Claves gestionadas por el cliente para Oracle Break Glass

Le recomendamos que cree un grupo de administrador de seguridad distinto para limitar el acceso a las funciones de seguridad de los entornos de Fusion Applications.

La política para el grupo administrador de seguridad permite al grupo gestionar almacenes y claves, pero que no permite la supresión. La política es:

allow group '<identity-domain-name'/'<your-group-name>' to manage keys in <location> where request.permission not in ('KEY_DELETE')
allow group '<identity-domain-name'/'<your-group-name>' to manage vaults in <location> where request.permission not in ('VAULT_DELETE')
 

Consulte Gestión de usuarios de la nube de Oracle Cloud con funciones de puesto específicas para obtener información sobre los procedimientos para crear grupos y políticas para definir roles, incluidos aquellos permisos necesarios específicos para el rol del administrador de seguridad.

Para agregar los permisos para el Administrador de Fusion Applications:

1. Consulte Gestión de usuarios de la nube de Oracle Cloud con funciones de puesto específicas, en la que se describe la creación del rol del administrador de Fusion Applications.
2. Agregue las siguientes sentencias al rol Administrador de Entorno de Fusion Applications, si aún no está presente:

   
   Allow group '<identity-domain-name'/'<your-group-name>' to read vaults in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to read keys in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to use key-delegate in compartment <location>
                                   

Asegúrese de sustituir todas las variables <location> por el nombre del compartimento en el que se han creado el almacén y las claves.

Crear una política en el dominio OC1 con las siguientes sentencias:

define tenancy fusionapps1 as ocid1.tenancy.oc1..aaaaaaaau5s6lj67ia5vy6qjglhvquqdszjqlmvlmsetu4jrtjni4mng6hea
define tenancy fusionapps2 as ocid1.tenancy.oc1..aaaaaaaajgaoycccrtt3l3vnnlave6wkc2zbf6kkksq66begstczxrmxjlia
define dynamic-group fusionapps1_environment as ocid1.dynamicgroup.oc1..aaaaaaaa5wcbybhxa5vqcvniefoihlvnidty4fk77fitn2hjhd7skhzaadqq
define dynamic-group fusionapps2_environment as ocid1.dynamicgroup.oc1..aaaaaaaaztbusgx23a3jdpvgxqx6tkv2nedgxld6pj3w7hcvhfzvw5ei7fiq
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to manage keys in tenancy
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to use vaults in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to manage keys in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to use vaults in tenancy
allow service keymanagementservice to manage vaults in tenancy
allow any-user to read keys in tenancy where all {request.principal.type = 'fusionenvironment'}
allow any-user to read vaults in tenancy where all {request.principal.type = 'fusionenvironment'}

Siga el procedimiento para Creación de un almacén en la documentación de Vault. Para crear un almacén externo, consulte External Key Management Service.

Recomendamos crear 2 almacenes: uno para las Claves del Entorno de Producción y el otro para las Claves del Entorno que no sean de Producción.

Después de crear los almacenes, replique el almacén que ha creado para el entorno de producción. El almacén replicado se utiliza para la recuperación ante desastres.

1. Verifique el emparejamiento de la región de recuperación ante desastres para la región donde se encuentra el entorno de producción de Fusion Applications. Consulte Soporte para recuperación ante desastres para obtener una lista de los emparejamientos de regiones.
2. Suscríbase a la región que aparece como emparejamiento para su región. Para suscribirse a una región, consulte Suscripción a una región de infraestructura.
3. Replicación del almacén que ha creado para el entorno de producción siguiendo los pasos de Replicación de almacenes y claves. Cuando seleccione la región de destino para la replicación, asegúrese de seleccionar la región de recuperación ante desastres a la que se suscribió en el paso anterior.

Siga el procedimiento Creación de una clave de cifrado maestra en la documentación del almacén o, para importar sus propias claves, siga los procedimientos de Importación de claves y versiones de claves.

Con el modo de protección de claves del módulo de seguridad de hardware (HSM), las claves de cifrado se almacenan y protegen en módulos de seguridad de hardware con certificación FIPS 140-2 de nivel 3.

Debe realizar las siguientes selecciones al crear claves para Fusion Applications:

• En Key Shape: Algorithm (Unidad de clave: algoritmo), seleccione AES (Clave simétrica utilizada para cifrar y descifrar. (Debe seleccionar esta opción para las claves gestionadas por el cliente de Fusion Applications).
• En Unidad de clave: longitud, seleccione 256 bits.

