| Oracle® Key Vault管理者ガイド 12cリリース1 (12.1.0.3.0) E57731-03 |
|
 前 |
 次 |
エンドポイントは、Oracle Key Vaultによって保護されるデータが存在するデータベースです。エンドポイントの作成、削除、再エンロールに加え、その仮想ウォレットのアクセス権の管理、およびグループへのエンドポイントの編成を行うことができます。
トピック:
セキュリティ・オブジェクトはエンドポイントに格納した後で、Oracle Key Vaultにアップロードします。これにより、別のエンドポイントのセキュリティ・オブジェクトを企業全体で共有できます。
エンドポイントとエンドポイント・グループは、次のようにして管理できます。
エンドポイント
エンドポイントとは、様々な暗号操作のために、Oracle Key Vaultを使用してセキュリティ・オブジェクトを格納するデータベースなどのシステムです。
特定の基準を使用してエンドポイントを表示および検索し、エンドポイント詳細までドリルダウンできます。エンドポイントのエンロール、エンドポイントの名前の変更、エンドポイントの削除、エンドポイント・グループの作成およびそのメンバーシップの変更ができます。
エンドポイント・グループ
エンドポイント・グループは、仮想ウォレットへのアクセス権を共有するエンドポイントのグループです。
鍵管理者ロールを持っている管理者は、エンドポイント・グループ・レベルで、特定の、または複数の仮想ウォレットへのアクセス権を付与することができます。それにより、エンドポイント・グループのすべてのメンバー・エンドポイントが、ウォレットまたは鍵へのアクセス権を自動的に持ちます。たとえば、エンドポイント・グループ内にOracle RACクラスタの複数のノードがセットアップされている場合、ウォレットおよびウォレットの内容を共有することができます。
エンドポイントの管理者が実行するタスクは、各自のロールに応じて異なります。次のロールがあります。
システム管理者ロールは、エンドポイント名、エンドポイント・タイプ、説明(有用性が認められるあらゆる情報)、プラットフォームまたは電子メール・アドレスを変更します。
鍵管理者ロール は、デフォルトの仮想ウォレット、エンドポイント・グループのメンバーシップまたは既存の仮想ウォレットへのアクセス権を変更または追加します。
Oracle Key Vault管理コンソールにログインします。
「Oracle Key Vault管理コンソールへのログイン」を参照してください。
「検索バー」の説明に従って、エンドポイントを検索します。
列の1つを選択して(たとえば、「All Columns」、「Endpoint Name」、「Endpoint Type」、「Description」、「Platform」、「Status」、「Enrollment Token」または「Alert」)、検索します。
エンドポイントの追加、削除または再エンロールを行い、エンロール・ステータスを検索できます。管理者が開始するエンロールまたは自己エンロールのいずれかを使用して、エンドポイントを追加できます。
エンドポイントのエンロールには、誰がエンロールを開始するかによって、2つの方式があります。
管理者が開始するエンロール
システム管理者ロールを持っているOracle Key Vaultユーザーが、エンドポイントを追加することによって、Key Vault側からエンロールを開始します。エンドポイントが追加されると、Oracle Key Vaultは、エンロール・トークンと呼ばれるワンタイム・トークンを生成します。このトークンは、電子メールまたは電話など、バンド外の方式を使用してエンドポイント管理者に送信される必要があります。エンドポイント管理者は、認証の証明として、エンドポイント側からOracle Key Vaultにエンロール・トークンを送信します。
エンドポイントがエンロールされるとエンロール・トークンは消費され、再使用はできません。管理者は、特定の障害や構成上の問題点を解決するために、エンドポイントを再エンロールすることができます。詳細は「エンドポイントの削除または再エンロール」を参照してください。再エンロール・プロセスでは、新しいワンタイム・エンロール・トークンが生成されます。
管理者が開始するエンロールの詳細は、「管理者が開始するエンロールを使用したエンドポイントの追加」を参照してください。
エンドポイント自己エンロール
エンドポイント自己エンロールは、システム管理者ロールを持っているOracle Key Vaultユーザーによるアクションを必要としない新規エンドポイントのエンロールが許容される環境で行われます。これにより、人間による管理操作の少ないエンロールが容易になります。エンドポイント自己エンロールは、特に、エンドポイントがセキュリティ・オブジェクトを共有せず、主にOracle Key Vaultを使用してセキュリティ・オブジェクトをアーカイブおよびリストアする場合に便利です。また、エンドポイント自己エンロールは、テスト用途でも役立ちます。
