Datenbank-Secret-Rotation ohne Wallet-Funktion

Berechtigungen

Für die Ausführung einer Funktion sind bestimmte IAM-Policys erforderlich.

Für die Funktion "Datenbank-Secret-Rotation ohne Wallet" müssen Sie eine dynamische Gruppe erstellen und eine IAM-Policy konfigurieren, damit der Secret-Rotationsdienst die Funktion aufrufen kann. Um die richtigen Policys festzulegen, gehen Sie wie folgt vor:

• Erstellen Sie eine dynamische Gruppe mit folgender Regel:

  resource.type='vaultsecret'

  Diese Regel enthält alle Vault Secrets in der dynamischen Gruppe. Mit einer restriktiveren Regel können Sie begrenzen, welches Vault Secret in der dynamischen Gruppe enthalten ist. Beispiel:

  resource.id='<secret-id>'

• Konfigurieren Sie eine IAM-Policy, mit der die in der dynamischen Gruppe enthaltenen Ressourcen Funktionen aufrufen können. Beispiel:

  Allow dynamic-group <vs-dynamic-group-name> to manage functions-family in tenancy

  Hinweis
  
  Ersetzen Sie <vs-dynamic-group-name> durch den Namen der dynamischen Gruppe, die Sie für das Vault Secret erstellt haben.

Wenn Sie außerdem beim Erstellen der Funktion die Option Dynamische Gruppe und IAM-Policy nicht erstellen ausgewählt haben, müssen Sie die dynamische Gruppe und die IAM-Policy selbst definieren, damit die Funktion Secrets verwalten kann. Um die richtigen Policys festzulegen, gehen Sie wie folgt vor:

• Erstellen Sie eine dynamische Gruppe mit folgender Regel:

  resource.type='fnfunc'

  Diese Regel enthält alle Funktionen in der dynamischen Gruppe. Sie können einschränken, welche Funktion in der dynamischen Gruppe enthalten ist, indem Sie eine restriktivere Regel verwenden. Beispiel:

  resource.id='<function-ocid>'

• Konfigurieren Sie eine IAM-Policy mit der dynamischen Gruppe:

  Allow dynamic-group <dynamic-group-name> to manage secret-family in tenancy

  Mit einer restriktiveren Policy können Sie begrenzen, welche Vault Secrets die Funktion verwalten kann. Beispiel:

  Allow dynamic-group <dynamic-group-name> to manage secret-family in compartment <compartment-name> where target.secret.id = "<secret-ocid>"

Diese Funktion wird aufgerufen

Die mit dieser PBF erstellte Funktion wird vom Secret Service aufgerufen, um das Secret zu rotieren.

1. Erstellen Sie eine Funktion mit dieser PBF, und kopieren Sie die Funktions-ID.
2. 1. Öffnen Sie das Navigationsmenü, wählen Sie Identität und Sicherheit und dann Vault aus.
   2. Wählen Sie unter Listengeltungsbereich ein Compartment mit den Secrets aus, die Sie in einem Vault erstellt haben.
   3. Wählen Sie in der Liste der Secrets einen Secret-Namen aus, den Sie mit dieser PBF rotieren müssen, oder erstellen Sie ein neues Secret.

      • Informationen zum Erstellen eines neuen Secrets finden Sie unter Secret erstellen.
      • Informationen zum Aktualisieren eines vorhandenen Secrets finden Sie unter Secret aktualisieren.
3. Wählen Sie Zielsystemtyp als Funktion für Rotationen aus.
4. Fügen Sie die aus Schritt 1 kopierte Funktions-ID als Zielsystem-ID hinzu.
5. Stellen Sie sicher, dass das Secret den folgenden Anforderungen entspricht:
   • Die erste Version des Secrets muss manuell erstellt werden. Wählen Sie Manuelle Secret-Generierung mit dem Secret-Inhalt im folgenden JSON-Format aus:

     {
      "username": "<required: username>",
      "password": "<required: password>",
      "connectionString": "<required: DB connection string>"
     }

   • Das Kennwort muss dasselbe Kennwort sein, das für die zu rotierende Datenbank festgelegt ist.
   • Nach der erfolgreichen Erstellung des Secrets muss Automatische Secret-Generierung aktiviert werden, damit nachfolgende Secret-Versionen vom Secret-Service automatisch generiert werden können.
   • Bearbeiten Sie das neu erstellte Secret, aktivieren Sie Automatische Secret-Generierung, und geben Sie den Secret-Inhalt im folgenden JSON-Format an:

     {
      "username": "<required: username>",
      "password": "%GENERATED_PASSPHRASE%",
      "connectionString": "<required: DB connection string>"
     }
     

   • Unter Automatische Secret-Generierung wird das Kennwort als %GENERATED_PASSPHRASE% angegeben, damit der Secret-Service das Kennwort in diesem Feld automatisch generieren kann.
   • Benutzername und Kennwort müssen eine Verbindung zur Datenbank im folgenden Format herstellen: jdbc:oracle:thin:@<connectionString>?user=<username>&password=<example-password>
   • Stellen Sie sicher, dass Sie die TLS-Verbindung verwenden.
     Hinweis
     
     Diese Funktion ist nicht mit der MTLS-Verbindung kompatibel.

Fehlersuche

Beispiel: Ein Logeintrag für die vordefinierte Funktion "Datenbank-Secret-Rotation ohne Wallet" sieht ungefähr wie folgt aus:

"PBF | Database Secret Rotation without Wallet | INFO | 2024-01-31T18:06:50.809Z | Fetching details from Events JSON"