Oracle® Key Manager 3

概述和规划指南

发行版 3.0.2

E52232-02

2015 年 4 月

Oracle Key Manager 3 概述和规划指南，发行版 3.0.2

E52232-02

版权所有 © 2007，2015， Oracle 和/或其附属公司。保留所有权利。

本软件和相关文档是根据许可证协议提供的，该许可证协议中规定了关于使用和公开本软件和相关文档的各种限制，并受知识产权法的保护。除非在许可证协议中明确许可或适用法律明确授权，否则不得以任何形式、任何方式使用、拷贝、复制、翻译、广播、修改、授权、传播、分发、展示、执行、发布或显示本软件和相关文档的任何部分。除非法律要求实现互操作，否则严禁对本软件进行逆向工程设计、反汇编或反编译。

此文档所含信息可能随时被修改，恕不另行通知，我们不保证该信息没有错误。如果贵方发现任何问题，请书面通知我们。

如果将本软件或相关文档交付给美国政府，或者交付给以美国政府名义获得许可证的任何机构，则适用以下注意事项：

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government.

本软件或硬件是为了在各种信息管理应用领域内的一般使用而开发的。它不应被应用于任何存在危险或潜在危险的应用领域，也不是为此而开发的，其中包括可能会产生人身伤害的应用领域。如果在危险应用领域内使用本软件或硬件，贵方应负责采取所有适当的防范措施，包括备份、冗余和其它确保安全使用本软件或硬件的措施。对于因在危险应用领域内使用本软件或硬件所造成的一切损失或损害，Oracle Corporation 及其附属公司概不负责。

Oracle 和 Java 是 Oracle 和/或其附属公司的注册商标。其他名称可能是各自所有者的商标。

Intel 和 Intel Xeon 是 Intel Corporation 的商标或注册商标。所有 SPARC 商标均是 SPARC International, Inc 的商标或注册商标，并应按照许可证的规定使用。AMD、Opteron、AMD 徽标以及 AMD Opteron 徽标是 Advanced Micro Devices 的商标或注册商标。UNIX 是 The Open Group 的注册商标。

本软件或硬件以及文档可能提供了访问第三方内容、产品和服务的方式或有关这些内容、产品和服务的信息。除非您与 Oracle 签订的相应协议另行规定，否则对于第三方内容、产品和服务，Oracle Corporation 及其附属公司明确表示不承担任何种类的保证，亦不对其承担任何责任。除非您和 Oracle 签订的相应协议另行规定，否则对于因访问或使用第三方内容、产品或服务所造成的任何损失、成本或损害，Oracle Corporation 及其附属公司概不负责。

目录

标题和版权信息

前言

- 文档可访问性

1 安装规划

2 OKM 概述

- 支持的加密标准

- 密钥管理设备 (Key Management Appliance, KMA)

- 用于 OKM 3.0 的 KMA 服务器

- 用于 OKM 2.x 的 KMA 服务器

- 机架规范

- SCA6000 卡

- OKM GUI

- OKM CLI

- OKM 群集

- 磁带机如何使用群集中的 KMA

- 搜索

- 负载平衡

- 故障转移

- 代理

- 数据单元、密钥、密钥策略和密钥组

- 用户角色

- IBM ICSF 集成

3 OKM 配置

- 单站点

- 双站点

- 支持灾难恢复的双站点

- 支持 Oracle 数据库的双站点

- 支持分区磁带库的多站点

4 OKM 网络

- 网络概述

- 管理网络

- 服务网络

- 服务处理器

- 托管交换机

- 支持的托管交换机型号

- KMA 服务端口聚合

- 端口镜像

- 托管交换机配置示例

- 网络路由配置

- SDP 防火墙要求

5 磁带机要求

- 支持的磁带机

- 符合 FIPS 的磁带机

- T 系列磁带机加密行为

- LTO 磁带机加密行为

- 为加密磁带机做准备

- 固件要求

- 虚拟操作面板要求

6 订购

- KMA 服务器

- 交换机附件套件

- 以太网电缆

- 电源电缆

前言

本指南概括介绍了 Oracle Key Manager (OKM)，提供了其规划信息并明确了实施要求。

文档可访问性

有关 Oracle 对可访问性的承诺，请访问 Oracle Accessibility Program 网站 http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc。

获得 Oracle 支持

购买了支持服务的 Oracle 客户可通过 My Oracle Support 获得电子支持。有关信息，请访问 http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info；如果您听力受损，请访问 http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs。

1 安装规划

使用以下核对表规划 OKM 安装。

查看 OKM 概述和配置

- 第 2 章 OKM 概述。

- 第 3 章 OKM 配置。

查看服务器要求

- 查看 KMA 规范（用于 OKM 3.0 的 KMA 服务器）。

- 查看 KMA 机架规范（机架规范）。

- 确保站点满足服务器的温度、湿度、冷却和电源要求。

- 有关 Netra SPARC T4-1 服务器规范，请参见：
http://docs.oracle.com/cd/E23203_01/index.html

- 确认断路器位置和额定值。

- 对于冗余电源选项，确保存在额外的 APC 电源开关。

查看网络要求

- 第 4 章 OKM 网络。

查看磁带机要求

- 第 5 章 磁带机要求。

规划用户角色

- 用户角色。

准备交付

- 确保有经授权的人员负责处理和验收交付的设备。OKM 密钥管理设备 (Key Management Appliance, KMA) 是涉及安全的物品。

- 确保有处理或回收包装材料的规划。

订购组件

- 第 6 章 订购。

2 OKM 概述

OKM 通过加密存储的数据（基于设备的加密）来保证数据安全。它创建、存储和管理加密密钥。OKM 支持开放系统和企业平台。

以下各节介绍了 OKM 解决方案的概念和组件。

- 支持的加密标准

- 密钥管理设备 (Key Management Appliance, KMA)

- OKM GUI

- OKM CLI

- OKM 群集

- 代理

- 数据单元、密钥、密钥策略和密钥组

- 用户角色

- IBM ICSF 集成

支持的加密标准

OKM 基于以下行业标准：

- FIPS PUB 140-2，加密模块安全要求 FIPS PUB 46-3 数据加密标准 FIPS PUB 171，密钥管理

- NIST 800-57 第 1 部分，密钥管理建议

- IEEE 1619.1 磁带加密标准（完成）IEEE 1619.2 磁盘加密标准（进行中）IEEE 1619.3 密钥管理标准（进行中）

- 通用标准 (Common Criteria, CC)

