5 Oracle Key Vaultユーザーの管理

Oracle Key Vaultユーザーは、システムの管理、エンドポイントのエンロール、ユーザーおよびエンドポイントの管理、セキュリティ・オブジェクトへのアクセス権の制御、および必要に応じてその他のユーザーへの管理ロールの付与を行います。

5.1 Oracle Key Vaultユーザーについて

Key Vaultユーザーは複数の機能を実行します。主な機能は、Key Vaultを使用してセキュリティ・オブジェクトを管理できるKey Vaultエンドポイントの登録とエンロールです。

5.1.1 Oracle Key Vaultユーザーのタイプ

Oracle Key Vaultユーザーには、次の2つのタイプがあります。

システム管理者、キー管理者、監査マネージャという3つの管理ロールのうち、1つ以上を持っている管理ユーザー。
管理ロールは持っていないが、セキュリティ・オブジェクトへのアクセス権を持っている通常のユーザー。

Key Vaultでの義務の分離とは、管理ロールを持っているユーザーはそれらのロールに関連する機能へのアクセス権を持っているが、それ以外は持っていないことを意味します。たとえば、「System」タブはシステム管理者にのみ表示され、キー管理者や監査マネージャには表示されません。同様に、システム管理者はエンドポイントを追加できますが、エンドポイント・グループを作成することはできません。エンドポイント・グループの作成に必要なユーザー・インタフェース要素は、キー管理者にのみ表示されます。

管理ロールを持っていないユーザーには、その機能に固有のセキュリティ・オブジェクトへのアクセス権を付与できるため、その権限が制限されます。たとえば、特定の仮想ウォレットへのユーザー・アクセス権を付与できます。このユーザーは、Key Vault管理コンソールにログインして、自分のセキュリティ・オブジェクトを追加、削除および管理できますが、システム・メニュー、他のユーザーおよびエンドポイントの詳細、それらのウォレットまたは監査レポートは確認できません。

ユーザー義務の分離が推奨されますが、組織によっては、1人のユーザーにすべての管理ロールを付与して、すべての管理機能を実行させる場合もあります。

Oracle Key Vaultユーザー名をOracle Key Vaultエンドポイント名と同じにすることはできません。

親トピック: Oracle Key Vaultユーザーについて

5.1.2 Oracle Key Vaultユーザーの作成

システム管理者ロールを持っているユーザーは、Oracle Key Vault管理コンソールからユーザー・アカウントを作成できます。

Key Vaultにユーザーを追加するには、次のステップに従います。

システム管理者ロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
「Users」タブをクリックします。
既存のユーザーのリストが表示された「Manage Users」ページが表示されます。
「Create」をクリックします。
「Create User」ページが表示されます。

図5-1 ユーザーの作成

「図5-1 ユーザーの作成」の説明
「User Name」にユーザー名を入力します。ユーザー名がOracle Key Vaultエンドポイント名と同じでないことを確認してください。
オプションで、「Full Name」にユーザーのフルネームを追加します。
パスワードは、次のいずれかを選択します。
- Auto Generate Password: このオプションを選択すると、パスワードが自動的に生成されてユーザーに送信されます。ユーザーは、「Oracle Key Vault: System Generated User Password」という件名のメッセージを受信します。ユーザーがOracle Key Vault管理コンソールに初めてログインすると、パスワードの変更を求められます。
  
  このオプションを使用するには、SMTPサーバー構成を設定する必要があることに注意してください。
- PasswordおよびRe-type password: 有効なパスワードを入力します。パスワードは8文字以上で、英大文字、英小文字、数字および特殊文字をそれぞれ1つ以上含む必要があります。使用できる特殊文字は、ピリオド(.)、カンマ(,)、アンダースコア(_)、プラス記号(+)、コロン(:)およびスペースです。
「Save」をクリックします。
「Manage Users」ページが表示され、新しいユーザーがリストされます。

関連項目:

電子メール通知

「管理ロールの付与、変更または取消し」

親トピック: Oracle Key Vaultユーザーについて

5.1.3 管理ロールの付与、変更または取消し

追加したユーザーに管理ロールを付与したり、変更することができます。他のユーザーに管理ロールを付与するには、その管理ロールを持っているユーザーである必要があります。また、必要でなくなった管理ロールを取り消すこともできます。

