Oracle Cloud Infrastructure-Dokumentation

Anleitungen

Eine Sammlung von Aufgaben und Prozeduren zum Verwalten von Exadata Database Service on Dedicated Infrastructure.

Regionsübergreifende Data Guard-Aktivierung

Prüfen Sie die Voraussetzungen für die Aktivierung von regionsübergreifendem Data Guard, wenn Datenbanken Schlüsselmanagementlösungen von Cloud-Serviceprovidern (CSP) verwenden.

Hinweis

Oracle unterstützt derzeit die folgenden Schlüsselverwaltungsservices des Cloud-Serviceproviders für die Verwaltung von TDE-(Transparent Data Encryption-)Masterverschlüsselungsschlüsseln beim Konfigurieren von regionsübergreifendem Data Guard:

  • Microsoft Azure: Azure Key Vault (Standard und Premium) und Managed HSM
  • Google Cloud: Vom Kunden verwaltete Verschlüsselungsschlüssel (CMEK)
  • AWS: AWS Key Management Service (KMS) und CloudHSM

Übergeordnetes Thema: Anleitungen

Voraussetzungen

Stellen Sie sicher, dass die folgenden Anforderungen erfüllt sind, bevor Sie regionsübergreifenden Data Guard konfigurieren.

Schlüsselverwaltungs- und Replikationsanforderungen

Die Verschlüsselungsschlüsselressource muss von der Quellregion in die Zielregion repliziert werden. Je nach verwendetem Schlüsselverwaltungsservice umfasst dies die Replikation von Vault, Schlüsselring oder Verschlüsselungsschlüssel.

Anforderungen an VM-Clusterkonfiguration

Das VM-Cluster, auf dem die Standbydatenbank gehostet wird, muss die folgenden Anforderungen erfüllen:

  • Ein Identitäts-Connector muss erstellt werden (bei Verwendung von Azure Key Vault anwendbar).
  • Die Schlüsselverwaltung für den Cloudserviceprovider muss für das VM-Cluster mit einem der unterstützten Services aktiviert sein:
    • Azure Key Vault (AKV)
    • Vom Kunden verwaltete Google Cloud-Verschlüsselungsschlüssel (CMEK)
    • AWS Key Management Service (AWS KMS)

Ausführliche Konfigurationsschritte finden Sie in den folgenden Abschnitten:

Weitere Disaster Recovery-Richtlinien

Informationen zur Implementierung von regionsübergreifendem Disaster Recovery mit Active Data Guard mit Multicloud-Bereitstellungen finden Sie in den folgenden Lösungsleitfäden:

Einschränkungen

Beachten Sie die folgenden Einschränkungen:

  • Die Quell- und Zielcontainerdatenbanken (CDBs) müssen denselben TDE-Masterverschlüsselungsschlüssel verwenden.
  • Aktualisierbare Klon-PDBs werden in der Standbydatenbank nicht unterstützt

Schlüsselressourcen regionsübergreifend replizieren

Bevor Sie Verschlüsselungsressourcen regionsübergreifend replizieren, stellen Sie sicher, dass alle Voraussetzungen erfüllt sind.

  1. Öffnen Sie das Navigationsmenü.
  2. Klicken Sie auf Oracle AI Database, Datenbank-Multicloud-Integrationen und dann auf eine der folgenden Optionen:
    • Microsoft Azure-Integration
    • Google Cloud-Integration
    • AWS-Integration

So replizieren Sie einen Azure Key Vault

  1. Klicken Sie auf Azure Key Vaults.
  2. Wählen Sie den gewünschten Vault aus der Liste aus.
  3. Wählen Sie im Menü Aktionen die Option Azure-Key Vault replizieren aus.
  4. Wählen Sie die Zielregion.
  5. Klicken Sie auf Replizieren.

    Nachdem der Vorgang abgeschlossen ist, können Sie die Details des replizierten Key Vaults, einschließlich Region und Replikationsstatus, auf der Registerkarte Regionsübergreifende Replikationen anzeigen.

So replizieren Sie einen GCP-Schlüsselring

  1. Klicken Sie auf GCP-Schlüsselringe.
  2. Wählen Sie den gewünschten Schlüsselring aus der Liste aus.
  3. Wählen Sie im Menü Aktionen die Option GCP-Schlüsselring replizieren aus.
  4. Wählen Sie die Zielregion.
  5. Klicken Sie auf Replizieren.

