 | セキュリティ設定 | 他ユーザーへの権限付与オプションの使用制限 | With grant optionと一緒に権限を受けたユーザーは、その権限を他のユーザーに grant可能。そのため、他の objectの使用権限の付与は DBAだけができるように制限する必要がある |
|
| DY-04 | セキュリティ設定 | DBユーザーアカウント情報テーブルへのアクセス権限 | 一般ユーザーの mysql.userテーブルへのアクセスが許可される場合、一般ユーザーが DBに登録されているユーザーアカウントおよびパスワードを知ることができるようになる |
|
| DY-05 | セキュリティ設定 | root権限でサーバ稼働を制限 | root権限はデータベースの最上位権限で、少数の管理者のみ制限的に使用する必要がある | root権限でデーモンが稼働していないため良好 |
| DY-06 | セキュリティ設定 | 環境設定ファイルへのアクセス権限 | MY-SQL重要ファイルの1つである環境設定ファイルの変更によるシステム障害が発生する可能性があるため、環境設定ファイルへのアクセス権限を制限する必要がある | 環境設定ファイルのアクセス権限が640以下に設定されているため良好 |
| DY-07 | セキュリティ設定 | 安全な暗号化アルゴリズムを使用 | SHA-1の脆弱性が発見されたため、SHA-1はもはや安全なアルゴリズムではない。したがって、SHA-256以上の暗号化アルゴリズムを使用する必要がある |
|
| DY-08 | パッチおよびログ管理 | ログの有効化 | ログ機能を実行できるように設定することで、ユーザーによる文の監査、権限の監査、オブジェクトの監査を行える。 また、侵害事故および障害時のログデータを分析し、正確な分析が可能 |
|
| DY-09 | パッチおよびログ管理 | 最新パッチを適用 | バグや既知の脆弱性による侵害事故が発生する可能性があるため、定期的に最新のパッチを適用して脆弱性を除去する必要がある |
|
Cloud DB for Cache
2026年1月22日付で Valkey DBMSをリリースしました。Cloud DB for Cacheでは、Valkeyも Redisと同等のデータベースセキュリティ設定をサポートします。
| 診断項目 | 分類 | 項目名 | 項目の説明 | 対処方法 |
|---|---|---|---|---|
| DR-01 | セキュリティ設定 | Redis認証パスワード設定 | Redisパスワードが設定されていない場合、サーバにアクセスするユーザー全員がデータベースにアクセスできるようになり、データベースを乗っ取られて情報漏洩のリスクが存在する | - Cloud DB for Cacheは Clusterタイプをサポートするため、認証パスワードの設定が無効になっている - 認証パスワード設定機能を使用するためには、公共官公庁向けクラウド環境の Cloud DB for Cacheの利用が必要 |
| DR-02 | セキュリティ設定 | Binding設定 | 許可された IPアドレスのみアクセスできるように設定されていない場合、許可されていないユーザーがそのデータベースにアクセスするリスクが存在する | - Cloud DB for Cacheは Binding設定を使用せず、ユーザーがアクセス可能な IPアドレスを ACG設定機能で制御できるため、代替可能 |
| DR-03 | セキュリティ設定 | Slave読み取り専用モード設定 | masterと slave環境で slaveに read only機能だけを設定し、masterにあるリソースを変更できないようにする必要がある | - replica-read-only yesに設定 |
| DR-04 | セキュリティ設定 | rename-command設定 | 共有される環境では危険な commandの名前を変更できない。許可されていないユーザーが環境を変更したりデータを取得する危険な commandを使用できないように設定する必要がある | - Cloud DB for Cacheは configコマンドが実行不可 |
| DR-05 | ディレクトリおよびファイル権限管理 | データディレクトリのアクセス権限設定 | 一般ユーザーが redisのインストールディレクトリに任意のファイルを作成、削除、変更できる場合、重要ファイルの削除、バックドア挿入などの被害が発生する可能性がある | - 750に設定されているため良好 |
