Masterverschlüsselungsschlüssel in Autonomous Database on Dedicated Exadata Infrastructure

Standardmäßig erstellt und verwaltet Autonomous AI Database on Dedicated Exadata Infrastructure alle Masterverschlüsselungsschlüssel, die zum Schutz Ihrer Daten verwendet werden, und speichert diese in einem sicheren PKCS 12-Keystore auf denselben Exadata-Systemen, in denen die Datenbanken enthalten sind. Diese werden als von Oracle verwaltete Verschlüsselungsschlüssel bezeichnet.

Mit von Oracle verwalteten Schlüsseln stellt Oracle den vollständigen Lebenszyklus der Schlüssel als von Oracle verwaltete Metadaten sicher. Bei Exadata Cloud@Customer-Deployments ist der Zugriff auf Backups eine gemeinsame Verantwortung, und der Kunde muss sicherstellen, dass die Datenbankumgebung und der Zugriff auf Backupdateien für Oracle-APIs mit internen Lebenszyklusvorgängen für das Schlüsselmanagement funktionieren.

Wenn die Sicherheitsrichtlinien Ihres Unternehmens dies erfordern, kann Autonomous AI Database stattdessen die Schlüssel verwenden, die Sie mit Oracle Key Store erstellen und verwalten. Bei Oracle Public Cloud-Deployments können Sie auch den Oracle Cloud Infrastructure Vault-Service verwenden, um Schlüssel zu erstellen und zu verwalten. Kunden mit behördlicher Compliance zum Speichern von Schlüsseln außerhalb von Oracle Cloud oder anderen Cloud-Standorten von Drittanbietern können einen externen Schlüsselverwaltungsservice (External KMS) verwenden.

Wenn Sie einen vom Kunden verwalteten Schlüssel mit dem OCI Vault-Service erstellen, können Sie auch Ihr eigenes Schlüsselmaterial (Bring Your Own Key oder BYOK) importieren, anstatt dass der Vault-Service das Schlüsselmaterial intern generieren lässt.

Achtung: Da vom Kunden verwaltete Schlüssel, die in Oracle Key Vault (OKV) gespeichert sind, außerhalb des Datenbankhosts liegen, ist der Zugriff auf die Daten durch jede Konfigurationsänderung oder -unterbrechung, die den Zugriff auf OKV für die Datenbank mit ihren Schlüsseln verhindert.

In der autonomen KI-Datenbank auf Oracle Database@AWS können Sie mit AWS Key Management Service (AWS KMS) Masterverschlüsselungsschlüssel verwalten.

Unabhängig davon, ob Sie von Oracle verwaltete oder vom Kunden verwaltete Schlüssel verwenden, können Sie darüber hinaus die in vorhandenen Datenbanken verwendeten Schlüssel bei Bedarf rotieren, um die Sicherheits-Policys Ihres Unternehmens zu erfüllen. Weitere Einzelheiten finden Sie unter Verschlüsselungsschlüssel rotieren.

Bevor Sie beginnen: Best Practices zur Compartment-Hierarchie

Oracle empfiehlt, wie folgt eine Compartment-Hierarchie für das Deployment der autonomen KI-Datenbank in einer dedizierten Infrastruktur zu erstellen:

Ein übergeordnetes Compartment für das gesamte Deployment
Untergeordnete Compartments für jede der verschiedenen Ressourcenarten:
- Autonome KI-Datenbanken
- Autonome Containerdatenbanken und Infrastrukturressourcen (Exadata-Infrastrukturen und autonome Exadata-VM-Cluster)
- VCN (virtuelles Cloud-Netzwerk) und die zugehörigen Subnetze
- Vaults mit den vom Kunden verwalteten Schlüsseln

Diese Best Practice ist besonders wichtig, wenn Sie von Kunden verwaltete Schlüssel verwenden. Da die Policy-Anweisung, die Sie erstellen, um Autonomous AI Database-Zugriff auf Ihre Schlüssel zu erteilen, muss einer Policy hinzugefügt werden, die höher in Ihrer Compartment-Hierarchie steht als das Compartment, in dem Ihre Vaults und Schlüssel enthalten sind.