- ISO/IEC 1779 安全技术

- CCM–AES-256 加密

- 对称加密

- 随机数 (Nonce)

- 密码套件（TLS 1.0、2048 位 RSA、SHA1、HMAC）

密钥管理设备 (Key Management Appliance, KMA)

KMA 是一种强化了安全性的服务器，可以提供基于策略的生命周期密钥管理、验证、访问控制和密钥置备服务。KMA 确保所有存储设备都进行了注册和验证，所有加密密钥创建、置备和删除都符合规定的策略。

用于 OKM 3.0 的 KMA 服务器

OKM 3.0 在 Netra SPARC T4-1 服务器上支持 Solaris 11。此服务器的 OKM 版本包括：

- 2.85 GHz 四核 SPARC T4 处理器

- 32 GB DRAM（四个 8 GB DIMM）

- 600 GB SAS 10K RPM 2.5 英寸磁盘驱动器

- 4 个千兆位以太网端口

- 冗余电源

- 5 个 PCIe 第二代适配器插槽（每个有 8 个通道）

- DVD 驱动器（已禁用－不用于 OKM）

有关其他服务规范，包括环境和电源要求，请参见：

http://docs.oracle.com/cd/E23203_01/index.html

用于 OKM 2.x 的 KMA 服务器

OKM 2.x 在 Sun Fire X2100 M2、X2200 M2 和 X4170 M2 上支持 Solaris 10。

注:
Sun Fire KMA 不能升级到 OKM 3.0，但是可以与同一群集中的 OKM 3.0 KMA 通信。如果现有 OKM 2.x 群集使用运行 KMS 2.2 或更高版本的 KMA，OKM 3.0 KMA 可加入此群集。

机架规范

KMA 可以安装在标准 RETMA 19 英寸四柱机架或机柜中。不支持两柱机架。

注:
SL8500 磁带库提供了容纳四个 19 英寸机架的空间。有关更多信息，请参见《StorageTek SL8500 系统保障指南》。

滑轨与符合以下标准的机架兼容：

- 水平开口且单元垂直间距符合 ANSI/EIA 310-D-1992 或 IEC 60927 标准。

- 前安装平面与后安装平面之间的距离介于 610 毫米至 915 毫米（24 英寸至 36 英寸）之间。

- 距机柜前门的间隙深度必须至少为 25.4 毫米（1 英寸）。

- 整理线缆时，距机柜后门的间隙深度至少为 800 毫米（31.5 英寸）；不整理线缆时，至少为 700 毫米（27.5 英寸）。

- 前安装平面与后安装平面之间的间隙宽度（结构性支撑与电缆槽之间）至少为 456 毫米（18 英寸）。

SCA6000 卡

可选 Sun Cryptographic Accelerator (SCA6000) 卡用于符合 FIPS 标准所需的加密处理和管理功能。它是 FIPS 140-2 级别 3 硬件安全模块。

OKM GUI

可以使用 OKM GUI 配置和管理 OKM。它在客户提供的工作站上运行并通过 IP 网络与 KMA 通信。您不需要具有管理员 (Windows) 或 root (Solaris) 特权即可安装和运行 GUI。

支持的平台

- Solaris 10 10/09 (Update 8) x86

- Solaris 10 9/10 (Update 9) SPARC

- Solaris 10 9/10 (Update 9) x86

- Microsoft Windows 7 Business

- Microsoft Windows 7 Enterprise

- Microsoft Windows Vista Business

- Microsoft Windows XP Professional Version 2002

- Microsoft Windows XP Professional

- Microsoft Windows Server 2008 版本 6.0

- Microsoft Windows Server 2003 R2 Standard Edition

- Microsoft Windows Server 2003

OKM CLI

两个命令行界面 (command-line interface, CLI) 实用程序支持一部分 OKM GUI 功能。这两个实用程序允许自动执行各种任务，例如备份、密钥导出以及审计报告。

OKM 群集

群集由系统中的全套 KMA 组成。所有这些 KMA 互相识别并且相互完全复制信息。群集可为磁带机提供选择 KMA 检索密钥材料的功能。

- 一个群集中最少可以有 2 个 KMA脚注 1 ，最多可以有 20 个 KMA。

- 在任何站点中生成的新密钥都会复制到群集中的其他所有 KMA。

- 所有管理更改都会传播到群集中的其他所有 KMA。

- 出于最高可用性要求设计系统时，请考虑群集大小。

- 多个 KMA 可以在一个专用网络、本地网络或广域网上构成群集。

- 群集中的任何 KMA 都可以服务网络中的任何代理。

- 任何 KMA 都能用于管理功能。

注:
一个群集中的 KMA 不会识别其他群集中的那些 KMA。

磁带机如何使用群集中的 KMA

在搜索、负载平衡以及故障转移期间，磁带机从 KMA 群集检索密钥。

搜索

磁带机（代理）向 KMA 发送搜索群集请求。接收搜索群集请求的 KMA 提供每个 KMA 的以下信息：

- IP 地址（IPv4 和 IPv6）

- 站点名称

- KMA ID

- KMA 名称

- KMA 版本（帮助确定支持的磁带机具有的 FIPS 支持）

- KMA 状态：

- 响应：指明 KMA 是否在网络中响应

- 已锁定：指明 KMA 当前是否已锁定

在磁带操作过程中（而不是在磁带机处于空闲状态时），磁带机会定期检索此信息，并且始终在注册过程中以及每当对磁带机执行 IPL 时请求此信息。

只要磁带机发现 KMA 有新响应状态，都会使用新状态更新群集信息。

负载平衡

在正常的磁带机操作期间，磁带机使用其本地的群集信息表选择 KMA 检索密钥。

磁带机使用某种算法选择磁带机所在的同一站点的 KMA。如果一个站点中的所有 KMA 都已锁定或无响应，则磁带机将尝试访问其他站点中的 KMA。如果无法访问其他站点中的 KMA，检索密钥将超时并强制执行故障转移。

故障转移

当本地 KMA 发生故障或响应缓慢时（例如由于工作负荷繁重造成超时），磁带机故障转移到远程站点的功能可提高磁带机的可靠性和可用性。

每当磁带机无法与群集中的任何 KMA 进行通信时，磁带机都使用某种算法选择 KMA 来尝试进行故障转移。选择时，将再次使用磁带机有关群集状态的信息。

磁带机最多尝试三次故障转移，然后才会放弃并向主机磁带应用程序返回错误。

注:
如果其他所有 KMA 都无响应，磁带机有时会在尝试故障转移期间选择无响应的 KMA。但是，因为有关群集的信息可能过时，所以 KMA 实际上可能已联机且有响应。