| DR-06 | ディレクトリおよびファイル権限管理 | 設定ファイルのアクセス権限設定 | 設定ファイルに others権限が存在する場合、許可されていないユーザーが設定ファイルにアクセスして設定変更を通じてサービス障害を引き起こすリスクがあり、設定ファイルを通じて情報を取得して2次攻撃の情報として使用するリスクが存在する | - 600に設定されているため良好 |
| DR-07 | パッチおよびログ管理 | ログの有効化 | ログを定期的に分析して侵入有無を把握し、侵入を試みた疑いのある事例を分析して事前に当該機器へのアクセスをブロックするなど、体系的なログ管理タスクが行われる必要がある | - slowlog-log-slower-than 10000に設定されているため良好 - ログレベルは noticeに設定 |
| DR-08 | パッチおよびログ管理 | 最新パッチを適用 | 最新のパッチが適用されていない場合、よく知られている脆弱性にデータベースがさらされるリスクが存在する | - NAVERクラウドプラットフォームでは定期的に最新バージョンを提供 - DB Engine Upgrade機能により、ユーザーがマイナーバージョンアップグレードを実行 |
Cloud DB for MSSQL
| 診断項目 | 分類 | 項目名 | 項目の説明 | 対処方法 |
|---|---|---|---|---|
| DS-01 | アカウント管理 | 不要なアカウントの削除 | データベースのアカウントのうち、許可されていないアカウント、退職者アカウント、テストアカウントなど、実質的に業務に使用していない不要なアカウントがある場合、許可されていないユーザーが簡単にデータベースにアクセスしてデータを閲覧、削除、変更などを行うリスクがある | - サービス自体でモニタリング、バックアップ、Failoverなどの機能を提供するために作成したアカウントが存在し、例外処理が必要(rdsadmin, agent) - それ以外は SSMSを介してユーザーが制御可能 |
| DS-02 | アカウント管理 | SYSADMINの権限制限 | System administrators(sysadmin)のロールは、sqlサーバとインストールされたデータベースに対して完全な管理権限を必要とするユーザーのために作られたロールで、このロールの構成員は sqlサーバですべてのタスクを行うことができるため、許可されていないユーザーがそのロールの構成員として登録されている場合、データベースに直接攻撃が可能なリスクが存在する | - サービス自体でモニタリング、バックアップ、Failoverなどの機能を提供するために作成したアカウントが存在し、例外処理が必要(rdsadmin, agent) - それ以外は SSMSを介してユーザーが制御可能 |
| DS-03 | アカウント管理 | SAアカウントのパスワード管理 | saアカウントは MS-SQLのインストール時にデフォルトで存在するアカウントで、sysadmin権限を持っているアカウントである。当該アカウントにパスワードが存在しない場合、悪意のあるユーザーがそのアカウントを通じてデータベースのすべての権限を行使するリスクが存在する | - SAアカウントは Disabled |
| DS-04 | アカウント管理 | guestアカウントの使用制限 | guestアカウントは特別なログインアカウントで、SQLのすべてのユーザーが guestの権限でアクセスできるようにするアカウントである。許可されていないユーザーのアクセスを許可するため、データベースに guest権限を削除する必要がある | - データベースに不要な guest権限が存在しない |
| DS-05 | セキュリティ設定 | Registry Procedure Permissionの制限 | レジストリ拡張ストアドプロシージャを利用すると、Windowsレジストリにアクセスできる。レジストリには SQLの構成情報が含まれており、リモートまたはローカルシステムに対するパスワードが含まれている可能性があるため、悪意のあるユーザーが windowsレジストリのサーバやデータベースに破損および不正アクセスするリスクが存在する | - システム拡張ストアドプロシージャの制限リストにプロシージャが制限されているため良好 |
| DS-06 | セキュリティ設定 | xp_cmdshellの使用制限 | サーバのメンテナンスのため、MS-SQLで提供している拡張プロシージャのうち、頻繁にハッキングに利用されている特定のプロシージャを削除する必要がある。特に xp_cmdshellは中国で製作されたハッキングツールで頻繁に利用されているので、不要な場合は必ず削除する必要がある | - xp_cmdshellが制限されているため良好 |