Recomendamos crear una clave en el almacén de produccion para su ambiente de produccion y una clave para cada entorno que no es de produccion en el almacén que no es de produccion.

Después de crear el almacén y las claves, proporcione a los administradores de Fusion Applications el nombre de compartimento, el nombre de almacén y el de la clave (y, si son diferentes), el nombre de compartimento de claves.

Este procedimiento incluye solo los pasos para activar la clave gestionada por el cliente. Consulte Tareas de gestión del entorno para conocer el procedimiento completo para crear un entorno.

En la página de creación del entorno:

1. En Opciones avanzadas, amplíe la sección Cifrado.
2. Seleccione Clave gestionada por el cliente (recomendada).

   Si no ve esta opción, la suscripción se no ha agregado a la familia de entornos.

3. Confirme que se han creado las políticas.
4. Seleccione el archivo nativo.

   Si el almacén no está en el mismo compartimento en el que está creando el entorno, seleccione el compartimento adecuado.

5. Seleccione la clave

   Si la clave no está en el mismo compartimento en el que está creando el entorno, seleccione el compartimento adecuado. Solo se muestran las claves AES de 256 bits.

Después de completar todos los pasos para configurar el entorno, comienza el proceso de aprovisionamiento. Al agregar la clave gestionada por el cliente, se agrega tiempo al proceso de aprovisionamiento. Mientras se activa la clave, aparece un mensaje que le avisa de que el entorno no está disponible.

Para activar una clave gestionada por el cliente para un entorno existente:

1. En la página de lista Entornos, seleccione el entorno con el que desea trabajar. Si necesita ayuda para buscar la página de lista, consulte Para mostrar entornos.

2. En la página Detalles del entorno, seleccione Seguridad.
3. En Cifrado, el tipo está gestionado por Oracle, por defecto. Seleccione Editar cifrado para agregar el almacén y la clave.

   Si no ve la opción de edición, no agregó las opciones adecuadas o el entorno se está actualizando.

4. Seleccione Clave gestionada por el cliente (recomendada).
5. Confirme que se han creado las políticas.
6. Seleccione el archivo nativo.

   Si el almacén no está en el mismo compartimento en el que está creando el entorno, seleccione el compartimento adecuado.

   Si utiliza la recuperación ante desastres (DR), debe seleccionar un almacén que admita la replicación. Todos los almacenes privados admiten la replicación. Para los almacenes virtuales, consulte Replicación de almacenes y claves para obtener información sobre cómo determinar si un almacén virtual admite la replicación.

7. Seleccione la clave

   Si la clave no está en el mismo compartimento en el que está creando el entorno, seleccione el compartimento adecuado. Solo se muestran las claves AES de 256 bits.

8. En Programa de actualización de cifrado, seleccione la ventana de tiempo en la que desea que comience la actualización de gestión de cifrado. Se muestran hasta tres fechas.
9. Seleccione Enviar para solicitar la actualización que activa las claves gestionadas por el cliente en su entorno.

Se muestra un mensaje en la parte inferior de la ventana cuando está programado que se produzca el cifrado. El cifrado se realiza durante la ventana de tiempo especificada. Hasta que se realice la actualización, el entorno permanece cifrado por la clave gestionada por el Oracle.

1. En la página de lista Entornos, seleccione el entorno con el que desea trabajar. Si necesita ayuda para buscar la página de lista, consulte Para mostrar entornos.

2. En la página Detalles del entorno, seleccione Seguridad.
3. En Cifrado, busque la fila Gestionada por el cliente. Seleccione el menú Acciones (tres puntos) y, a continuación, seleccione Volver a programar o Cancelar.
4. Solo reprogramar: si está reprogramando la actualización para claves gestionadas por el cliente, seleccione una nueva fecha y, a continuación, seleccione Enviar.
   Nota
   
   Asegúrese de que la hora que seleccione para la actualización no entre en conflicto con otras actividades de entorno importantes, como una operación de refrescamiento. Para las operaciones de refrescamiento, esto significa que ni el entorno de origen ni el de destino se pueden actualizar para las claves gestionadas por el cliente mientras se realiza el refrescamiento.

   Cancelar solo: si está cancelando la actualización, escriba el nombre del entorno para confirmar que desea cancelar la actualización y, a continuación, seleccione Cancelar clave programada.