Vom Kunden verwaltete Schlüssel im Vault-Service verwenden

Bevor Sie im Vault-Service gespeicherte vom Kunden verwaltete Schlüssel verwenden können, müssen Sie eine Reihe vorbereitender Konfigurationsaufgaben ausführen, um einen Tresor und Masterverschlüsselungsschlüssel zu erstellen und diesen Tresor und seine Schlüssel dann in Autonomous AI Database verfügbar zu machen, insbesondere:

Erstellen Sie einen Vault im Vault-Service, indem Sie die Anweisungen unter So erstellen Sie einen neuen Vault in der Oracle Cloud Infrastructure-Dokumentation befolgen. Wenn Sie diese Anweisungen befolgen, empfiehlt Oracle, dass Sie den Vault in einem Compartment erstellen, die speziell für die Vaults mit Vom Kunden verwalteten Schlüsseln erstellt wurde.

Nach dem Erstellen des Vaults können Sie mindestens einen Masterverschlüsselungsschlüssel im Vault erstellen. Befolgen Sie dazu die Anweisungen in der Oracle Cloud Infrastructure-Dokumentation unter So erstellen Sie einen neuen Masterverschlüsselungsschlüssel. Wählen Sie beim Befolgen dieser Anweisungen die folgenden Optionen aus:
- Erstellen in Compartment: Oracle empfiehlt, dass Sie den Masterverschlüsselungsschlüssel in demselben Compartment wie den Vault erstellen. Das heißt, das Compartment, das speziell für die Vaults mit den vom Kunden verwalteten Schlüsseln erstellt wurde.
- Schutzmodus: Wählen Sie einen geeigneten Wert in der Dropdown-Liste aus:
  - HSM zur Erstellung eines Masterverschlüsselungsschlüssels, der in einem Hardwaresicherheitsmodul (HSM) gespeichert und verarbeitet wird.
  - Software zur Erstellung eines Masterverschlüsselungsschlüssels, der in einem Softwaredateisystem im Vault-Service gespeichert wird. Softwaregeschützte Schlüssel werden mit einem HSM-basierten Root-Schlüssel im Ruhezustand geschützt. Sie können Softwareschlüssel in andere Schlüsselverwaltungsgeräte oder eine andere OCI-Cloud-Region exportieren. Im Gegensatz zu HSM-Schlüsseln sind softwaregeschützte Schlüssel kostenlos.
- Schlüsselformalgorithmus: AES
- Schlüsselformlänge: 256 Bit
Hinweis: Sie können einem vorhandenen Vault auch einen Verschlüsselungsschlüssel hinzufügen.
Mit dem Networking-Service können Sie ein Servicegateway, eine Routingregel und eine Egress-Sicherheitsregel für das VCN (virtuelles Cloud-Netzwerk) und die Subnetze erstellen, in denen sich Ihre autonomen KI-Datenbankressourcen befinden.
Mit dem IAM-Service können Sie Dynamische Gruppe erstellen, die Ihre autonomen KI-Datenbankressourcen identifiziert, sowie eine Policy-Anweisung, die dieser dynamischen Gruppe Zugriff auf die erstellten Masterverschlüsselungsschlüssel erteilt.

Tipp: Als Alternative können Sie Lab 17: Customer Controlled Database Encryption Keys in Oracle Autonomous AI Database Dedicated for Security Administrators ausführen, um diese Anweisungen auszuprobieren.

Nachdem Sie den vom Kunden verwalteten Schlüssel mit den oben genannten Schritten konfiguriert haben, können Sie ihn beim Provisioning einer autonomen Containerdatenbank (ACD) oder durch Rotieren des vorhandenen Verschlüsselungsschlüssels auf der Seite "Details" der ACD- oder autonomen KI-Datenbank konfigurieren. In dieser ACD bereitgestellte autonome KI-Datenbanken erben diese Verschlüsselungsschlüssel automatisch. Weitere Informationen finden Sie unter Autonome Containerdatenbank erstellen oder Verschlüsselungsschlüssel einer autonomen Containerdatenbank rotiert.

Wenn Sie regionsübergreifendes Autonomous Data Guard aktivieren möchten, müssen Sie zuerst den OCI-Vault in der Region replizieren, in der Sie die Standbydatenbank hinzufügen möchten. Weitere Informationen finden Sie unter Vaults und Schlüssel replizieren.