| DS-07 | パッチおよびログ管理 | ログの有効化 | データベースの監査記録が機関で定義した監査記録ポリシーに適合するように設定される必要があり、データベースはデータ、ログとアプリケーションプログラムに対するバックアップポリシーを策定する必要がある | - Audit設定管理で Auditを有効化 - Monitoring画面でログ照会が可能 |
| DS-08 | パッチおよびログ管理 | 最新パッチを適用 | データベースの主なセキュリティパッチなどをインストールしていない場合、データベース自体の脆弱性にさらされ、攻撃者がデータベースの破損および許可されていないアクセスをするリスクが存在する | - NAVERクラウドプラットフォームでは定期的に最新バージョンを提供 - MSSQL Engine Upgrade機能により、ユーザーがアップグレードを実行 |
Cloud DB for MongoDB
| 診断項目 | 分類 | 項目名 | 項目の説明 | 対処方法 |
|---|---|---|---|---|
| MG-01 | アカウント管理 | 不要なデータベースとテーブルの削除 | 使用していないデータベース(collection)が存在する場合、そのデータベースおよび collectionの管理不足による既知の脆弱性にさらされる可能性がある | - サービス自体でモニタリング、バックアップ、Failoverなどの管理機能を提供するために作成したデータベースが存在し、例外処理が必要(admin、config、local) |
| MG-02 | アカウント管理 | 不要なアカウントの削除 | 使用していないデータベースアカウントが存在する場合、そのアカウントの管理不足により許可されていないユーザーがアクセスするリスクが存在する | - サービス自体でモニタリング、バックアップ、Failoverなどの機能を提供するために作成したアカウントが存在し、例外処理が必要(cdb_admin、agent) - その他のユーザーが直接作成したアカウントについては、DB Serviceの詳細を見る > DB User管理でユーザーが制御可能 |
| MG-03 | アカウント管理 | デーモン実行時の認証オプションの使用 | MongoDBの実行デーモンである mongodを実行する際、認証を使用するオプションを一緒に使用しないと認証なしでアクセスが可能になるので、許可されていないユーザーがデータベースにアクセスして悪意のある行為をするリスクが存在する | - デーモン実行時に認証オプションを使用しているため良好 |
| MG-04 | アカウント管理 | 管理者アカウントの作成有無 | 管理者アカウントがない場合、認証なしでデータベースにアクセスしたり databaseサーバを任意に終了させるリスクが存在する | - 管理者アカウントが作成されているため良好 |
| MG-05 | アクセス制御とサービス管理 | 主な実行ファイルと設定ファイルの権限管理 | 実行ファイルで構成されたファイルは、システム全体の破損を防止するために別のアカウントや管理者が所有する必要があり、others権限で読み取り、書き込み、実行権限を削除して、任意の実行や情報奪取のリスクから保護する必要がある | - 主な実行ファイルと設定ファイルの権限が750以下であるため良好 |
| MG-06 | アクセス制御とサービス管理 | http interfaceへのアクセス制御 | http interfaceにアクセス制限が設定されていない場合、誰でも http interfaceを通じて MongoDBをモニタリングでき、その情報を通じて第2次攻撃に情報収集として利用されるリスクが存在する | - 当該アドレスにアクセスすると認証ウィンドウが有効化されるため、良好 |
| MG-07 | アクセス制御とサービス管理 | データベースアクセス制限の設定 | アクセス制限が設定されていない場合、許可されていないユーザーがそのデータベースにアクセスし、総当たり攻撃を通じて DBA権限を取得してデータベースを操作するリスクが存在する | - ユーザーがアクセス可能な IPアドレスを ACG設定機能で制御できるため、代替可能 |
| MG-08 | パッチおよびログ管理 | データベースの最新のセキュリティパッチとベンダーの推奨事項の適用有無 | データベースの主なセキュリティパッチなどをインストールしていない場合、データベース自体の脆弱性にさらされ、攻撃者がデータベースの破損および許可されていないアクセスをするリスクが存在する | - NAVERクラウドプラットフォームでは定期的に最新バージョンを提供 - MongoDB Engine Upgrade機能により、ユーザーがアップグレードを実行 |
