用語集

アプライアンス

Oracle Key Vaultを使用可能にする形式。Oracle Key Vaultソフトウェア・アプライアンスには、オペレーティング・システム、Oracle Key Vault機能を実装するソフトウェア、データベース、レプリケーション・ソフトウェアおよびその他の関連コンポーネントが含まれます。Oracle Key Vaultは、ユーザーが用意したスタンドアロン・コンピュータ(つまり、マシン)にインストールされるソフトウェア・イメージとして提供されます。オペレーティング・システムを含めた、アプライアンス上のソフトウェアのすべての更新が提供されます。Oracle Key Vaultアプライアンスには追加のソフトウェアをロードしないでください。

Oracle Key Vaultアプライアンスは、スタンドアロン・サーバー、プライマリ/スタンバイ構成のメンバーまたはマルチマスター・クラスタのノードとしてデプロイできます。

監査マネージャ

監査ライフサイクルとポリシーを管理し、Oracle Key Vaultサーバーの管理ロールから監査ロールを分離できるようにするOracle Key Vault管理ロール。

自動ログイン・ウォレット

パスワードなしでアクセスできるOracle Walletファイル。自動ログイン・ウォレットは、cwallet.ssoファイルに格納されます。

候補ノード

ノード・インダクション時に、マルチマスター・クラスタに追加されるOracle Key Vaultサーバー。候補ノードは、初期ノードである場合を除き、新しくインストールしたOracle Key Vaultアプライアンスである必要があり、その場合はクラスタの初期データ全体を提供します。候補ノードは、追加先のマルチマスター・クラスタと同じリリースおよびパッチ・レベルである必要があります。

サーバーがクラスタにインダクションされると、ノードと呼ばれます。ノードが正常にインダクションされた後は、クラスタ全体の構成設定を使用するようにサーバーを構成できます。クラスタ・データ・セットがノードにレプリケートされます。

クラスタ・データ・セット

クラスタによって管理されるすべてのセキュリティ・オブジェクトのセット。クラスタの作成時に、初期ノードは初期クラスタ・データ・セットの一部となるすべてのセキュリティ・オブジェクトを提供します。

クラスタ・リンク

(ノードへの)アウトバウンド・ネットワーク接続および(ノードからの)インバウンド・レプリケーション・プロセスを表すリンク。ノード・データのレプリケーションを管理するリンクを有効または無効にできます。

クラスタ・サブグループ

クラスタのサブグループである1つ以上のノードのグループ。クラスタ内の各ノードは、1つのサブグループにのみ所属できます。ノードがマルチマスター・クラスタに追加されると、ノードはサブグループに割り当てられ、この割当てはノードの存続期間中は変わりません。割当てはノードごとに行われ、読取り/書込みペアのメンバーは異なるサブグループに配置できます。

サブグループは、エンドポイント・アフィニティの概念を実装します。エンドポイント・ノード・スキャン・リストでエンドポイントのノード検索順序を設定する際に使用されます。エンドポイントが追加されたノードと同じサブグループ内のノードは、エンドポイントに対してローカルであるとみなされます。ローカル・サブグループは、ローカル・サブグループにないノードと通信する前に最初にスキャンされます。

クラスタ・トポロジは、クラスタに対して新規ノードを追加または削除するときに変更できます。エンドポイントは、エンドポイントが開始した操作のレスポンス・メッセージとともにこの情報を取得します。Oracle Key Vaultは、クラスタ・トポロジに変更がない場合も、更新されたエンドポイント・ノード・スキャン・リストをエンドポイントに定期的に返送します。これは、失われたメッセージを説明するためのものです。

コントローラ・ノード

ノードの追加、有効化、無効化、削除など、クラスタの再構成の変更を制御または管理するノード。ノードは、変更が行われている間のみのコントローラ・ノードです。ノード・インダクション時に、コントローラ・ノードは、サーバー証明書および候補ノードの初期化に使用されるデータを提供します。

各同時操作には、独自のコントローラ・ノードがあります。1つのコントローラ・ノードは、一度に1つのクラスタ構成トランザクションのみを制御できます。

資格証明ファイル

ユーザーID、パスワード、キーなどの機密情報を含むファイル。Kerberos keytabファイルなどのファイルは、不透明オブジェクトとして格納されます。これは、その個々の内容がOracle Key Vaultで解釈されないことを意味します。ファイル全体が単一オブジェクトとしてアップロードおよびダウンロードされます。