親トピック: Oracle Key Vaultユーザーについて

5.1.3.1 ユーザーの管理ロールの付与または変更

管理ロールを付与または変更する手順:

ユーザーに付与するロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
「Users」タブをクリックします。
ユーザーのリストが表示された「Manage Users」ページが表示されます。

図5-2 ユーザーの管理

「図5-2 ユーザーの管理」の説明
「User Name」列のユーザーの名前をクリックします。
「User Details」ページが表示されます。「User Details」ページに、Key Vaultユーザーの統合ビューが表示されます。ユーザー情報として、名前、電子メール、管理ロール、ユーザー・グループ内のメンバーシップ、およびセキュリティ・オブジェクトへのアクセス権が表示されます。

図5-3 ユーザー詳細

「図5-3 ユーザー詳細」の説明
ロールを付与するには、「Roles」の、付与するロールのボックスを選択します。「Audit Manager」、「Key Administrator」または「System Administrator」のいずれかになります。
ロールを変更するには、以前のロールのボックスの選択を解除して、新しいロールの横にあるボックスを選択します。
「Save」をクリックします。

親トピック: 管理ロールの付与、変更または取消し

5.1.3.2 ユーザーからの管理ロールの取消し

ユーザーからロールを取り消すには、次のステップに従います。

ユーザーに付与するロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
「Users」タブをクリックします。
ユーザーのリストが表示された「Manage Users」ページが表示されます。

図5-4 ユーザーの管理

「図5-4 ユーザーの管理」の説明
ロールを取り消すユーザーの名前をクリックします。
「User Details」ページが表示されます。
取り消すロールのボックスの選択を解除します。
「Save」をクリックします。

親トピック: 管理ロールの付与、変更または取消し

5.1.4 Oracle Key Vaultユーザーの削除

組織内でのユーザーの機能が変わった場合、Key Vaultユーザーを削除できます。ユーザーを削除すると、Key Vaultから削除され、属していたすべてのユーザー・グループから削除されます。この操作によって、このユーザーが管理するセキュリティ・オブジェクトが削除されることはありません。

Oracle Key Vaultからユーザーを削除するには、次のステップに従います。

システム管理者ロールおよびそのユーザーと同じロールを持っているユーザーとして、Oracle Key Vault管理コンソールにログインします。
「Users」タブを選択します。
ユーザーのリストが表示された「Manage Users」ページが表示されます。
削除するユーザーの横にあるボックスを選択します。
「Delete」をクリックします。
確認のダイアログ・ボックスで、「OK」をクリックします。
「Save」をクリックします。

親トピック: Oracle Key Vaultユーザーについて

5.1.5 ユーザー詳細の表示

すべての管理ユーザーは、Oracle Key Vaultユーザーとその詳細のリストを表示できます。3つの管理ロールのいずれも持っていないユーザーは、自分のユーザー詳細のみを確認できます。

「User Details」ページに、Key Vaultユーザーの統合ビューが表示されます。このページで、すべてのユーザー管理タスクが実行されます。

指定ユーザーのユーザー詳細を表示する手順:

Oracle Key Vault管理コンソールにログインします。
「Users」を選択します。
ユーザーのリストが表示された「Manage Users」ページが表示されます。

列(ユーザー名、フルネームまたはロール)でリストをソートおよび検索できます。
ユーザー名をクリックして、「User Details」ページに移動します。

関連項目:

「Oracle Key Vault内の管理ロール」

処理と検索の実行

親トピック: Oracle Key Vaultユーザーについて

5.2 ユーザー・パスワードの変更について

有効なOracle Key Vaultユーザーなら誰でも、自分のパスワードを変更できます。

親トピック: Oracle Key Vaultユーザーの管理

5.2.1 ユーザー・パスワードの変更の仕組み

Key Vaultシステム管理者は、別のユーザーのパスワードをリセットできます。また、別のユーザーと同じかそれ以上の管理ロールを持っている場合も、そのユーザーのパスワードをリセットできます。たとえば、監査マネージャ・ロールを持っているユーザーのパスワードを変更する場合、パスワードを変更するには、あらかじめそのロールを持っている必要があります。

