Vom Kunden verwaltete Schlüssel für Oracle Break Glass

Wir empfehlen, eine separate Sicherheitsadministratorgruppe zu erstellen, um die Zugriffsrechte auf die Sicherheitsfeatures Ihrer Fusion Applications-Umgebungen einzuschränken.

Mit dieser Policy für die Sicherheitsadministratorgruppe kann die Gruppe Vaults und Schlüssel verwalten, das Löschen jedoch nicht zulässig ist. Die Policy lautet:

allow group '<identity-domain-name'/'<your-group-name>' to manage keys in <location> where request.permission not in ('KEY_DELETE')
allow group '<identity-domain-name'/'<your-group-name>' to manage vaults in <location> where request.permission not in ('VAULT_DELETE')
 

Unter Oracle Cloud-Benutzer mit bestimmten Funktionen verwalten finden Sie die Verfahren zum Erstellen der Gruppen und Policys, mit denen Rollen definiert werden. Dazu gehören die spezifischen erforderlichen Berechtigungen für die Sicherheitsadministratorrolle.

So fügen Sie die Berechtigungen für den Fusion Applications-Administrator hinzu

1. Informationen zum Erstellen der Fusion Applications-Administratorrolle finden Sie unter Oracle Cloud-Benutzer mit bestimmten Funktionen verwalten.
2. Fügen Sie die folgenden Anweisungen zur Rolle Fusion Applications-Umgebungsadministrator hinzu, falls noch nicht vorhanden:

   
   Allow group '<identity-domain-name'/'<your-group-name>' to read vaults in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to read keys in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to use key-delegate in compartment <location>
                                   

Stellen Sie sicher, dass Sie alle <location>-Variablen durch den Namen des Compartments ersetzen, in dem der Vault und die Schlüssel erstellt wurden.

Erstellen Sie eine Policy in der OC1-Realm mit den folgenden Anweisungen:

define tenancy fusionapps1 as ocid1.tenancy.oc1..aaaaaaaau5s6lj67ia5vy6qjglhvquqdszjqlmvlmsetu4jrtjni4mng6hea
define tenancy fusionapps2 as ocid1.tenancy.oc1..aaaaaaaajgaoycccrtt3l3vnnlave6wkc2zbf6kkksq66begstczxrmxjlia
define dynamic-group fusionapps1_environment as ocid1.dynamicgroup.oc1..aaaaaaaa5wcbybhxa5vqcvniefoihlvnidty4fk77fitn2hjhd7skhzaadqq
define dynamic-group fusionapps2_environment as ocid1.dynamicgroup.oc1..aaaaaaaaztbusgx23a3jdpvgxqx6tkv2nedgxld6pj3w7hcvhfzvw5ei7fiq
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to manage keys in tenancy
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to use vaults in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to manage keys in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to use vaults in tenancy
allow service keymanagementservice to manage vaults in tenancy
allow any-user to read keys in tenancy where all {request.principal.type = 'fusionenvironment'}
allow any-user to read vaults in tenancy where all {request.principal.type = 'fusionenvironment'}

Befolgen Sie die Anweisungen unter Vault erstellen in der Vault-Dokumentation. Informationen zum Erstellen eines externen Vaults finden Sie unter External Key Management Service.

Wir empfehlen, 2 Vaults zu erstellen: einen für die Produktionsumgebungsschlüssel und einen für die Nicht-Produktionsumgebungsschlüssel.

Nach dem Erstellen der Vaults replizieren Sie den Vault, den Sie für die Produktionsumgebung erstellt haben. Der replizierte Vault wird für Disaster Recovery verwendet.

1. Prüfen Sie das Pairing der Disaster-Recovery-Region für die Region, in der sich die Fusion Applications-Produktionsumgebung befindet. Eine Liste der Regionspaare finden Sie unter Disaster Recovery-Unterstützung.
2. Abonnieren Sie die Region, die als Paarung für Ihre Region aufgeführt ist. Informationen zum Abonnieren einer Region finden Sie unter Infrastrukturregionen abonnieren.
3. Replizieren Sie den Vault, den Sie für Ihre Produktionsumgebung erstellt haben, indem Sie die Schritte unter Vaults und Schlüssel replizieren befolgen. Wenn Sie die Zielregion für die Replikation auswählen, müssen Sie die Disaster-Recovery-Region auswählen, die Sie im vorherigen Schritt abonniert haben.

Befolgen Sie die Schritte unter Masterverschlüsselungsschlüssel erstellen in der Vault-Dokumentation, oder führen Sie zum Importieren Ihrer eigenen Schlüssel die Schritte unter Schlüssel und Schlüsselversionen importieren aus.

Im HSM-(Hardwaresicherheitsmodul-)Schlüsselschutzmodus werden Ihre Verschlüsselungsschlüssel in FIPS 140-2 Level 3-zertifizierten Hardwaresicherheitsmodulen gespeichert und geschützt.

Um Schlüssel für Fusion Applications zu erstellen, müssen Sie folgende Optionen auswählen:

• Wählen Sie unter Schlüsselausprägung: Algorithmus die Option AES (Symmetrischer Schlüssel zum Verschlüsseln und Entschlüsseln aus. (Sie müssen diese Option für vom Kunden verwaltete Fusion Applications-Schlüssel auswählen.)
• Wählen Sie unter Schlüsselform: Länge die Option 256 Bit aus.

Es wird empfehlen, einen Schlüssel im Produktions-Vault für Ihre Produktionsumgebung und einen Schlüssel für jede Nicht-Produktionsumgebung im Nicht-Produktions-Vault zu erstellen.

Nachdem Sie den Vault und die Schlüsseln erstellt haben, geben Sie dem Fusion Applications-Administrator die Namen des Vaults und des Vaults und des Schlüsselnamens (und falls abweichend, den Namen des Schlüssel-Compartments) an.

