2 Oracle Key Vault RESTfulサービスのスタート・ガイド
RESTfulサービス・ユーティリティをダウンロードし、その構成ファイルをカスタマイズすると、Oracle Key Vault RESTfulサービス・ユーティリティ・コマンドの使用を開始できます。
- Oracle Key Vault RESTfulサービスの有効化/無効化
RESTfulサービスは、Oracle Key Vault管理コンソールから有効化または無効化します。 - Oracle Key Vault RESTfulサービスの構成ファイルとロギング・ファイル
Oracle Key Vaultには、RESTfulサービス・ユーティリティ・コマンドの実行時に必須またはオプションの設定を指定するために使用できるokvrestcli.iniファイルとokvrestcli_logging.propertiesファイルが用意されています。 - Oracle Key Vault RESTfulサービス・ユーティリティ・コマンドの実行
Oracle Key Vaultには、RESTfulサービス・ユーティリティ・コマンドを実行するための様々な方法があります。 - オブジェクトのネーミング・ガイドライン
このネーミング・ガイドラインは、ユーザー、ユーザー・グループ、エンドポイント、エンドポイント・グループおよび仮想ウォレットのOracle Key Vaultオブジェクトに影響します。 - LDAPユーザーによるRESTfulサービスの使用
通常のOracle Key Vault管理者と適切に認可されたLDAPユーザーは、どちらもサーバーにログインしてOracle Key Vault RESTfulサービス・ユーティリティ・コマンドを実行できます。
2.1 Oracle Key Vault RESTfulサービスの有効化/無効化
RESTfulサービスは、Oracle Key Vault管理コンソールから有効化または無効化します。
- RESTfulサービスの有効化
エンドポイント要件を確認して、ネットワーク・サービスを有効化した後で、RESTfulサービスの有効化とRESTfulソフトウェア・ユーティリティのダウンロードが可能になります。その後で、ユーティリティの構成ファイルをカスタマイズします。 - RESTfulサービスの無効化
RESTfulサービスは、管理タスクの実行時に短時間有効にする必要があります。
2.1.1 RESTfulサービスの有効化
エンドポイント要件を確認して、ネットワーク・サービスを有効化した後で、RESTfulサービスの有効化とRESTfulソフトウェア・ユーティリティのダウンロードが可能になります。その後で、ユーティリティの構成ファイルをカスタマイズします。
- ステップ1: エンドポイントのシステム要件の確認
RESTfulコマンドライン・インタフェースを使用してエンドポイントをプロビジョニングする前に、ネットワーク経由で安全にデータを転送するためのツールが必要です。 - ステップ2: ネットワーク・サービスの有効化
Oracle Key Vaultサーバーにアクセスするには、IPアドレスによってRESTfulクライアント用のWebアクセスを構成する必要があります。 - ステップ3: RESTfulサービスの有効化
ネットワーク・サービスを有効にした後、RESTfulサービスを有効にできます。 - ステップ4: RESTful Servicesユーティリティのダウンロード
RESTfulサービス・ユーティリティは、okvrestclipackage.zipファイル内にあります。 - ステップ5: RESTfulサービス・ユーティリティの構成
RESTfulサービス・ユーティリティのダウンロード後に、zipファイルに含まれている複数のファイルを変更する必要があります。
2.1.1.1 ステップ1: エンドポイントのシステム要件の確認
RESTfulコマンドライン・インタフェースを使用してエンドポイントをプロビジョニングする前に、ネットワーク経由で安全にデータを転送するためのツールが必要です。
親トピック: RESTfulサービスの有効化
2.1.1.2 ステップ2: ネットワーク・サービスの有効化
Oracle Key Vaultサーバーにアクセスするには、RESTfulクライアントのWebアクセスをそのIPアドレスごとに構成する必要があります。
親トピック: RESTfulサービスの有効化
2.1.1.3 ステップ3: RESTfulサービスの有効化
ネットワーク・サービスを有効にした後、RESTfulサービスを有効にできます。
親トピック: RESTfulサービスの有効化
2.1.1.4 ステップ4: RESTfulサービス・ユーティリティのダウンロード
RESTfulサービス・ユーティリティは、okvrestclipackage.zipファイル内にあります。
- 次のいずれかの方法を使用して、Oracle Key Vault RESTfulサービス・ユーティリティの
okvrestclipackage.zipファイルをダウンロードします。- Oracle Key Vault管理コンソールのホーム・ページから、次の操作を実行します。
- システム管理者ロールを持つユーザーとしてログインします。
- 「System」タブを選択します。
- 左側のサイドバーで、「Settings」を選択します。
- 「System Configuration」から「RESTful Services」を選択します。
- 「RESTful Services」ダイアログ・ボックスで、「Download」を選択します。
Oracle Key VaultのクラシックRESTfulサービス・ユーティリティをダウンロードするには、「Download Classic Utility」をクリックします。このバージョンの使用方法の詳細は、リリース18.6バージョンの『Oracle Key Vault管理者ガイド』を参照してください。
- 「Opening okvrestclipackage.zip」ダイアログ・ボックスで、「Save」を選択して
okvrestclipackage.zipファイルをローカルに保存します。
- Oracle Key Vault管理コンソールの「Endpoint Enrollment」および「Software Download」から、次の操作を実行します。
- Oracle Key Vault管理コンソールに接続します。
Oracle Key Vault管理コンソールへのログイン・ページが表示されます。ログインしないでください。
- ログイン・ページの右下隅にある「Login」で、「Endpoint Enrollment and Software Download」をクリックします。