次のユーザーとロールについて見てみましょう。

ユーザー	システム管理者	キー管理者	監査マネージャ
`OKV_ALL_JANE`	あり	あり	あり
`OKV_SYS_KEYS_JOE`	あり	あり	-
`OKV_SYS_SEAN`	あり	-	-
`OKV_KEYS_KATE`	-	あり	-
`OKV_AUD_AUDREY`	-	-	あり
`OKV_OLIVER`	-	-	-

システム管理者とキー管理者のロールを持っているユーザーOKV_SYS_KEYS_JOEがログインして、他のユーザーのパスワードを変更するとします。この場合は、次のようになります。

OKV_KEYS_KATE: OKV_SYS_KEYS_JOEは共通のキー管理者ロールを持っているため、OKV_KEYS_KATEのパスワードを変更できます。
OKV_AUD_AUDREY: OKV_SYS_KEYS_JOEは監査マネージャ・ロールを持っていないため、OKV_SYS_KEYS_JOEはOKV_AUD_AUDREYのパスワードを変更できません。
OKV_ALL_JANE: OKV_SYS_KEYS_JOEは監査マネージャ・ロールを持っていないため、ユーザーOKV_ALL_JANEのパスワードを変更できません。
OKV_OLIVER: OKV_SYS_KEYS_JOEは、ロールがないユーザーOKV_OLIVERのパスワードを変更できます。

親トピック: ユーザー・パスワードの変更について

5.2.2 自分のパスワードの変更

すべてのユーザーが、自分のOracle Key Vaultアカウント・パスワードを変更できます。

自分のパスワードを変更するには、次の手順を実行します。

Oracle Key Vault管理コンソールにログインします。
Key Vaultへのログイン方法は、後述の「リファレンス」を参照してください。
「Users」タブを選択します。
ユーザーのリストが表示された「Manage Users」ページが表示されます。
左のサイドバーから「Change Password」を選択します。
「Change Password for <your user name>」ページが表示されます。

図5-5 自分のユーザー・パスワードの変更

「図5-5 自分のユーザー・パスワードの変更」の説明
「Current Password」に現在のパスワードを入力します。「New Password」と「Re-enter New Password」に新しいパスワードを入力します。
「Save」をクリックします。

親トピック: ユーザー・パスワードの変更について

5.2.3 他のユーザーのパスワードのリセット

Key Vaultシステム管理者である場合、またはパスワードをリセットするユーザーと同じがそれ以上の管理ロールを持つユーザーである場合は、他のユーザーのパスワードをリセットできます。Key Vaultには、ユーザーのパスワードをリセットする2つの方法があります。

親トピック: ユーザー・パスワードの変更について

5.2.3.1 パスワードの手動リセット

ユーザーのパスワードを手動で設定した後、バンド外の方式を使用して、ユーザーに新しいパスワードを通知できます。

他のユーザーのパスワードをリセットするには、次のステップに従います。

システム管理者ロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
Key Vaultへのログイン方法は、後述の「リファレンス」を参照してください。
「Users」タブを選択します。
ユーザーのリストが表示された「Manage Users」ページが表示されます。
パスワードを変更するユーザーの名前をクリックします。
「User Details」ページが表示されます。
「Reset Password」をクリックします。
「Reset User Password」ページが表示されます。

図5-6 ユーザー・パスワードの手動リセット

「図5-6 ユーザー・パスワードの手動リセット」の説明
「New Password」と「Re-type New Password」に新しいパスワードを入力します。
「Save」をクリックします。

親トピック: 別のユーザーのパスワードのリセット

5.2.3.2 パスワードの自動リセット

ユーザーのパスワードをリセットするもう1つの方法は、Key Vaultでそれを自動的に生成することです。このパスワードは、Key Vaultからユーザーに直接送信できます。この機能を使用するには、電子メール設定でSMTPを構成する必要があります。

