Segurança
Segurança & boas práticas
O que rotacionar do ambiente original, e como manter o novo ambiente do cliente com privilégio mínimo.
O arquivo de origem (demo_ampm.sql, fora desta pasta) continha uma chave privada
OCI completa, uma senha de schema e OCIDs de usuário/tenancy/compartimento em texto puro. O export
original da aplicação (VulnerabilityAI-myapp.sql) também continha: dois OCIDs de
tenancy, um OCID de compartimento, e-mails pessoais, e dois links pré-autenticados (PAR)
do Object Storage apontando para vídeos de demonstração hospedados em um bucket interno da
Oracle (galeria de vídeos genérica "26ai Demo Hub", sem relação com a AM/PM). Nenhum desses valores
foi trazido para ampmInsights_V1, mas recomenda-se:
- Revogar/rotacionar, no Console OCI, a API key correspondente à chave privada que estava em
demo_ampm.sql. - Trocar a senha do usuário de banco original (se o ambiente de origem continuar em uso).
- Revogar/expirar os dois links PAR de Object Storage encontrados no export original (dão acesso de leitura a objetos do bucket sem outra autenticação).
- Não incluir
demo_ampm.sql,VulnerabilityAI-myapp.sql,Connections.mdouWallet_ADBJSON.zip(pasta raiz do projeto) em nada que seja enviado ao cliente ou a terceiros — apenas os arquivos desta pastaampmInsights_V1.
Boas práticas para o ambiente do cliente
Privilégio mínimo
Restrinja a política IAM da API key ao compartimento e ao bucket estritamente necessários (ver exemplo em Pré-requisitos).
Rotação periódica
Defina um ciclo de rotação da API key e da senha do schema AMPMINSIGHTS.
ACL de rede restrita
A regra de rede liberada cobre apenas o host de Generative AI necessário — evite abrir hosts adicionais sem necessidade.
Sem segredos em texto puro
Nunca deixe a chave privada ou senha do schema em planilhas, chats ou repositórios compartilhados.
Itens do export original que precisam de atenção do time funcional
Além de segredos, o export da aplicação continha lógica e textos herdados de um template interno genérico de demonstração ("26ai Demo Hub"), incompatíveis com a entrega deste ambiente à AM/PM. Foram ajustados nesta versão, mas revise antes de liberar aos usuários finais:
- Autoprovisionamento de acesso: o cadastro automático de novos usuários (com envio de senha inicial por e-mail) estava restrito a e-mails
@oracle.com. Foi trocado por um marcador<SUBSTITUA-PELO-DOMINIO-CORPORATIVO-DA-AMPM.COM.BR>— configure o domínio de e-mail real da AM/PM na página de cadastro antes de liberar o app, ou nenhum usuário da AM/PM conseguirá se autoprovisionar. - Disclaimer de uso: o texto original dizia "uso restrito a colaboradores Oracle", "não enviar dados reais de clientes" e "nunca compartilhe com clientes" — o oposto do que se aplica aqui, já que este ambiente roda com dados reais da própria AM/PM. O texto foi reescrito para o contexto da AM/PM; revise a redação final com o time de compliance/segurança da informação do cliente.
Sobre a normalização de nome de marca na view
A view V_26AI_TECH contém duas chamadas REPLACE() que padronizam
os valores de NOME/EMPRESA para "Company" quando o CMDB traz "Ipiranga" ou
"Ampm". Essa lógica veio do ambiente de demonstração original (provavelmente pensada para
apresentações a outros prospects). Como este ambiente V1 é o próprio ambiente da AM/PM, avalie com o
time de negócio se essa normalização ainda faz sentido ou se deve ser removida da view.
Privacidade dos dados
As tabelas de vulnerabilidade e CMDB carregam dados reais e sensíveis do ambiente da AM/PM (inventário de ativos, severidade de vulnerabilidades, criticidade de sistemas). Trate a base carregada com o mesmo nível de confidencialidade do relatório de origem (Tenable/CMDB), inclusive em ambientes de teste/demonstração.