みなさん、こんにちは！
クラウド環境を新しく構築した際、セキュリティとコスト管理の観点から「真っ先にやるべき設定」があります。AWSをご利用の方であれば、「ルートユーザーのMFA設定」や「Cost Explorerの有効化」、「CloudTrailの有効化」といったベストプラクティスをご存知でしょう。
では、Oracle Cloud Infrastructure（OCI）を利用し始めた場合、これらのAWSでの定石はOCIのどの機能に該当するのでしょうか？
この記事では、AWSの初期設定ベストプラクティスをベースに, OCI環境で「即時」および「早期」に実施すべき対応事項を比較・解説します。これからOCIを触り始めるAWSエンジニアの方の参考になれば幸いです。
AWS・OCI初期設定ベストプラクティス比較表
| AWSでの設定（定石） | OCIでの該当機能 | 初期状態・推奨設定 |
|---|---|---|
| ルートユーザーのMFA | テナンシ管理者のMFA | デフォルトのサインオンポリシーで強制 |
| IAMユーザーの分離 | IAMグループとポリシーの分離 | 管理者とは別の日常用グループを作成 |
| GuardDuty / Config | OCI Cloud Guard | ルートコンパートメントで有効化 |
| CloudTrail / S3保存 | OCI監査（Audit） | デフォルトで有効（365日保持） |
1. アカウント作成直後に絶対やるべき！「即時対応」設定
まずは、強大な権限を持つ管理者アカウントの保護と、コスト管理に向けた権限分離などの基本設定です。
1-1. ルート権限の保護：テナンシ管理者のMFA設定
- AWS: ルートユーザーのMFA（多要素認証）設定
- OCI: テナンシ管理者（Tenancy Administrator）のMFA設定
OCIにおけるAWSのルートユーザーに相当するのが、テナンシ構築時に作成される初期管理者アカウント（Default Administrator）です。このアカウントの不正利用は致命的な被害をもたらすため、OCIのIdentity Domains（旧IDCS）でサインオン・ポリシーとしてMFAを強制することが推奨されます。これは必須の作業と言えます。
OCIでは、アイデンティティ・ドメインを払い出す際に、MFAは有効化された状態となります。 AWSでは、初回ログイン後、MFA登録を必須とする設定が必要ですが、OCIでは初めから設定されていますので、設定の手間が省けます。AWSエンジニアとしては、最初からセキュアな状態が保たれていることに驚くかもしれません。
具体的な設定としては、デフォルトのサインオンポリシーで設定されています。
また、利用可能な認証方式を追加で有効化することも可能です。
1-2. 日常操作用アカウントの分離：グループと最小特権ポリシー
- AWS: rootユーザは利用せず、別途IAMユーザ（またはIdentity Center）を用意
- OCI: Default管理者アカウントは常用せず、別途普段使い用のユーザー・グループを作成し権限を絞る
OCIでもAWSと同様、強大な権限を持つ初期管理者アカウントを普段の作業に使うのはNGです。
日常の作業用には、アイデンティティ・ドメイン内に別途ユーザーを作成し、適切なグループに所属させた上で、「コンピュート・インスタンスの起動のみ」といった必要最低限の権限（ポリシー）を割り当てることでセキュリティが向上します。管理者権限と日常作業権限を明確に分離することが、思わぬ事故を防ぐ鍵となります。
2. 運用インシデントを防ぐ！「早期対応（2週間以内）」設定
続いては、コストの急増や設定漏れ、不審なアクティビティを監査・検知するための仕組みづくりです。本格的な運用が始まる前には設定しておきましょう。
2-1. 脅威検知・構成監査の自動化：OCI Cloud Guardの有効化
- AWS: Amazon GuardDuty / AWS Configの有効化
- OCI: OCI Cloud Guardの有効化
AWSのGuardDutyとAWS Config（およびSecurity Hub）の要素を併せ持つような、OCIの強力な標準機能がCloud Guardです。「構成ディテクタ」でパブリックに公開されてしまったバケットなどの設定不備を自動検知し、「アクティビティ・ディテクタ」で不審な振る舞いを検知します。
ルートコンパートメントをターゲットにしてテナンシ全体で有効化することで、セキュリティを飛躍的に向上させることが可能です。また、Cloud Guard自体は無料で利用可能です！（一部料金がかかる機能もあります）
2-2. 証跡の記録と長期保存：OCI監査（Audit）とログアーカイブ
AWS: AWS CloudTrail証跡の作成 / セキュリティログ保存用S3バケットの作成
OCI: 監査ログの確認（デフォルト365日保持） / Object Storageへのログ転送
ここがOCIの大きな特徴の一つです。AWS CloudTrailに相当するAPI呼び出し等の履歴を記録する「OCI監査（Audit）」機能は、デフォルトで有効化されており、操作履歴は最大365日間保持されます（AWS側の無料枠デフォルトは現在90日間です）。そのため、「急いで設定しないとログがすぐに流れて消えてしまう」ということはありません。 また、監査ログは無料です！
ただし、コンプライアンス要件等により1年を超えるログの長期保存が必要な場合は、OCIの「サービス・コネクタ・ハブ（Service Connector Hub）」を利用し、長期保存用のObject Storage（AWSのS3バケット相当）にログを自動アーカイブする設定を入れることになります。 この場合は追加で料金がかかります（とはいってもサービス・コネクタ・ハブ自体は無料なので、Object Storageの保存料金のみとなります）。
##3. まとめ：OCIはデフォルトで「セキュア」な要件を備えている
AWSでの初期設定の定石をOCIに当てはめてみてお気づきかもしれませんが、「OCIは最初から強固な設定（セキュア・バイ・デフォルト）となっている領域が多い」 という特徴があります。
例えば監査ログのデフォルト保持期間が365日であったり、ネットワーク（VCN）の通信ルールがデフォルトで一切許可されていなかったりと、エンタープライズのワークロードを想定して設計された後発クラウドならではの思想が見て取れます。
クラウドの概念や「やるべきこと」の目的自体はAWSと共通しているため、AWSで培ったノウハウはOCIでも十二分に活かすことができます。OCI環境を新規構築する際は、今回ご紹介した対応項目を必須のチェックリストとしてご活用ください！