自己エンロールされたエンドポイントは、作成時に一般的なエンドポイント名(ENDPT_001など)が付けられ、最初は、それをアップロードまたは作成するセキュリティ・オブジェクトへのアクセス権のみを持っています。仮想ウォレットへのアクセス権は一切持っていません。後から仮想ウォレットへのエンドポイント・アクセス権を付与することはできますが、確実に、意図するエンドポイントへのアクセス権を付与するように注意する必要があります。
エンドポイント自己エンロールはデフォルトでは無効で、システム管理者ロールを持っているOracle Key Vault管理者によって有効化される必要があります。エンドポイントの自己エンロールを有効にしておくのは、エンドポイントが自己エンロールすることが予期される期間のみにするようにお薦めします。
自己エンロールの詳細は、「自己エンロールを使用したエンドポイントの追加」を参照してください。
Oracle Key Vaultエンドポイントのエンロール・プロセスのステータス(処理順)は、「Registered」または「Enrolled」のいずれかです。
Registered: エンドポイントが管理者によって追加され、エンロール・トークンが(管理者が開始するエンロールから)生成されましたが、okvclient.jarファイルがエンドポイントにダウンロードされていません。
Enrolled: エンドポイントは、必要に応じてエンロール・トークンを提示して、okvclient.jarファイルをダウンロードしました。
管理者が開始するエンロールでは、システム管理者ロールを持つユーザーが、エンドポイントの名前、エンドポイントのタイプ、エンドポイントが使用するプラットフォーム、通知用の管理者電子メール・アドレスなどの詳細を指定して、エンドポイントをOracle Key Vaultに登録します。
システム管理者ロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
「Oracle Key Vault管理コンソールへのログイン」を参照してください。
「Endpoints」タブを選択し、「Endpoints」を選択します。
「Endpoints」ページに、以前に追加されたエンドポイント、名前、タイプ、IPアドレス、プラットフォーム、およびエンドポイントに対して生成されたアラート(もしあれば)が列挙された表が表示されます。「Status」列には、各エンドポイントが、「Registered」または「Enrolled」と表示されます。「Registered」は、エンドポイントがOracle Key Vaultサーバーで登録されたことを示します。この場合、エンロール・トークンが「Enrollment Token」列に表示されます。エンドポイント管理者がエンロール・トークンを提供した後に、エンドポイント・ソフトウェア・パッケージと必要な構成ファイルをダウンロードすると、「Status」列が「Enrolled」に変わります。このとき、ワンタイム・エンロール・トークンは、処理で消費されたためページから消えます。
「Endpoints」ページで「Add」をクリックします。
「Register Endpoint」ページで、新しいエンドポイントに関する次のメタデータを入力します。
Endpoint name: エンドポイント名では大文字と小文字は区別されません。たとえば、Oracle Key Vaultは「APP_SERVER1」と「app_server1」を同じエンドポイントとみなします。名前には、文字、数字およびアンダースコアを使用できます。エンドポイントは、他の場所(アクセス設定など)では、この名前で参照されます。
Type: 有効な値は、「Oracle Database」、「Oracle (non-database)」および「Other」です。「Other」の例には、サード・パーティのKMIPエンドポイントがあります。
|
注意: Oracle Advanced Security Transparent Data Encryption(TDE)を使用していて、Oracle Key Vaultを使用してTDEマスター・キーまたはウォレットを管理する場合、「Type」を「Oracle Database」に設定する必要があります。 |
Platform: 有効な値は、「Linux」、「Solaris SPARC」および「Solaris x64」です。
Description(オプション): 説明(エンドポイントのホスト名やIPアドレスなど)を入力します。