代理

代理是使用加密密钥来加密和解密数据的加密端点。代理是向 OKM 进行验证并通过“安全的”(TLS) 会话获得密钥材料的设备（例如磁带机）。代理通过代理 API 与 KMA 通信。（代理 API 是一组整合到代理硬件或软件中的软件接口。）默认情况下，由本地 KMA（如果有）为代理提供服务。

- 磁带机代理不应在公共网络上。

- 需要加密密钥时，代理必须持续连接到网络。将磁带机代理连接到专用服务网络。

- 创建站点时 KMA 和代理能以逻辑方式“分组”，代理引用站点内分配给它们的 KMA。

数据单元、密钥、密钥策略和密钥组

数据单元

数据单元表示代理加密的数据。对于磁带机，数据单元是盒式磁带。

密钥

密钥是实际密钥值（密钥材料）及其关联的元数据。

密钥策略

密钥策略定义管理密钥的参数。这包括生命周期参数（例如加密时间段和密码有效期）和导入/导出参数（例如，允许导入、允许导出。）

密钥组

密钥组将密钥与密钥策略关联起来。每个密钥组都具有密钥策略并分配给代理。仅允许代理检索分配给该代理的允许使用的某一密钥组的密钥。代理还具有默认密钥组。代理创建密钥（将其分配给数据单元）时，会将密钥放入该代理的默认密钥组中。

注:
为了系统可以工作，至少需要为所有代理定义一个密钥策略和一个密钥组（指定为默认密钥组）。

用户角色

OKM 具有一组预定义的用户角色：

安全官

执行 OKM 设置和管理。

操作员

执行代理设置和日常操作。

合规官

定义密钥组并控制代理对密钥组的访问权限。

备份操作员

执行备份操作。

审计员

可以查看系统审计线索。

法定成员

查看和批准暂挂法定操作。

有关用户角色的更多信息，包括每个角色可以执行的操作的列表，请参见 OKM 管理指南。

注:
可以使用工作表来协助用户角色规划，例如 OKM 安装和服务手册中的工作表（仅限内部使用）－请咨询 Oracle 支持代表。

IBM ICSF 集成

IBM 集成加密服务工具 (Integrated Cryptography Service Facility, ICSF) 是一个加密解决方案，其中外部密钥库位于 IBM 大型机中，使用 TLS/XML 协议进行访问。有关更多信息，请参阅 OKM-ICSF 集成指南。

脚注图例

脚注 1: 在工程、专业服务和支持服务人员的批准下，可以有例外。

3 OKM 配置

下面是 OKM 配置示例：

- 单站点

- 双站点

- 支持灾难恢复的双站点

- 支持 Oracle 数据库的双站点

- 支持分区磁带库的多站点

单站点

图 3-1 显示了群集中包含两个 KMA 的单站点。服务网络包括多个磁带机（代理）。

图 3-1 单站点配置

双站点

在图 3-2 中，每个站点包含一个 KMA。KMA 通过广域网进行管理，两个 KMA 都属于同一 OKM 群集。在此配置中，Oracle 建议使用地理位置上分散的站点。

图 3-2 双站点配置

支持灾难恢复的双站点

要降低损坏整个群集的灾难的风险，群集应该建立在多个地理位置分散的站点上。

在图 3-3 中，有两个广域网－一个用于密钥管理，一个用于服务。OKM GUI 与群集中的两个 KMA 进行通信，服务广域网允许任一 KMA 与代理进行通信。

有关灾难恢复的更多信息，请参阅灾难恢复参考指南。

图 3-3 灾难恢复配置

支持 Oracle 数据库的双站点

在图 3-4 中，群集中的四个 KMA 利用 Advanced Security 透明数据加密 (Transparent Data Encryption, TDE) 解决方案支持两个自动化磁带库和 Oracle 数据库。有关更多信息，请参阅 OKM 管理指南。

图 3-4 数据库示例

支持分区磁带库的多站点

使用支持加密的磁带机时，分区可增加一层数据安全性。分区可以：

- 限制对磁带机和数据磁带的访问。

- 分离不同的加密密钥组。

- 隔离客户机作为服务中心。

- 专用于特定任务。

- 给予多个部门、组织和公司对适当大小磁带库资源的访问权限。

图 3-5 显示了远程站点和本地（主）站点，都位于一个 OKM 群集内。主站点包含一个带有特定密钥组的分区磁带库，它为群集中的所有 KMA (1–6) 和介质提供备份设备。

有关分区的更多信息，请参见适用于您磁带库的文档。

图 3-5 多站点配置

4 OKM 网络

- 网络概述

- 托管交换机

- 网络路由配置

- SDP 防火墙要求

网络概述

OKM 使用 TCP/IP 网络（双栈 IPv4 和 IPv6脚注 1 ）实现 KMA、代理以及工作站之间的连接。每个 KMA 都存在以下网络连接：

- 管理网络

- 服务网络

- 服务处理器

图 4-1 OKM 网络连接

管理网络

管理网络将 KMA 连接到 OKM GUI 以及群集中的其他 KMA 以实现对等复制。管理网络可以是本地网络、远程网络，也可以是两者的组合。客户应该提供管理网络。使用千兆位以太网连接，以实现最佳复制和性能。

为了增强安全性和隔离 LAN 通信，您可能希望使用虚拟局域网 (Virtual Local Area Networks, VLAN) 连接到管理网络。

服务网络

服务网络将 KMA 连接到代理。它将密钥检索与其他网络通信隔离。

可以选择聚合 KMA 的服务网络接口（请参见KMA 服务端口聚合）。

服务处理器

服务处理器连接用于访问 Netra SPARC T4-1 服务器上的 Integrated Lights Out Manager (ILOM) 或 Sun Fire 服务器上 Embedded Lights Out Manager (ELOM)。Oracle 支持代表需要访问 ILOM/ELOM 进行初始 KMA 设置。

服务处理器网络（ELOM 或 ILOM）应该关闭或禁用生成树。

托管交换机

Oracle 建议使用托管交换机将 KMA 连接到专用服务网络上的磁带机。托管交换机将为非托管磁带机交换机提供连接，并为广域服务网络的路由器提供连接。

托管交换机可以提供更好的交换机诊断和服务网络故障排除，从而提高可维护性，并且可以通过使用冗余连接和生成树协议最大程度地减少服务网络上的单点故障。

支持的托管交换机型号

Oracle 测试了以下托管交换机并提供了配置指南，建议您使用这些交换机：

- 3COM 交换机 4500G 24 端口 (3CR17761-91)