パスワードを自動生成して、ユーザーに送信するには、次のステップに従います。

システム管理者ロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
「Users」タブを選択します。
ユーザーのリストが表示された「Manage Users」ページが表示されます。
パスワードを変更するユーザーの名前をクリックします。
「User Details」ページが表示されます。
「Reset Password」をクリックします。
「Reset User Password」ページが表示されます。

図5-7 ユーザー・パスワードの自動リセット

「図5-7 ユーザー・パスワードの自動リセット」の説明
「Auto Generate Password」の横にあるボックスを選択します。
電子メール・アドレス・フィールドが表示されます。
ユーザーの電子メール・アドレスを入力します。
「Save」をクリックします。
確認メッセージが表示されます。

SMTPを構成せずに「Auto Generate Password」を選択すると、「Email Settings」へのリンクが表示されます。リンクをクリックして電子メール設定を構成し、ステップ1-7を繰り返します。

親トピック: 別のユーザーのパスワードのリセット

5.2.3.3 オペレーティング・システム・ユーザー・アカウントのパスワードのリセット

オペレーティング・システム・ユーザー・アカウント(ルートとサポート)のパスワードをリセットできます。RootおよびSupportユーザーは、次回のログイン時にパスワードの有効期限を過ぎていた場合、パスワードを変更するように求められます。有効期限は365日で120日前に警告が送られ、STIGの場合は有効期限が60日で60日前に警告が送られます。

SSHを使用して、システム管理者としてOracle Key Vaultサーバーのターミナルにログインします。
「Oracle Key Vault Server <Release Number>」画面が表示されます。

図5-8 「Oracle Key Vault Server <Release Number>」画面

「図5-8 「Oracle Key Vault Server <Release Number>」画面」の説明
「Set User Passwords」を選択して、ルート・パスワードとサポート・ユーザー・パスワードを設定します。[Enter]を押します。
「Set User Passwords」画面が表示されます。

図5-9 「Set User Passwords」画面

「図5-9 「Set User Passwords」画面」の説明
「Set root password」または「Set support password」を選択し、[Enter]を押します。
「Set Password」画面が表示されます。

図5-10 「Set Password」画面

「図5-10 「Set Password」画面」の説明
「Password」および「Confirm」フィールドに新しいパスワードを入力します。「OK」を選択し、[Enter]を押します。
「Installation Passphrase」画面が表示されます。

図5-11 「Installation Passphrase」画面

「図5-11 「Installation Passphrase」画面」の説明
インストール・パスフレーズを入力し、[Enter]を押します。

オペレーティング・システム・ユーザーのパスワードが変更されます。

親トピック: 別のユーザーのパスワードのリセット

5.3 仮想ウォレットへのユーザー・アクセス権の付与

キー管理者ロールを持っているユーザーは、ユーザー、エンドポイントおよびそれぞれのグループのセキュリティ・オブジェクトへのアクセス権を制御します。すべてのユーザーに、組織におけるその機能に適したレベルで、Key Vaultのセキュリティ・オブジェクトへのアクセス権を付与できます。

次のように、仮想ウォレットへのユーザー・アクセス権を付与できます。

キー管理者ロールを持っているユーザーとしてログインします。
「Users」タブを選択し、「Manage Users」を選択します。
ユーザーのリストが表示された「Manage Users」ページが表示されます。
アクセス権を付与するユーザーの名前をクリックします。
「User Details」ページが表示されます。
「Access to Wallets」セクションの「Add」をクリックします。
「Add Access to User Group」ページが表示されます。
「Select Wallet」の下で、ウォレットを選択します。
「Select Access Level」の下で、選択したウォレットへのアクセス・レベルを設定します。「Read Only」、「Read and Modify」、または「Manage Wallet」を選択します。
付与するレベルがわかっている場合は、ウォレットへのアクセス権を付与するときにアクセス・レベルを設定します。ウォレット・メニューからアクセス・レベルを設定または変更することもできます。
「Save」をクリックします。

関連項目:

「アクセス制御の構成」

「「Keys & Wallets」メニューからの仮想ウォレットへのアクセス権の管理」

親トピック: Oracle Key Vaultユーザーの管理

5.4 ユーザーの電子メールについて

アラートやパスワード変更などのシステム変更をKey Vaultから直接送信できるように、Key Vaultユーザーは現在の電子メールをファイルに含めることが重要です。ユーザーの電子メールは、「User Details」ページで更新できます。また、ユーザーは、電子メール通知を止めることもできます。