Administrator Email(オプション): エンドポイント管理者の電子メール・アドレスです。これは、通知目的で便利です。
「Register」をクリックして、エンドポイントがエンロール・プロセスを完了するために使用する一時的なワンタイム・トークンを生成します。
これで、「Endpoints」ページの「Endpoints」表に、「Enrollment Token」フィールドのワンタイム・エンロール・トークンなど、新しく作成されたエントリが表示されます。ステータスは「Registered」になっていて、エンロール・プロセスが始まったことを示します。
「エンドポイント詳細の管理」の説明に従って、必要なエンドポイント情報を追加します。
「タスク1: エンドポイントのエンロールとプロビジョニング」の説明に従って、ユーザーがエンドポイント側でエンロール・プロセスを完了できるように、エンドポイント管理者に一時的なワンタイム・トークンを提供します。
この段階では、エンドポイントはOracle Key Vault側で構成されます。
エンドポイント自己エンロールはデフォルトでは無効で、システム管理者ロールを持っているユーザーによって有効化される必要があります。
|
注意: システム管理者として、エンドポイント自己エンロールを有効化する(「Allow Endpoint Self Enrollment」チェック・ボックスを選択)のは、エンドポイントが自己エンロールすることが予期される期間の間のみにすることをお薦めします。すべてのエンドポイントがエンロールされたら、「Allow Endpoint Self Enrollment」チェック・ボックスの選択を解除して、エンドポイント自己エンロールを無効にしてください。 |
システム管理者ロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
「Oracle Key Vault管理コンソールへのログイン」を参照してください。
「Endpoints」タブを選択し、「Settings」メニューを選択します。
「Allow Endpoint Self-Enrollment」チェック・ボックスを選択します。
「Save」をクリックします。
設定が保存されたことを示すダイアログ・ボックスが表示されます。
Oracle Key Vault側で自己エンロールが完了したことを、このエンドポイントのエンドポイント管理者に通知します。
この段階で、エンドポイント管理者は「タスク1: エンドポイントのエンロールとプロビジョニング」の手順に従って、このエンドポイントをエンロールできます。(自己エンロールにはエンドポイント・トークンは必要ありません。)
|
注意: Oracle Key Vaultでは、エンドポイント自己エンロールでエンロールされたすべてのエンドポイントに、自己エンロール済属性が関連付けられます。自己エンロールされたエンドポイントでは、エンロール・プロセスが完了すると、ステータスが「Enrolled」になります。(自己エンロールされたエンドポイントの場合、「Registered」ステータスはありません。) |
エンドポイントが必要なくなった場合、システム管理者は、それらを削除して、再度必要になったときに再エンロールできます。
トピック:
システム管理者ロールを持っているユーザーは、Oracle Key Vaultにエンドポイントをエンロールし、Oracle Key Vaultを使用しなくなったらエンドポイントを削除できます。
エンドポイントを削除すると、Oracle Key Vaultから永久に削除されます。そのエンドポイントが作成したセキュリティ・オブジェクトは、所有者なしになります。その場合、それらのオブジェクトは、仮想ウォレットを介して、または鍵管理者ロールを持っているユーザーによってのみアクセスできます。
エンドポイントを再エンロールすると、Oracle Key Vaultと通信するためのエンドポイント証明書が失われたり、期限切れになったりしていた場合、新しい証明書をダウンロードできます。
エンロール済エンドポイントでソフトウェアを更新する必要がある場合、ダウンロードする必要があるのはソフトウェアのみです。エンドポイントを再エンロールする必要はありません。
システム管理者ロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
「Oracle Key Vault管理コンソールへのログイン」を参照してください。
「Endpoints」タブを選択し、「Endpoints」を選択します。
「エンドポイントの検索」の説明に従って、「Endpoints」ページでエンドポイントを検索します。
エンドポイント名の横にあるチェック・ボックスを選択します。
「Delete」または「Enroll」をクリックします。