| MG-09 | パッチおよびログ管理 | データベースのアクセス、変更、削除、監査記録およびバックアップ | データベースの監査記録が機関で定義した監査記録ポリシーに適合するように設定される必要があり、データベースはデータ、ログとアプリケーションプログラムに対するバックアップポリシーを策定する必要がある | - Cloud DB for MongoDBの Enterprise Editionで Audit機能を提供 - Monitoring画面で Auditグラフチャートを確認可能 |
Cloud DB for PostgreSQL
| 診断項目 | 分類 | 項目名 | 項目の説明 | 対処方法 |
|---|---|---|---|---|
| DP-01 | セキュリティ設定 | 不要なアカウントの削除 | データベースのアカウントのうち、許可されていないアカウント、退職者アカウント、テストアカウントなど、実質的に業務に使用していない不要なアカウントがある場合、許可されていないユーザーが簡単にデータベースにアクセスしてデータを閲覧、削除、変更などを行うリスクがある | - サービス自体でモニタリング、バックアップ、Failoverなどの機能を提供するために作成したアカウントが存在し、例外処理が必要(pgautofailover_monitor、pgautofailover_replicator) - その他のユーザーが直接作成したアカウントについては、DB Serviceの詳細を見る > DB User管理でユーザーが制御可能 |
| DP-02 | セキュリティ設定 | 脆弱なパスワードの使用制限 | パスワードの複雑性が設定されていないパスワードや nullのパスワードを使用する場合、許可されていないユーザーが簡単にデータベースにアクセスする危険性があり、この場合はデータベースの削除、変更などの深刻な侵害事故を引き起こす可能性がある | - 初回作成時、英数字、記号をそれぞれ1文字以上含めて8~20文字でパスワードを入力 - DB Serviceの詳細を見る > Extension管理で passwordcheckをインストール |
| DP-03 | セキュリティ設定 | 不要な権限の削除 | PostgreSQLはアカウントに権限を設定することができる。その中で Superuserが設定されている場合はすべての権限を無視してタスクを実行でき、Create Roleが設定されている場合はアカウントを作成して権限を付与できるようにしている。もし不要なアカウントに Superuser、Create Roleが設定されている場合、許可されていないユーザーがデータベースにアクセスしてアカウントの作成・削除、データの閲覧・削除・変更などのリスクがある | - サービス自体でモニタリング、バックアップ、Failoverなどの機能を提供するために作成したアカウントが存在し、例外処理が必要(pgautofailover_monitor、pgautofailover_replicator) - その他のユーザーが直接作成したアカウントについては、DB Serviceの詳細を見る > DB User管理でユーザーが制御可能 |
| DP-04 | セキュリティ設定 | public schemaの使用制限 | PostgreSQLで DBを作成する場合、Defaultで public schemaが作成される。他の schemaを作成せずに tableを作成する場合、基本的に public schemaの中に作成され、public schemaはすべてのインスタンスからアクセスが可能なので、情報漏洩、リソース枯渇などのリスクがある | - ユーザーが Public Schema管理で直接 Revokeおよび新規 schemaを作成して移行可能 |
| DP-05 | セキュリティ設定 | IPアドレスアクセス制限の設定 | 許可された IPアドレスのみアクセスできるように設定されていない場合、許可されていないユーザーがそのデータベースにアクセスするリスクが存在する | - ユーザーがアクセス可能な IPアドレスを ACG設定機能で制御できるため、代替可能 |
| DP-06 | セキュリティ設定 | 安全な認証方式の設定 | PostgreSQLでは様々な認証方式をサポートしており、trust、passwordなど安全でない認証方式も存在する。trust設定時にパスワードや他の認証なしで直接アクセスが可能であるため、password設定時に passwordが平文で送信されてスニッフィングなどの攻撃により passwordが漏洩される可能性がある | - SHA-256で安全な認証方式を設定しているため良好 |