セキュリティ・オブジェクトも参照してください。

デフォルト・ウォレット

エンドポイントに関連付けられている特別な仮想ウォレット。ここには、エンドポイントのセキュリティ・オブジェクトのすべてを自動的にアップロードできます。

削除されたノード

Oracle Key Vault管理コンソールの「Delete」または「Force Delete」のいずれのボタンを使用して、クラスタとの関連付けが解除されたノード。「Maximum Disable Node duration」より長く無効になっている場合は、ノードを削除する必要があります。

ノードが削除されると、そのノードを再度クラスタに関連付けることはできません。クラスタにインダクションする場合は、再イメージ化してから、新しくインストールされたサーバーに変換する必要があります。

通常の動作環境では、「Delete」オプションを使用できます。「Delete」オプションが機能せず、ノードにアクセスできない場合にのみ、「Force Delete」オプションを使用します。

エンドポイント

データベース・サーバー、アプリケーション・サーバー、その他の情報システムなどのコンピュータ・システム。ここでは、暗号化されたデータへのアクセスにはキーが使用され、他のシステムへの認証には資格証明が使用されます。

エンドポイント管理者

エンドポイントの所有者。エンドポイント管理者は、通常、システム、セキュリティまたはデータベースの管理者ですが、企業内でセキュリティのデプロイ、管理および維持を担当するユーザーである場合もあります。エンドポイントのエンロールおよびセキュリティ・オブジェクトへのエンドポイントのアクセスの制御を担当します。

エンドポイント・グループ

一連のセキュリティ・オブジェクトを共有するために作成されるエンドポイントのコレクション。

エンドポイント・ノード・スキャン・リスト

エンドポイントが接続できるノードのリスト。

ハートビート・ラグ

マルチマスター・クラスタの状態を判断するモニタリング・メトリック。これは、ノードおよびネットワークの状態を示します。現在のノードが特定のノードからハートビート・メッセージを受信した時点からの時間です。ハートビートは各ノードから2分ごとに送信されます。その後、すべてのハートビートが他の各ノードで受信されます。

ハートビート・ラグが高いほど、ウォレットの作成などの競合解決を必要とするユーザー操作に時間がかかることを示します。2つのノード間のハートビート・ラグは、クラスタ全体の操作に影響します。ハートビート・ラグが高い場合は、クラスタ・サービスがアクティブであり、レプリケーションがアクティブであることを確認してください。ハートビート・ラグが大きい2つのノード間のリンクを無効化してから再度有効にします。

初期ノード

Oracle Key Vaultマルチマスター・クラスタの最初(初期)のノード。単一のOracle Key Vaultサーバーを初期ノードになるよう変換して、マルチマスター・クラスタを作成します。Oracle Key Vaultサーバーは、新たにインストールしたOracle Key Vaultサーバーでも、アクティブなデータがあるサービスにすでに存在しているサーバーでもかまいません。スタンドアロン・サーバーまたはプライマリ・スタンバイ構成のメンバーは、クラスタの初期ノードに変換できます。プライマリ・スタンバイ構成のメンバーを使用する場合は、最初にペアを分割してプライマリ・スタンバイ関係を解除する必要があります。

初期ノードがアクティブでデータがある場合、Oracle Key Vaultは、このデータをクラスタ・データ・セットとして使用してクラスタを初期化します。

初期化はクラスタの存続期間中に1回のみ発生します。

インストール・パスフレーズ

Oracle Key Vaultのインストール時に指定されるパスワード。インストール・パスフレーズは、Oracle Key Vaultにログインして、インストール後タスクを完了するために使用します。インストール・パスフレーズは、インストールの後でインストール後プロセスを実行する前にのみ、Oracle Key Vault管理コンソールで変更できます。インストール後プロセスを完了すると、このオプションは管理コンソールに表示されなくなります。

JAVA_HOME

システム内のJavaファイル(JDK/JRE)の場所を指す環境変数。これにより、Javaアプリケーションは動作するためにJAVA_HOME変数を参照できます。

Javaキーストア・ファイル

キーや証明書など、複数のセキュリティ・オブジェクトを保持できるファイル。Javaキーストア・ファイル(JKS)形式が使用されます。

キー管理者

ユーザーがキーのライフサイクルを管理したり、Oracle Key Vault内のすべてのセキュリティ・オブジェクトへのアクセスを制御できるようにするOracle Key Vault管理者ロール。これは取扱いに特に注意する必要があるロールであり、慎重に付与してください。