エンドポイントを削除するか、エンロールするかによって次のいずれかの操作をします。
エンドポイントを削除する場合、確認ダイアログ・ボックスが表示されます。「OK」をクリックします。
エンドポイントを再エンロールする場合、新しいエンロール・トークンは、選択したエンドポイントの「Enrollment Token」列に表示されます。ここから、エンドポイント管理者は、再エンロール・プロセス(「タスク1: エンドポイントのエンロールとプロビジョニング」)の中で、このトークンを提示する必要があります。
エンドポイントを作成したら、デフォルト・ウォレットの追加やエンドポイント・グループ・メンバーシップの管理など、エンドポイント詳細を管理できます。
トピック:
エンドポイントの詳細には、その電子メール設定、ステータス、作成日、それがデフォルト・ウォレットを持つかどうか、およびそれがグループ・メンバーシップに含まれるかどうかといった情報が含まれます。
「Endpoints Details」ページでは、管理者電子メール、ステータスおよび作成日などに関する情報を表示できます。デフォルトの仮想ウォレットの追加、エンドポイント・グループ・メンバーシップの追加や削除、および仮想ウォレットへのアクセス権を設定できます。これらのアクティビティは、エンドポイントの登録後であれば、フル・エンロール・プロセスが完了する前でも実行できます。
変更には、仮想ウォレットの作成後のみ実行できるものもあります。
デフォルトの仮想ウォレットを使用するには、それをOracle Key Vaultに追加してエンドポイントに関連付けた後で、Oracle Key Vaultクライアント・ソフトウェアをエンドポイントにダウンロードします。クライアント・ソフトウェアをダウンロードした後でデフォルト・ウォレットを追加する場合、エンドポイントを再エンロールして変更を有効にする必要があります。
|
注意: デフォルト・ウォレットを使用する場合、ウォレットを追加してエンドポイントに関連付けた後で、クライアント・ソフトウェアをダウンロードしてエンドポイントにインストールすることが非常に重要です。 |
デフォルトの仮想ウォレットを使用するエンドポイントの場合、エンドポイントが作成する鍵はすべて、自動的にデフォルト・ウォレットに追加されます。デフォルト・ウォレットは、Oracle RACクラスタのノードなど、他のエンドポイントと共有するのに便利です。
Oracle Key Vault管理コンソールからエンドポイント詳細を変更できます。
システム管理者ロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
「Oracle Key Vault管理コンソールへのログイン」を参照してください。
「Endpoints」タブを選択し、「Endpoints」を選択します。
「Endpoints」ページで、表示または変更するエンドポイントの名前を選択します。
そのエンドポイントに対応する「Endpoint Details」ペインが表示されます。
「Endpoints Details」ペインで、必要に応じて、エンドポイント名、エンドポイント・タイプ、説明、プラットフォームおよび電子メールを変更します(オプション)。
このページでは、ウォレットとエンドポイント・グループに関するアクセス権情報も表示できます。
「Save」をクリックします。
そのエンドポイントの「Endpoint」ページが表示されます。
Oracle Key Vault管理コンソールを使用して、グループにエンドポイントを追加できます。
鍵管理者ロールを持っている管理者としてOracle Key Vault管理コンソールにログインします。
「Endpoints」タブを選択し、「Endpoints」を選択します。
グループに追加するエンドポイントを選択します。
「Endpoint Details」ページの「Endpoint Group Membership」リージョンで、「Add」をクリックします。
「Add Endpoints Group Membership」ページで、エンドポイントをメンバーにするグループの横にあるチェック・ボックスを選択します。
「Save」をクリックします。
メンバーがグループに正常に追加されたことを示すダイアログ・ボックスが表示されます。
ウォレットが作成されたら、エンドポイントから仮想ウォレットへのアクセス権を、マップしたり削除したりすることができます。
トピック:
Oracle Key Vault管理コンソールを使用して、仮想ウォレットへのエンドポイント・アクセス権を追加できます。
鍵管理者ロールを持っている管理者としてOracle Key Vault管理コンソールにログインします。
「Endpoints」タブを選択し、「Endpoints」を選択します。
