Grundlegende Konfigurationsprobleme beheben

Das folgende Verfahren gilt für die Oracle Cloud Infrastructure-Konsole.

Problem: Ein Benutzer, der Mitglied der Administratorengruppe ist, hat über einen API-Schlüssel auf Ressourcen zugegriffen.

Grundlagen:

• API-Schlüssel sind Zugangsdaten, mit denen programmgesteuerter Zugriff auf Oracle Cloud Infrastructure erteilt wird.

• Aus Sicherheits- und Governance-Gründen sollten Benutzer nur Zugriff auf Ressourcen haben, mit denen sie interagieren müssen.

• Erstellen Sie für Personen, die Mitglieder der Administratorengruppe sind und die Zugriff auf Ressourcen über die API benötigen, einen weiteren Benutzer in IAM, dem Sie die API-Schlüssel zuordnen. Erteilen Sie dem Benutzer mit den API-Schlüsseln nur Berechtigungen für die Ressourcen, mit denen er programmgesteuert interagieren muss.

So erstellen Sie Benutzer, Gruppen und Policys mit eingeschränkten Berechtigungen:

Die folgenden Verfahren zeigen, wie Sie einen Beispielbenutzer mit eingeschränkten Berechtigungen einrichten. In diesem Beispiel muss der Benutzer Instanzen in einem bestimmten Compartment starten können.

-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAoTFqF...
...
-----END PUBLIC KEY——

Weitere Informationen:

• IAM sichern
• Funktionsweise von Policys und Allgemeine Policys
• Benutzerzugangsdaten verwalten
• Gruppen verwalten
• Benutzer verwalten

Problem: Eine Policy erteilt vollständige Verwaltungsberechtigungen für mindestens einen Service in einem Compartment oder im Mandanten.

Grundlagen:

• Der Zugriff auf Ressourcen wird über Policys gesteuert. Eine Policy ist ein Dokument, in dem angegeben ist, welche Personen auf welche Oracle Cloud Infrastructure-Ressourcen in Ihrem Unternehmen zugreifen können und wie. Eine Policy gestattet einer Gruppe , auf bestimmte Weise mit bestimmten Arten von Ressourcen  in einem bestimmten Compartment  zu arbeiten.
• Aus Sicherheits- und Governance-Gründen sollten Benutzer nur Zugriff auf die benötigten Ressourcen haben.
• Überlegen Sie genau, welche Zugriffsebene ein Benutzer benötigt. Die Policy-Sprache stellt eine Standardgruppe von Verben bereit (manage, use, read, inspect), mit denen Sie die Berechtigungen von Benutzern auf allgemeine Aufgaben ganz einfach begrenzen können. Beispiel: Wenn ein Benutzer Ressourcen aktualisieren, aber nicht erstellen oder löschen muss, gewähren Sie ihm anstelle der Berechtigung manage nur die Berechtigung use.

• Die Policy-Sprache ist so konzipiert, dass Sie einfache Anweisungen schreiben können, die nur Verben und Ressourcenarten umfassen, ohne die Berechtigungen in der Anweisung angeben zu müssen. Für eine genauere Zugriffskontrolle können Sie Bedingungen in Kombination mit Berechtigungen oder API-Vorgängen verwenden, um den Geltungsbereich des Zugriffs zu begrenzen, der von einem bestimmten Verb erteilt wird.

• Wenn möglich, begrenzen Sie den Zugriff auf bestimmte Compartments, auf die ein Benutzer Zugriff benötigt, anstatt Zugriff auf den gesamten Mandanten zu gewähren.

Tipps zum Schreiben von Policys mit möglichst geringen Berechtigungen:

Allow group <group_name> to <verb><resource-type> in tenancy

Allow group <group_name> to <verb><resource-type> in compartment <compartment_name>

Allow group <group_name> to manage <resource-type> in compartment <compartment_name>

Allow group <group_name> to use <resource-type> in compartment <compartment_name>

Allow group XYZ to manage groups in tenancy
                        
                        where any {request.permission='GROUP_INSPECT',
                        request.permission='GROUP_CREATE',
                        request.permission='GROUP_UPDATE'}

Allow group XYZ to manage groups in tenancy where request.permission != 'GROUP_DELETE'

Allow group XYZ to manage groups in tenancy
                        
                        where any {request.operation='ListGroups',  
                        request.operation='GetGroup',
                        request.operation='CreateGroup',
                        request.operation='UpdateGroup'}

Allow group XYZ to manage groups in tenancy
                        
                        where all {request.permission='GROUP_INSPECT',  
                        request.operation='ListGroups'}

Weitere Informationen:

• IAM sichern
• Funktionsweise von Policys und Allgemeine Policys
• Erweiterte Policy-Features
• Policys verwalten

Problem: Die API-Signaturschlüssel eines Benutzers sind älter als 90 Tage. Oracle empfiehlt, API-Schlüssel mindestens alle 90 Tage zu rotieren.

Grundlagen:

• API-Schlüssel sind Zugangsdaten, mit denen programmgesteuerter Zugriff auf Oracle Cloud Infrastructure erteilt wird.

• API-Schlüssel regelmäßig (mindestens alle 90 Tage) zu rotieren, ist eine Best Practice in der Sicherheitsentwicklung und eine Complianceanforderung.

• Testen Sie die neuen Schlüssel unbedingt, bevor Sie die alten Schlüssel deaktivieren.

