Claves gestionadas por el cliente para Oracle Break Glass

Se recomienda crear un grupo de administradores de seguridad distinto para limitar el acceso a las funciones de seguridad de los entornos de Fusion Applications.

La política para el grupo de administradores de seguridad permite al grupo gestionar almacenes y claves, pero no permite la supresión. La política es:

allow group '<identity-domain-name'/'<your-group-name>' to manage keys in <location> where request.permission not in ('KEY_DELETE')
allow group '<identity-domain-name'/'<your-group-name>' to manage vaults in <location> where request.permission not in ('VAULT_DELETE')
 

Consulte Gestión de usuarios de Oracle Cloud con funciones de trabajo específicas para obtener información sobre los procedimientos para crear grupos y políticas para definir roles, incluidos los permisos necesarios específicos para el rol de administrador de seguridad.

Para agregar los permisos para el administrador de Fusion Applications:

1. Consulte el procedimiento Managing Oracle Cloud Users with Specific Job Functions, en el que se describe la creación del rol de administrador de Fusion Applications.
2. Agregue las siguientes sentencias al rol Administrador de Entorno de Fusion Applications, si aún no está presente:

   
   Allow group '<identity-domain-name'/'<your-group-name>' to read vaults in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to read keys in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to use key-delegate in compartment <location>

Asegúrese de sustituir todas las variables <location> por el nombre del compartimento en el que se han creado el almacén y las claves.

Crear una política en el dominio OC1 con las siguientes sentencias:

define tenancy fusionapps1 as ocid1.tenancy.oc1..aaaaaaaau5s6lj67ia5vy6qjglhvquqdszjqlmvlmsetu4jrtjni4mng6hea
define tenancy fusionapps2 as ocid1.tenancy.oc1..aaaaaaaajgaoycccrtt3l3vnnlave6wkc2zbf6kkksq66begstczxrmxjlia
define dynamic-group fusionapps1_environment as ocid1.dynamicgroup.oc1..aaaaaaaa5wcbybhxa5vqcvniefoihlvnidty4fk77fitn2hjhd7skhzaadqq
define dynamic-group fusionapps2_environment as ocid1.dynamicgroup.oc1..aaaaaaaaztbusgx23a3jdpvgxqx6tkv2nedgxld6pj3w7hcvhfzvw5ei7fiq
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to manage keys in tenancy
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to use vaults in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to manage keys in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to use vaults in tenancy
allow service keymanagementservice to manage vaults in tenancy
allow any-user to read keys in tenancy where all {request.principal.type = 'fusionenvironment'}
allow any-user to read vaults in tenancy where all {request.principal.type = 'fusionenvironment'}

Como alternativa, para restringir los permisos a compartimentos específicos, especifique el compartimento en lugar del arrendamiento que se muestra en el ejemplo. Si no tiene sentencias de política para cada compartimento, debe crearlas. Para agregar sentencias de política para los compartimentos, consulte Creación de una política. Si tiene sentencias de política existentes para cada compartimento, debe actualizarlas. Para actualizar las sentencias de política de cada compartimento, consulte Actualización de sentencias de una política.

Tenga en cuenta que si cambia los compartimentos de clave o almacén en el futuro, también debe actualizar las políticas. De lo contrario, el entorno de Fusion no podrá acceder a las claves, lo que puede provocar interrupciones. Para buscar el compartimento para el almacén, consulte Obtención de detalles de un almacén.

Siga el procedimiento para Creación de un almacén en la documentación de Vault. Para crear un almacén externo, consulte External Key Management Service.

Recomendamos crear 2 almacenes: uno para las Claves del Entorno de Producción y el otro para las Claves del Entorno que no sean de Producción.

Después de crear los almacenes, replique el almacén que ha creado para el entorno de producción. El almacén replicado se utiliza para la recuperación ante desastres.

1. Verifique el emparejamiento de la región de recuperación ante desastres para la región donde se encuentra el entorno de producción de Fusion Applications. Consulte Soporte para recuperación ante desastres para obtener una lista de los emparejamientos de regiones.
2. Suscríbase a la región que aparece como emparejamiento para su región. Para suscribirse a una región, consulte Suscripción a una región de infraestructura.
3. Replicación del almacén que ha creado para el entorno de producción siguiendo los pasos de Replicación de almacenes y claves. Cuando seleccione la región de destino para la replicación, asegúrese de seleccionar la región de recuperación ante desastres a la que se suscribió en el paso anterior.

Siga el procedimiento Creating a Master Encryption Key en la documentación de Vault o, para importar sus propias claves, siga los procedimientos de Getting Public RSA Wrapping Key y Applying RSA-OAEP with AES to Wrap Key Material.

Con el modo de protección de claves del módulo de seguridad de hardware (HSM), las claves de cifrado se almacenan y protegen en módulos de seguridad de hardware con certificación FIPS 140-2 de nivel 3.

Debe realizar las siguientes selecciones al crear claves para Fusion Applications:

• Para Unidad de clave: algoritmo, seleccione AES (clave simétrica usada para el cifrado y el descifrado (debe seleccionar esta opción para las claves gestionadas por el cliente de Fusion Applications).
• En Unidad de clave: longitud, seleccione 256 bits.

Se recomienda crear una clave en el almacén de producción para su entorno de producción y una clave para cada entorno que no sea de producción en el almacén que no sea de producción.

Después de crear el almacén y las claves, proporcione al administrador de Fusion Applications el nombre del compartimento del almacén, el nombre del almacén y el nombre de clave (y el nombre del compartimento de clave, si es diferente).