- Extreme Networks Summit X150-24t

- Brocade ICX 6430

KMA 服务端口聚合

可以将物理以太网接口聚合到一个虚拟接口中。聚合这些端口可提高可用性－如果任一端口发生故障，另一个端口将保持连接。

请确保以太网交换机端口具有正确的配置。交换机端口应设置为自动协商，采用全双工和千兆位速度。

有关服务端口聚合配置说明，Oracle 支持代表可以参阅 OKM 安装和服务手册（仅限内部使用）。

端口镜像

可以镜像端口以在服务网络中使用网络分析器。可在 Brocade ICX 6430 交换机上镜像端口。有关配置说明，Oracle 支持代表可以参阅 OKM 安装和服务手册（仅限内部使用）。

托管交换机配置示例

在图 4-2 中：

- 如果任一 KMA 或托管交换机发生故障，磁带机仍具有与其他 KMA 的通信路径。

- 托管交换机将连接到需要生成树配置的包含冗余路径的非托管交换机。（只要布线包括冗余，就必须为托管交换机启用生成树。）

- 服务网络接口将聚合到一个虚拟接口中（请参见KMA 服务端口聚合）。

图 4-2 托管交换机配置

网络路由配置

KMA 的路由配置会对磁带机搜索请求的响应产生影响。路由配置错误会导致向磁带机提供错误的群集信息。这可能会导致磁带机尝试与它们无法通过网络访问的 KMA 进行通信。

规划 OKM 网络时，请注意以下项：

- 使用 KMA 控制台网络菜单选项配置站点之间的路由。不要配置默认路由。

注:
Oracle 不建议从多站点服务网络拓扑开始。

- 规划多站点服务网络时，需要确定 KMA 服务端口和磁带机的子网寻址方案。必须避免重复的网络地址以及使用 172.18.18.x 网络（通常的约定）。

- 使用默认网关设置会影响故障转移性能。在规划故障转移功能时，请咨询网络工程师。

SDP 防火墙要求

服务交付平台 (Service Delivery Platform, SDP) 包含智能设备和专用网络。它监视 Oracle 磁带库和 T 系列磁带机。SDP 通过收集设备事件和提醒 Oracle 支持是否存在问题来提供远程诊断。

在连接到 KMA 和 SDP 的设备之间必须存在防火墙。该防火墙将服务网络一分为二：由 Oracle 控制的服务网络和由客户控制的服务网络。客户防火墙允许 SDP 仅访问其可以监视的设备。

重要提示:
恰当配置该防火墙，以便 SDP 监视由客户控制的服务网络部分中的磁带机。

在图 4-3 中：

- 客户防火墙连接到 SDP 设备的端口 2。
客户网络接口是 SDP 与连接到您的操作中心 LAN（连接到您的网络）的 Oracle 存储设备之间的连接。这些设备包括连接到 KMA 的磁带机和交换机。