| DP-07 | セキュリティ設定 | 安全な暗号化アルゴリズムを使用 | SHA-1の脆弱性が発見されたため、SHA-1以下のアルゴリズムはもはや安全なアルゴリズムではない。したがって、SHA-256以上の暗号化アルゴリズムを使用する必要がある | - SHA-256で安全な暗号化アルゴリズムを設定しているため良好 |
| DP-08 | ディレクトリおよびファイル権限管理 | データディレクトリの権限設定 | 一般ユーザーが PostgreSQLデータディレクトリに任意のファイルを作成、削除、変更できる場合、重要ファイルの削除、バックドア挿入などの被害が発生する可能性がある | - データディレクトリの権限が700に設定されているため良好 |
| DP-09 | ディレクトリおよびファイル権限管理 | 環境設定ファイルの権限設定 | PostgreSQLの重要ファイルの1つである環境設定ファイルが許可されていないユーザーによって変更されると、システム障害が発生する可能性がある。 | - 環境ファイルの権限が600に設定されているため良好 |
| DP-10 | パッチおよびログ管理 | ログの有効化 | ログを定期的に分析して侵入有無を把握し、侵入を試みた疑いのある事例を分析して事前に当該機器へのアクセスをブロックするなど、体系的なログ管理タスクが行われる必要がある | - ユーザーが DB Serviceの詳細を見る > DB Config管理で log_statement、log_connections、log_disconnectionsを設定可能 - Monitoring画面でログ照会が可能 |
| DP-11 | パッチおよびログ管理 | 最新パッチを適用 | 最新のパッチが適用されていない場合、よく知られている脆弱性にデータベースがさらされるリスクが存在する | - NAVERクラウドプラットフォームでは定期的に最新バージョンを提供 - Version Upgrade機能により、ユーザーがアップグレードを実行 |
データベースのバージョン管理ポリシー
フルマネージドクラウドデータベースサービスは、DBエンジン別の最新バージョンのリリーススケジュールと変更影響度を総合的に考慮し、提供中のメジャーバージョンの上位マイナーバージョンを提供します。また、End of Lifeスケジュールに合わせて一定期間以降は、当該バージョンを維持することで発生するエラーや障害に対するテクニカルサポートを終了します。そのため、各サービスごとに提供する DBエンジンのアップグレード機能を利用して、常に最新のバージョンを維持することをお勧めします。
2025年現在、各サービスごとに提供されている DBバージョン情報は、次の通りです。DBエンジンごとの運用ポリシーおよび変更影響度により、実際に提供する DBバージョンおよびスケジュールは変更される場合があります。
| サービス | メジャーバージョン | 提供中のバージョン | 最新バージョンリリース | End of Life Date | 販売終了 | 運用サポート終了 |
|---|---|---|---|---|---|---|
| Cloud DB for MySQL | MySQL 8.0 | MySQL 8.0.42 MySQL 8.0.40 MySQL 8.0.36 MySQL 8.0.34 |
2026年4月 | 2026年4月30日 | - | - |
| MySQL 8.4 | MySQL 8.4.6 | 2026年1月、6月、11月 | 2032年4月30日 | - | - | |
| Cloud DB for Cache | Redis 5.0 | Redis 5.0.14 | - | 2022年4月27日 | 2025年9月18日 | 2026年4月23日 |
| Redis 7.0 | Redis 7.0.15 Redis 7.0.13 |
- | 2024年7月29日 | 2025年9月18日 | 2026年4月23日 | |
| Redis 7.2 | Redis 7.2.11 Redis 7.2.8 Redis 7.2.6 |
- | 2026年2月28日 | - | - | |
| Valkey 7.2 | Valkey 7.2.11 | 2026年1月、6月 | 2027年4月16日 | - | - | |
| Cloud DB for MSSQL | SQL Server 2019 | SQL Server 2019 15.0.4440.1 SQL Server 2019 15.0.4410.1 SQL Server 2019 15.0.4395.2 SQL Server 2019 15.0.4355.3 SQL Server 2019 15.0.4326.1 SQL Server 2019 15.0.4298.1 SQL Server 2019 15.0.4198.2 SQL Server 2019 15.0.2000.5 |