親トピック: Oracle Key Vaultユーザーの管理

5.4.1 ユーザーに対する電子メール通知の無効化

ユーザー詳細ページで、ユーザーの電子メール通知を無効化できます。

「User Details」ページに移動する手順:

システム管理者ロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
Key Vaultへのログイン方法は、後述の「リファレンス」を参照してください。
「Users」タブを選択します。
ユーザーのリストが表示された「Manage Users」ページが表示されます。
「User Name」列のユーザーの名前をクリックします。
「User Details」ページが表示されます。

図5-12 「User Details」ページ

「図5-12 「User Details」ページ」の説明
「Do not receive email alerts」ボックスを選択します。
「Save」をクリックします。

親トピック: ユーザーの電子メールについて

5.4.2 ユーザーの電子メールの変更

ユーザーの追加後、次のように、ユーザーの電子メール・アドレスを追加または変更できます。

システム管理者ロールを持っているユーザーとしてOracle Key Vault管理コンソールにログインします。
Key Vaultへのログイン方法は、後述の「リファレンス」を参照してください。
「Users」タブを選択します。
ユーザーのリストが表示された「Manage Users」ページが表示されます。
「User Name」列のユーザーの名前をクリックします。
「User Details」ページが表示されます。
「Email」に電子メール・アドレスを入力します。
「Save」をクリックします。

親トピック: ユーザーの電子メールについて

5.5 ユーザー・グループの管理

ユーザー・グループとは、特定の目的を持つユーザーの名前付きコレクションです。

親トピック: Oracle Key Vaultユーザーの管理

5.5.1 ユーザー・グループの仕組み

ユーザー・グループが作成されると、グループ名は変更できませんが、それ以外のすべての詳細を変更できます。キー管理者ロールを持つユーザーは、仮想ウォレットへのアクセス権を管理するために、ユーザー・グループを作成、変更および削除できます。

ユーザー・グループの主な目的は、セキュリティ・オブジェクトへのアクセス制御を簡素化することです。一連のユーザーが、セキュリティ・オブジェクトの共通セットにアクセスする必要がある場合、ユーザーごとまたはセキュリティ・オブジェクトごとにアクセス権を付与するのではなく、これらのユーザーをグループに入れてグループ・アクセス権を付与できます。特定のユーザーがセキュリティ・オブジェクトにアクセスする必要がなくなったら、グループから削除できます。新しいユーザーをグループに追加できます。

セキュリティ・オブジェクトへのグループのアクセス・レベルは、いつでも変更できます。

親トピック: ユーザー・グループの管理

5.5.2 ユーザー・グループの作成

一連のユーザーが、セキュリティ・オブジェクトの共通セットを管理する必要がある場合は、ユーザー・グループを作成します。グループの作成時またはグループの作成後に、ユーザーをグループに追加できます。

ユーザー・グループの作成とグループへのユーザーの追加を同時に実行する手順:

キー管理者ロールを持っているユーザーとしてログインします。
「Users」タブを選択します。
ユーザーのリストが表示された「Manage Users」ページが表示されます。
左のサイドバーから「Manage Access」を選択します。
既存のユーザー・グループが表示された「User Groups」ページが表示されます。

図5-13 「User Groups」ページ

「図5-13 「User Groups」ページ」の説明
「Create User Group」をクリックします。
「Select Members」にユーザーのリストが表示された「Create User Group」ページが表示されます。

図5-14 「Create User Group」ページ

「図5-14 「Create User Group」ページ」の説明
「Create User Group」ページで、次の操作をします。
- Name: グループの名前を入力します。
- Description: オプションで、グループの説明を入力します。
- Select Members: グループに追加するユーザーの横にあるボックスを選択します。
「Save」をクリックします。

親トピック: ユーザー・グループの管理

5.5.3 ユーザー・グループへのユーザーの追加

既存のユーザーがユーザー・グループと同じセキュリティ・オブジェクトを管理する必要がある場合、そのユーザーをグループに追加できます。グループの作成時またはグループの作成後に、ユーザーをグループに追加できます。