Este procedimiento incluye solo los pasos para activar la clave gestionada por el cliente. Consulte Tareas de gestión del entorno para conocer el procedimiento completo para crear un entorno.

En la página de creación del entorno:

1. Seleccione Mostrar Opciones Avanzadas.
2. Haga clic en el separador Cifrado .

3. Seleccione Clave gestionada por el cliente (recomendada).

   

   Si no ve esta opción, la suscripción no se ha agregado a la familia de entornos.

4. Seleccione el almacén. Si el almacén no está en el mismo compartimento en el que está creando el entorno, debe hacer clic en Cambiar compartimento y seleccionar el compartimento adecuado.
5. Seleccione la clave. Si la clave no está en el mismo compartimento en el que está creando el entorno, debe hacer clic en Cambiar compartimento y seleccionar el compartimento adecuado. Solo se muestran las claves AES de 256 bits.

Después de completar todos los pasos para configurar el entorno, comienza el proceso de aprovisionamiento. Al agregar la clave gestionada por el cliente, se agrega tiempo al proceso de aprovisionamiento. Mientras se activa la clave, verá un mensaje que le avisará de que el entorno no está disponible.

Para activar una clave gestionada por el cliente para un entorno existente:

1. Navegue al entorno: en el directorio raíz de aplicaciones de la consola, seleccione Aplicaciones de Fusion. En la página Visión general, busque la familia de entornos para el entorno y, a continuación, seleccione el nombre del entorno.
2. En Recursos, seleccione Seguridad. Aparece el separador Cifrado.
3. Por defecto, el tipo está gestionado por Oracle. Seleccione Editar cifrado para agregar el almacén y la clave.

   Si no ve la opción de edición, no agregó las opciones adecuadas o el entorno se está actualizando.

4. Seleccione clave gestionada por el cliente.

   
5. Seleccione el almacén. Si el almacén no está en el mismo compartimento en el que está creando el entorno, seleccione Cambiar compartimento y seleccione el compartimento adecuado. Si utiliza la recuperación ante desastres (DR), debe seleccionar un almacén que admita la replicación. Todos los almacenes privados admiten la replicación. Para los almacenes virtuales, consulte Replicating Vaults and Keys para obtener información sobre cómo determinar si un almacén virtual admite la replicación.
6. Seleccione la clave de cifrado maestra. Si la clave no está en el mismo compartimento en el que está creando el entorno, seleccione Cambiar compartimento y seleccione el compartimento adecuado. Solo se muestran las claves AES de 256 bits.

7. En la sección Programa de actualización de cifrado, seleccione la ventana de tiempo para especificar la hora a la que desea que comience la actualización de gestión de cifrado. Se muestran hasta tres fechas, dependiendo de cuándo se ejecute la siguiente ejecución de mantenimiento programado para el entorno.

   Tenga en cuenta que una de las fechas de la lista de opciones es la fecha del siguiente mantenimiento programado. Si selecciona la fecha del siguiente mantenimiento programado, el texto de indicación muestra el mensaje "La fecha seleccionada anteriormente es la siguiente fecha de mantenimiento programado".

   

   El texto de indicación para la siguiente fecha de mantenimiento programado aparece como se muestra en la siguiente imagen:

   

   Tenga en cuenta lo siguiente:

   • Por defecto, la ventana de tiempo muestra la opción de la próxima actualización de mantenimiento programada. Si utiliza esta opción y necesita cancelar o reprogramar la actualización para activar las claves gestionadas por el cliente, debe ponerse en contacto con los Servicios de Soporte Oracle.
   • Oracle proporciona dos ventanas de tiempo que no son la hora de la próxima actualización de mantenimiento programada. Si selecciona una de estas dos ventanas, puede utilizar la consola de OCI para cancelar o reprogramar la actualización para activar claves gestionadas por el cliente.
8. Seleccione Enviar para solicitar la actualización que activa las claves gestionadas por el cliente en su entorno.

El mensaje de la parte inferior de la ventana se muestra cuando está programado que se produzca el cifrado. El cifrado se realiza durante la ventana de tiempo especificada. Hasta que este se realice, el entorno permanece cifrado por la clave gestionada por Oracle.

1. Navegue al entorno: en el directorio raíz de aplicaciones de la consola, seleccione Aplicaciones de Fusion. En la página Visión general, busque la familia de entornos para el entorno y, a continuación, seleccione el nombre del entorno.
2. En Recursos, seleccione Seguridad. Aparece el separador Cifrado.
3. En la tabla de opciones de cifrado, busque la fila "Gestionada por el cliente", seleccione el menú Acciones (tres puntos) y, a continuación, seleccione Volver a programar o Cancelar.

4. Solo reprogramar: si está reprogramando la actualización para claves gestionadas por el cliente, seleccione una nueva fecha mediante el menú desplegable y, a continuación, seleccione Enviar.

   Nota
   
   Si está activando claves gestionadas por el cliente fuera de un mantenimiento programado regularmente, asegúrese de que el tiempo que seleccione para la actualización no entre en conflicto con otras actividades importantes del entorno, como una operación de refrescamiento. Para las operaciones de refrescamiento, esto significa que ni el entorno de origen ni el de destino se pueden actualizar para las claves gestionadas por el cliente mientras se realiza el refrescamiento.

   Cancelar solo: si está cancelando la actualización, escriba el nombre del entorno para confirmar que desea cancelar la actualización y, a continuación, seleccione Cancelar clave programada.