Vom Kunden verwaltete Schlüssel für Oracle Break Glass

Es wird empfohlen, eine separate Sicherheitsadministratorgruppe zu erstellen, um den Zugriff auf die Sicherheitsfeatures Ihrer Fusion Applications-Umgebungen einzuschränken.

Mit der Policy für die Sicherheitsadministratorgruppe kann die Gruppe Vaults und Schlüssel verwalten. Das Löschen ist jedoch nicht zulässig. Die Policy lautet:

allow group '<identity-domain-name'/'<your-group-name>' to manage keys in <location> where request.permission not in ('KEY_DELETE')
allow group '<identity-domain-name'/'<your-group-name>' to manage vaults in <location> where request.permission not in ('VAULT_DELETE')
 

Unter Oracle Cloud-Benutzer mit bestimmten Funktionen verwalten finden Sie die Verfahren zum Erstellen der Gruppen und Policys, mit denen Rollen definiert werden. Dazu gehören die spezifischen erforderlichen Berechtigungen für die Sicherheitsadministratorrolle.

So fügen Sie die Berechtigungen für den Fusion Applications-Administrator hinzu:

1. Weitere Informationen zum Erstellen der Fusion Applications-Administratorrolle finden Sie unter Oracle Cloud-Benutzer mit bestimmten Funktionen verwalten.
2. Fügen Sie die folgenden Anweisungen zur Rolle Fusion Applications-Umgebungsadministrator hinzu, falls noch nicht vorhanden:

   
   Allow group '<identity-domain-name'/'<your-group-name>' to read vaults in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to read keys in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to use key-delegate in compartment <location>
                                   

Stellen Sie sicher, dass Sie alle <location>-Variablen durch den Namen des Compartments ersetzen, in dem der Vault und die Schlüssel erstellt wurden.

Erstellen Sie eine Policy in der OC1-Realm mit den folgenden Anweisungen:

define tenancy fusionapps1 as ocid1.tenancy.oc1..aaaaaaaau5s6lj67ia5vy6qjglhvquqdszjqlmvlmsetu4jrtjni4mng6hea
define tenancy fusionapps2 as ocid1.tenancy.oc1..aaaaaaaajgaoycccrtt3l3vnnlave6wkc2zbf6kkksq66begstczxrmxjlia
define dynamic-group fusionapps1_environment as ocid1.dynamicgroup.oc1..aaaaaaaa5wcbybhxa5vqcvniefoihlvnidty4fk77fitn2hjhd7skhzaadqq
define dynamic-group fusionapps2_environment as ocid1.dynamicgroup.oc1..aaaaaaaaztbusgx23a3jdpvgxqx6tkv2nedgxld6pj3w7hcvhfzvw5ei7fiq
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to manage keys in tenancy
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to use vaults in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to manage keys in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to use vaults in tenancy
allow service keymanagementservice to manage vaults in tenancy
allow any-user to read keys in tenancy where all {request.principal.type = 'fusionenvironment'}
allow any-user to read vaults in tenancy where all {request.principal.type = 'fusionenvironment'}

Befolgen Sie die Anweisungen unter Vault erstellen in der Vault-Dokumentation. Informationen zum Erstellen eines externen Vaults finden Sie unter External Key Management Service.

Wir empfehlen, 2 Vaults zu erstellen: einen für die Produktionsumgebungsschlüssel und einen für die Nicht-Produktionsumgebungsschlüssel.

Nach dem Erstellen der Vaults replizieren Sie den Vault, den Sie für die Produktionsumgebung erstellt haben. Der replizierte Vault wird für Disaster Recovery verwendet.