Zum Generieren und Hochladen neuer API-Schlüssel:

openssl rsa -pubout -outform DER -in ~/.oci/oci_api_key.pem | openssl md5 -c

openssl rsa -pubout -outform DER -in \.oci\oci_api_key.pem | openssl md5 -c

Weitere Informationen:

• IAM sichern
• API-Signaturschlüssel

Problem: Einer anderen Gruppe als der Administratorengruppe wurden Administratorberechtigungen erteilt.

Grundlagen:

• Wenn einer Gruppe die Mandantenadministratorberechtigung (manage all-resources in tenancy) erteilt wird, haben die Mitglieder vollen Zugriff auf alle Ressourcen im Mandanten.
• Diese umfangreiche Berechtigung muss kontrolliert und ausschließlich auf Benutzer beschränkt werden, die sie zur Ausführung ihrer Funktion benötigen.
• Lassen Sie sich von Ihrem Oracle Cloud Infrastructure-Administrator bestätigen, dass diese Berechtigungserteilung sanktioniert wurde und dass die Mitgliedschaft der Gruppe nach Erteilung der Administratorberechtigung gültig bleibt.
• Anstatt eine alternative Gruppe mit Administratorberechtigungen zu erstellen, sollten Sie Benutzer, die Administratorberechtigungen benötigen, stattdessen zur Standardadministratorengruppe hinzufügen.

So beheben Sie dieses Problem:

Fügen Sie Benutzer, die Administratorberechtigungen benötigen, zur Administratorengruppe hinzu:

Entfernen Sie die Policy oder Policy-Anweisung, die der (Nicht-Administratoren-)Gruppe Administratorberechtigungen erteilt.

1. Öffnen Sie das Navigationsmenü , und wählen Sie Identität und Sicherheit aus. Wählen Sie unter Identität die Option Policys aus. Eine Liste der Policys im angezeigten Compartment wird angezeigt.

   Wenn die gesuchte Policy nicht angezeigt wird, stellen Sie sicher, dass Sie das richtige Compartment anzeigen. Um Policys anzuzeigen, die an ein anderes Compartment angehängt sind, wählen Sie unter Listengeltungsbereich dieses Compartment in der Liste aus.

2. Klicken Sie auf die Policy, die aktualisiert werden soll.

   Die Details und Anweisungen der Policy werden angezeigt.

3. Suchen Sie die Anweisung, die der Gruppe Administratorberechtigungen erteilt. Diese Policy sieht folgendermaßen aus:

   Allow group <group_name> to manage all-resources in tenancy
                       

   Klicken Sie auf das Aktionsmenü und dann auf Löschen.

4. Wenn die Policy keine anderen Anweisungen enthält, können Sie die Policy löschen, indem Sie neben dem Policy-Namen auf Löschen klicken.

Weitere Informationen:

• IAM sichern
• Policys verwalten

• Sicherheitslisten bieten zustandsbehaftete und zustandslose Firewallfunktionen, um den Netzwerkzugriff auf Ihre Instanzen zu kontrollieren.
• Eine Sicherheitsliste wird auf Subnetzebene konfiguriert und auf Instanzebene durchgesetzt.
• Sie können mehrere Sicherheitslisten mit einem Subnetz verknüpfen. Ein Paket wird zugelassen, wenn es mit einer Regel in einer der Sicherheitslisten übereinstimmt, die vom Subnetz verwendet werden.
• Wenn keine Ingress-(Inbound-)Regeln in den Sicherheitslisten des Subnetzes vorhanden sind, ist kein Traffic für die Instanzen in diesem Subnetz zulässig.
• Zur eingehenden Sicherheit muss in den Regeln der Ingress-Sicherheitsliste eine bestimmte bekannte Quelle angegeben werden, keine Open Source (0.0.0.0/0).
• Sie können eine Ausnahme in Oracle CASB Cloud Service konfigurieren, um Alerts von ausgenommenen Sicherheitslisten zu reduzieren.

Das folgende Verfahren gilt für die Oracle Cloud Infrastructure-Konsole.

• Sicherheitslisten bieten zustandsbehaftete und zustandslose Firewallfunktionen, um den Netzwerkzugriff auf Ihre Instanzen zu kontrollieren.
• Eine Sicherheitsliste wird auf Subnetzebene konfiguriert und auf Instanzebene durchgesetzt.
• Sie können mehrere Sicherheitslisten mit einem Subnetz verknüpfen. Ein Paket wird zugelassen, wenn es mit einer Regel in einer der Sicherheitslisten übereinstimmt, die vom Subnetz verwendet werden.
• Wenn keine Ingress-(Inbound-)Regeln in den Sicherheitslisten des Subnetzes vorhanden sind, ist kein Traffic für die Instanzen in diesem Subnetz zulässig.
• Zur eingehenden Sicherheit muss in den Regeln der Ingress-Sicherheitsliste eine bestimmte bekannte Quelle angegeben werden, keine Open Source (0.0.0.0/0).
• Sie können eine Ausnahme in Oracle CASB Cloud Service konfigurieren, um Alerts von ausgenommenen Sicherheitslisten zu reduzieren.

Das folgende Verfahren gilt für die Oracle Cloud Infrastructure-Konsole.