Hinweis: Virtuelle Vaults, die vor der Einführung des Features für die regionsübergreifende Vault-Replikation erstellt wurden, können nicht regionsübergreifend repliziert werden. Erstellen Sie einen neuen Vault und neue Schlüssel, wenn Sie einen Vault haben, den Sie in einer anderen Region replizieren müssen, und die Replikation für diesen Vault nicht unterstützt wird. Alle privaten Vaults unterstützen jedoch die regionsübergreifende Replikation. Weitere Informationen finden Sie unter Regionsübergreifende Virtual-Vault-Replikation.

Bring Your Own Keys (BYOK) im Vault-Service verwenden

Gilt nur für: Anwendbar Oracle Public Cloud

Bevor Sie Ihre eigenen Schlüssel in den Vault-Service verwenden können, müssen Sie mehrere vorbereitende Konfigurationsaufgaben ausführen, um einen Tresor zu erstellen und den Masterverschlüsselungsschlüssel zu importieren und diesen Tresor und seine Schlüssel dann in Autonomous AI Database verfügbar zu machen. Insbesondere:

Erstellen Sie einen Vault im Vault-Service, indem Sie die Anweisungen unter So erstellen Sie einen neuen Vault in der Oracle Cloud Infrastructure-Dokumentation befolgen. Wenn Sie diese Anweisungen befolgen, empfiehlt Oracle, dass Sie den Vault in einem Compartment erstellen, die speziell für die Vaults mit Vom Kunden verwalteten Schlüsseln erstellt wurde.

Nach dem Erstellen des Vaults können Sie mindestens einen Masterverschlüsselungsschlüssel im Vault erstellen. Befolgen Sie dazu die Anweisungen in der Oracle Cloud Infrastructure-Dokumentation unter So erstellen Sie einen neuen Masterverschlüsselungsschlüssel. Sie können auch einen Kundenverschlüsselungsschlüssel in einen vorhandenen Vault importieren. Wählen Sie beim Befolgen dieser Anweisungen die folgenden Optionen aus:
- Erstellen in Compartment: Oracle empfiehlt, dass Sie den Masterverschlüsselungsschlüssel in demselben Compartment wie den Vault erstellen. Das heißt, das Compartment, das speziell für die Vaults mit den vom Kunden verwalteten Schlüsseln erstellt wurde.
- Schutzmodus: Wählen Sie einen geeigneten Wert in der Dropdown-Liste aus:
  - HSM zur Erstellung eines Masterverschlüsselungsschlüssels, der in einem Hardwaresicherheitsmodul (HSM) gespeichert und verarbeitet wird.
  - Software zur Erstellung eines Masterverschlüsselungsschlüssels, der in einem Softwaredateisystem im Vault-Service gespeichert wird. Softwaregeschützte Schlüssel werden mit einem HSM-basierten Root-Schlüssel im Ruhezustand geschützt. Sie können Softwareschlüssel in andere Schlüsselverwaltungsgeräte oder eine andere OCI-Cloud-Region exportieren. Im Gegensatz zu HSM-Schlüsseln sind softwaregeschützte Schlüssel kostenlos.
- Schlüsselformalgorithmus: AES
- Schlüsselformlänge: 256 Bit
- Externen Schlüssel importieren: Um einen Kundenverschlüsselungsschlüssel (BYOK) zu verwenden, wählen Sie Externen Schlüssel importieren aus, und geben Sie die folgenden Details an:
  - Wrapping-Schlüsselinformationen. Dieser Abschnitt ist schreibgeschützt, Sie können jedoch die Details des öffentlichen Wrapping Keys anzeigen.
  - Wrapping-Algorithmus. Wählen Sie einen Wrapping-Algorithmus aus der Dropdown-Liste aus.
  - Datenquelle für externen Schlüssel. Laden Sie die Datei hoch, die das gewrappte RSA-Schlüsselmaterial enthält.
  Hinweis: Sie können das Schlüsselmaterial entweder als neue externe Schlüsselversion importieren oder auf den Namen eines vorhandenen Masterverschlüsselungsschlüssels klicken und mit einer neuen Schlüsselversion rotieren. Weitere Informationen finden Sie unter Schlüsselmaterial als externe Schlüsselversion importieren.
Mit dem Networking-Service können Sie ein Servicegateway, eine Routingregel und eine Egress-Sicherheitsregel für das VCN (virtuelles Cloud-Netzwerk) und die Subnetze erstellen, in denen sich Ihre autonomen KI-Datenbankressourcen befinden.
Mit dem IAM-Service können Sie Dynamische Gruppe erstellen, die Ihre autonomen KI-Datenbankressourcen identifiziert, sowie eine Policy-Anweisung, die dieser dynamischen Gruppe Zugriff auf die erstellten Masterverschlüsselungsschlüssel erteilt.