- 「Download RESTful Service Utility」タブをクリックします。
- 「Download」ボタンをクリックします。
クラシックRESTfulサービス・ユーティリティをダウンロードするには、「Download Classic Utility」をクリックします。
- 安全な場所に
okvrestclipackage.zipをダウンロードします。
- Oracle Key Vault管理コンソールに接続します。
- コマンドラインHTTPクライアント(
wgetやcurlなど)を使用します。プライマリ/スタンバイ構成の場合は、プライマリ・データベースのIPアドレスを入力します。次に例を示します。wget --no-check-certificate https://ip_address:5695/okvrestclipackage.zip curl -k https://ip_address:5695/okvrestclipackage.zip -o okvrestclipackage.zip curl -O -k https://ip_address:5695/okvrestclipackage.zip
- Oracle Key Vault管理コンソールのホーム・ページから、次の操作を実行します。
親トピック: RESTfulサービスの有効化
2.2 Oracle Key Vault RESTfulサービスの構成フィルとロギング・ファイル
Oracle Key Vaultには、RESTfulサービス・ユーティリティ・コマンドの実行時に必須またはオプションの設定を指定するために使用できるokvrestcli.iniファイルとokvrestcli_logging.propertiesファイルが用意されています。
- okvrestcli.ini構成ファイル
okvrestcli.iniファイルを使用すると、Oracle Key Vault RESTfulサービス・ユーティリティ・コマンドに使用するグローバル設定を制御できます。 - okvrestcli_logging.propertiesログ・ファイルのパラメータ設定
okvrestcli_logging.propertiesログ・ファイルでは、Oracle Key Vault RESTfulサービスのアクティビティについてのロギングの処理方法を決定します。
2.2.1 okvrestcli.ini構成ファイル
okvrestcli.iniファイルを使用すると、Oracle Key Vault RESTfulサービス・ユーティリティ・コマンドに使用するグローバル設定を制御できます。
- okvrestcli.ini構成ファイルについて
okvrestcli.iniファイルを使用すると、Oracle Key Vault RESTfulサービス・ユーティリティ・コマンドの実行時に共通して使用される設定を構成できます。 - okvrestcli.iniの構成パラメータ
okvrestcli.iniのパラメータは、ユーザーの名前とパスワード、okvclient.oraファイルの場所などの設定に対応しています。 - okvrestcli.iniファイルの[DEFAULT]および名前付きプロファイル
okvrestcli.iniファイルの[DEFAULT]および名前付きプロファイル・セクションを使用すると、異なるコンテキストでコマンドを実行するときに適用できる構成パラメータ設定の各種セットを維持できます。 - okvrestcli.iniのパラメータの優先順位
Oracle Key Vault RESTfulサービス・コマンドを実行するときに、構成パラメータの値は優先順位に基づいて決定されます。 - 代替構成ファイルの使用
okvrestcli.ini構成ファイルの代替パラメータ構成ファイルを使用できます。
2.2.1.1 okvrestcli.ini構成ファイルについて
okvrestcli.iniファイルを使用すると、Oracle Key Vault RESTfulサービス・ユーティリティ・コマンドの実行時に共通して使用される設定を構成できます。
該当する設定には、ユーザーの名前やOracle Key VaultサーバーのIPアドレスなどがあります。RESTfulサービス・ユーティリティでは、このような種類のokvrestcli.iniファイル内のパラメータをコマンドの実行ごとに設定する必要があります。このファイルで設定した設定内容は、すべてのOracle Key Vault RESTfulサービス・ユーティリティ・コマンドに自動的に適用されるため、コマンドの実行ごとにコマンドラインで手動入力する必要がなくなります。
okvrestcli.iniの構成パラメータは、名前付きプロファイルという異なるセクションにグループ化されています。それぞれのセクションには、プロファイル名とプロファイルに関連付けるパラメータのリストが含まれています。コマンドの実行時に名前付きプロファイルを指定(--profile profile_nameパラメータを使用)すると、コマンドの実行に名前付きプロファイルの下にリストされている構成パラメータが適用されます。[DEFAULT]プロファイルの下にリストされている構成パラメータは、名前付きプロファイルが指定されていない場合や、名前付きプロファイルの下にパラメータがリストされていない場合に適用されるデフォルトのパラメータ設定を表します。
デフォルトでは、okvrestcli.iniの場所は、Oracle Key Vault RESTfulサービス・ユーティリティをダウンロードした場所と同じになります。これは、エンドポイントのOKV_HOME/confディレクトリ内にあります。
関連項目
親トピック: okvrestcli.ini構成ファイル
2.2.1.2 okvrestcli.iniの構成パラメータ
okvrestcli.iniのパラメータは、ユーザーの名前とパスワード、okvclient.oraファイルの場所などの設定に対応しています。
okvrestcli.iniのパラメータは次のとおりです。
-
server: 実行のためにコマンドが送信されるターゲットOracle Key Vaultサーバーを決定します。このサーバーのIPアドレスを入力します。サーバー情報は、okv_client_configパラメータの設定時に、okvclient.oraファイルから取得することもできます。Oracle Key Vaultクラスタのマルチマスター・デプロイメントでは、Oracle Key Vaultは、エンドポイントのクラスタ・サブグループ設定と、クラスタ・トポロジまたはOracle Key Vaultクラスタ・ノードの状態についての変更に基づいて、エンドポイントの構成ファイル
