自带密钥 (Bring Your Own Key, BYOK) 概览

主要功能

• 保持对加密密钥的完全控制
• 使用 OCI Vault 进行安全密钥管理
• 将外部生成的密钥导入到 OCI Vault 中
• 根据合规性和法规要求进行加密
• 集中管理和审核加密密钥

设置 BYOK

开始之前，请确保为您的环境启用了 Oracle Break Glass（紧急访问）。

要设置 BYOK：

1. 提交在您的环境中启用 BYOK 的服务请求 (Service Request, SR)。请参阅《运维指南》中的“创建启用自带密钥 (Bring Your Own Key, BYOK) 的请求”
2. 从 SR 获取以下 OCID：
   • EPM 云租户 OCID
   • 数据库动态组 OCID
   • 实例主体动态组 OCID
3. 创建 OCI Vault 或选择现有 Vault。
4. 对于每个租户的每个区域，执行以下操作：
   • 在 Vault 中创建或导入一个加密密钥以用于生产环境。
   • 在 Vault 中创建或导入另一个加密密钥以用于测试环境。
5. 使用提供的 OCID 创建 IAM 策略。
6. 对于每个租户的每个区域，执行以下操作：
   • 将为相应区域和租户创建或导入的测试密钥分配给一个测试环境。此区域和租户中的所有测试环境都使用相同的测试密钥。
   • 将为相应区域和租户创建或导入的生产密钥分配给一个生产环境。该区域和租户中的所有生产环境都使用相同的生产密钥。

注意事项

• 对于每个租户的每个区域，为每个环境类型（测试和生产）提供一个 Vault 和密钥组合。

  示例：如果您有两个租户，每个租户在两个区域中有四个生产环境和四个测试环境，则需要：

  • 4 个生产密钥（每个租户的每个区域一个）
  • 4 个测试密钥（每个租户的每个区域一个）

  合计：8 个密钥

• 创建新环境后，提交新 SR 来为该环境启用 BYOK。
• 如果环境属于您已配置 BYOK 的现有租户和区域，则无需创建或配置新密钥。