Vom Kunden verwaltete Schlüssel für Oracle Break Glass

Es wird empfohlen, eine separate Sicherheitsadministratorgruppe zu erstellen, um den Zugriff auf die Sicherheitsfeatures Ihrer Fusion Applications-Umgebungen einzuschränken.

Mit der Policy für die Sicherheitsadministratorgruppe kann die Gruppe Vaults und Schlüssel verwalten. Das Löschen ist jedoch nicht zulässig. Die Policy lautet:

allow group '<identity-domain-name'/'<your-group-name>' to manage keys in <location> where request.permission not in ('KEY_DELETE')
allow group '<identity-domain-name'/'<your-group-name>' to manage vaults in <location> where request.permission not in ('VAULT_DELETE')
 

Informationen zum Erstellen von Gruppen und Policys, um Rollen zu definieren, einschließlich der spezifischen erforderlichen Berechtigungen für die Sicherheitsadministratorrolle, finden Sie unter Oracle Cloud-Benutzer mit bestimmten Funktionen verwalten.

So fügen Sie die Berechtigungen für den Fusion Applications-Administrator hinzu:

1. Informationen hierzu finden Sie unter Oracle Cloud-Benutzer mit bestimmten Funktionen verwalten, wo die Erstellung der Fusion Applications-Administratorrolle beschrieben wird.
2. Fügen Sie die folgenden Anweisungen zur Rolle Fusion Applications-Umgebungsadministrator hinzu, falls noch nicht vorhanden:

   
   Allow group '<identity-domain-name'/'<your-group-name>' to read vaults in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to read keys in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to use key-delegate in compartment <location>

Stellen Sie sicher, dass Sie alle <location>-Variablen durch den Namen des Compartments ersetzen, in dem der Vault und die Schlüssel erstellt wurden.

Erstellen Sie eine Policy in der OC1-Realm mit den folgenden Anweisungen:

define tenancy fusionapps1 as ocid1.tenancy.oc1..aaaaaaaau5s6lj67ia5vy6qjglhvquqdszjqlmvlmsetu4jrtjni4mng6hea
define tenancy fusionapps2 as ocid1.tenancy.oc1..aaaaaaaajgaoycccrtt3l3vnnlave6wkc2zbf6kkksq66begstczxrmxjlia
define dynamic-group fusionapps1_environment as ocid1.dynamicgroup.oc1..aaaaaaaa5wcbybhxa5vqcvniefoihlvnidty4fk77fitn2hjhd7skhzaadqq
define dynamic-group fusionapps2_environment as ocid1.dynamicgroup.oc1..aaaaaaaaztbusgx23a3jdpvgxqx6tkv2nedgxld6pj3w7hcvhfzvw5ei7fiq
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to manage keys in tenancy
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to use vaults in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to manage keys in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to use vaults in tenancy
allow service keymanagementservice to manage vaults in tenancy
allow any-user to read keys in tenancy where all {request.principal.type = 'fusionenvironment'}
allow any-user to read vaults in tenancy where all {request.principal.type = 'fusionenvironment'}

Um Berechtigungen auf bestimmte Compartments einzuschränken, geben Sie alternativ das Compartment anstelle des im Beispiel angezeigten Mandanten an. Wenn Sie keine Policy-Anweisungen für jedes Compartment haben, müssen Sie diese erstellen. Informationen zum Hinzufügen von Policy-Anweisungen für Ihre Compartments finden Sie unter Policy erstellen. Wenn Policy-Anweisungen für jedes Compartment vorhanden sind, müssen Sie sie aktualisieren. Informationen zum Aktualisieren von Policy-Anweisungen für jedes Compartment finden Sie unter Anweisungen einer Policy aktualisieren.

Wenn Sie Schlüssel- oder Vault Compartments in Zukunft ändern, müssen Sie auch die Policys aktualisieren. Andernfalls kann Ihre Fusion-Umgebung nicht auf Ihre Schlüssel zugreifen, was zu einer Unterbrechung führen kann. Informationen zum Suchen des Compartments für den Vault finden Sie unter Details eines Vaults abrufen.

Befolgen Sie die Prozedur Erstellen eines Vaults in der Vault-Dokumentation.

Es wird empfohlen, 2 Vaults zu erstellen: einen für Ihre Produktionsumgebungsschlüssel und einen für Ihre Nicht-Produktionsumgebungsschlüssel.

Nachdem Sie die Vaults erstellt haben, replizieren Sie den Vault, den Sie für die Produktionsumgebung erstellt haben. Der replizierte Vault wird für das Disaster Recovery verwendet.