2026年1月、6月 | 2030年1月8日 | - | - |
| Cloud DB for MongoDB | MongoDB 5.0 | MongoDB 5.0.25 MongoDB 5.0.19 |
- | 2024年10月31日 | 2025年11月20日 | 2026年6月25日 |
| MongoDB 6.0 | MongoDB 6.0.27 MongoDB 6.0.19 MongoDB 6.0.15 |
2026年1月 | 2025年7月31日 | 2026年9月17日 | - | |
| MongoDB 7.0 | MongoDB 7.0.28 MongoDB 7.0.24 MongoDB 7.0.19 |
2026年1月 | 2026年8月31日 | - | - | |
| MongoDB 8.0 | - | 2026年6月 | 2029年10月31日 | - | - | |
| Cloud DB for PostgreSQL | PostgreSQL 13 | PostgreSQL 13.21 PostgreSQL 13.18 PostgreSQL 13.15 PostgreSQL 13.13 PostgreSQL 13.10 PostgreSQL 13.7 PostgreSQL 13.3 |
- | 2025年11月13日 | 2026年11月24日 | - |
| PostgreSQL 14 | PostgreSQL 14.20 PostgreSQL 14.18 PostgreSQL 14.13 |
2026年1月、6月 | 2026年11月12日 | - | - | |
| PostgreSQL 15 | PostgreSQL 15.15 | 2026年1月、6月 | 2027年11月11日 | - | - |
- End of Life Dateが到来した、または過去の DBバージョンは新規マイナーバージョンをリリースしません。販売中の上位バージョンを利用することをお勧めします。
- NAVERクラウドプラットフォームではサービスの安定的な運用のため、ユーザーが十分に検証した後に DBエンジンのアップグレードを進めることができるように、End of Lifeが過ぎた時点から12か月後に販売終了処理しています。販売終了処理時、当該バージョンでは新規クラスタを作成できません。ただし、使用中のクラスタは返却しない限り使用可能です。
- 販売終了処理後、6か月後に運用サポート終了処理を行います。運用サポート終了処理後は、当該バージョンを維持することで発生するエラーや障害に対してはテクニカルサポートを行わず、サービスレベル協定(SLA)によるサービスクレジットを支給しません。
- 販売終了と運用サポート終了時にはポータルサイトのお知らせを掲載し、ユーザーへの個別案内を行います。
よくある質問を先にご確認ください。
ご利用ガイドを読む前に、よくある質問への回答をチェックすることで不明な点をすばやく解消できます。以下のよくある質問から答えが得られなかった場合、ご利用ガイドで必要な内容をご確認ください。
Q. 使用中のクラスタのデータベース領域に対する CCE脆弱性スクリプトの実行結果が必要です。
A. フルマネージドクラウドデータベースサービスは、サービス利用規約とサービスレベル協定(SLA)で保証する品質のサービスを提供するため、ユーザーの OSへのアクセスを許可しません。OSにアクセスして CCE脆弱性スクリプトを実行する代わりに、データベースセキュリティ設定ガイドに従って使用しているクラスタに適切な措置を行った後、措置した内容をエビデンスとして提出してください。
Q. 使用中のクラスタの OS領域に対する CCE脆弱性スクリプトの実行結果が必要です。
A. クラウド共同責任モデルに基づき、フルマネージドクラウドデータベースサービスの OSのセキュリティはクラウドサービスプロバイダの責任領域に該当し、クラウドサービスプロバイダの責任領域については認証機関を通じて適切なセキュリティ設定が適用されていることを定期的に検査を受けています。そのため、使用中のクラスタの OS領域は除外して認証評価を行ってください。
これについては、ポータルのクラウド共同責任モデルおよびセキュリティアーキテクチャとセキュリティガイドをご参照ください。
Q. 使用中のクラスタの CVE脆弱性スクリプトの実行結果が必要です。
A. クラウド共同責任モデルに基づき、フルマネージドクラウドデータベースサービスの OSのセキュリティはクラウドサービスプロバイダの責任領域に該当し、クラウドサービスプロバイダの責任領域については認証機関を通じて適切なセキュリティ設定が適用されていることを定期的に検査を受けています。そのため、使用中のクラスタの OS領域は除外して認証評価を行ってください。