• Sicherheitslisten bieten zustandsbehaftete und zustandslose Firewallfunktionen, um den Netzwerkzugriff auf Ihre Instanzen zu kontrollieren.
• Eine Sicherheitsliste wird auf Subnetzebene konfiguriert und auf Instanzebene durchgesetzt.
• Sie können mehrere Sicherheitslisten mit einem Subnetz verknüpfen. Ein Paket wird zugelassen, wenn es mit einer Regel in einer der Sicherheitslisten übereinstimmt, die vom Subnetz verwendet werden.
• Wenn keine Ingress-(Inbound-)Regeln in den Sicherheitslisten des Subnetzes vorhanden sind, ist kein Traffic für die Instanzen in diesem Subnetz zulässig.
• Zur eingehenden Sicherheit muss in den Regeln der Ingress-Sicherheitsliste eine bestimmte bekannte Quelle angegeben werden, keine Open Source (0.0.0.0/0).
• Sie können eine Ausnahme in Oracle CASB Cloud Service konfigurieren, um Alerts von ausgenommenen Sicherheitslisten zu reduzieren.

Das folgende Verfahren gilt für die Oracle Cloud Infrastructure-Konsole.

Das folgende Verfahren gilt für die Oracle Cloud Infrastructure-Konsole.

Das folgende Verfahren gilt für die Oracle Cloud Infrastructure-Konsole.

1. Wählen Sie unter Load Balancer die Option Load Balancer aus.

   Die Listenseite Load Balancer wird geöffnet. Alle vorhandenen Load-Balancer-Ressourcen im ausgewählten Compartment werden in einer Listentabelle angezeigt.

2. Um die Ressourcen in einem anderen Compartment anzuzeigen, wechseln Sie mit dem Compartment-Filter zu Compartments.

   Sie müssen berechtigt sein, in einem Compartment zu arbeiten, um die darin enthaltenen Ressourcen anzuzeigen. Wenn Sie nicht sicher sind, welches Compartment zu verwenden ist, wenden Sie sich an einen Administrator. Weitere Informationen finden Sie unter Compartments.

3. Wählen Sie einen Status in der Liste aus, damit nur Load Balancer mit diesem Status angezeigt werden.
4. Wählen Sie den Load Balancer aus, für den Sie einen Listener erstellen möchten. Die Seite Details des Load Balancers wird angezeigt.
5. Wählen Sie unter Ressourcen die Option Listener aus. Die Liste Listener wird angezeigt. Alle Listener werden in tabellarischer Form aufgeführt.
6. Wählen Sie Listener erstellen aus. Das Dialogfeld Listener erstellen wird angezeigt.
7. Geben Sie folgende Werte an:
   • Name: Geben Sie einen benutzerfreundlichen Namen für den Listener ein. Der Name muss eindeutig sein und kann nicht geändert werden.
   • Hostname: (Optional) Wählen Sie bis zu 16 virtuelle Hostnamen für diesen Listener aus.
     Hinweis
     
     Um einen virtuellen Hostnamen auf einen Listener anzuwenden, muss der Name Teil der Konfiguration des Load Balancers sein. Wenn dem Load Balancer keine Hostnamen zugeordnet sind, können Sie auf der Seite Hostnamen einen Hostnamens erstellen. Weitere Informationen finden Sie unter Virtuelle Hostnamen für Load Balancer.
   • Protokoll: Geben Sie das zu verwendende Protokoll an: HTTP, HTTP/2, TCP oder HTTPS.
   • Port: Geben Sie den Port an, der auf eingehenden Traffic überwacht werden soll.
   • SSL verwenden: (Erforderlich für HTTP/2 und HTTPS, optional für HTTP und TCP) Aktivieren. Die folgenden Einstellungen sind erforderlich, um ein SSL-Zertifikats-Bundle mit dem Listener zu verknüpfen und das SSL-Handling zu aktivieren. Weitere Informationen zur Verwendung von SSL-Zertifikaten mit Load Balancern finden Sie unter SSL-Zertifikate für Load Balancer.

     Der Load Balancer erkennt Änderungen automatisch und verwendet in der SSL-Konfiguration die aktuelle Version der Certificates-Serviceentitys (Zertifikate, Certificate Authoritys und CA-Bundles). Weitere Informationen zu automatisierten Zertifikatrotationen finden Sie unter Zertifikate.

     • Zertifikatressource: Wählen Sie den Zertifikatressourcentyp aus der Liste aus:

       Die Importmethode für das Zertifikat hängt vom ausgewählten Zertifikatsressourcentyp ab.

       Von Zertifikatsservices verwaltetes Zertifikat: Wählen Sie das Zertifikat im angegebenen Compartment aus der Liste Zertifikat aus. Wählen Sie Compartment ändern aus, wenn Sie das Zertifikat aus einem anderen Compartment auswählen möchten.

       • Bei dieser Auswahl sind erweiterte Optionen verfügbar. Wählen Sie Erweiterte Optionen anzeigen aus, und wählen Sie die Registerkarte Erweiterte SSL aus. Diese Option wird später in diesem Thema beschrieben.
       • Von Load Balancer verwaltetes Zertifikat: Wählen Sie eine der folgenden Optionen aus, um das Zertifikat zu importieren:

         SSL-Zertifikatsdatei auswählen: Ziehen Sie die Zertifikatsdatei im PEM-Format in das Feld SSL-Zertifikat. Sie können auch die Option SSL-Zertifikat einfügen auswählen, um ein Zertifikat direkt in dieses Feld einzufügen. Wenn Sie ein selbstsigniertes Zertifikat für Backend-SSL weiterleiten, müssen Sie dasselbe Zertifikat auch im entsprechenden Feld für das CA-Zertifikat weiterleiten.

         Private Key angeben: (Für SSL-Beendigung erforderlich, optional für alle anderen) Aktivieren Sie das Kontrollkästchen, um einen Private Key für das Zertifikat anzugeben.

         Private-Key-Datei auswählen: Ziehen Sie den Private Key im PEM-Format in das Feld Private Key. Sie können auch die Option Private Key einfügen auswählen, um einen Private Key direkt in dieses Feld einzufügen.