1. Prüfen Sie das Pairing der Disaster-Recovery-Region für die Region, in der sich die Fusion Applications-Produktionsumgebung befindet. Eine Liste der Regionspaare finden Sie unter Disaster Recovery-Unterstützung.
2. Abonnieren Sie die Region, die als Paarung für Ihre Region aufgeführt ist. Informationen zum Abonnieren einer Region finden Sie unter Infrastrukturregionen abonnieren.
3. Replizieren Sie den Vault, den Sie für Ihre Produktionsumgebung erstellt haben, indem Sie die Schritte unter Vaults und Schlüssel replizieren befolgen. Wenn Sie die Zielregion für die Replikation auswählen, müssen Sie die Disaster-Recovery-Region auswählen, die Sie im vorherigen Schritt abonniert haben.

Befolgen Sie die Schritte unter Masterverschlüsselungsschlüssel erstellen in der Vault-Dokumentation, oder führen Sie zum Importieren Ihrer eigenen Schlüssel die Schritte unter Schlüssel und Schlüsselversionen importieren aus.

Im HSM-(Hardwaresicherheitsmodul-)Schlüsselschutzmodus werden Ihre Verschlüsselungsschlüssel in FIPS 140-2 Level 3-zertifizierten Hardwaresicherheitsmodulen gespeichert und geschützt.

Um Schlüssel für Fusion Applications zu erstellen, müssen Sie folgende Optionen auswählen:

• Wählen Sie unter Schlüsselform: Algorithmus die Option AES (symmetrischer Schlüssel für Ver- und Entschlüsselung) aus (Sie müssen diese Option für vom Kunden verwaltete Fusion Applications-Schlüssel auswählen).
• Wählen Sie unter Schlüsselform: Länge die Option 256 Bit aus.

Es wird empfohlen, einen Schlüssel im Vault der Produktionsumgebung und einen Schlüssel für jede Nicht-Produktionsumgebung im Vault der Nicht-Produktionsumgebung zu erstellen.

Nachdem Sie den Vault und die Schlüssel erstellt haben, stellen Sie dem Fusion Applications-Administrator den Namen des Vault Compartments, den Vault-Namen und den Schlüsselnamen (und, falls abweichend, den Namen des Schlüssel-Compartments) bereit.

Diese Prozedur umfasst nur die Schritte zum Aktivieren des vom Kunden verwalteten Schlüssels. Eine vollständige Prozedur zum Erstellen einer Umgebung finden Sie unter Aufgaben der Umgebungsverwaltung.

Gehen Sie auf der Seite zum Erstellen der Umgebung wie folgt vor:

1. Wählen Sie Erweiterte Optionen anzeigen.
2. Wählen Sie das Register Verschlüsselung .

3. Wählen Sie Vom Kunden verwalteter Schlüssel (empfohlen) aus.

   

   Wenn diese Option nicht angezeigt wird, wurde das Abonnement nicht zur Umgebungsfamilie hinzugefügt.

4. Wählen Sie den Vault aus. Wenn sich der Vault nicht in demselben Compartment befindet, in dem Sie die Umgebung erstellen, müssen Sie auf Compartment ändern klicken und das entsprechende Compartment auswählen.
5. Wählen Sie den Schlüssel aus. Wenn sich der Schlüssel nicht in demselben Compartment befindet, in dem Sie die Umgebung erstellen, müssen Sie auf Compartment ändern klicken und das entsprechende Compartment auswählen. Nur AES-256-Bit-Schlüssel werden angezeigt.

Nachdem Sie alle Schritte zum Einrichten der Umgebung ausgeführt haben, beginnt der Provisioning-Prozess. Durch Hinzufügen des vom Kunden verwalteten Schlüssels wird die Dauer des Provisioning-Prozesses verlängert. Während der Aktivierung des Schlüssels wird eine Meldung angezeigt, dass die Umgebung nicht verfügbar ist.

So aktivieren Sie einen vom Kunden verwalteten Schlüssel für eine vorhandene Umgebung:

1. Navigieren Sie zur Umgebung: Wählen Sie im Anwendungs-Home der Konsole die Option Fusion Applications aus. Suchen Sie auf der Seite Überblick die Umgebungsfamilie für die Umgebung, und wählen Sie den Umgebungsnamen aus.
2. Wählen Sie unter Ressourcen die Option Sicherheit aus. Die Registerkarte Verschlüsselung wird angezeigt.
3. Standardmäßig ist der Typ "Von Oracle verwaltet" ausgewählt. Wählen Sie Verschlüsselung bearbeiten aus, um den Vault und Schlüssel hinzuzufügen.