okvclient.oraのサーバー情報を動的に更新します。エンドポイントのokvclient.oraから得られるサーバー情報を使用すると、okvrestcli.iniのSERVERパラメータを頻繁に更新しなくても、Oracle Key Vaultで最適なOracle Key Vaultノードを自動的に選択してRESTコマンドを実行できるようになります。 -
okv_client_config: エンドポイントのokvclient.oraファイルのフルパスを指定します。デフォルトでは、このファイルは$OKV_HOME/confディレクトリにあります。このパラメータは管理対象オブジェクトのRESTfulサービス・ユーティリティ・コマンドを実行する場合に必須です。そのコマンドは、常にエンドポイントのIDを使用して実行する必要があります。Oracle Key Vault RESTfulサービス・ユーティリティでは、okvclient.oraファイルから得られる次の情報のみを使用します。- サーバー情報: Oracle Key VaultサーバーのIPアドレスまたはホスト名
SSL_WALLET_LOC: エンドポイントで使用されるウォレットの場所。
これは文字列値であり、必須です。
-
user: RESTfulサービス・コマンドを実行するOracle Key Vaultユーザーを指定します。ユーザーには、コマンドを実行するための適切な権限が必要です。Oracle Key Vaultでは、管理対象オブジェクトのカテゴリに対応するRESTfulサービス・ユーティリティ・コマンドの実行時に、
userパラメータは使用されません。こうしたコマンドは、常に、okv_client_configパラメータで設定されたエンドポイントのIDを使用して実行されます。 -
client_wallet: ユーザー資格証明が格納されているウォレットへの絶対パスを指定します。このウォレットは、ユーザーのパスワードを手動で指定することなくOracle Key Vaultサーバーにログインするために使用できます。ユーザー情報は、userパラメータから取得されます。client_walletパラメータにより、無人モードで実行する必要がある自動化スクリプトの実装と使用が可能になります。Oracle Key Vaultでは、管理対象オブジェクトのカテゴリに対応するRESTfulサービス・ユーティリティ・コマンドの実行時に、
client_walletパラメータは使用されません。こうしたコマンドは、常に、okv_client_configパラメータで設定されたエンドポイントのIDを使用して実行されます。 -
password: RESTfulサービス・ユーティリティ・コマンドを実行するユーザーのパスワードを指定します。client_walletを指定したときに、passwordパラメータは不要です。client_walletパラメータとpasswordパラメータの両方を指定すると、client_walletよりもpasswordパラメータが優先されます。Oracle Key Vaultでは、管理対象オブジェクトのカテゴリに対応するRESTfulサービス・ユーティリティ・コマンドの実行時に、
passwordパラメータは使用されません。こうしたコマンドは、常に、okv_client_configパラメータで設定されたエンドポイントのIDを使用して実行されます。 -
log_property: Javaロギング・プロパティ・ファイルのフルパスを指定します。このパラメータが設定されていないときにRESTfulコマンドを実行すると、Oracle Key Vaultによって、log_propertyが構成されていないというメッセージとともに、現行ディレクトリにINFOレベルでデフォルト名のログ・ファイルが生成されます。デフォルトのログ・プロパティ・ファイルは、ダウンロードしたokvrestclipackage.zipファイルに含まれています。このファイルを使用すると、ログ・ファイルとその形式をカスタマイズできます。これは文字列値であり、オプションです。
親トピック: okvrestcli.ini構成ファイル
2.2.1.3 okvrestcli.iniファイルの[DEFAULT]および名前付きプロファイル
okvrestcli.iniファイルの[DEFAULT]および名前付きプロファイル・セクションを使用すると、異なるコンテキストでコマンドを実行するときに適用できる構成パラメータ設定の各種セットを維持できます。
okvrestcli.iniファイルは、1つ以上の名前付きプロファイルのセクションとして編成されています。名前付きプロファイルのセクションは、論理的にグループ化された構成パラメータ設定のコレクションを表します。名前付きプロファイルのセクションには次の項目が含まれます。
[profile_name]として示される名前付きプロファイル・セクション・ヘッダー- 名前プロファイル・ヘッダーの下の構成パラメータのリスト
名前付きプロファイルの下にリストされている構成パラメータ設定は、パラメータ--profile profile_nameを使用して、コマンドラインでプロファイル名を指定することで適用します。
[DEFAULT]プロファイルには、okvrestcli.iniパラメータのデフォルト値をリストします。[DEFAULT]プロファイルの下のパラメータ設定は、コマンドの実行時に名前付きプロファイルが指定されていない場合や、パラメータが名前付きプロファイルの下にリストされていない場合に適用されます。また、コマンドラインでパラメータを指定しないことも想定しています。
次の例では、異なるエンドポイントのIDを使用したOracle Key Vaultへの接続に適したプロファイルの使用方法を示します。これは、同じホストに分離されたPDBエンドポイントを構成した環境で役立ちます。このokvrestcli.iniファイルには、PDBエンドポイントごとの名前付きプロファイルがあり、それぞれのokvclient.oraファイルを指し示しています。
[DEFAULT]
log_property=/usr/local/okv/logging.property
server = 192.0.2.191
[HR_PDB]
okv_client_config=/usr/local/okv/hr_ep/okvclient.ora
[FIN_PDB]
okv_client_config=/usr/local/okv/finance_ep/okvclient.ora
[SALES_PDB]
okv_client_config=/usr/local/okv/sales_ep/okvclient.oraHR_DBエンドポイントを使用してキーを作成する場合は、[HR_DB]プロファイルを使用します。