- Oracle 服务网络接口将连接到 SDP 设备的端口 1。
Oracle 服务网络接口是 SDP 站点设备与存储设备之间的连接。

- DMZ 是指 SDP 安全网络体系结构，用于保护 SDP 站点设备与 Oracle 网络（端口 0）之间的网络通信。

注:
Oracle 服务人员需要维护服务网络两个分区中的设备，并就规划和配置与 SDP 工程师协调。

有关更多信息，请参阅服务交付平台安全白皮书。

图 4-3 SDP 连接示例

脚注图例

脚注 1: 并非所有应用程序都使用 IPv6（例如 DNS）。因此，仍需要 IPv4。

5 磁带机要求

- 支持的磁带机

- 符合 FIPS 的磁带机

- T 系列磁带机加密行为

- LTO 磁带机加密行为

- 为加密磁带机做准备

- 固件要求

- 虚拟操作面板要求

支持的磁带机

以下磁带机支持加密：

- StorageTek T10000A

- StorageTek T10000B

- StorageTek T10000C

- StorageTek T10000D

- StorageTek T9840D

- HP LTO-4（需要 HP Dione 卡）

- HP LTO-5 和 6

- IBM LTO-4、5 和 6（全部需要 IBM Belisarius 卡）

符合 FIPS 的磁带机

表 5-1 符合 FIPS 140-2 的磁带机

磁带机

FIPS 140-2 级别

T10000A

1

T10000B

2

T10000C

1

T10000D

1

T9840D

1

LTO4（HP 和 IBM）

没有针对 FIPS 的计划

LTO5（HP 和 IBM）

没有针对 FIPS 的计划

LTO6（HP 和 IBM）

没有针对 FIPS 的计划

注:
LTO 磁带机自身可能经过 FIPS 验证，但是在特定加密应用程序中不一定经过此验证。

上述磁带机的 FIPS 140-2 安全级别包括：

- 级别 1－满足生产级要求的基本级别。

- 级别 2－增加对物理篡改证据和基于角色的验证的要求。构建于已经验证的操作平台之上。此选择可为 KMA 和磁带机提供更高级别的安全性。

T 系列磁带机加密行为

表 5-2 T 系列磁带机加密行为

磁带机类型

非加密磁带

加密磁带

未注册为加密

- 完全兼容

- 读、写和附加

- 不能读取、写入或附加数据

- 可从磁带开头 (beginning of tape, BOT) 重新写入

注册为加密

- 仅读取功能

- 不能附加数据

- 可从磁带开头 (beginning-of-tape, BOT) 重新写入

- 完全兼容

- 使用正确的密钥进行读取

- 利用当前的写入密钥写入

LTO 磁带机加密行为

注:
只有 LTO-4 介质（LTO-4 和 LTO-4 WORM）在 LTO-4 磁带机上支持加密。

表 5-3 未注册为加密的 LTO-4 磁带机的加密行为

磁带机行为

功能

读取 LTO-4 非加密数据

正常，非加密

读取 LTO-4 加密数据

错误

从 BOT 写入 LTO-4

正常，非加密

读取 LTO-3 磁带

正常，非加密

LTO-4 将写入数据附加到非加密数据（隔开 EOD 并写入）

正常，非加密

LTO-4 将写入数据附加到非加密数据（读取到 EOD 并写入）

正常，非加密

LTO-4 将写入数据附加到加密数据（隔开 EOD 并写入）

正常，非加密

LTO-4 将写入数据附加到加密数据（读取到 EOD 并写入）

错误

表 5-4 注册为加密的 LTO-4 磁带机的加密行为

磁带机行为

功能

读取 LTO-4 非加密数据

正常，非加密

读取 LTO-4 加密数据

正常，加密（如果有正确的密钥）

从 BOT 写入 LTO-4

正常，加密（如果有正确的密钥）

LTO-4 将写入数据附加到加密数据

正常，加密（如果有正确的密钥）

写入 LTO-3 磁带

HP：正常，非加密脚注 1

IBM：错误

读取 LTO-3 磁带

正常，非加密

LTO-4 将写入数据附加到非加密数据（隔开 EOD 并写入）

HP：正常，加密（如果有正确的密钥）脚注 2

IBM：错误。不允许在单个磁带上混合加密数据与非加密数据。

LTO-4 将写入数据附加到非加密数据（读取到 EOD 并写入）

HP：正常，加密（如果有正确的密钥）脚注引用 2

IBM：错误。不允许在单个磁带上混合加密数据与非加密数据。

LTO-4 将写入数据附加到加密数据（隔开 EOD 并写入）

正常，加密（如果有正确的密钥）

LTO-4 将写入数据附加到加密数据（读取到 EOD 并写入）

HP：正常，加密（如果有正确的密钥）

IBM：正常，加密（如果有正确的密钥），但是使用以前的读取密钥脚注 3

脚注 1 HP 磁带机将在非加密模式下写入磁带。LTO-3 格式不支持加密，这会被视为安全违规，因为只需插入 LTO-3 磁带便可使 HP LTO-4 和 HP LTO-5 磁带机写入非加密数据。

脚注 2 尽管这样做会允许在非加密数据后面附加加密数据，但是会带来操作优势，因为这允许将预先标记为非加密数据的磁带用于加密环境中的 HP LTO 磁带机，而无需重新对磁带进行标记。

脚注 3 在这种情况下，IBM 磁带机将写入加密数据，但是使用的密钥与用于在磁带上读取之前加密数据的密钥相同。当发出写入命令时，磁带机不会从 OKM 请求新密钥，这样会忽略由 OKM 设置的密钥到期策略。

表 5-5 未注册为加密的 LTO-5 磁带机的加密行为

磁带机行为

功能

读取 LTO-5 非加密数据

正常，非加密

读取 LTO-5 加密数据

错误

从 BOT 写入 LTO-5

正常，非加密

读取 LTO-4 非加密数据

正常，非加密

读取 LTO-4 加密数据

错误

从 BOT 写入 LTO-4

正常，非加密

读取 LTO-3

正常，非加密

LTO-5 将写入数据附加到非加密数据（隔开 EOD 并写入）

正常，非加密

LTO-5 将写入数据附加到非加密数据（读取到 EOD 并写入）

正常，非加密

LTO-5 将写入数据附加到加密数据（隔开 EOD 并写入）

正常，非加密

LTO-5 将写入数据附加到加密数据（读取到 EOD 并写入）

错误

LTO-4 将写入数据附加到非加密数据（隔开 EOD 并写入）

正常，非加密

LTO-4 将写入数据附加到非加密数据（读取到 EOD 并写入）

正常，非加密

LTO-4 将写入数据附加到加密数据（隔开 EOD 并写入）

正常，非加密

LTO-4 将写入数据附加到加密数据（读取到 EOD 并写入）

错误

表 5-6 注册为加密的 LTO-5 磁带机的加密行为

磁带机行为

功能

读取 LTO-5 非加密数据

正常，非加密

读取 LTO-5 加密数据

正常，加密（如果有正确的密钥）

从 BOT 写入 LTO-5

正常，加密（如果有正确的密钥）

LTO-5 将写入数据附加到加密数据

正常，加密（如果有正确的密钥）

读取 LTO-4 非加密数据

正常，非加密

读取 LTO-4 加密数据

正常，加密（如果有正确的密钥）

从 BOT 写入 LTO-4

正常，加密（如果有正确的密钥）

LTO-4 将写入数据附加到加密数据

正常，加密（如果有正确的密钥）

LTO-5 将写入数据附加到非加密数据（隔开 EOD 并写入）

HP：正常，加密（如果有正确的密钥）脚注 1

IBM：错误。不允许在单个磁带上混合加密数据与非加密数据。

LTO-5 将写入数据附加到非加密数据（读取到 EOD 并写入）

HP：正常，加密（如果有正确的密钥）脚注引用 1

IBM：错误。不允许在单个磁带上混合加密数据与非加密数据。

LTO-5 将写入数据附加到加密数据（隔开 EOD 并写入）

正常，加密（如果有正确的密钥）

LTO-5 将写入数据附加到加密数据（读取到 EOD 并写入）

HP：正常，加密（如果有正确的密钥）

IBM：正常，加密（如果有正确的密钥），但是使用以前的读取密钥脚注 2

LTO-4 将写入数据附加到非加密数据（隔开 EOD 并写入）

HP：正常，加密（如果有正确的密钥）脚注引用 1

IBM：错误。不允许在单个磁带上混合加密数据与非加密数据。

LTO-4 将写入数据附加到非加密数据（读取到 EOD 并写入）

HP：正常，加密（如果有正确的密钥）脚注引用 1

IBM：错误。不允许在单个磁带上混合加密数据与非加密数据。

LTO-4 将写入数据附加到加密数据（隔开 EOD 并写入）

正常，加密（如果有正确的密钥）

LTO-4 将写入数据附加到加密数据（读取到 EOD 并写入）

HP：正常，加密（如果有正确的密钥）

IBM：正常，加密（如果有正确的密钥），但是使用以前的读取密钥脚注引用 2

读取 LTO-3 非加密数据

正常，非加密

脚注 1 尽管这样做会允许在非加密数据后面附加加密数据，但是会带来操作优势，因为这允许将预先标记为非加密数据的磁带用于加密环境中的 HP LTO 磁带机，而无需重新对磁带进行标记。

脚注 2 在这种情况下，IBM 磁带机将写入加密数据，但是使用的密钥与用于在磁带上读取之前加密数据的密钥相同。当发出写入命令时，磁带机不会从 OKM 请求新密钥，这样会忽略由 OKM 设置的密钥到期策略。