これについては、ポータルのクラウド共同責任モデルおよびセキュリティアーキテクチャとセキュリティガイドをご参照ください。
Q. 使用中のクラスタにデータベースセキュリティ診断項目が適用されているという証跡をいただけますか?
A. データベースセキュリティ診断項目の場合、運用中のサーバにアクセスして個々の証跡を提供してはいません。データベースセキュリティ設定ガイドに従って使用中のクラスタに適切な措置を行った後、措置した内容を証跡として提出してください。
Q. 使用中のクラスタの OS領域に対するセキュリティの脆弱性はどのように対処しますか?
A. NAVERクラウドプラットフォームでは、毎年脆弱性を改善したサーバイメージを提供し、OSを最新バージョンに維持します。
NAVERクラウドプラットフォームでは、サーバイメージのアップデートスケジュールに合わせて最新のバージョンに OSをアップグレードできる機能を提供します。既に使用中のクラスタがある場合、ユーザーはサーバイメージの更新スケジュールに合わせて使用中のクラスタの OSをアップグレードした後、その内容をエビデンスとして提出してください。
Q. 使用中のクラスタの DBエンジンを最新バージョンに更新する必要があります。
A. NAVERクラウドプラットフォームでは、年2回 DBエンジンごとに最新バージョンを提供します。利用中のクラスタの場合、各サービスごとの DBエンジンアップグレード機能を利用して最新バージョンに更新可能です。
Q. フルマネージドクラウドデータベースサービスの DBエンジンの最新バージョン提供スケジュールが必要です。
A. データベースのバージョン管理ポリシーをご参照ください。ただし、DBエンジンごとの運用ポリシーおよび変更影響度により、実際の提供スケジュールは変更される場合があります。
Q. フルマネージドクラウドデータベースサービスでパスワード管理ポリシーを設定できますか?
A. すべてのサービスは初回作成時、英数字、記号をそれぞれ1文字以上含めて8~20文字でパスワードを入力するようになっています。
Cloud DB for MySQLサービスの場合、DB Serviceの詳細を見る > Password Plugin設定の有効化にてパスワード管理ポリシーを設定できます。
Cloud DB for PostgreSQLサービスの場合、DB Serviceの詳細を見る > Extension管理で passwordcheckのインストールにてパスワード管理ポリシーを設定できます。
Q. フルマネージドクラウドデータベースサービスが提供する暗号化アルゴリズムは何ですか?
A. すべてのサービスは SHA-256暗号化アルゴリズムを適用できます。
Cloud DB for MySQLサービスの場合、MySQL 8.0バージョンから SHA-256で提供しており、DB Serverの詳細を見る > DB Config管理の default-authentication-plugin設定で SHA-256に変更できます。
Q. Vaultバックアップを行うためにはどのような設定が必要ですか?
A. Cloud DB for MySQL、Cloud DB for MSSQL、Cloud DB for PostgreSQLサービスはマルチゾーンオプションを提供します。Cloud DB for MySQL, Cloud DB for PostgreSQLサービスで、高可用性でクラスタ作成時にマルチゾーンオプションを Yに選択した場合、Secondaryサーバが位置するゾーンにバックアップが保存されるため、Masterサーバとバックアップがそれぞれ別のゾーンに位置することになります。Cloud DB for MSSQLサービスの場合、高可用性でクラスタを作成する際、Principalサーバが配置されているゾーンにバックアップが保存されます。
また、すべてのサービスは Object Storageに送信する機能を提供します。ユーザーはバケットにダウンロードしたバックアップファイルを希望する場所に保管することができます。