okv managed-object key create --profile HR_DB --algorithm AES --length 256 --mask "ENCRYPT,DECRYPT" --wallet hr_walletこのコマンドでは、[HR_DB]プロファイルから得られるokv_client_configパラメータを使用します。その他の構成パラメータ(log_propertyやserverなど)は、[DEFAULT]プロファイルから適用されます。
この例では、マルチマスター・クラスタ環境でプロファイルを使用するユースケースを示します。ここでは、それぞれのノードで固有の設定を使用するクラスタ内のノードごとにプロファイルを作成します。次の例には、クラスタ内の3つのノードに対応するプロファイルが含まれます。
[DEFAULT]
log_property=/usr/local/okv/logging.property
user=okvadmin
server=192.0.2.191
[NODE1]
server=192.0.2.191
[NODE2]
server=192.0.2.192
[NODE3]
server=192.0.2.193NODE2に対するコマンドを実行する場合は、[NODE2]プロファイルを使用します。
okv server status get --profile NODE2このコマンドでは、[NODE2]プロファイルから得られるサーバー・エントリを使用します。その他の構成パラメータ設定は、[DEFAULT]プロファイルから得られる設定が使用されます。
[DEFAULT]の設定とプロファイルを使用する前に、okvrestcli.iniのパラメータの優先順位を理解しておいてください。
親トピック: okvrestcli.ini構成ファイル
2.2.1.4 okvrestcli.iniのパラメータの優先順位
Oracle Key Vault RESTfulサービス・コマンドを実行するときに、構成パラメータの値は優先順位に基づいて決定されます。
パラメータの優先順位
okvrestcli.ini構成ファイルのパラメータ(serverエントリ以外)の優先順位は次のとおりです。
- ユーザーがコマンドラインで指定したパラメータ値。
- プロファイル・セクションで指定されたパラメータ値。ユーザーは、コマンドラインに
--profileパラメータを含めます。 [DEFAULT]プロファイルで指定されたパラメータ値。ユーザーはコマンドラインで何も参照しません。
パラメータの優先順位の動作例
この例では、次のokvrestcli.iniファイルでパラメータの優先順位がどのように動作するかを示します。このファイルには、[DEFAULT]と[HR]プロファイルに異なるuserパラメータの設定が含まれています。
[DEFAULT]
user= psmith
[HR]
user=jgreenberg- 例1: デフォルト・ユーザー
psmithを指定する場合は、このユーザーに対する参照をコマンドラインに含めないようにします。okv manage-access endpoint-group add-endpoint --endpoint-group epg_1 --endpoint ep_1 - 例2: デフォルト・ユーザーを上書きして、
HRプロファイル内のユーザーjgreenbergを指定する場合は、コマンドラインでHRプロファイルを指定します。okv manage-access endpoint-group add-endpoint --profile HR --endpoint-group epg_1 --endpoint ep_1 - 例3:
okvrestcli.iniのすべてのuser設定を上書きする場合は、コマンドラインに--user設定を含めます。okv manage-access endpoint-group add-endpoint --user kjones --endpoint-group epg_1 --endpoint ep_1
serverパラメータの優先順位
serverパラメータの優先順位動作は、その他のokvrestcli.iniのパラメータ設定とはわずかに異なります。この設定は、okvrestcli.iniファイルに加えて、okvclient.oraファイルからも得られるためです。okvclient.oraファイルの場所は、okvrestcli.iniのokv_client_configパラメータで指定します。直接指定したserverエントリは、okv_client_configパラメータのserverエントリよりも優先されます。
serverエントリの優先度は次のとおりです。
- ユーザーがコマンドラインで指定した
serverパラメータ値。 - サーバー情報は、
okvclient.oraファイルから取得されます。このファイルをユーザーが指定する場合は、コマンドラインにokv_client_configパラメータを含めます。 - プロファイル・セクションで指定された
serverパラメータ値。ユーザーは、コマンドラインに--profileパラメータを含めます。 - サーバー情報は、プロファイル・セクションの
okv_client_configパラメータで設定したokvclient.oraファイルから取得されます。このプロファイルは、ユーザーがコマンドラインで--profileパラメータを使用して指定します。 [DEFAULT]プロファイルで指定されたserverパラメータ値。ユーザーはコマンドラインで何も参照しません。- サーバー情報は、
[DEFAULT]セクションのokv_client_configパラメータで指定したokvclient.oraファイルから取得されます。ユーザーはコマンドラインで何も参照しません。
serverパラメータの優先順位の動作例
次の例は、このパラメータの様々な設定方法に基づいて、どのようにserverパラメータの優先順位が機能するかを示しています。
- 例1:
okvrestcli.ini構成ファイルには、次に示す設定があると仮定します。[DEFAULT] server=192.0.2.190このデフォルト設定を使用するには(IPアドレス192.0.2.190を使用するには)、このデフォルト設定への参照をコマンドラインに含めないようにします。
okv manage-access endpoint-group add-endpoint --endpoint-group epg_1 --endpoint ep_1 - 例2:
okvrestcli.ini構成ファイルには、次に示す設定があると仮定します。[DEFAULT] okv_client_config=/usr/local/okv/okvclient/okvclient.oraokv_client_configパラメータは、使用するserver設定が含まれているokvclient.oraファイルを指し示しています。okv_client_configは[DEFAULT]セクションにあるため、このokvclient.oraを使用するには、その参照がコマンドラインに含まれないようにします。okv manage-access endpoint-group add-endpoint --endpoint-group epg_1 --endpoint ep_1 - 例3:
okvrestcli.ini構成ファイルには、デフォルトおよび[NODE_1]というプロファイルがあり、次のように設定されていると仮定します。[DEFAULT] okv_client_config=/usr/local/okv/okvclient/okvclient.ora [NODE_1] server=192.0.2.191okv_client_configのデフォルト・サーバー設定を192.0.2.191の[NODE_1]プロファイル設定で上書きするには、コマンドラインに--profileパラメータを含めます。okv manage-access endpoint-group add-endpoint --profile node_1 --endpoint-group epg_1 --endpoint ep_1 - 例4:
okvrestcli.ini構成ファイルには、次に示す設定があると仮定します。[DEFAULT] server = 192.0.2.191 [HR] okv_client_config=/usr/local/okv/hr_ep/okvclient.oraデフォルトを上書きして例3のように
okvclient.oraファイルのserver設定を使用するには、コマンドに--profileパラメータを含めます。okv manage-access endpoint-group add-endpoint --profile hr --endpoint-group epg_1 --endpoint ep_1 - 例5: 次の
okvrestcli.ini構成ファイルがあると仮定します。[DEFAULT] server = 192.0.2.191 [HR] okv_client_config=/usr/local/okv/hr_ep/okvclient.oraこの設定のすべてを上書きするには、コマンドラインで適切なサーバーIPアドレス設定を直接指定します。
okv manage-access endpoint-group add-endpoint --server 192.0.2.192 --endpoint-group epg_1 --endpoint ep_1これは、
okv_client_configパラメータ設定についても機能します。okv manage-access endpoint-group add-endpoint --okv_client_config /usr/local/okv/okvclient/okvclient.ora --endpoint-group epg_1 --endpoint ep_1次の例では、名前付きプロファイル(
HR)と--serverパラメータの両方を使用しています。この--serverパラメータは、[HR]プロファイルで指定されているokvclient.oraファイルのserver情報を上書きします。okv managed-object key create --profile HR --server 192.0.2.192 --algorithm AES --length 256 --mask "ENCRYPT,DECRYPT" --wallet hr_wallet
親トピック: okvrestcli.ini構成ファイル
2.2.2 okvrestcli_logging.propertiesログ・ファイルのパラメータ設定
okvrestcli_logging.propertiesログ・ファイルでは、Oracle Key Vault RESTfulサービスのアクティビティについてのロギングの処理方法を決定します。
okvrestcli_logging.propertiesの変更はオプションです。これを構成しない場合、RESTfulサービス・ユーティリティ・コマンドを実行すると、Oracle Key Vaultによってデフォルトのロギング・ファイルが作成されて更新されます。
デフォルトでは、okvrestcli_logging.propertiesファイルの場所は、Oracle Key Vault RESTfulサービス・ユーティリティをダウンロードした場所になります。これは、エンドポイントのOKV_HOME/confディレクトリ内にあります。
okvrestcli_logging.propertiesのパラメータ設定は次のとおりです。
java.util.logging.FileHandler.patternでは、出力ファイル名を生成するための次のいずれかのパターンを指定します。デフォルトは%h/java%u.logです。/: ローカル・パス名のセパレータです。%h:user.homeシステム・プロパティの値です。%g: ローテーションされたログを区別するための世代番号です。%uは、競合を解決するための一意の番号です。%%: 単一のパーセント記号%に変換されます。
java.util.logging.FileHandler.limitでは、1つのファイルに書き込むおおよその最大量(バイト)を指定します。ゼロの場合は、無制限になります。デフォルトは200000です。java.util.logging.FileHandler.countでは、循環させる出力ファイルの数を指定します。デフォルトは5です。java.util.logging.FileHandler.formatterでは、使用するFormatterクラスの名前を指定します。デフォルトはjava.util.logging.XMLFormatterです。java.util.logging.ConsoleHandler.levelでは、ハンドラのデフォルト・レベルを指定します。デフォルトはINFOです。指定可能なロギング・レベルは、
ALL、TRACE、FINEST、FINER、FINE、CONFIG、INFO、WARNING、SEVEREおよびOFFです。INFO以上のロギングでは完全な詳細が示されます。ロギング・レベルをSEVEREに設定すると、一般に重大な問題に相当するSEVEREロギング・レベルのメッセージのみが表示されます。問題を診断するには、より多くの詳細が必要になることがあります。この情報は、重大な問題の発生によって得られるだけでなく、より多くの情報を生成するレベルによっても取得できます。