    Nachdem der Vorgang abgeschlossen ist, können Sie die Details des replizierten Schlüsselrings, einschließlich Region und Replikationsstatus, auf der Registerkarte Regionsübergreifende Replikationen anzeigen.

So replizieren Sie einen AWS-Schlüssel

  1. Klicken Sie auf AWS-Schlüssel.
  2. Wählen Sie den gewünschten Schlüssel aus der Liste aus.
  3. Wählen Sie im Menü Aktionen die Option AWS-Schlüssel replizieren aus.
  4. Wählen Sie die Zielregion.
  5. Klicken Sie auf Replizieren.

    Nachdem der Vorgang abgeschlossen ist, können Sie die Details des replizierten Schlüssels, einschließlich Region und Replikationsstatus, auf der Registerkarte Regionsübergreifende Replikationen anzeigen.

Replizierte Verschlüsselungsressourcen löschen

Löschen Sie replizierte Verschlüsselungsressourcen erst, nachdem bestätigt wurde, dass keine aktiven Verknüpfungen oder Abhängigkeiten vorhanden sind.

  1. Öffnen Sie das Navigationsmenü.
  2. Klicken Sie auf Oracle AI Database, Datenbank-Multicloud-Integrationen und dann auf eine der folgenden Optionen:
    • Microsoft Azure-Integration
    • Google Cloud-Integration
    • AWS-Integration

So löschen Sie einen Azure Key Vault

  1. Klicken Sie auf Azure Key Vaults.
  2. Compartment auswählen.

    Die Liste der Vaults wird angezeigt.

  3. Wählen Sie den Vault aus, an dem Sie interessiert sind.
  4. Wählen Sie im Menü Aktionen die Option Löschen aus.
  5. Geben Sie im Bestätigungsdialogfeld DELETE ein, um die Aktion zu bestätigen.
  6. Klicken Sie auf Löschen.

So löschen Sie einen GCP-Schlüsselring

  1. Klicken Sie auf GCP-Schlüsselringe.
  2. Compartment auswählen.

    Liste der GCP-Schlüsselringe wird angezeigt.

  3. Wählen Sie den gewünschten Schlüsselring aus.
  4. Wählen Sie im Menü Aktionen die Option Löschen aus.
  5. Geben Sie im Bestätigungsdialogfeld DELETE ein, um die Aktion zu bestätigen.
  6. Klicken Sie auf Löschen.

So löschen Sie einen AWS-Schlüssel

  1. Klicken Sie auf AWS-Schlüssel.
  2. Compartment auswählen.

    Die Liste der AWS-Schlüssel wird angezeigt.

  3. Wählen Sie den gewünschten AWS-Schlüssel aus.
  4. Wählen Sie im Menü Aktionen die Option Löschen aus.
  5. Geben Sie im Bestätigungsdialogfeld DELETE ein, um die Aktion zu bestätigen.
  6. Klicken Sie auf Löschen.

Richtlinien zum Löschen von Verschlüsselungsressourcen

Richtlinien zum Löschen replizierter und nicht replizierter Verschlüsselungsressourcen über mehrere Cloud-Serviceprovider hinweg basierend auf deren Verknüpfungs- und Replikationsstatus.

Nicht replizierte Verschlüsselungsressource

Azure Key Vault

Ein Azure Key Vault kann nicht gelöscht werden, wenn er aktive Identity Connector-Verknüpfungen aufweist.

So fahren Sie fort:

  1. Identifizieren Sie Identity Connector-Verknüpfungen, die Azure Key Vault <OCID> in <REGION> referenzieren.
  2. Entfernen Sie die Verknüpfung(en), oder weisen Sie abhängige Ressourcen einem anderen Key Vault neu zu.
  3. Wiederholen Sie den Löschvorgang.

Google Cloud KMS (vom Kunden verwalteter Verschlüsselungsschlüssel, CMEK)

Ein GCP-Schlüsselring kann nicht gelöscht werden, wenn er Schlüssel enthält, die aktiv mit Ressourcen verknüpft sind (z.B. Datenbanken, die mit CMEK erstellt wurden).