表 5-7 未注册为加密的 LTO-6 磁带机的加密行为

磁带机行为

功能

读取 LTO-6 非加密数据

正常，非加密

读取 LTO-6 加密数据

错误

从 BOT 写入 LTO-6

正常，非加密

读取 LTO-5 非加密数据

正常，非加密

读取 LTO-5 加密数据

错误

从 BOT 写入 LTO-5

正常，非加密

读取 LTO-4 非加密数据

正常，非加密

LTO-6 将写入数据附加到非加密数据（隔开 EOD 并写入）

正常，非加密

LTO-6 将写入数据附加到非加密数据（读取到 EOD 并写入）

正常，非加密

LTO-6 将写入数据附加到加密数据（隔开 EOD 并写入）

正常，非加密

LTO-6 将写入数据附加到加密数据（读取到 EOD 并写入）

错误

LTO-5 将写入数据附加到非加密数据（隔开 EOD 并写入）

正常，非加密

LTO-5 将写入数据附加到非加密数据（读取到 EOD 并写入）

正常，非加密

LTO-5 将写入数据附加到加密数据（隔开 EOD 并写入）

正常，非加密

LTO-5 将写入数据附加到加密数据（读取到 EOD 并写入）

错误

表 5-8 注册为加密的 LTO-6 磁带机的加密行为

磁带机行为

功能

读取 LTO-6 非加密数据

正常，非加密

读取 LTO-6 加密数据

错误

从 BOT 写入 LTO-6

正常，非加密

读取 LTO-6 非加密数据

正常，非加密

读取 LTO-6 加密数据

正常，加密（如果有正确的密钥）

从 BOT 写入 LTO-6

正常，加密（如果有正确的密钥）

LTO-6 将写入数据附加到加密数据

正常，加密（如果有正确的密钥）

读取 LTO-5 非加密数据

正常，非加密

读取 LTO-5 加密数据

正常，加密（如果有正确的密钥）

从 BOT 写入 LTO-5

正常，加密（如果有正确的密钥）

LTO-5 将写入数据附加到加密数据

正常，加密（如果有正确的密钥）

读取 LTO-4 非加密数据

正常，非加密

读取 LTO-4 加密数据

正常，加密（如果有正确的密钥）

LTO-6 将写入数据附加到非加密数据（隔开 EOD 并写入）

HP：正常，加密（如果有正确的密钥）脚注 1

IBM：错误。不允许在单个磁带上混合加密数据与非加密数据。

LTO-6 将写入数据附加到非加密数据（读取到 EOD 并写入）

HP：正常，加密（如果有正确的密钥）脚注引用 1

IBM：错误。不允许在单个磁带上混合加密数据与非加密数据。

LTO-6 将写入数据附加到加密数据（隔开 EOD 并写入）

正常，加密（如果有正确的密钥）

LTO-6 将写入数据附加到加密数据（读取到 EOD 并写入）

HP：正常，加密（如果有正确的密钥）

IBM：正常，加密（如果有正确的密钥），但是使用以前的读取密钥脚注 2

LTO-5 将写入数据附加到非加密数据（隔开 EOD 并写入）

HP：正常，加密（如果有正确的密钥）脚注引用 1

IBM：错误。不允许在单个磁带上混合加密数据与非加密数据。

LTO-5 将写入数据附加到非加密数据（读取到 EOD 并写入）

HP：正常，加密（如果有正确的密钥）脚注引用 1

IBM：错误。不允许在单个磁带上混合加密数据与非加密数据。

LTO-5 将写入数据附加到加密数据（隔开 EOD 并写入）

正常，加密（如果有正确的密钥）

LTO-5 将写入数据附加到加密数据（读取到 EOD 并写入）

HP：正常，加密（如果有正确的密钥）

IBM：正常，加密（如果有正确的密钥），但是使用以前的读取密钥脚注引用 2

脚注 1 尽管这样做会允许在非加密数据后面附加加密数据，但是会带来操作优势，因为这允许将预先标记为非加密数据的磁带用于加密环境中的 HP LTO 磁带机，而无需重新对磁带进行标记。

脚注 2 在这种情况下，IBM 磁带机将写入加密数据，但是使用的密钥与用于在磁带上读取之前加密数据的密钥相同。当发出写入命令时，磁带机不会从 OKM 请求新密钥，这样会忽略由 OKM 设置的密钥到期策略。

为加密磁带机做准备

在 Oracle 支持代表的帮助下参照 OKM 管理指南将磁带机注册为加密。注册之前，某些磁带机需要做一些准备工作。有关更多信息，Oracle 支持代表可以参阅 OKM 安装和服务手册（仅限内部使用）。

T 系列磁带机数据准备

运行固件版本 1.57.30x (T10000C) 或 4.06.106 (T10000D) 以及更高版本的 T10000C 和 T10000D 磁带机不需要加密启用密钥。对于早期磁带机和固件版本，Oracle 支持代表必须为每个磁带机申请加密许可证密钥。

LTO 磁带机准备

LTO 磁带机没有启用要求，也无需有磁带机数据。唯一要准备的是确保您拥有相关信息，能够在 OKM Manager 中为磁带机分配 IP 地址和代理名称。

固件要求

表 5-9 列出了每个磁带机的最低固件要求。

支持以下磁带库管理产品：

- ACSLS－带有 PUT0701 的 7.1 和 7.1.1 或 7.2 和 7.3

- HSC－6.1 和 6.2

- VSM－6.1 或 6.2（包括 VTCS 和 VTSS）

- VTL 型号－1.0 或 2.0。

更新固件

列出的固件级别可能会更改。要获取最新的固件，请执行以下操作：

1. 转至 My Oracle Support（位于 http://support.oracle.com）并登录。

2. 单击 "Patches & Updates"（补丁程序和更新程序）选项卡。

3. 单击 "Product or Family (Advanced)"（产品或系列 (高级)）。

4. 在 "Start Typing..."（开始键入...）字段中，键入产品信息（例如 "Oracle Key Manager"），然后单击 "Search"（搜索）查看各个发行版的最新固件。