キーストア

暗号化キー(TDEマスター暗号化キーなど)を格納するコンテナに対する一般的な用語。

管理情報ベース(MIB)

MIBを参照してください。

マスター暗号化キー

「TDEマスター暗号化キー」を参照。

最大無効化ノード期間

ノードを無効な状態のままにできる時間(時間単位)。ノードがさらに長い間無効になっている場合は、有効化できなくなります。

デフォルトの最大無効化ノード期間は24時間です。

MIB

管理情報ベース。SNMPを介してOracle Key Vaultをモニタリングする場合に、SNMPによってアクセスされる情報が格納される変数を記述するテキスト・ファイルです。MIBに記述された変数は、MIBオブジェクトとも呼ばれ、SNMPを使用してモニタリングできる項目です。モニタリング対象の要素ごとに1つのMIBが存在します。

名前解決時間

マルチマスター・クラスタの状態の判断に使用されるモニタリング・メトリック。クラスタ内に名前の競合がないことを確認したり、競合する名前を使用しようとしたときに名前の競合の解決に要した平均時間です。

ノード

Oracle Key Vaultマルチマスター・クラスタのメンバーに変換されたOracle Key Vaultサーバー。これは、Oracle Key Vaultクラスタ・ノードまたは単にノードと呼ばれます。

ノード・インダクション

Oracle Key Vaultサーバーをマルチマスター・クラスタのノードに変換するプロセス。

クラスタの初期ノードが、初期クラスタ・データ・セットを提供します。その後、新しいOracle Key Vaultサーバーのみがマルチマスター・クラスタにインダクションされ、マルチマスター・クラスタの現在のデータが新しいノードにロードされます。

OKV_HOME

Oracle Key Vaultエンドポイント・ソフトウェアが存在する場所を指す環境変数。これには、エンドポイント・ソフトウェア・ユーティリティで必要な構成ファイル、ログ・ファイル、ライブラリ、バイナリおよびその他のファイルなど、エンドポイント・ソフトウェアのサブディレクトリが含まれます。

オンライン・マスター・キー

Oracle Key Vaultに格納されるTDE生成マスター暗号化キー。オンライン・マスター・キーを使用すると、Oracle Key Vault管理者は、Key Vaultが保護するTDEマスター暗号化キーを完全に制御できます。オンライン・マスター・キーでキー・ローテーションが実行されると、その変更はクラスタ内の他のすべてのノードに反映されます。以前のリリースでは、オンライン・マスター・キーという用語はTDE直接接続でした。

不透明オブジェクト

Oracle Key Vaultが解釈できないセキュリティ・オブジェクト。

Oracle Key Vaultアプライアンス

「アプライアンス」を参照してください。

Oracle Key Vaultマルチマスター・クラスタ

相互に通信するようにグループ化されたOracle Key Vaultノードの配布セット。ノードのペアの一部は、読取り/書込みペアとして構成されます。読取り/書込みペアでは、あるノードへの更新が他のノードにレプリケートされ、他のノードで更新が検証された後、更新が成功とみなされます。

マルチマスター・クラスタのすべてのノードは、他のすべてのノードに接続します。読取り/書込みペアで更新されたデータは、すべてのノードにレプリケートされます。

Oracle Key Vaultノード

「ノード」を参照してください。

Oracle Key Vaultサーバー

Oracle Key Vaultアプライアンスのスタンドアロン・インストールであるOracle Key Vaultサーバー。エンドポイントおよびウォレットに関連するコア機能をすべて提供します。

Oracle Walletファイル

キーや証明書など、複数のセキュリティ・オブジェクトを保持できるコンテナ。PKCS#12暗号標準を使用します。

Oracleウォレットは、他のセキュリティ・オブジェクトと同様にOracle Key Vaultで管理できます。必要に応じて、暗号化してパスワードで保護できます。パスワードなしでアクセスできるOracle Walletは、自動ログイン・ウォレットと呼ばれます。

パスワード保護ウォレットも参照してください。

ORACLE_BASE

Oracle Databaseディレクトリ・ツリーのルートを指す環境変数。Oracleベース・ディレクトリは、様々なOracleソフトウェア製品のインストールに使用できる最上位のディレクトリです。複数のインストールに同じOracleベース・ディレクトリを使用できます。たとえば、/u01/app/oracleは、oracleユーザーが作成したOracleベース・ディレクトリです。