次に、この設定の例を示します。
handlers= java.util.logging.FileHandler
# default file output is in user's home directory.
java.util.logging.FileHandler.pattern = /usr/local/okv/okvrest.log
java.util.logging.FileHandler.limit = 200000
java.util.logging.FileHandler.count = 1
#java.util.logging.FileHandler.formatter = java.util.logging.XMLFormatter
java.util.logging.FileHandler.formatter = com.oracle.okv.rest.log.OkvFormatter
# Limit the message that are printed on the console to INFO and above.
java.util.logging.ConsoleHandler.level = FINER
#java.util.logging.ConsoleHandler.formatter = java.util.logging.XMLFormatter
java.util.logging.ConsoleHandler.formatter = com.oracle.okv.rest.log.OkvFormatter2.3 Oracle Key Vault RESTfulサービス・ユーティリティ・コマンドの実行
Oracle Key Vaultには、RESTfulサービス・ユーティリティ・コマンドを実行するための様々な方法があります。
- RESTfulサービス・ユーティリティ・コマンドの構文
RESTfulサービス・ユーティリティ・コマンドの構文は、okvコマンドを使用することで動作します。 - RESTfulサービス・ユーティリティ・コマンドの実行方法
Oracle Key Vault RESTfulサービス・ユーティリティ・コマンドは、コマンド固有のパラメータをコマンドラインで直接指定して実行することも、JSON構文を使用して実行することもできます。 - エンドポイントとしてOracle Databasesを自動的にエンロールするスクリプトの作成
データベース管理者がOracle Key VaultにOracle Databaseエンドポイントを自動的にエンロールするために実行できるスクリプトを作成できます。
2.3.1 RESTfulサービス・ユーティリティ・コマンド構文
RESTfulサービス・ユーティリティ・コマンドの構文は、okvコマンドを使用することで動作します。
RESTfulサービス・ユーティリティ・コマンドに使用する構文は、次のとおりです。
okv category resource action rest-cli-configuration-parameters command-parametersこの指定内容についての説明は次のとおりです。
categoryは、実行するコマンドのタイプを表します。managed-object、admin、cluster、backupなどのコマンドのタイプがあります。resourceは、コマンドを実行するリソースのタイプです。endpoint、wallet、certificateなどのリソースのタイプがあります。actionは、リソースに対して実行する処理です。create、add、locate、deleteなどの処理があります。rest-cli-configuration-parametersには、REST CLI構成ファイルで指定するパラメータを含めます。--userや--client_walletなどのパラメータがあります。これに該当するパラメータは、すべてのコマンドに適用されます。command-parametersは、エンドポイントの作成時にコマンドに必要なパラメータです。--descriptionや--emailなどのパラメータがあります。
このガイドでは、コマンドはokvの後にcategory、resource、actionを使用することで識別します。コマンドで必要な場合は、rest-cli-configuration-parameters command-parametersも使用します。たとえば、エンドポイントを作成する場合は、okv admin endpoint createコマンドを使用します。このコマンドの完全な構文は次のとおりです。
okv admin endpoint create --endpoint endpoint_name --description "description" --email email_address --platform platform --type type --unique TRUE|FALSEOracle Key Vault RESTfulサービス・ユーティリティ・コマンドの構文は、次のルールに従います。
- コマンドの指定は、
okv category resource action rest-cli-configuration-parameters command-parametersの順序にする必要があります。category、resourceおよびactionは、次に示す順序で指定する必要があります。REST CLI構成パラメータは、コマンド固有のパラメータよりも前に指定する必要があります。 - 構成ファイル(
okvrestcli.ini)の識別は、OKV_RESTCLI_CONFIG環境変数を使用することで可能になります。この変数は、RESTfulサービス・コマンドライン・ユーティリティ・スクリプトokv自体で設定します。これにより、この構成ファイルをコマンドの実行ごとに指定する必要がなくなります。
ノート:
下位互換性の確保のために、Oracle Key Vaultリリース21.1より前から存在していたRESTfulサービス・ユーティリティ・コマンドライン・インタフェースも引き続きサポートされています。そのインタフェースは、okvrestclipackage.zipをダウンロードすることで使用できます。