         Private Key Passphrase eingeben: (Optional) Geben Sie die Private Key Passphrase ein.

       • Sitzungswiederaufnahme aktivieren: Wählen Sie diese Option aus, um die vorherige Verschlüsselungssession fortzusetzen, anstatt vor jeder Anforderung eine neue SSL-Verbindung abzuschließen. Die Aktivierung der Sessionwiederaufnahme verbessert die Performance, bietet jedoch eine geringere Sicherheitsebene. Deaktivieren Sie die Funktion, um vor jeder Anforderung eine neue SSL-Verbindung zu erzwingen. Durch das Deaktivieren der Wiederaufnahme einer Sitzung wird die Sicherheit verbessert, die Leistung wird jedoch reduziert.
     • Peerzertifikat verifizieren: (Optional) Wählen Sie diese Option aus, um die Peerzertifikatverifizierung zu aktivieren. Weitere Informationen finden Sie unter SSL-Zertifikate für Load Balancer.

       Die gegenseitige TLS (mTLS) wird für die Kommunikation zwischen einem Load Balancer und den Backend-Servern nicht unterstützt. Sie können mTLS für die Kommunikation zwischen Load Balancern und Benutzern verwenden.

     • Verifizierungstiefe: (Optional) Geben Sie die maximale Tiefe für die Zertifikatskettenverifizierung an. Weitere Informationen finden Sie unter SSL-Zertifikate für Load Balancer.
   • Backend-Set: Geben Sie das standardmäßige Backend-Set an, an das der Listener Traffic weiterleitet.
   • Inaktivitätstimeout in Sekunden: (Optional) Geben Sie die maximale Inaktivitätszeit in Sekunden an. Diese Einstellung gilt für die zulässige Zeit zwischen zwei aufeinanderfolgenden Empfangsvorgängen oder zwei aufeinanderfolgenden Sendevorgängen für Netzwerkeingaben/-ausgaben während der HTTP-Anforderungs-/Antwortphase. Der Höchstwert beträgt 7.200 Sekunden. Weitere Informationen finden Sie unter Load Balancer - Timeouteinstellungen für Verbindungen.
   • (Optional) Wählen Sie die Registerkarte Proxyprotokoll aus, um das Proxyprotokoll auf dem Load Balancer zu aktivieren und zu konfigurieren. Weitere Informationen zu dieser Funktion finden Sie unter Proxy Protocol.
     1. Wählen Sie Proxyprotokoll aktivieren aus, um diese Funktion zu aktivieren.
     2. Wählen Sie die gewünschte Proxyprotokollversion aus:
        • Version 1: Unterstützt ein menschenlesbares Headerformat (Text) und ist in der Regel eine einzelne Zeile eines Logeintrags. Verwenden Sie diese Option für das Debugging während der frühen Einführungsphase, wenn nur wenige Implementierungen vorhanden sind.
        • Version 2: Kombiniert die Unterstützung für den menschenlesbaren Header aus Version 1 mit einer binären Codierung des Headers, um die Effizienz beim Produzieren und Parsen zu erhöhen. Verwenden Sie diese Option für IPv6-Adressen, die im ASCII-Formular nur schwer generiert und geparst werden können. Version 2 unterstützt auch benutzerdefinierte Erweiterungen besser. Standardmäßig ist PP2 Type Authority als einzige verfügbare Version 2-Option ausgewählt.
   • Sie können entweder eine Routing-Policys oder ein Pfadroutenset auswählen.
     • Routing-Policy: (Optional) Geben Sie den Namen der Routing-Policy an, die für den Traffic dieses Listeners gilt.
     • Pfadroutenset: (Optional) Geben Sie den Namen des Sets pfadbasierter Routingregeln an, das für den Traffic dieses Listeners gilt.

       Um ein Path-Routenset auf einen Listener anzuwenden, muss das Pfad-Routenset Teil der Konfiguration des Load Balancers sein.

       Um ein Pfadroutenset aus einem vorhandenen Listener zu entfernen, wählen Sie unter Pfadroutenset die Option Kein Wert aus. Das Pfadroutenset bleibt für die Verwendung durch andere Listener auf diesem Load Balancer verfügbar.

   • Regelsets: (Optional) Wählen Sie ein Regelset aus, das für den Listener-Traffic gilt. Um ein Regelset auf einen Listener anzuwenden, muss das Set Teil der Load-Balancer-Konfiguration sein. Um ein Regelset aus der Liste zu entfernen, aktivieren Sie das entsprechende rote Kontrollkästchen. Das Regelset steht weiterhin für die Verwendung durch weitere Listener auf diesem Load Balancer zur Verfügung.
   • Erweiterte Optionen anzeigen: Wählen Sie diese Option aus, um die folgenden Optionen anzuzeigen:
     • Erweitertes SSL: (Nur vorhanden, wenn die Zertifikatsressource "Von Zertifikatsservice verwaltetes Zertifikat" ausgewählt ist.) Wählen Sie eine dieser Optionen aus, wenn Sie bei der Auswahl der Zertifikatsressource für den Listener die Option "Von Zertifikatsservice verwaltetes Zertifikat" ausgewählt haben.

       CA-Bundle: Wählen Sie das Certificate Authority Bundle im angegebenen Compartment aus der Liste aus. Wählen Sie Compartment ändern aus, wenn Sie das Certificate Authority Bundle aus einem anderen Compartment auswählen möchten.