表 5-9 固件兼容性

磁带机

SL8500

SL3000

Lxxx

9310/9311

SL500

SL150

T10000A FC

L–3.11c

D–1.37.113

L–FRS_2.00

D–1.37.113

L–3.17.03

D–1.37.113

L–4.4.08

D–137113

NA

NA

T10000A FICON

L–3.11c

D–1.37.114

L–FRS_2.00

D–1.37.114

L–3.17.03

D–1.37.114

L–4.4.08

D–137114

NA

NA

T10000B FC

L–3.98b

D–1.38.x09

L–FRS_2.00

D–1.38.x07

L–3.17.03

D–1.38.x07

NA

NA

NA

T10000B FICON

L–3.98b

D–1.38.x09

L–FRS_2.00

D–1.38.x09

L–3.17.03

D–1.38.x09

NA

NA

NA

T10000C FC

L–FRS_7.0.0

D–1.53.316

L–FRS_3.0.0

D–1.53.316

NA

NA

NA

NA

T10000C FICON

L–FRS_7.0.0

D–1.53.316

L–FRS_3.0.0

D–1.53.316

NA

NA

NA

NA

T10000D FC

L–FRS_8.0.5（无 3590 磁带机支持）

D–4.06.107 FC/FCoE

L–FRS_3.62（无 3590 磁带机支持）

D–4.06.107 FC/FCoE

NA

NA

NA

NA

T10000D FICON

L–FRS_8.0.5（无 3590 磁带机支持）

D–4.07.xxx

L–FRS_3.62（无 3590 磁带机支持）

D–4.07.xxx

NA

NA

NA

NA

T10000D FCoE

L_FRS_8.3.0

D–4.06.106

L_FRS_4.xx

D_4.06.106

NA

NA

NA

NA

T9840D FC

L–3.98

D–1.42.x07

L–FRS_2.00

D–1.42.x07

L–3.17.03

D–142x07

L–4.4.08

D–142x07

NA

NA

T9840D

FICON & ESCON

L–3.98

D–142x07

L–FRS_2.00

D–142x07

L–3.17.03

D–142x07

L–4.4.08

D–142x07

NA

NA

HP LTO-4

L–3.98B

D–H64S FC

NA（对于 SCSI）

L–2.05

D–H64S FC

NA（对于 SCSI）

NA

NA

L–1300

D–H64S FC

D–B63S SCSI

NA

HP LTO-5

D–I5BS FC

NA（对于 SAS）

D–I5BS FC

NA（对于 SAS）

NA

NA

D–I5BS FC

D–X5AS SAS

L–1.80

D–Y5BS FC

HP LTO-6

D– J2AS FC

NA（对于 SAS）

D– J2AS FC

NA（对于 SAS）

NA

NA

D– J2AS FC

NA（对于 SAS）

L–1.80

D–Z55S SAS

D–22CS FC

D–329S SAS

IBM LTO-4

L–FRS_4.70

D–BBH4 FC

NA（对于 SCSI）

L–FRS_2.30

D–BBH4 FC

NA（对于 SCSI）

NA

NA

L–1373

D– BBH4 FC

D– BBH4 SCSI

NA

IBM LTO-5

D–BBNH FC

D–BBNH FC

NA

NA

L–1373

D–BBNH FC

NA

IBM LTO-6

L–8.01

D–CT94 FC

L–4.0

D–CT94 FC

NA

NA

L–1483

D–BBNH FC

NA（对于 FC）

NA

图例：

- L－磁带库固件级别

- D－磁带机固件级别

- FC－Fibre Channel，光纤通道

- FCoE－Fibre Channel over Ethernet，以太网光纤通道

- SPS－特殊固件，需要审批

- NA－Not Applicable，不适用。不支持。

虚拟操作面板要求

表 5-10 列出了每种磁带机类型的 Oracle Virtual Operator Panel (VOP) 最低版本。

注:
如果您使用多磁带机虚拟操作面板 (Multi-Drive Virtual Operator Panel, MD-VOP)，需要版本 1.1（最低版本）。

表 5-10 最低 VOP 版本

磁带机

最低 VOP 版本

T10000A、B、C、D

1.0.18

T9840D

1.0.12

HP LTO-4

1.0.12

HP LTO-5

1.0.16

HP LTO-6

1.0.18

IBM LTO-4

1.0.14

IBM LTO-5

1.0.16

IBM LTO-6

1.0.18

6 订购

- KMA 服务器

- 交换机附件套件

- 以太网电缆

- 电源电缆

KMA 服务器

表 6-1 KMA 服务器订购号

订购号

说明

7105795

针对 OKM 定制的 Netra SPARC T4-1 服务器

375-3424-06

Sun Cryptographic Accelerator (SCA6000) 卡

交换机附件套件

表 6-2 交换机附件套件订购号

订购号

说明

7104584

交换机附件套件 (Switch Accessory Kit, SAK)。包括 24 端口托管交换机、电缆和装配硬件。

以太网电缆

表 6-3 以太网电缆订购号

订购号

说明

CABLE10187033-Z-N

8’ CAT5e 以太网电缆

CABLE10187034-Z-N

35’ CAT5e 以太网电缆

CABLE10187037-Z-N

55’ CAT5e 以太网电缆

电源电缆

表 6-4 电源电缆部件号

ATO 电源线

PTO 等效

说明

电流（安培）

电压

电缆

333A-25-10-AR

X312F-N

电源线，阿根廷，2.5 米，IRAM2073，10A，C13

10

250

180-1999-02

333A-25-10-AU

X386L-N

电源线，澳大利亚，2.5 米，SA3112，10A，C13

10

250

180-1998-02

333A-25-10-BR

X333A-25-10-BR-N

电源线，巴西，2.5 米，NBR14136，10A，C13

10

250

180-2296-01

333A-25-10-CH

X314L-N

电源线，瑞士，2.5 米，SEV1011，10A，C13

10

250

180-1994-02

333A-25-10-CN

X328L

电源线，中国，2.5 米，GB2099，10A，C13

10

250

180-1982-02

333A-25-10-DK

X383L-N

电源线，丹麦，2.5 米，DEMKO107，10A，C13

10

250

180-1995-02

333A-25-10-EURO

X312L-N

电源线，欧盟，2.5 米，CEE7/VII，10A，C13

10

250

180-1993-02

333A-25-10-IL

X333A-25-10-IL-N

电源线，以色列，2.5 米，SI-32，10A，C13

10

250

180-2130-02

333A-25-10-IN

X333A-25-10-IN-N

电源线，印度，2.5 米，IS1293，10A，C13

10

250

180-2449-01

333A-25-10-IT

X384L-N

电源线，意大利，2.5 米，CEI23，10A，C13

10

250

180-1996-02

333A-25-10-KR

X312G-N

电源线，韩国，2.5 米，KSC8305，10A，C13

10

250