ORACLE_HOME

Oracleコンポーネントをインストールするディレクトリ・パスを指す環境変数(例: /u01/app/oracle/product/18.1.0/db_n)。「Specify File Locations」ウィンドウの「Path」フィールドに、Oracleホームを入力するよう求められます。

ORACLE_HOMEは、Oracle Database製品が実行される環境に対応します。デフォルトのOracle Universal Installerを使用して、OFA準拠のデータベースをインストールする場合、Oracleホーム(このガイドで$ORACLE_HOMEと呼ばれる)は、$ORACLE_BASEの下に配置されます。デフォルトのOracleホームはdb_nで、nはOracleホームの番号です。これには、Oracle Databaseソフトウェアの実行可能ファイルおよびネットワーク・ファイルのサブディレクトリが含まれます。

ORACLE_SID

OracleシステムID (SID)を表す環境変数。システム上の特定のデータベースを一意に識別します。このため、1つのコンピュータ・システムで複数のデータベースのSIDを同じにすることはできません。

Oracle Real Application Clustersを使用する場合は、同じデータベースに属するすべてのインスタンスに一意のSIDが設定されていることを確認する必要があります。

oraenv

coraenvとともに、ユーザーが特定のデータベース・インスタンスに接続できるように、必要な環境変数(ORACLE_SID、ORACLE_HOMEおよびPATH)を設定するUNIX/Linuxのコマンドライン・ユーティリティ。これらの環境変数が設定されていない場合、sqlplus、imp、expなどのコマンドは機能しません(または検出されません)。

Cシェルを使用する場合はcoraenvを使用し、Bourneシェル、KornシェルまたはBashシェルを使用する場合はoraenvを使用します。

パスワード保護ウォレット

ewallet.p12ファイルにユーザー定義パスワードが格納される暗号化されたOracle Wallet。

PKCS#11ライブラリ

Oracle TDEデータベースがOracle Key Vaultに接続してマスター暗号化キーを管理できるようにするライブラリ。

PKCS#12ファイル

暗号化では、PKCS#12は多数の暗号化オブジェクトを単一のファイルとして格納するためのアーカイブ・ファイル形式を定義します。ウォレット・ファイルはPKCS#12形式で格納されます。

読取り専用ノード

レプリケーション・ペアの一部ではないノード。ほとんどのデータは、Oracle Key Vault管理コンソールまたはOracle Key Vaultクライアント・ソフトウェアを使用して直接更新することはできません。読取り専用ノードのキー、ウォレット、証明書などのクリティカル・データは、読取り/書込みノードからのレプリケーションを介してのみ更新されます。

読取り専用制限モード

読取り/書込みペアがない場合、または読取り/書込みピアが使用できない場合は、ノードが読取り専用制限モードになります。Oracle Key Vaultコンソールには、ノードが読取り専用制限モードで動作していることを示す警告が表示されます。読取り専用制限モードでは、Oracle Key Vault管理コンソールまたはOracle Key Vaultクライアント・ソフトウェアを使用した更新が制限されます。ただし、ノードではシステム構成を引き続き実行できます。

ノードが読取り/書込みペアのメンバーである場合は、他のノードが無効になっていてクラスタから削除されていないか、他の理由でハートビートが検出されないことを示します。

読取り/書込みモード

Oracle Key Vault管理コンソールまたはOracle Key Vaultクライアント・ソフトウェアを使用してエンドポイントおよびウォレットのデータを更新できる場合、そのノードは読取り/書込みモードです。ノードは読取り/書込みペアのメンバーである必要があり、読取り/書込みピアはオンラインでアクティブである必要があります。

ペアの両方のノードが使用可能な場合、両方のノードで更新が受入可能になり、1つのノードに対するすべての更新が同期的にピアにレプリケートされます。ペアのノードの1つが使用不可になると、残りのノードは読取り専用制限モードになり、ピアがリストアされるまでデータの更新は受け入れられません。

ノードの状態は、ノード管理コンソールの「Cluster」タブの「Monitoring」ページに表示されます。ノード管理コンソールの「Cluster」タブには、クラスタ内のすべてのノードのタイプとステータスが表示されます。

読取り/書込みノード

ノードの読取り/書込みペアのアクティブな接続されたメンバー。

読取り/書込みペア

双方向同期レプリケーションで動作するノードのペア。読取り専用ノードと新しいノードをペアにして、読取り/書込みペアを作成します。Oracle Key Vault管理コンソールまたはOracle Key Vaultクライアント・ソフトウェアを使用して、いずれかのノードでエンドポイントやウォレット・データなどのデータを更新できます。更新は、ペアの他方のノードに即時にレプリケートされます。更新は、他のすべてのノードに非同期的にレプリケートされます。