Diese Prozedur umfasst nur die Schritte zum Aktivieren des vom Kunden verwalteten Schlüssels. Eine vollständige Prozedur zum Erstellen einer Umgebung finden Sie unter Aufgaben der Umgebungsverwaltung.

Gehen Sie auf der Seite zum Erstellen der Umgebung wie folgt vor:

1. Blenden Sie unter Erweiterte Optionen den Abschnitt Verschlüsselung ein.
2. Wählen Sie Vom Kunden verwalteter Schlüssel (empfohlen) aus.

   Wenn diese Option nicht angezeigt wird, wurde das Abonnement der Umgebungsfamilie nicht hinzugefügt.

3. Vergewissern Sie sich, dass die Policys erstellt wurden.
4. Wählen Sie den Vault.

   Wenn sich der Vault nicht in demselben Compartment befindet, in dem Sie die Umgebung erstellen, wählen Sie das entsprechende Compartment aus.

5. Wählen Sie den Schlüssel.

   Wenn sich der Schlüssel nicht in demselben Compartment befindet, in dem Sie die Umgebung erstellen, wählen Sie das entsprechende Compartment aus. Nur AES-256-Bit-Schlüssel werden angezeigt.

Nachdem Sie alle Schritte zum Einrichten der Umgebung ausgeführt haben, beginnt der Provisioning-Prozess. Durch Hinzufügen des vom Kunden verwalteten Schlüssels wird die Dauer des Provisioning-Prozesses verlängert. Während der Aktivierung des Schlüssels wird eine Meldung mit einem Hinweis angezeigt, dass die Umgebung nicht verfügbar ist.

So aktivieren Sie einen vom Kunden verwalteten Schlüssel für eine vorhandene Umgebung:

1. Wählen Sie auf der Listenseite Umgebungen die Umgebung aus, mit der Sie arbeiten möchten. Wenn Sie Hilfe beim Suchen der Listenseite benötigen, finden Sie weitere Informationen unter So listen Sie Umgebungen auf.

2. Wählen Sie auf der Detailseite der Umgebung die Option Sicherheit aus.
3. Unter Verschlüsselung wird der Typ standardmäßig von Oracle verwaltet. Wählen Sie Verschlüsselung bearbeiten aus, um Ihren Vault und Schlüssel hinzuzufügen.

   Wenn die Bearbeitungsoption nicht angezeigt wird, haben Sie entweder die entsprechenden Optionen nicht hinzugefügt oder die Umgebung wird aktualisiert.

4. Wählen Sie Vom Kunden verwalteter Schlüssel (empfohlen) aus.
5. Vergewissern Sie sich, dass die Policys erstellt wurden.
6. Wählen Sie den Vault.

   Wenn sich der Vault nicht in demselben Compartment befindet, in dem Sie die Umgebung erstellen, wählen Sie das entsprechende Compartment aus.

   Wenn Sie Disaster Recovery (DR) verwenden, müssen Sie einen Vault auswählen, der die Replikation unterstützt. Alle privaten Vaults unterstützen die Replikation. Informationen zum Ermitteln, ob ein virtueller Vault die Replikation unterstützt, finden Sie unter Vaults und Schlüssel replizieren.

7. Wählen Sie den Schlüssel.

   Wenn sich der Schlüssel nicht in demselben Compartment befindet, in dem Sie die Umgebung erstellen, wählen Sie das entsprechende Compartment aus. Nur AES-256-Bit-Schlüssel werden angezeigt.

8. Wählen Sie unter Aktualisierungsplan für Verschlüsselung das Zeitfenster aus, in dem das Update für die Verschlüsselungsverwaltung beginnen soll. Es werden bis zu drei Daten angezeigt.
9. Wählen Sie Weiterleiten aus, um das Update anzufordern, das vom Kunden verwaltete Schlüssel in Ihrer Umgebung ermöglicht.

In der Meldung unten im Fenster wird angezeigt, wann die Verschlüsselung planmäßig stattfinden soll. Die Verschlüsselung wird während des angegebenen Zeitfensters ausgeführt. Bis zur Aktualisierung bleibt die Umgebung mit dem von Oracle verwalteten Schlüssel verschlüsselt.

1. Wählen Sie auf der Listenseite Umgebungen die Umgebung aus, mit der Sie arbeiten möchten. Wenn Sie Hilfe beim Suchen der Listenseite benötigen, finden Sie weitere Informationen unter So listen Sie Umgebungen auf.

2. Wählen Sie auf der Detailseite der Umgebung die Option Sicherheit aus.
3. Suchen Sie unter Verschlüsselung die Zeile Vom Kunden verwaltet. Wählen Sie das Menü Aktionen (drei Punkte), und wählen Sie Neu planen oder Abbrechen.
4. Nur neu planen: Wenn Sie die Aktualisierung für vom Kunden verwaltete Schlüssel neu planen, wählen Sie ein neues Datum und dann Weiterleiten.
   Hinweis
   
   Stellen Sie sicher, dass die Zeit, die Sie für die Aktualisierung auswählen, nicht mit anderen wichtigen Umgebungsaktivitäten wie einem Aktualisierungsvorgang in Konflikt steht. Bei Aktualisierungsvorgängen bedeutet dies, dass weder die Quell- noch die Zielumgebung für vom Kunden verwaltete Schlüssel aktualisiert werden können, während die Aktualisierung stattfindet.

   Nur abbrechen: Wenn Sie die Aktualisierung abbrechen, geben Sie den Umgebungsnamen ein, um zu bestätigen, dass Sie die Aktualisierung abbrechen möchten, und wählen Sie Geplanten Schlüssel abbrechen aus.