       Certificate Authority: Wählen Sie die Certificate Authority im angegebenen Compartment aus der Liste aus. Wählen Sie Compartment ändern aus, wenn Sie das Certificate Authority Bundle aus einem anderen Compartment auswählen möchten.

     • TLS-Version: Geben Sie die Versionen (TLS) von Transport Layer Security an: 1.0, 1.1, 1.2 (empfohlen) und 1.3.

       Sie können Versionen in einer beliebigen Kombination auswählen. Wählen Sie die gewünschten Versionen aus der Liste aus. Wenn Sie die TLS-Versionen nicht angeben, ist die Standard-TLS nur Version 1.2.

       Cipher Suite auswählen: Wählen Sie ein Set von Cipher Suites aus der Liste aus (Standard). Jede Auswahlmöglichkeit in der Liste enthält mindestens ein Cipher, das mit jeder der ausgewählten TLS-Version verknüpft ist.

       Erstellen Sie ein SSL-Zertifikat mit dem Signaturalgorithmus, der auf den Cipher basiert, die für Ihre Sicherheits-Policy aktiviert sind.

     • Cipher-Suite-Details anzeigen: Wählen Sie diese Option aus, um die einzelnen Cipher Suites anzuzeigen, die in der ausgewählten Cipher Suite enthalten sind.
     • Voreinstellung für Serverreihenfolge: Wählen Sie Aktivieren aus, um den Serverciphern Vorrang vor dem Client zu geben.
8. Wählen Sie Listener erstellen aus.

Das folgende Verfahren gilt für die Oracle Cloud Infrastructure-Konsole.

1. Wählen Sie unter Load Balancer die Option Load Balancer aus.

   Die Listenseite Load Balancer wird geöffnet. Alle vorhandenen Load-Balancer-Ressourcen im ausgewählten Compartment werden in einer Listentabelle angezeigt.

2. Um die Ressourcen in einem anderen Compartment anzuzeigen, wechseln Sie mit dem Compartment-Filter zu Compartments.

   Sie müssen berechtigt sein, in einem Compartment zu arbeiten, um die darin enthaltenen Ressourcen anzuzeigen. Wenn Sie nicht sicher sind, welches Compartment zu verwenden ist, wenden Sie sich an einen Administrator. Weitere Informationen finden Sie unter Compartments.

3. Wählen Sie einen Status in der Liste aus, damit nur Load Balancer mit diesem Status angezeigt werden.
4. Wählen Sie den Load Balancer aus, dem Sie ein Backend-Set hinzufügen möchten. Die Seite Details des Load Balancers wird angezeigt.
5. Wählen Sie unter Ressourcen die Option Backend-Sets aus. Die Liste Backend-Sets wird angezeigt. Alle Backend-Sets werden in tabellarischer Form aufgeführt.
6. Wählen Sie Backend-Set erstellen aus. Das Dialogfeld Backend-Set erstellen wird angezeigt.

7. Geben Sie folgende Werte an:

   • Name: Geben Sie einen Anzeigenamen für das Backend-Set ein. Er muss im Load Balancer eindeutig sein und kann nicht geändert werden. Gültige Backend-Set-Namen umfassen nur alphanumerische Zeichen, Bindestriche und Unterstriche. Backend-Setnamen dürfen keine Leerzeichen enthalten.
   • Verteilungs-Policy für Traffic: Wählen Sie die Load Balancer Policy für das Backend-Set aus. Folgende Optionen sind verfügbar:
     • IP-Hash
     • Least Connections
     • Gewichtetes Round-Robin

     Ein Backend-Server, der als Backup markiert ist, kann nicht zu einem Backend-Set hinzugefügt werden, das die Policy "IP-Hash" verwendet. Weitere Informationen zu diesen Policys finden Sie unter Load Balancer Policys.

   • SSL verwenden: Wählen Sie diese Option aus, um eine SSL-Zertifikatsressource mit dem Backend-Set zu verknüpfen.

     Der Load Balancer erkennt Änderungen automatisch und verwendet in der SSL-Konfiguration die aktuelle Version der Certificates-Serviceentitys (Zertifikate, Certificate Authoritys und CA-Bundles). Weitere Informationen zu automatisierten Zertifikatrotationen finden Sie unter Zertifikate.

     Wenn dem Load Balancer keine Zertifikatsressourcen zugeordnet sind, ist diese Option deaktiviert.

     Zertifikatressource: Wählen Sie den Zertifikatressourcentyp aus der Liste aus:

     Die Importmethode für das Zertifikat hängt vom ausgewählten Zertifikatsressourcentyp ab. Informationen zur Verwendung von SSL-Zertifikaten durch Load Balancer finden Sie unter SSL-Zertifikate für Load Balancer.

     Allgemeine Informationen zur Verwendung von SSL mit der Web Application Firewall Policy finden Sie unter Zertifikate.

     • Von Zertifikatsservice verwaltetes Zertifikat

       Wählen Sie die Option CA-Bundle oder Certificate Authority aus, und wählen Sie dann Ihre Auswahl aus der zugehörigen Liste aus. Wählen Sie Compartment ändern aus, wenn Sie das CA-Bundle oder die Certificate Authority aus einem anderen Compartment auswählen möchten.

       Bei dieser Auswahl sind erweiterte Optionen verfügbar. Wählen Sie Erweiterte Optionen anzeigen aus, und wählen Sie die Registerkarte Erweiterte SSL aus. Diese Option wird später in diesem Thema beschrieben.