「Endpoints」ページで、仮想ウォレットにアクセスする必要があるエンドポイントを選択します
「Endpoint Details」ページの「Access to Wallets」ペインで、「Add」をクリックします。
「Add Access to Endpoint」ページで、使用可能リストからウォレットを選択します。
必要なアクセス制御を選択します。「アクセス制御のオプション」を参照してください。
「Save」をクリックします。
アクセス権のマッピングが成功したことを示すメッセージが表示されます。
Oracle Key Vault管理コンソールを使用して、仮想ウォレットへのエンドポイント・アクセス権を削除できます。
鍵管理者ロールを持っている管理者としてOracle Key Vault管理コンソールにログインします。
「Endpoints」タブを選択し、「Endpoints」を選択します。
「Endpoints」ページで、仮想ウォレットにアクセスさせたくないエンドポイントを選択します。
「Access to Wallets」ペインで、ウォレット名の横にあるチェック・ボックスを選択します。
「Remove」をクリックします。
確認ダイアログ・ボックスで、このアクセス権を削除するかどうかの確認を求められたら、「OK」をクリックします。
アクセス権のマッピングが削除されたことを示すメッセージが表示されます。
エンドポイント・グループは、セキュリティ・オブジェクトの共通セットを持つエンドポイントのグループです。
トピック:
エンドポイント・グループによって、セキュリティ・オブジェクトの共通セットを共有する複数のエンドポイントを集中管理できます。
トピック:
セキュリティ・オブジェクトの共通セットを共有する必要がある複数のエンドポイントを、1つのエンドポイント・グループにまとめることができます。
たとえば、Oracle RAC、GoldenGateまたはOracle Active Data Guardを使用するエンドポイントが、共有データにアクセスするための鍵を共有する必要がある場合があります。
「Endpoint Groups」ページには、既存のエンドポイント・グループの表が表示されます。新しいエンドポイント・グループが作成されると、この表に表示されます。
表のグループ名をクリックすると、グループ・メンバーとウォレットへのマッピングがリストされます。
Oracle Key Vault管理コンソールを使用して、エンドポイント・グループを作成できます。
鍵管理者ロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
「Oracle Key Vault管理コンソールへのログイン」を参照してください。
「Endpoints」タブを選択します。
「Endpoint Groups」を選択します。
「Endpoint Groups」ページが表示されます。
「Create Endpoint Group」ボタンをクリックします。
「Create Endpoint Group」ページで、新しいグループの名前とその概要を入力します。
検索バーと、エンドポイント名のリストの上にある「Actions」メニューを使用して、グループに追加するエンドポイントを選択できます(オプション)。「処理と検索の実行」を参照してください。
グループに追加する各エンドポイント名の横にあるチェック・ボックスを選択します(オプション)。
「エンドポイント・グループ詳細の変更」の説明に従って、メンバーは後で追加できます。
「Actions」をもう一度クリックして、エンドポイント名の最終的なリストに対して実行するアクションを選択します(オプション)。
「Save」をクリックします。
グループが正常に保存されたことを示すメッセージが表示されます。再表示される「Endpoint Group」ページでは、新しいグループがリストに入っています。
「Endpoint Groups」ページには、「Wallet Overview」ページへのリンクも表示されます。
「仮想ウォレットへのアクセス権のユーザーとエンドポイントへの付与」または「仮想ウォレットのアクセス設定の取消し」の説明に従って、「Wallet Overview」ページから、ウォレットのアクセス設定とウォレットの内容を表示できます。
Oracle Key Vault管理コンソールを使用して、エンドポイント・グループの詳細を変更できます。
鍵管理者ロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
「Oracle Key Vault管理コンソールへのログイン」を参照してください。
「Endpoints」タブを選択し、「Endpoint Groups」を選択します。