Q. フルマネージドクラウドデータベースサービスでは、監査ログ(Audit Log)を提供していますか?
A. すべてのサービスは監査ログを提供しており、各サービスごとに提供する条件は次の通りです。
| サービス | 設定方法 | 照会方法 |
|---|---|---|
| Cloud DB for MySQL | DB Serviceの詳細を見る > Audit Plugin設定を有効化 DB Serverの詳細を見る > DB Config管理で general log ONに設定 |
Monitoring画面でログ照会が可能 |
| Cloud DB for Cache | 初回作成時に自動的に Slow Queryの記録有無とログレベルを設定 | Monitoring画面でログ照会が可能 |
| Cloud DB for MSSQL | Audit設定管理で Auditを有効化 | Monitoring画面でログ照会が可能 |
| Cloud DB for MongoDB | Enterprise Editionで初回作成時に自動的に Audit機能を提供 | Monitoring画面でログ照会が可能 |
| Cloud DB for PostgreSQL | DB Serviceの詳細を見る > DB Config管理で log_statementを設定可能 | Monitoring画面でログ照会が可能 |
Q. データベースアクセス制限設定のために default ACGポリシーを変更してもいいですか?
A. Cloud DB for Cache、Cloud DB for MongoDBサービスの default outbound ACGポリシーの場合、Primaryと Secondaryサーバ間の同期が正常に行われない可能性があるため1-65535ポートを許可していますが、追加のアクセス制御が必要な場合、ユーザーが DB通信目的で指定したポートのみを許可するようにポリシーを直接変更できます。
Cloud DB for MySQL、Cloud DB for MSSQL、Cloud DB for PostgreSQLサービスの場合、default outbound ACGポリシーが単一ポートに指定されています。
Q. 暗号化通信(SSL/TLS)機能はありますか?
A. NAVERクラウドプラットフォームでは、初回作成時に Private Subnetを選択することをお勧めします。
ユーザーの利用目的に応じて Public Subnetを選択した場合、NAVERクラウドプラットフォームの SSL VPNサービスや IPsec VPNサービスを利用して暗号化通信を設定できます。サービスの詳細については、SSL VPNおよび IPsec VPNをご参照ください。
Q. CentOS 7が2024年6月30日にサポート終了(EoL)されました。Linux OSを使用しているサービスはどのように対応すればよいですか?
A. NAVERクラウドプラットフォームでは、毎年セキュリティ脆弱性を改善したサーバイメージを提供し、OSを最新バージョンに維持します。
2024年10月17日現在、Cloud DB for MySQL、Cloud DB for Cache、Cloud DB for MongoDB、Cloud DB for PostgreSQLサービスの OSは、NAVERクラウドプラットフォームが提供する Rocky 8.10サーバイメージと同じです。2024年10月17日以降に新規 DB Serverを作成する場合、NAVERクラウドプラットフォームが提供する最新バージョンのサーバイメージをベースにサービスを利用できます。
NAVERクラウドプラットフォームでは、サーバイメージのアップデートスケジュールに合わせて最新のバージョンに OSをアップグレードできる機能を提供します。2024年10月17日前に作成した CentOS 7ベースの Cloud DB for MySQL、Cloud DB for Cache、Cloud DB for MongoDB、Cloud DB for PostgreSQLサービスを使用している場合は、当該機能を利用して使用中のクラスタの OSをアップグレードしてください。
Q. サービス別 DBエンジンのアップグレード画面で、アップグレード可能な最新の DBバージョンが表示されません。
A. NAVERクラウドプラットフォームでは、2024年10月17日以降に作成されたクラスタに対しては Rocky 8.10 OSを提供しており、最新の DBバージョンも Rocky 8.10 OSでのみ提供します。現在運用中のクラスタの作成日がそれ以前である場合、DBエンジンのアップグレード画面で DBを最新バージョンにアップグレードすることはできません。
NAVERクラウドプラットフォームでは、サーバイメージのアップデートスケジュールに合わせて最新のバージョンに OSをアップグレードできる機能を提供します。OS管理画面でクラスタの OSバージョンを確認し、最新バージョンにアップグレードできます。OSを最新バージョンにアップグレードした後、DBのバージョンアップを行ってください。