     • Von Load Balancer verwaltetes Zertifikat: Wählen Sie eine der folgenden Optionen aus, um das Zertifikat zu importieren:

       SSL-Zertifikatsdatei auswählen: Ziehen Sie die Zertifikatsdatei im PEM-Format in das Feld SSL-Zertifikat. Sie können auch die Option SSL-Zertifikat einfügen auswählen, um ein Zertifikat direkt in dieses Feld einzufügen.

       Wenn Sie ein selbstsigniertes Zertifikat für Backend-SSL weiterleiten, müssen Sie dasselbe Zertifikat auch im entsprechenden Feld für das CA-Zertifikat weiterleiten.

       Private Key angeben: (Für SSL-Beendigung erforderlich.) Wählen Sie diese Option, um einen Private Key für das Zertifikat anzugeben.

       Private-Key-Datei auswählen: Ziehen Sie den Private Key im PEM-Format in das Feld Private Key.

       Private Key Passphrase eingeben: Geben Sie die Private Key Passphrase ein. Alternativ können Sie die Option Private Key einfügen auswählen, um einen Private Key direkt in dieses Feld einzufügen.

       Peerzertifikat verifizieren: Wählen Sie diese Option aus, um die Peerzertifikatverifizierung zu aktivieren. Weitere Informationen finden Sie unter SSL-Zertifikate für Load Balancer.

       Überprüfungstiefe: Optional. Geben Sie die maximale Tiefe für die Zertifikatskettenverifizierung an. Weitere Informationen finden Sie unter SSL-Zertifikate für Load Balancer.

   • Sessionpersistenz: Geben Sie an, wie der Load Balancer Sessionpersistenz verwaltet. Wichtige Informationen zur Konfiguration dieser Einstellungen finden Sie unter Load Balancer - Sessionpersistenz.
     • Sessionpersistenz deaktivieren: Wählen Sie diese Option aus, um cookiebasierte Sessionpersistenz zu deaktivieren.
     • Anwendungscookiepersistenz aktivieren: Wählen Sie diese Option aus, um persistente Sessions von einem einzelnen logischen Client zu aktivieren, wenn die Antwort von einem Backend-Anwendungsserver einen Set-cookie-Header mit dem angegebenen Cookienamen enthält.
       • Cookiename: Der Name des Cookies, mit dem die Sessionpersistenz aktiviert wird. Geben Sie für beliebige Cookienamen * an.
       • Fallback deaktivieren: Aktivieren Sie dieses Kontrollkästchen, um Fallback zu deaktivieren, wenn der ursprüngliche Server nicht verfügbar ist.
     • Load-Balancer-Cookiepersistenz aktivieren: Wählen Sie diese Option aus, um persistente Sessions basierend auf einem Cookie zu aktivieren, das vom Load Balancer eingefügt wurde.
       • Cookiename: Geben Sie den Namen des Cookies an, mit dem die Sessionpersistenz aktiviert wird. Wenn dieses Feld leer ist, lautet der Standardcookiename X-Oracle-BMC-LBS-Route.

         Stellen Sie sicher, dass sich alle Cookienamen, die auf den Backend-Anwendungsservern verwendet werden, von dem Cookienamen unterscheiden, der im Load Balancer verwendet wird.

       • Fallback deaktivieren: Aktivieren Sie dieses Kontrollkästchen, um Fallback zu deaktivieren, wenn der ursprüngliche Server nicht verfügbar ist.
       • Domainname:: Geben Sie die Domain an, in der das Cookie gültig ist.

         Für dieses Attribut gibt es keinen Standardwert. Wenn Sie keinen Wert angeben, fügt der Load Balancer das Domainattribut nicht in den Set-cookie-Header ein.

       • Pfad: Geben Sie den Pfad an, in dem das Cookie gültig ist. Der Standardwert lautet /.
       • Ablaufzeit in Sekunden: Geben Sie an, wie lange das Cookie gültig ist. Wenn dieses Feld leer ist, läuft das Cookie am Ende der Clientsession ab.
       • Attribute

         Sicher: Geben Sie an, ob der Set-cookie-Header das Attribut Secure enthalten muss. Wenn diese Option aktiviert ist, sendet der Client das Cookie nur mit einem sicheren Protokoll.

         Wenn Sie diese Einstellung aktivieren, können Sie das entsprechende Backend-Set nicht mit einem HTTP-Listener verknüpfen.

         Nur HTTP: Geben Sie an, ob der Set-cookie-Header das Attribut HttpOnly enthalten soll. Wenn diese Option aktiviert ist, ist das Cookie auf HTTP-Anforderungen beschränkt. Der Client überspringt das Cookie, wenn er Zugriff auf Cookies über Nicht-HTTP-APIs wie JavaScript-Kanäle bereitstellt.