So fahren Sie fort:

  1. Identifizieren Sie Ressourcen, die derzeit Schlüssel aus dem Schlüsselring verwenden.
  2. Konfigurieren Sie diese Ressourcen neu, um einen anderen Verschlüsselungsschlüssel zu verwenden, oder löschen Sie die abhängigen Ressourcen.
  3. Wiederholen Sie den Löschvorgang, nachdem alle Zuordnungen entfernt wurden.

AWS Key Management Service (AWS KMS)

Ein AWS KMS-Schlüssel kann nicht gelöscht werden, wenn er aktive Verknüpfungen aufweist (z.B. mit AWS KMS verschlüsselte Datenbanken).

Hinweis

AWS KMS-Schlüssel werden nicht sofort gelöscht; sie müssen zum Löschen geplant werden und unterliegen einer obligatorischen Wartezeit.

So fahren Sie fort:

  1. Identifizieren Sie Ressourcen, die derzeit mit dem KMS-Schlüssel verschlüsselt sind.
  2. Konfigurieren oder löschen Sie die abhängigen Ressourcen neu.
  3. Planen Sie den Schlüssel zum Löschen, sobald alle Abhängigkeiten entfernt wurden.

Wichtige Erkenntnisse

  • Prüfen Sie vor dem Löschen immer auf aktive Zuordnungen.
  • Replizierte Ressourcen erfordern zusätzliche Pflege, da Zuordnungen in Primär- und Standbyregionen vorhanden sein können.
  • Nicht replizierte Ressourcen folgen Cloud-Provider-spezifischen Regeln und können erst gelöscht werden, wenn Abhängigkeiten gelöscht werden.

Replizierte Verschlüsselungsressource

Sie können eine replizierte Verschlüsselungsressource aus der primären oder einer Standbyregion löschen.

  • Löschen aus der primären Region:

    Die Ressource wird aus der primären Region gelöscht und automatisch aus allen zugehörigen Standby-Regionen (repliziert) entfernt.

  • Löschen aus einer Standby-Region:

    Die Ressource wird nur aus der ausgewählten Standbyregion gelöscht. Die Ressource bleibt in der primären Region und allen anderen Standby-Regionen unverändert.

Lebenszyklusstatus replizierter Verschlüsselungsressourcen

Eine replizierte Verschlüsselungsressource kann einen der folgenden Lebenszyklusstatus aufweisen.

  • WIRKUNG: Die replizierte Verschlüsselungsressource wird erstellt.
  • ACTIVE: Die replizierte Verschlüsselungsressource wurde erfolgreich erstellt und ist betriebsbereit.
  • UPDATING: Die replizierte Verschlüsselungsressource wird geändert.
  • DELETING: Die replizierte Verschlüsselungsressource wird gerade gelöscht.
  • DELETED: Die replizierte Verschlüsselungsressource wurde gelöscht und ist nicht mehr verfügbar.
  • FAILED: Der replizierte Verschlüsselungsressourcenvorgang war nicht erfolgreich. Weitere Informationen finden Sie in den zugehörigen Logs oder Fehlermeldungen.

Aktivieren von Data Guard für Datenbanken, die Azure, Google Cloud und AWS Key Management Services verwenden

Bevor Sie Data Guard aktivieren, prüfen Sie die Schlüsselverwaltungskonfiguration in der Primärdatenbank.

  1. Navigieren Sie zur Seite "Datenbankdetails" der Primärdatenbank, auf der Sie Data Guard aktivieren möchten.
  2. Prüfen Sie im Abschnitt Verschlüsselung die Werte unter Key Management.

Bestätigen Sie die Werte basierend auf dem konfigurierten Schlüsselverwaltungsservice:

  • Bei Verwendung von Azure Key Vault
    • Schlüsselverwaltung: Azure Key Vault
    • Vault: Vault-Name
    • Schlüssel: Schlüsselwert
  • Bei Verwendung von Google Cloud CMEK
    • Schlüsselverwaltung: Vom Kunden verwalteter GCP-Verschlüsselungsschlüssel (CMEK)
    • Schlüsselring: Schlüsselringwert
    • Schlüssel: Schlüsselwert
  • Bei Verwendung von AWS KMS
    • Schlüsselmanagement: AWS Customer-Managed Key (CMK)
    • Schlüssel: Schlüsselwert

Die generische Data Guard-Aktivierungsprozedur finden Sie unter So aktivieren Sie Data Guard auf einem Exadata Cloud Infrastructure-System.