グループの作成後にユーザーをユーザー・グループに追加する手順:

キー管理者ロールを持っているユーザーとしてログインします。
「Users」タブをクリックして、「Manage Access」をクリックします。
既存のユーザー・グループのリストが表示された「User Groups」ページが表示されます。
ユーザー・グループの「Details」の鉛筆アイコンをクリックします。
既存のユーザー・グループのリストが表示された「User Group Details」ページが表示されます。
「User Group Members」ペインの「Add」をクリックします。ユーザー・グループではなく既存のユーザーのリストが表示された「Add User Group Members」ページが表示されます。
追加するユーザーのボックスを選択します。
「Save」をクリックします。
ユーザーが正常に追加されたことを示すダイアログ・ボックスが表示されます。

親トピック: ユーザー・グループの管理

5.5.4 ユーザー・グループからのユーザーの削除

組織内での機能が変わったり、グループと同じセキュリティ・オブジェクトを管理する必要がなくなったユーザーは、ユーザー・グループから削除できます。

ユーザー・グループからユーザーを削除する手順:

キー管理者ロールを持っているユーザーとしてログインします。
「Users」タブをクリックして、「Manage Access」をクリックします。
既存のユーザー・グループのリストが表示された「User Groups」ページが表示されます。
ユーザー・グループの「Details」の鉛筆アイコンをクリックします。
「User Group Details」ページが表示されます。
「User Group Members」リージョンで、削除するユーザーのボックスを選択します。
「Remove」をクリックします。
「OK」をクリックして確定します。
削除を確認する成功メッセージが表示されます。

親トピック: ユーザー・グループの管理

5.5.5 仮想ウォレットへのユーザー・グループ・アクセス権の付与

ユーザー・グループの仮想ウォレットへのアクセス・レベルは、機能のニーズの変化に応じていつでも変更できます。

ユーザー・グループの仮想ウォレットのアクセス・レベルを変更する手順:

キー管理者ロールを持っているユーザーとしてログインします。
「Users」タブを選択し、「Manage Access」を選択します。
既存のユーザー・グループのリストが表示された「User Groups」ページが表示されます。
変更するユーザー・グループの「Details」列の鉛筆アイコンをクリックします。
「User Group Details」ページが表示されます。
「Access to Wallets」セクションの「Add」をクリックします。
「Add Access to User Group」ページが表示されます。
「Select Wallet」で、ウォレットを選択します。
「Select Access Level」で、選択したウォレットへのアクセス・レベルを設定します。「Read Only」、「Read and Modify」、または「Manage Wallet」を選択します。
「Save」をクリックします。

関連項目:

「アクセス制御の構成」

親トピック: ユーザー・グループの管理

5.5.6 ユーザー・グループの説明の変更

グループの説明は、グループの目的を識別するために役立ちます。この説明は、グループの目的にあわせていつでも変更できます。

次のように、ユーザー・グループの説明を変更できます。

キー管理者ロールを持っているユーザーとしてログインします。
「Users」タブを選択し、「Manage Access」を選択します。「User Groups」ページが表示されます。
「User Groups」ページで、変更するユーザー・グループの「Details」列の鉛筆アイコンを選択します。「User Group Details」ページが表示されます。
「Description」フィールドに新しい説明を入力します。
「Save」をクリックします。

親トピック: ユーザー・グループの管理

5.5.7 ユーザー・グループの削除

グループ内のユーザーが同じセキュリティ・オブジェクトにアクセスする必要がなくなった場合、ユーザー・グループを削除できます。これにより、ウォレットおよびセキュリティ・オブジェクトに対するグループのアクセス権が自動的に削除されます。

ユーザー・グループを削除するには、次のステップに従います。

キー管理者ロールを付与されているユーザーとしてOracle Key Vaultにログインします。
「Users」タブを選択し、「Manage Access」を選択します。
「User Groups」ページが表示されます。
削除するユーザー・グループのボックスを選択します。
「Delete」をクリックします。
「OK」をクリックして確定します。
削除を確認する成功メッセージが表示されます。

親トピック: ユーザー・グループの管理