   • Health Check: Geben Sie die Testparameter an, um den Zustand der Backend-Server zu bestätigen.
     • Protokoll: Geben Sie das zu verwendende Protokoll an, entweder HTTP oder TCP. Konfigurieren Sie Ihr Health-Check-Protokoll so, dass es Ihrer Anwendung oder Ihrem Service entspricht. Weitere Informationen finden Sie unter Health Checks für Load Balancer.
     • Port: (Optional) Geben Sie den Backend-Serverport an, für den der Health Check ausgeführt werden soll. Sie können den Wert "0" eingeben, damit der Health Check den Trafficport des Backend-Servers verwendet.
     • Health Checks im Klartext erzwingen: (Nur HTTP) (Optional) Aktivieren Sie diese Option, um den Health Check ohne SSL an den Backend-Server zu senden. Diese Option ist nur verfügbar, wenn das Protokoll des Backend-Servers auf HTTP gesetzt ist. Dies hat keine Auswirkung, wenn für den Backend-Server SSL nicht aktiviert ist. Wenn SSL deaktiviert ist, sind Health Checks immer Klartext.
     • Intervall in Millisekunden: (Optional) Geben Sie an, wie oft der Health Check in Millisekunden ausgeführt werden soll. Der Standardwert ist 10000 (10 Sekunden).
     • Timeout in Millisekunden: (Optional) Geben Sie die maximale Wartezeit in Millisekunden für eine Antwort auf einen Health Check an. Ein Health Check ist nur erfolgreich, wenn eine Antwort innerhalb dieses Timeoutzeitraums zurückgegeben wird. Der Standardwert ist 3000 (3 Sekunden).
     • Anzahl Versuche: (Optional) Geben Sie die Anzahl der Versuche an, bevor ein Backend-Server als "fehlerhaft" betrachtet wird. Dieser Wert gilt auch, wenn der "fehlerfreie" Status eines Servers wiederhergestellt wird. Der Standardwert ist "3".
     • Statuscode: (Nur HTTP) (Optional) Geben Sie den Statuscode an, der von einem fehlerfreien Backend-Server zurückgegeben werden muss.
     • URL-Pfad (URI): (Nur HTTP) Geben Sie einen URL-Endpunkt an, für den der Health Check ausgeführt werden soll.
     • Regex für Antwortbody: (Nur HTTP) (Optional) Geben Sie einen regulären Ausdruck zum Parsing des Antwortbody vom Backend-Server an.
   • Erweiterte Optionen anzeigen: Wählen Sie diesen Link aus, um weitere Optionen aufzurufen. Wählen Sie die Registerkarte für die entsprechende Funktionalität aus:
     • Registerkarte Erweitertes SSL: (Nur vorhanden, wenn die Zertifikatsressource "Von Zertifikatsservice verwaltetes Zertifikat" ausgewählt ist.) Wählen Sie eine dieser Optionen aus, wenn Sie bei der Auswahl der Zertifikatsressource für den Listener die Option "Von Zertifikatsservice verwaltetes Zertifikat" ausgewählt haben. Informationen zur Verwendung von SSL-Zertifikaten durch Load Balancer finden Sie unter SSL-Zertifikate für Load Balancer.

       CA-Bundle: Wählen Sie das Certificate Authority Bundle im angegebenen Compartment aus der Liste aus. Wählen Sie Compartment ändern aus, wenn Sie das Certificate Authority Bundle aus einem anderen Compartment auswählen möchten.

       Certificate Authority: Wählen Sie die Certificate Authority im angegebenen Compartment aus der Liste aus. Wählen Sie Compartment ändern aus, wenn Sie das Certificate Authority Bundle aus einem anderen Compartment auswählen möchten.

     • TLS-Version: Optional. Geben Sie die Transport Layer Security-(TLS-)Versionen an: 1.0, 1.1, 1.2 (empfohlen) und 1.3

       Sie können Versionen in einer beliebigen Kombination auswählen. Wählen Sie die gewünschten Versionen aus der Liste aus. Wenn Sie die TLS-Versionen nicht angeben, ist die Standard-TLS nur Version 1.2.

       Cipher Suite auswählen: Wählen Sie ein Set von Cipher Suites aus der Liste aus. Jede Auswahlmöglichkeit in der Liste enthält mindestens ein Cipher, das mit jeder der ausgewählten TLS-Version verknüpft ist.

8. Wählen Sie Erstellen.

Das folgende Verfahren gilt für die Oracle Cloud Infrastructure-Konsole.

1. Aktualisieren Sie Ihren Client oder Backend-Server, um mit einem neuen Zertifikats-Bundle zu arbeiten.
   Hinweis
   
   Die Schritte zur Aktualisierung des Clients oder Backend-Servers unterscheiden sich je nach System.
2. Neues SSL-Zertifikats-Bundle in den Load Balancer hochladen:
   1. Wählen Sie unter Load Balancer die Option Load Balancer aus. Die Seite Load Balancer wird angezeigt.
   2. Wählen Sie den Namen des Compartments aus, das den zu ändernden Load Balancer enthält, und wählen Sie dann den Namen des Load Balancers aus.
   3. Wählen Sie den Load Balancer aus, den Sie konfigurieren möchten. Die Seite Details des Load Balancers wird angezeigt.
   4. Wählen Sie unter Ressourcen die Option Zertifikate aus. Die Liste Zertifikate wird angezeigt. Alle Zertifikate werden tabellarisch aufgelistet.
   5. Geben Sie folgende Werte an:
      • Zertifikatsname: Geben Sie einen benutzerfreundlichen Namen für das Zertifikat-Bundle ein. Er muss im Load Balancer eindeutig sein und kann in der Konsole nicht geändert werden. (Er kann über die API geändert werden.)
      • SSL-Zertifikatsdatei auswählen: Ziehen Sie die Zertifikatsdatei im PEM-Format in das Feld SSL-Zertifikat.

        Sie können auch die Option SSL-Zertifikat einfügen auswählen, um ein Zertifikat direkt in dieses Feld einzufügen.

        Wichtig
        
        Wenn Sie ein selbstsigniertes Zertifikat für Backend-SSL übermitteln, müssen Sie dasselbe Zertifikat im entsprechenden Feld für das CA-Zertifikat übermitteln.
      • CA-Zertifikat angeben: (Wird für Konfigurationen zur Backend-SSL-Beendigung empfohlen.) Wählen Sie diese Option aus, um ein CA-Zertifikat anzugeben.
        • CA-Zertifikatdatei auswählen: Ziehen Sie die CA-Zertifikatdatei im PEM-Format in das Feld CA-Zertifikat.