ノードは、最大で1つの双方向同期ペアのメンバーにできます。

マルチマスター・クラスタが完全に機能するには、少なくとも1つの読取り/書込みペアが必要です。最大8つの読取り/書込みペアを使用できます。

読取り/書込みピア

クラスタ内の唯一の読取り/書込みペアの特定のメンバー。各読取り/書込みペアは、2つのノードのみで構成されます。候補ノードのインダクション時に、コントローラ・ノードで「Add Candidate Node as Read-Write Peer」を「Yes」に設定して、ノードをピアとして構成します。「Cluster Management Configuration」ページでピアが識別されます。

ペアの1つのメンバーを削除すると、ピアは自動的に読取り専用ノードになります。

リカバリ・パスフレーズ

Oracle Key Vaultアプライアンスのインストール時に作成されるシークレット・トークン。初期ノードに対して作成されたリカバリ・パスフレーズは、その後クラスタで使用され、クラスタ内の他のすべてのノードに伝播されます。

クラスタへのノードのインダクション時に、コントローラ・ページと候補ページの両方に既存のリカバリ・パスフレーズを入力します。リカバリ・パスフレーズは1つのみであるため、リカバリ・パスフレーズが必要な場合は同じリカバリ・パスフレーズを使用する必要があります。

レプリケーション

読取り/書込みノードに対して行われたデータ変更を他のすべてのノードにレプリケートするプロセス。読取り/書込みピアは即時に更新されます。レプリケーションは、クラスタ内の他のすべてのノードにデータを配布するために使用されます。

レプリケーション・ラグ

マルチマスター・クラスタの状態を判断するモニタリング・メトリック。オブジェクトが別のノードにレプリケートされるのに要する時間です。

レプリケーション・ラグが高いほど、ウォレットのエンドポイントのアクセス権限の変更など、Oracle Key Vault操作のレプリケートに時間がかかります。操作によって、レプリケーション・ラグがクラスタ全体に影響する場合と影響しない場合があります。レプリケーション・ラグが2つのノート間で大きい場合は、クラスタ・リンクを無効にして再度有効にしてください。

セキュリティ・オブジェクト

ユーザーが提供した重要なデータを含むオブジェクト。セキュリティ・オブジェクトのタイプは、次のとおりです。

• 秘密暗号化キー
• Oracle Wallet
• Javaキーストア
• Java Cryptography Extensionキーストア
• 証明書
• 資格証明ファイル

ソフトウェア・アプライアンス

特定目的専用のサポート対象ハードウェアにインストールできる、自己完結型の事前構成済製品。

sqlnet.ora

クライアントまたはサーバーのOracle Database構成ファイル。デフォルトでは、sqlnet.oraファイルは$ORACLE_HOME/network/adminディレクトリにあります。次の接続情報を指定します。

• 非修飾サービス名またはネット・サービス名に追加するクライアント・ドメイン

• 名前解決に使用するクライアントのネーミング・メソッドの順序

• 使用する機能のロギングおよび追跡

• 接続のルート

• 外部ネーミング・パラメータ

• Oracle Advanced Securityパラメータ

システム管理者

ユーザーに対して、ユーザー、エンドポイントおよびそれぞれのグループの作成、システム設定およびアラートの構成、およびOracle Key Vaultの一般的な管理を可能にするOracle Key Vault管理者ロール。これは取扱いに特に注意する必要があるロールであり、慎重に付与してください。

TDEマスター暗号化キー

表と表領域のデータ暗号化キーを暗号化するキー。

テンプレート

セキュリティ・オブジェクトの属性のコレクション。テンプレートを使用してセキュリティ・オブジェクトが作成される場合、新しいオブジェクトにはテンプレート内の属性が自動的に割り当てられます。

ユーザー

Oracle Key Vaultを使用するスタッフ。ユーザーとは、管理者、監査者、または、管理ロールを持たない通常のユーザーです。

ユーザー・グループ

Oracle Key Vaultユーザーの名前付きコレクション。ユーザー・グループには、権限またはロールをまとめて付与できます。

仮想ウォレット

公開および秘密暗号化キー、TDEマスター暗号化キー、パスワード、資格証明および証明書など、Oracle Key Vaultのセキュリティ・オブジェクトのコンテナ。仮想ウォレットの主な目的は、エンドポイント間でキーを共有できるようにすることです。