Nachdem Sie das vom Kunden verwaltete BYOK mit den oben genannten Schritten konfiguriert haben, können Sie es verwenden, indem Sie den vorhandenen Verschlüsselungsschlüssel auf der Seite Details der autonomen Containerdatenbank oder autonomen KI-Datenbank rotieren. Weitere Informationen finden Sie unter Verschlüsselungsschlüssel einer autonomen Containerdatenbank rotiert.

Externe Schlüssel aus OCI External Key Management Service (OCI EKMS) verwenden

Gilt nur für: Anwendbar Oracle Public Cloud

Bevor Sie externe Schlüssel aus OCI EKMS verwenden können, müssen Sie mehrere vorbereitende Konfigurationsaufgaben ausführen, um einen Tresor zu erstellen und diesen Tresor und seine Schlüssel dann in Autonomous AI Database verfügbar zu machen.

In OCI EKMS können Sie Masterverschlüsselungsschlüssel (als externe Schlüssel) auf einem Schlüsselverwaltungssystem eines Drittanbieters speichern und steuern, das außerhalb von OCI gehostet wird. Sie können dies zur Verbesserung der Datensicherheit oder zur Einhaltung gesetzlicher Vorschriften verwenden, um Schlüssel außerhalb von Oracle Public Cloud oder anderen Cloud-Standorten von Drittanbietern zu speichern. Da sich die eigentlichen Schlüssel im Schlüsselverwaltungssystem eines Drittanbieters befinden, erstellen Sie nur Schlüsselreferenzen in OCI.

Sie können einen Vault erstellen und verwalten, der Schlüsselreferenzen in OCI EKMS enthält. Sie können die Schlüssel aus OCI EKMS mit einer autonomen KI-Datenbank auf einer dedizierten Exadata-Infrastruktur verwenden, die in Oracle Public Cloud bereitgestellt ist. Weitere Informationen finden Sie unter Vault in OCI EKMS erstellen. Wählen Sie beim Befolgen dieser Anweisungen die folgenden Optionen aus:
- In Compartment erstellen: Wählen Sie ein Compartment für den OCI-EKMS-Vault aus.
- IDCS-Accountnamen-URL: Geben Sie die Authentifizierungs-URL ein, mit der Sie auf den KMS-Service zugreifen. Die Konsole leitet zu einem Anmeldebildschirm um.
- Key-Management-Anbieter: Wählen Sie einen Drittanbieter aus, der den Key-Management-Service bereitstellt. Derzeit unterstützt OCI KMS nur Thales als externen Schlüsselverwaltungsanbieter.
- Clientanwendungs-ID: Geben Sie die OCI-KMS-Client-ID ein, die generiert wird, wenn Sie die vertrauliche Clientanwendung in der Oracle-Identitätsdomain registrieren.
- Secret der Clientanwendung: Geben Sie die Secret-ID der vertraulichen Clientanwendung ein, die in der Oracle-Identitätsdomain registriert ist.
- Privater Endpunkt in Compartment: Wählen Sie die GUID des privaten Endpunkts der externen Schlüsselverwaltung aus.
- Externe Vault-URL: Geben Sie die Vault-URL ein, die beim Erstellen des Vaults in der externen Schlüsselverwaltung generiert wurde.
Mit dem Networking-Service können Sie ein Servicegateway, eine Routingregel und eine Egress-Sicherheitsregel für das VCN (virtuelles Cloud-Netzwerk) und die Subnetze erstellen, in denen sich Ihre autonomen KI-Datenbankressourcen befinden.
Mit dem IAM-Service können Sie Dynamische Gruppe erstellen, die Ihre autonomen KI-Datenbankressourcen identifiziert, sowie eine Policy-Anweisung, die dieser dynamischen Gruppe Zugriff auf die erstellten Masterverschlüsselungsschlüssel erteilt.

Vom Kunden verwaltete Schlüssel in AWS KMS verwenden

In der autonomen KI-Datenbank auf Oracle Database@AWS können Sie mit AWS Key Management Service (AWS KMS) Masterverschlüsselungsschlüssel verwalten.