1. Prüfen Sie die Kombination der Disaster Recovery-Region für die Region, in der sich Ihre Fusion Applications-Produktionsumgebung befindet. Eine Liste der Regionspaare finden Sie unter Disaster-Recovery-Support.
2. Abonnieren Sie die Region, die als Paarung für Ihre Region aufgeführt ist. Informationen zum Abonnieren einer Region finden Sie unter Infrastrukturregionen abonnieren.
3. Replizieren Sie den Vault, den Sie für Ihre Produktionsumgebung erstellt haben, indem Sie die Schritte unter Vaults und Schlüssel replizieren ausführen. Wenn Sie die Zielregion für die Replikation auswählen, müssen Sie die Disaster-Recovery-Region auswählen, die Sie im vorherigen Schritt abonniert haben.

Befolgen Sie die Schritte unter Masterverschlüsselungsschlüssel erstellen in der Vault-Dokumentation, oder befolgen Sie die Anweisungen unter Öffentlichen RSA-Wrapping-Schlüssel abrufen und RSA-OAEP mit AES zum Wrappen von Schlüsselmaterial anwenden, um eigene Schlüssel zu importieren.

Um Schlüssel für Fusion Applications zu erstellen, müssen Sie folgende Optionen auswählen:

• Wählen Sie unter Schlüsselform: Algorithmus die Option AES (symmetrischer Schlüssel für Ver- und Entschlüsselung) aus (Sie müssen diese Option für vom Kunden verwaltete Fusion Applications-Schlüssel auswählen).
• Wählen Sie unter Schlüsselform: Länge die Option 256 Bit aus.

Es wird empfohlen, einen Schlüssel im Vault der Produktionsumgebung und einen Schlüssel für jede Nicht-Produktionsumgebung im Vault der Nicht-Produktionsumgebung zu erstellen.

Nachdem Sie den Vault und die Schlüssel erstellt haben, stellen Sie dem Fusion Applications-Administrator den Namen des Vault Compartments, den Vault-Namen und den Schlüsselnamen (und, falls abweichend, den Namen des Schlüssel-Compartments) bereit.

Diese Prozedur umfasst nur die Schritte zum Aktivieren des vom Kunden verwalteten Schlüssels. Eine vollständige Prozedur zum Erstellen einer Umgebung finden Sie unter Aufgaben der Umgebungsverwaltung.

Gehen Sie auf der Seite zum Erstellen der Umgebung wie folgt vor:

1. Wählen Sie Erweiterte Optionen anzeigen.
2. Wählen Sie das Register Verschlüsselung .

3. Wählen Sie Vom Kunden verwalteter Schlüssel (empfohlen) aus.

   

   Wenn diese Option nicht angezeigt wird, wurde das Abonnement nicht zur Umgebungsfamilie hinzugefügt.

4. Wählen Sie den Vault aus. Wenn sich der Vault nicht in demselben Compartment befindet, in dem Sie die Umgebung erstellen, müssen Sie auf Compartment ändern klicken und das entsprechende Compartment auswählen.
5. Wählen Sie den Schlüssel aus. Wenn sich der Schlüssel nicht in demselben Compartment befindet, in dem Sie die Umgebung erstellen, müssen Sie auf Compartment ändern klicken und das entsprechende Compartment auswählen. Nur AES-256-Bit-Schlüssel werden angezeigt.

Nachdem Sie alle Schritte zum Einrichten der Umgebung ausgeführt haben, beginnt der Provisioning-Prozess. Durch Hinzufügen des vom Kunden verwalteten Schlüssels wird die Dauer des Provisioning-Prozesses verlängert. Während der Aktivierung des Schlüssels wird eine Meldung angezeigt, dass die Umgebung nicht verfügbar ist.

So aktivieren Sie einen vom Kunden verwalteten Schlüssel für eine vorhandene Umgebung:

1. Navigieren Sie zur Umgebung: Wählen Sie im Anwendungs-Home der Konsole die Option Fusion-Anwendungen aus. Suchen Sie auf der Seite Überblick die Umgebungsfamilie für die Umgebung, und wählen Sie dann den Umgebungsnamen aus.
2. Wählen Sie unter Ressourcen die Option Sicherheit aus. Die Registerkarte Verschlüsselung wird angezeigt.
3. Standardmäßig ist der Typ "Von Oracle verwaltet" ausgewählt. Wählen Sie Verschlüsselung bearbeiten aus, um den Vault und Schlüssel hinzuzufügen.

   Wenn die Bearbeitungsoption nicht angezeigt wird, haben Sie entweder die entsprechenden Optionen nicht hinzugefügt oder die Umgebung wird aktualisiert.