「Endpoint Groups」ページで、検索バーと「Actions」メニューを使用してフィルタし、変更するエンドポイント・グループを見つけます。
「処理と検索の実行」を参照してください。
変更するエンドポイント・グループの横にある編集の鉛筆アイコンをクリックします。
「Endpoint Group Details」ページが表示されます。
必要に応じて、説明、ウォレットへのアクセス権およびエンドポイント・グループ・メンバーを変更します。
「Save」をクリックします。
エンドポイント・グループから既存の仮想ウォレットへのアクセス権を追加または削除できます。
鍵管理者ロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
「Oracle Key Vault管理コンソールへのログイン」を参照してください。
「Endpoints」タブを選択し、「Endpoints Group」を選択します。
「エンドポイント・グループ詳細の変更」の説明に従って、変更されているエンドポイント・グループの横にある編集の鉛筆アイコンを選択します。
「Access to Wallets」ペインで、「Add」をクリックします。
使用可能リストから仮想ウォレットを選択します。
次のように、「Access Level」を選択します。
Read Only: 選択されたサブジェクトは、仮想ウォレットとウォレット内の項目に対して読取りアクセス権のみを持ちます。
「Read and Modify」: 選択されたサブジェクトは、仮想ウォレットとウォレット内の項目に対する読取りおよび変更アクセス権を持ちます。
「Manage Wallet」チェック・ボックスを選択します(オプション)。
このオプションでは、選択されたサブジェクトは次のことができます。
仮想ウォレットでのオブジェクトの追加または削除。
他のユーザーに対する仮想ウォレットへのアクセス権の付与。
「Save」をクリックします。
アクセス権のマッピングが成功したことを示すメッセージが表示されます。
エンドポイント・グループからメンバーを削除することができます。これによりそのメンバーがOracle Key Vaultから削除されることはありません。
鍵管理者ロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
「Oracle Key Vault管理コンソールへのログイン」を参照してください。
「Endpoints」タブを選択し、「Endpoint Groups」を選択します。
「Endpoint Groups」ページから、検索バーと「Actions」メニューを使用してフィルタし、削除するエンドポイント・グループを見つけます。
「処理と検索の実行」を参照してください。
そのエンドポイント・グループの横にある編集の鉛筆アイコンをクリックします。
「Endpoint Group Details」ページが表示されます。
「Endpoint Group Details」ページで、必要に応じて検索バーと「Actions」メニューを使用して、削除するメンバー(エンドポイント)を特定します。
エンドポイント名の横にあるチェック・ボックスを選択します。
「Remove」をクリックします。
グループからエンドポイントを削除するかどうかの確認を求めるダイアログ・ボックスが表示されたら、「OK」をクリックします。
エンドポイントがグループから正常に削除されたことを示すダイアログ・ボックスが表示されます。
必要がなくなったエンドポイント・グループは、簡単に削除できます。
トピック:
エンドポイント・グループが不要になった(たとえば、特定のエンドポイントをまとめておく必要がなくなった)場合、削除することができます。
これにより実際のエンドポイントが削除されることはありませんが、エンドポイントがエンドポイント・グループのメンバーシップを介して獲得した仮想ウォレットへのアクセス権は削除されます。
Oracle Key Vault管理コンソールを使用して、エンドポイント・グループを削除できます。
鍵管理者ロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
「Oracle Key Vault管理コンソールへのログイン」を参照してください。
「Endpoints」タブを選択し、「Endpoint Groups」を選択します。
「Endpoint Groups」ページから、必要に応じて、検索バーと「Actions」メニューを使用して既存のエンドポイント・グループをフィルタし、削除するエンドポイント・グループを見つけます。
「処理と検索の実行」を参照してください。
エンドポイント・グループ名の横にあるチェック・ボックスを選択します。
「Delete」をクリックします。
確認のダイアログ・ボックスで、「OK」をクリックします。