          Sie können auch die Option CA-Zertifikat einfügen auswählen, um ein Zertifikat direkt in dieses Feld einzufügen.

      • Private Key angeben: (Für SSL-Beendigung erforderlich.) Wählen Sie diese Option, um einen Private Key für das Zertifikat anzugeben.
        • Private-Key-Datei auswählen: Ziehen Sie den Private Key im PEM-Format in das Feld Private Key.

          Sie können auch die Option Private Key einfügen auswählen, um einen Private Key direkt in dieses Feld einzufügen.

        • Private Key Passphrase eingeben: (Optional) Geben Sie die Private Key Passphrase ein.
   6. Wählen Sie Zertifikat hinzufügen aus. Bearbeiten Sie als Nächstes alle anwendbaren Listener oder Backend-Sets (nach Bedarf), sodass sie das neue Zertifikat-Bundle verwenden:

3. Listener bearbeiten:

   1. Wählen Sie unter Load Balancer die Option Load Balancer aus.
   2. Wählen Sie das Compartment aus, das den gewünschten Load Balancer enthält, und wählen Sie dann den Namen des Load Balancers aus.
   3. Wählen Sie unter Ressourcen die Option Listener aus. Die Liste Listener wird angezeigt. Alle Listener werden in tabellarischer Form aufgeführt.
   4. Wählen Sie das Aktionsmenü neben dem Listener, den Sie bearbeiten möchten, und dann Listener bearbeiten aus.
   5. Wählen Sie aus der Liste Zertifikatname das neue Zertifikats-Bundle aus.
   6. Klicken Sie auf Weiterleiten.
4. Backend-Set bearbeiten:
   Wichtig
   
   Beim Aktualisieren des Backend-Sets wird dem Traffic vorübergehend unterbrochen. Aktive Verbindungen können dabei verlorengehen.
   1. Wählen Sie unter Load Balancer die Option Load Balancer aus.

      Die Listenseite Load Balancer wird geöffnet. Alle vorhandenen Load-Balancer-Ressourcen im ausgewählten Compartment werden in einer Listentabelle angezeigt.

   2. Um die Ressourcen in einem anderen Compartment anzuzeigen, wechseln Sie mit dem Compartment-Filter zu Compartments.

      Sie müssen berechtigt sein, in einem Compartment zu arbeiten, um die darin enthaltenen Ressourcen anzuzeigen. Wenn Sie nicht sicher sind, welches Compartment zu verwenden ist, wenden Sie sich an einen Administrator. Weitere Informationen finden Sie unter Compartments.

   3. Wählen Sie einen Status in der Liste aus, damit nur Load Balancer mit diesem Status angezeigt werden.
   4. Wählen Sie den Load Balancer aus, das Sie bearbeiten möchten. Die Seite Details des Load Balancers wird angezeigt.
   5. Wählen Sie unter Ressourcen die Option Backend-Sets aus. Die Liste Backend-Sets wird angezeigt. Alle Backend-Sets werden in tabellarischer Form aufgeführt.
   6. Wählen Sie den Namen des Backend-Sets aus, das Sie bearbeiten möchten. Die Seite Details des Backend-Sets wird angezeigt.
   7. Wählen Sie Backend-Set bearbeiten aus. Das Dialogfeld Backend-Set bearbeiten wird angezeigt.
   8. Wählen Sie SSL verwenden aus.
   9. Wählen Sie aus der Liste Zertifikatname das neue Zertifikats-Bundle aus.
   10. Wählen Sie Änderungen speichern aus.

5. (Optional) Ablaufendes SSL-Zertifikats-Bundle entfernen.

   Hinweis
   
   Sie können kein SSL-Zertifikats-Bundle löschen, das mit einem Listener oder Backend-Set verknüpft ist. Entfernen Sie das Bundle aus jeglichen anderen Listenern oder Backend-Sets, bevor Sie das Bundle löschen.
   1. Wählen Sie unter Load Balancer die Option Load Balancer aus.
   2. Wählen Sie den Namen des Compartments aus, das den zu ändernden Load Balancer enthält, und wählen Sie dann den Namen des Load Balancers aus.
   3. Wählen Sie den Load Balancer aus, den Sie konfigurieren möchten.
   4. Wählen Sie im Menü Ressourcen die Option Zertifikate.
   5. Wählen Sie für das zu löschende Zertifikat das Menü "Aktionen" aus, und wählen Sie Löschen aus.
   6. Bestätigen Sie den Vorgang, wenn Sie dazu aufgefordert werden.

Das folgende Verfahren gilt für die Oracle Cloud Infrastructure-Konsole.

1. Wählen Sie auf der Listenseite Buckets den Objektspeicher-Bucket aus, mit dem Sie arbeiten möchten. Wenn Sie Hilfe bei der Suche nach der Listenseite oder dem Objektspeicher-Bucket benötigen, finden Sie weitere Informationen unter Objektspeicher-Buckets auflisten.

2. Suchen Sie auf der Detailseite des Buckets nach Sichtbarkeit, und wählen Sie Bearbeiten aus.

3. Wählen Sie Öffentlich oder Privat aus.

   Wenn Sie Öffentlich auswählen, um den öffentlichen Zugriff zu aktivieren, legen Sie fest, ob Benutzer den Bucket-Inhalt auflisten dürfen. Um die Sichtbarkeit von Bucket-Objektlisten festzulegen, wählen Sie Zulassen, dass Benutzer Objekte aus diesem Bucket auflisten.

4. Wählen Sie Änderungen speichern aus.