Bevor Sie vom Kunden verwaltete Schlüssel in AWS KMS verwenden können, müssen Sie AWS-Schlüsselmanagement auf AVMC-Ebene aktivieren. Nachdem der AVMC erstellt wurde, haben Sie die Möglichkeit, AWS KMS auf der Seite "AVMC-Details" zu aktivieren. Solange der AVMC leer ist und keine ACDs enthält, haben Sie die Möglichkeit, die AWS KMS-Schlüsselverwaltungskonfiguration auf der AVMC-Detailseite zu deaktivieren. Während der ACD-Erstellung können Sie einen AWS KMS-Schlüssel als Schlüsseltyp auswählen.

Servicegateway, Routingregel und Egress-Sicherheitsregel erstellen

Das Oracle Cloud Infrastructure (OCI) Service Gateway bietet privaten, sicheren Zugriff auf mehrere Oracle Cloud-Services gleichzeitig über ein virtuelles Cloud-Netzwerk (VCN) oder ein On-Premise-Netzwerk über ein einzelnes Gateway, ohne das Internet zu durchlaufen.

Sie können ein Servicegateway im VCN (virtuellen Cloud-Netzwerk) erstellen, in dem sich Ihre autonomen KI-Datenbankressourcen befinden. Befolgen Sie dazu die Anweisungen in Aufgabe 1: Servicegateway erstellen in der Oracle Cloud Infrastructure-Dokumentation.

Nachdem das Servicegateway erstellt wurde, fügen Sie eine Routingregel und eine Egress-Sicherheitsregel zu jedem Subnetz (im VCN) hinzu, in dem sich autonome KI-Datenbankressourcen befinden, damit diese Ressourcen mit dem Gateway auf den Vault-Service zugreifen können:

Gehen Sie zur Seite Subnetzdetails für das Subnetz.
Klicken Sie auf der Registerkarte Informationen zum Subnetz auf den Namen der Routentabelle des Subnetzs, um die Seite Routentabellendetails anzuzeigen.
Überprüfen Sie in der Tabelle der vorhandenen Routingregeln, ob bereits eine Regel mit den folgenden Eigenschaften vorhanden ist:
- Ziel: Alle IAD-Services in Oracle Services Network
- Zieltyp: Servicegateway
- Ziel: Der Name des Servicegateways, das Sie gerade im VCN erstellt
Wenn keine derartige Regel vorhanden ist, klicken Sie auf Routingregeln hinzufügen, und fügen Sie eine Routingregel mit diesen Merkmalen hinzu.
Kehren Sie zur Seite Subnetzdetails für das Subnetz erneut zurück.
Klicken Sie in der Tabelle Sicherheitslisten des Subnetzes auf den Namen der Sicherheitsliste des Subnetzes, um das Register Sicherheitslistendetails anzuzeigen.
Klicke im Seitenmenü unter Ressourcen auf Egress-Regeln.
Überprüfen Sie in der Tabelle der vorhandenen Egress-Regeln, ob bereits eine Regel mit den folgenden Eigenschaften vorhanden ist:
- Zustandslos: Nein
- Ziel: Alle IAD-Services in Oracle Services Network
- IP-Protokoll: TCP
- Quellportbereich: Alle
- Zielportbereich: 443
Wenn keine derartige Regel vorhanden ist, klicken Sie auf Egress-Regeln hinzufügen, und fügen Sie eine Egress-Regel mit diesen Merkmalen hinzu.

Dynamische Gruppe und Policy-Anweisung erstellen

Um den Ressourcen der autonomen KI-Datenbank Zugriff auf die vom Kunden verwalteten Schlüssel zu gewähren, erstellen Sie eine dynamische IAM-Gruppe, die diese Ressourcen identifiziert. Erstellen Sie dann eine IAM-Policy, die dieser dynamischen Gruppe Zugriff auf die im Vault-Service erstellten Masterverschlüsselungsschlüssel erteilt.

Beim Definieren der dynamischen Gruppe identifizieren Sie die autonomen KI-Datenbankressourcen, indem sie die OCID des Compartments angeben, das Ihre Exadata-Infrastrukturressource enthält.