4. Wählen Sie Vom Kunden verwalteter Schlüssel aus.

   
5. Wählen Sie den Vault aus. Wenn sich der Vault nicht in demselben Compartment befindet, in dem Sie die Umgebung erstellen, wählen Sie Compartment ändern aus, und wählen Sie das entsprechende Compartment aus. Wenn Sie Disaster Recovery (DR) verwenden, müssen Sie einen Vault auswählen, der die Replikation unterstützt. Alle privaten Vaults unterstützen die Replikation. Informationen dazu, wie Sie bestimmen, ob ein virtueller Vault die Replikation unterstützt, finden Sie unter Vaults und Schlüssel replizieren.
6. Wählen Sie den Master-Verschlüsselungsschlüssel aus. Wenn sich der Schlüssel nicht in demselben Compartment befindet, in dem Sie die Umgebung erstellen, wählen Sie Compartment ändern aus, und wählen Sie das entsprechende Compartment aus. Nur AES-256-Bit-Schlüssel werden angezeigt.

7. Wählen Sie im Abschnitt Verschlüsselungsupdateplan das Zeitfenster aus, um die Zeit anzugeben, zu der das Update der Verschlüsselungsverwaltung beginnen soll. Je nach Zeitpunkt des nächsten geplanten Wartungslaufs für die Umgebung werden bis zu drei Datumsangaben angezeigt.

   Beachten Sie, dass eines der Datumsangaben in der Auswahlliste das Datum der nächsten geplanten Wartung ist. Wenn Sie das Datum der nächsten geplanten Wartung auswählen, wird im Hinweistext die Meldung "Das oben ausgewählte Datum ist das nächste geplante Wartungsdatum" angezeigt.

   

   Der Hinweistext für das nächste geplante Wartungsdatum wird wie in der folgenden Abbildung angezeigt:

   

   Hinweis:

   • Standardmäßig wird im Zeitfenster die Option für das nächste geplante Wartungsupdate angezeigt. Wenn Sie diese Option verwenden und das Update abbrechen oder neu planen müssen, um vom Kunden verwaltete Schlüssel zu aktivieren, müssen Sie sich an Oracle Support wenden.
   • Oracle stellt zwei Zeitfenster zur Verfügung, die nicht der Zeitpunkt des nächsten geplanten Wartungsupdates sind. Wenn Sie eines dieser beiden Fenster auswählen, können Sie das Update mit der OCI-Konsole abbrechen oder neu planen, um vom Kunden verwaltete Schlüssel zu aktivieren.
8. Wählen Sie Weiterleiten aus, um das Update anzufordern, das vom Kunden verwaltete Schlüssel in Ihrer Umgebung ermöglicht.

In der Meldung unten im Fenster wird angezeigt, wann die Verschlüsselung planmäßig stattfinden soll. Die Verschlüsselung wird während des angegebenen Zeitfensters ausgeführt. Bis zur Wartung bleibt die Umgebung mit dem von Oracle verwalteten Schlüssel verschlüsselt.

1. Navigieren Sie zur Umgebung: Wählen Sie im Anwendungs-Home der Konsole die Option Fusion-Anwendungen aus. Suchen Sie auf der Seite Überblick die Umgebungsfamilie für die Umgebung, und wählen Sie dann den Umgebungsnamen aus.
2. Wählen Sie unter Ressourcen die Option Sicherheit aus. Die Registerkarte Verschlüsselung wird angezeigt.
3. Suchen Sie in der Tabelle der Verschlüsselungsoptionen die Zeile "Vom Kunden verwaltet", wählen Sie das Aktionsmenü aus, und wählen Sie Neu planen oder Abbrechen aus.

4. Nur neu planen: Wenn Sie die Aktualisierung für vom Kunden verwaltete Schlüssel neu planen, wählen Sie im Dropdown-Menü ein neues Datum aus, und wählen Sie Weiterleiten aus.

   Hinweis
   
   Wenn Sie vom Kunden verwaltete Schlüssel außerhalb einer regelmäßig geplanten Wartung aktivieren, stellen Sie sicher, dass die für die Aktualisierung ausgewählte Zeit nicht in Konflikt mit anderen wichtigen Umgebungsaktivitäten steht, wie einem Aktualisierungsvorgang. Bei Aktualisierungsvorgängen bedeutet dies, dass weder die Quell- noch die Zielumgebung für vom Kunden verwaltete Schlüssel aktualisiert werden können, während die Aktualisierung stattfindet.

   Nur abbrechen: Wenn Sie die Aktualisierung abbrechen, geben Sie den Umgebungsnamen ein, um zu bestätigen, dass Sie die Aktualisierung abbrechen möchten, und wählen Sie Geplanten Schlüssel abbrechen aus.