ほとんどのRESTfulサービス・ユーティリティ・コマンドは、JSON入力をサポートしています。このガイドでは、JSONをサポートするコマンドにはJSONの使用例を示します。
2.3.2 RESTfulサービス・ユーティリティ・コマンドの実行方法
Oracle Key Vault RESTfulサービス・ユーティリティ・コマンドは、コマンド固有のパラメータをコマンドラインで直接指定して実行することも、JSON構文を使用して実行することもできます。
- コマンドラインを使用したRESTfulサービス・ユーティリティ・コマンドの実行
コマンドラインからRESTfulサービス・ユーティリティ・コマンドを実行する場合は、コマンド固有のすべてのパラメータをコマンドラインで指定します。 - JSON構文を使用したRESTfulサービス・ユーティリティ・コマンドの実行
RESTfulサービス・ユーティリティ・コマンドでは、JSON構文がサポートされています。JSON出力の生成後に、その出力をコマンドのコマンドライン実行と組み合せて使用できます。 - コマンドラインおよびJSONファイルで実行されるパラメータのネーミング規則
コマンドラインで指定するコマンド・パラメータに使用されるネーミング規則は、JSON構文で使用されるネーミング規則とは異なります。
2.3.2.1 コマンドラインを使用したRESTfulサービス・ユーティリティ・コマンドの実行
コマンドラインからRESTfulサービス・ユーティリティ・コマンドを実行する場合は、コマンド固有のすべてのパラメータをコマンドラインで指定します。
たとえば、okv manage-access endpoint-group add-endpointには、endpoint-groupとendpointのパラメータがあります。
okv manage-access endpoint-group add-endpoint --endpoint-group endpoint_group_name --endpoint endpoint_memberコマンドラインでREST CLI構成パラメータを指定するときには、コマンド固有のパラメータの前にREST CLI構成パラメータを指定する必要があります。次の例では、--profile hrはrest_cli_configuration_parametersの1つです。その後に、okv managed-object key createコマンドのcommand_parametersが続きます。
okv managed-object key create --profile hr --algorithm AES --length 128 --mask "ENCRYPT,DECRYPT,EXPORT"2.3.2.2 JSON構文を使用したRESTfulサービス・ユーティリティ・コマンドの実行
RESTfulサービス・ユーティリティ・コマンドでは、JSON構文がサポートされています。JSON出力の生成後に、その出力をコマンドのコマンドライン実行と組み合せて使用できます。
JSON入力を使用してRESTfulサービスのコマンドを実行するには、まずコマンド固有のパラメータ値を使用してJSON入力ファイルを準備しておく必要があります。その後で、パラメータ--from-json json-input-file.jsonを使用してコマンドを実行します。
JSON入力を使用してRESTfulサービス・ユーティリティ・コマンドを実行する際の推奨プロセスは、次のとおりです。
-
コマンド専用に設計されたJSON入力を生成します。この入力を生成するには、
--generate-json-inputパラメータを指定してコマンドを実行します。次に例を示します。okv managed-object key create --generate-json-inputこのコマンドに応じて生成されるJSON入力は次のとおりです。
{ "service" : { "category" : "managed-object", "resource" : "key", "action" : "create", "options" : { "algorithm" : "#3DES|AES", "length" : "#112,168(3DES)|128,192,256(AES)", "mask" : "#ENCRYPT,DECRYPT,WRAP_KEY,UNWRAP_KEY|EXPORT,DERIVE_KEY,GENERATE_CRYPTOGRAM,VALIDATE_CRYPTOGRAM,TRANSLATE_ENCRYPT,TRANSLATE_DECRYPT,TRANSLATE_WRAP,TRANSLATE_UNWRAP", "wallet" : "#VALUE" } } } - 生成された入力をファイルに保存して、タスクを実行できるように編集します。先頭が
#の値は変更する必要があります。この例では、ファイルcreate_key.jsonをコールして、次の値を使用するように編集します。{ "service" : { "category" : "managed-object", "resource" : "key", "action" : "create", "options" : { "algorithm" : "AES", "length" : "256", "mask" : "ENCRYPT,DECRYPT", "wallet" : "hr_wallet" } } } -
処理を実行するには、
okv managed-object key createコマンドの実行時に、前の手順で編集したJSON入力ファイルの名前を指定するための--from-jsonパラメータを指定します。たとえば、デフォルトの構成設定を使用してokv managed-object key createコマンドを実行するには、次のようにします。okv managed-object key create --from-json create_key.jsonJSON入力を使用する場合は、コマンドラインでコマンドのパラメータを指定することもできます。コマンドラインで指定したコマンド・パラメータは、JSON入力ファイルで指定した同じパラメータよりも優先されます。
- 例1: JSONファイル