   Wenn die Bearbeitungsoption nicht angezeigt wird, haben Sie entweder die entsprechenden Optionen nicht hinzugefügt oder die Umgebung wird aktualisiert.

4. Wählen Sie Vom Kunden verwalteter Schlüssel aus.

5. Wählen Sie den Vault aus. Wenn sich der Vault nicht in demselben Compartment befindet, in dem Sie die Umgebung erstellen, wählen Sie Compartment ändern aus, und wählen Sie das entsprechende Compartment aus. Wenn Sie Disaster Recovery (DR) verwenden, müssen Sie einen Vault auswählen, der die Replikation unterstützt. Alle privaten Vaults unterstützen die Replikation. Informationen dazu, wie Sie bestimmen, ob ein virtueller Vault die Replikation unterstützt, finden Sie unter Vaults und Schlüssel replizieren.
6. Wählen Sie den Master-Verschlüsselungsschlüssel aus. Wenn sich der Schlüssel nicht in demselben Compartment befindet, in dem Sie die Umgebung erstellen, wählen Sie Compartment ändern aus, und wählen Sie das entsprechende Compartment aus. Nur AES-256-Bit-Schlüssel werden angezeigt.

7. Wählen Sie im Abschnitt Aktualisierungsplan für Verschlüsselung das Zeitfenster aus, um die Uhrzeit anzugeben, zu der das Update für die Verschlüsselungsverwaltung beginnen soll. Es werden bis zu drei Daten angezeigt.

8. Wählen Sie Weiterleiten aus, um das Update anzufordern, das vom Kunden verwaltete Schlüssel in Ihrer Umgebung ermöglicht.

In der Meldung unten im Fenster wird angezeigt, wann die Verschlüsselung planmäßig stattfinden soll. Die Verschlüsselung wird während des angegebenen Zeitfensters ausgeführt. Bis zur Aktualisierung bleibt die Umgebung mit dem von Oracle verwalteten Schlüssel verschlüsselt.

1. Navigieren Sie zur Umgebung: Wählen Sie im Anwendungs-Home der Konsole die Option Fusion Applications aus. Suchen Sie auf der Seite Überblick die Umgebungsfamilie für die Umgebung, und wählen Sie den Umgebungsnamen aus.
2. Wählen Sie unter Ressourcen die Option Sicherheit aus. Die Registerkarte Verschlüsselung wird angezeigt.
3. Suchen Sie in der Tabelle der Verschlüsselungsoptionen die Zeile "Vom Kunden verwaltet", und wählen Sie das Menü Aktionen (drei Punkte) aus. Wählen Sie dann Neu planen oder Abbrechen aus.

4. Nur neu planen: Wenn Sie die Aktualisierung für vom Kunden verwaltete Schlüssel neu planen, wählen Sie im Dropdown-Menü ein neues Datum aus, und wählen Sie Weiterleiten aus.

   Hinweis
   
   Stellen Sie sicher, dass die Zeit, die Sie für die Aktualisierung auswählen, nicht mit anderen wichtigen Umgebungsaktivitäten wie einem Aktualisierungsvorgang in Konflikt steht. Bei Aktualisierungsvorgängen bedeutet dies, dass weder die Quell- noch die Zielumgebung für vom Kunden verwaltete Schlüssel aktualisiert werden können, während die Aktualisierung stattfindet.

   Nur abbrechen: Wenn Sie die Aktualisierung abbrechen, geben Sie den Umgebungsnamen ein, um zu bestätigen, dass Sie die Aktualisierung abbrechen möchten, und wählen Sie Geplanten Schlüssel abbrechen aus.