Kopieren Sie die OCID des Compartments, das Ihre Exadata-Infrastrukturressource enthält. Diese OCID finden Sie auf der Seite Compartment-Details des Compartments.
Erstellen Sie eine dynamische Gruppe nach den Anweisungen unter So erstellen Sie eine dynamische Gruppe in der Oracle Cloud Infrastructure-Dokumentation. Geben Sie beim Ausführen der Anweisungen eine Übereinstimmungsregel in diesem Format ein:
```
 ALL {resource.compartment.id ='<compartment-ocid>'}
```
Dabei ist <compartment-ocid> die OCID des Compartments, das die autonome Exadata-VM-Clusterressource enthält.

Nachdem Sie die dynamische Gruppe erstellt haben, navigieren Sie zu einer (oder erstellen Sie eine) IAM-Policy in einem Compartment, das in der Compartment-Hierarchie über dem Compartment liegt, das Ihre Vaults und Schlüssel enthält. Fügen Sie dann eine Policy-Anweisung in diesem Format hinzu:

allow dynamic-group <dynamic-group-name>
to manage keys
in compartment <vaults-and-keys-compartment>
where all {
target.key.id='<key_ocid>',
request.permission!='KEY_MOVE',
request.permission!='KEY_IMPORT'
}

Wenn Sie einen replizierten virtuellen Vault oder einen replizierten virtuellen Private Vault für das Autonomous Data Guard-Deployment verwenden, fügen Sie eine zusätzliche Policy-Anweisung in diesem Format hinzufügen:

allow dynamic-group <dynamic-group>
to read vaults
in tenancy | compartment <vaults-and-keys-compartment>

Dabei ist <dynamic-group> der Name der von Ihnen erstellten dynamischen Gruppe und <vaults-and-keys-compartment> der Name des Compartments, in dem Sie Ihre Vaults und Masterverschlüsselungsschlüssel erstellt haben.

Vom Kunden verwaltete Schlüsseln in Oracle Key Vault verwenden

Oracle Key Vault (OKV) ist eine sicherheitserprobte Full-Stack-Software-Appliance, mit der Sie Schlüssel und Sicherheitsobjekte in Ihrem Unternehmen zentral verwalten kann. Sie integrieren Ihr On-Premise-OKV-Deployment in Oracle Autonomous AI Database on Dedicated Exadata Infrastructure, um Ihre eigenen Masterschlüssel zu erstellen und zu verwalten.

Bevor Sie in OKV gespeicherte vom Kunden verwaltete Schlüssel verwenden können, müssen Sie eine Reihe vorbereitender Konfigurationsaufgaben ausführen, wie unter Verwendung von Oracle Key Vault vorbereiten beschrieben.

Nachdem Sie die vorbereitenden Konfigurationsaufgaben abgeschlossen haben, können Sie die Kundenmanagerschlüssel in OKV beim Provisioning einer autonomen Containerdatenbank (ACD) verknüpfen. Alle in dieser ACD bereitgestellten autonomen KI-Datenbanken erben diese Verschlüsselungsschlüssel automatisch. Siehe Autonome Containerdatenbank erstellen für weitere Details.

Hinweis: Wenn Sie regionsübergreifendes Autonomous Data Guard aktivieren möchten, stellen Sie sicher, dass Sie Verbindungs-IP-Adressen für das OKV-Cluster im Keystore hinzugefügt haben.

Überblick über OKV-Endpunkte:

Oracle Key Vault-Endpunkte sind Computersysteme wie Datenbank- oder Anwendungsserver, bei denen Schlüssel und Zugangsdaten für den Zugriff auf Daten verwendet werden. Sie müssen einen Endpunkt registrieren und registrieren, um mit Oracle Key Vault zu kommunizieren. Anschließend können Schlüssel im Endpunkt in Oracle Key Vault hochgeladen und mit anderen Endpunkten gemeinsam verwendet und dann von diesen Endpunkten heruntergeladen werden, damit Benutzer auf ihre Daten zugreifen können.

Nur ein Benutzer mit der Rolle Systemadministrator oder der Berechtigung Endpunkt erstellen kann einen Endpunkt zu Oracle Key Vault hinzufügen. Nachdem der Endpunkt hinzugefügt wurde, kann der Endpunktadministrator den Endpunkt registrieren, indem er die Endpunktsoftware am Endpunkt herunterlädt und installiert. Der Endpunkt kann dann mit den mit der Endpunktsoftware gepackten Utilitys Sicherheitsobjekte in und aus Oracle Key Vault hochladen und herunterladen.