create_key.jsonで指定した長さとは異なる長さのキーを作成するために、コマンドラインでlengthパラメータを指定します。okv managed-object key create --from-json key_create.json --length 128コマンドラインでコマンド・パラメータを上書きすると、JSON入力ファイルを変更することなく、同じJSONファイルを使用してパラメータの異なる同じコマンドを実行できます。
- 例2: 複数の管理対象オブジェクトに同じ属性値を適用するために、入力JSONファイルで属性の設定を指定して、コマンドラインでオブジェクトのUUIDを指定します。次に示すJSON入力ファイル
add_attributes.jsonについて考えてみます。{ "service" : { "category" : "managed-object", "resource" : "attribute", "action" : "add", "options" : { "attributes" : { "contactInfo" : "pfitch@example.com", "deactivationDate" : "2024-12-31 09:00:00", "name" : "PROD-HRDB-MKEY", "protectStopDate" : "2024-09-30 09:00:00" } } } }この属性をUUIDが
2359E04F-DA61-4F7C-BF9F-913D3369A93Aのオブジェクトに適用するには、次を実行します。okv managed-object attribute add --from-json add_attributes.json --uuid 2359E04F-DA61-4F7C-BF9F-913D3369A93A
- 例1: JSONファイル
2.3.2.3 コマンドラインおよびJSONファイルで実行されるパラメータのネーミング規則
コマンドラインで指定するコマンド・パラメータに使用されるネーミング規則は、JSON構文で使用されるネーミング規則とは異なります。
JSON構文のパラメータには、camelCaseネーミング規則(walletUserやclientWalletなど)を使用します。コマンドラインで使用するパラメータのネーミング規則は、一般に次のルールに従います。
- パラメータ名には先頭に2つのハイフンを付けます(例:
--user) - 各単語はハイフンで区切ります(例:
--endpoint-group) - すべての単語は小文字にします(例:
--endpoint)
コマンドラインのパラメータ名walletUserとclientWalletに相当するJSON構文のパラメータは、それぞれ--wallet-userと--client-walletです。
2.3.3 エンドポイントとしてOracle Databasesを自動的にエンロールするスクリプトの作成
データベース管理者がOracle Key VaultにOracle Databaseエンドポイントを自動的にエンロールするために実行できるスクリプトを作成できます。
- Oracle Key Vault RESTfulサービス・パッケージ
ewallet.p12およびcwallet.ssoウォレット・ファイルrun-me.shスクリプト
次の手順では、これらのコンポーネントを作成する方法を説明します。
2.4 オブジェクトのネーミング・ガイドライン
このネーミング・ガイドラインは、ユーザー、ユーザー・グループ、エンドポイント、エンドポイント・グループおよび仮想ウォレットのOracle Key Vaultオブジェクトに影響します。
該当するオブジェクトのネーミング規則は次のとおりです。
- エンドポイント、エンドポイント・グループ、ユーザー・グループおよび仮想ウォレットの名前に使用できる文字は、文字(
a–z、A–Z)、数字(0-9)、アンダースコア(_)、ピリオド(.)およびハイフン(-)です。 - ユーザー名に使用できる文字は、文字(
a–z、A–Z)、数字(0-9)およびアンダースコア(_)です。 - ほとんどの環境で、許容されている名前の長さの最大バイト数は120バイトです。Oracle Key Vaultリリース18.5以降にアップグレードしていないノードがあるマルチマスター・クラスタ環境では、最大24バイトのオブジェクト名を使用してください。
- ユーザー、ユーザー・グループ、エンドポイントおよびエンドポイント・グループの名前は、大/小文字が区別されません。たとえば、
pfitchとPFITCHは、Oracle Key Vaultでは同じユーザーと見なされます。 - 仮想ウォレットの名前は、大文字と小文字が区別されます。たとえば、
wallet_hrとWALLET_HRは、Oracle Key Vaultでは異なる2つのウォレットと見なされます。
2.5 LDAPユーザーによるRESTfulサービスの使用方法
通常のOracle Key Vault管理者と適切に認可されたLDAPユーザーは、どちらもサーバーにログインしてOracle Key Vault RESTfulサービス・ユーティリティ・コマンドを実行できます。
- RESTfulサービス・コマンドの実行時には、次の方法を使用して、
--userパラメータでユーザーのユーザー名とドメイン名を指定します。- サポートされているいずれかの形式(次を参照)のLDAPユーザー名と、縦線(
|)で区切られたドメイン名。sAMAccountName|LDAP_domain_name例:
psmith|hr.example.comNetBiosDomainName\\sAMAccountName|LDAP_domain_name.例:
hr\\psmith|hr.example.com二重バックスラッシュ(
\\)は、hr\\psmithがhr\psmithとして解釈されます。userPrincipalName|LDAP_domain_name例:
psmith@hr.example.com|hr.example.com
- LDAPユーザーのユーザー・プリンシパル名。
例:
psmith@hr.example.com
- サポートされているいずれかの形式(次を参照)のLDAPユーザー名と、縦線(