180-1662-03

333A-25-10-TW

X332A-N

电源线，中国台湾，2.5 米，CNS10917，10A，C13

10

125

180-2121-02

333A-25-10-UK

X317L-N

电源线，英国，2.5 米，BS1363A，10A，C13

10

250

180-1997-02

333A-25-10-ZA

X333A-25-10-ZA-N

电源线，南非，2.5 米，SANS164，10A，C13

10

250

180-2298-01

333A-25-15-JP

X333A-25-15-JP-N

电源线，日本，2.5 米，PSE5-15，15A，C13

15

125

180-2243-01

333A-25-15-NEMA

X311L

电源线，新亚/亚洲，2.5 米，5-15P，15A，C13

15

125

180-1097-02

333A-25-15-TW

X333A-25-15-TW-N

电源线，中国台湾，2.5 米，CNS10917，15A，C13

15

125

180-2333-01

333F-20-10-NEMA

X320A-N

电源线，新亚/亚洲，2.0 米，6-15P，10A，C13

10

250

180-2164-01

333F-25-15-JP

X333F-25-15-JP-N

电源线，日本，2.5 米，PSE6-15，15A，C13

15

250

180-2244-01

333J-40-15-NEMA

X336L

电源线，新亚/亚洲，4.0 米，L6-20P，15A，C13

15

250

180-2070-01

333R-40-10-309

X332T

电源线，国际，4.0 米，IEC309-IP44，10A，C13

10

250

180-2071-01

表 6-5 非 Oracle 机架电源线部件号

ATO 电源线

PTO 等效

说明

电流（安培）

电压

电缆

333V-20-15-C14

X333V-20-15-C14-N

电源线，跳接，直通，2.0 米，C14，15A，C13

15

250

180-2442-01

333V-30-15-C14

X333V-30-15-C14-N

电源线，跳接，直通，3.0 米，C14，15A，C13

15

250

180-2443-01

表 6-6 Oracle Rack (NGR) 电源线部件号

ATO 电源线

PTO 等效

说明

电流（安培）

电压

电缆

333W-10-13-C14RA

X9237-1-A-N

电源线，跳接，1.0 米，C14RA，13A，C13

13

250

180-2082-01

333W-25-13-C14RA

X9238-1-A-N

电源线，跳接，2.5 米，C14RA，13A，C13

13

250

180-2085-01

表 6-7 Oracle Rack II (Redwood) 电源线部件号

ATO 电源线

PTO 等效

说明

电流（安培）

电压

电缆

SR-JUMP-1MC13

XSR-JUMP-1MC13-N

电源线，跳接，SR2，1.0 米，C14RA，13A，C13

13

250

180-2379-01

SR-JUMP-2MC13

XSR-JUMP-2MC13-N

电源线，跳接，SR2，2.0 米，C14RA，13A，C13

13

250

180-2380-01

Oracle 法律声明

版权声明

版权所有 (C) 1994-2016，Oracle 和/或其附属公司。保留所有权利。

许可证限制担保/间接损害免责声明

本软件和相关文档是根据许可证协议提供的，该许可证协议中规定了关于使用和公开本软件和相关文档的各种限制，并受知识产权法的保护。除非在许可证协议中明确许可或适用法律明确授权，否则不得以任何形式、任何方式使用、拷贝、复制、翻译、广播、修改、授权、传播、分发、展示、执行、发布或显示本软件和相关文档的任何部分。除非法律要求实现互操作，否则严禁对本软件进行逆向工程设计、反汇编或反编译。

担保免责声明

此文档所含信息可能随时被修改，恕不另行通知，我们不保证该信息没有错误。如果贵方发现任何问题，请书面通知我们。

有限权利声明

如果将本软件或相关文档交付给美国政府，或者交付给以美国政府名义获得许可证的任何机构，则适用以下注意事项：

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

危险应用领域声明

本软件或硬件是为了在各种信息管理应用领域内的一般使用而开发的。它不应被应用于任何存在危险或潜在危险的应用领域，也不是为此而开发的，其中包括可能会产生人身伤害的应用领域。如果在危险应用领域内使用本软件或硬件，贵方应负责采取所有适当的防范措施，包括备份、冗余和其它确保安全使用本软件或硬件的措施。对于因在危险应用领域内使用本软件或硬件所造成的一切损失或损害，Oracle Corporation 及其附属公司概不负责。

商标声明

Oracle 和 Java 是 Oracle 和/或其附属公司的注册商标。其他名称可能是各自所有者的商标。

Intel 和 Intel Xeon 是 Intel Corporation 的商标或注册商标。所有 SPARC 商标均是 SPARC International, Inc 的商标或注册商标，并应按照许可证的规定使用。AMD、Opteron、AMD 徽标以及 AMD Opteron 徽标是 Advanced Micro Devices 的商标或注册商标。UNIX 是 The Open Group 的注册商标。

第三方内容、产品和服务免责声明

本软件或硬件以及文档可能提供了访问第三方内容、产品和服务的方式或有关这些内容、产品和服务的信息。除非您与 Oracle 签订的相应协议另行规定，否则对于第三方内容、产品和服务，Oracle Corporation 及其附属公司明确表示不承担任何种类的保证，亦不对其承担任何责任。除非您和 Oracle 签订的相应协议另行规定，否则对于因访问或使用第三方内容、产品或服务所造成的任何损失、成本或损害，Oracle Corporation 及其附属公司概不负责。

Alpha 和 Beta 版草稿文档声明

本文档属于前期制作文档：

本文档属于前期制作文档，仅供演示和预备之用。本文档可能不是针对贵方正运行软件的硬件撰写的。Oracle Corporation 及其附属公司对预发布文档不做任何担保，且对因使用该文档所导致的任何损失、费用或损害概不负责。

Alpha 和 Beta 版草稿文档声明

本文档属于前期制作文档：

本文档中所包含的信息仅供参考之用，仅限于客户咨询委员会成员参考或依据 beta 试用版协议的用户参考。该信息不承诺提供任何资料、代码或功能，并且不应该作为制定购买决策的依据。本文档所述的任何特性或功能的开发、发行和时间规划均由 Oracle 自行决定。

本文档的任何形式（软件或印刷品）均包含 Oracle 独家所有的专有信息。您对本机密材料的访问和使用，受已生效且您同意遵守的 Oracle 主协议、Oracle 许可及服务协议书、Oracle合作伙伴网络协议、Oracle 分销协议或其他许可证协议的条款和条件制约。未经 Oracle 事先书面许可，不得向 Oracle 之外的任何人披露、拷贝、复制或分发本文档及本文档所包含的信息。本文档既不属于您许可证协议的一部分，也不会纳入任何与 Oracle 及其子公司或附属公司的合同协议之中。

文档可访问性

有关 Oracle 对可访问性的承诺，请访问 Oracle Accessibility Program 网站 http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc。

获得 Oracle 支持

购买了支持服务的 Oracle 客户可通过 My Oracle Support 获得电子支持。有关信息，请访问 http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info；如果您听力受损，请访问 http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs。