Claves gestionadas por el cliente para Oracle Break Glass
Proteja sus entornos de Fusion Applications con Oracle Break Glass y claves gestionadas por el cliente.
Por defecto, sus entornos de Fusion Applications están protegidos por claves de cifrado gestionadas por Oracle. Al suscribirse al servicio Oracle Break Glass, se le ofrece la función de claves gestionadas por el cliente que le permite proporcionar y gestionar las claves de cifrado que protegen sus entornos. También puede comprar esta opción como una suscripción complementaria.
Con las claves gestionadas por el cliente, puede utilizar las claves almacenadas en un almacén de OCI para proteger los datos almacenados estáticos en los entornos de producción y no producción. Puede activar la opción de claves gestionadas por el cliente en su entorno durante la creación del entorno o después de crear el entorno.
Mejores prácticas para configurar y gestionar almacenes y claves
Se recomienda crear almacenes independientes para entornos de producción y que no sean de producción. En el almacén que no sea de producción, cree claves independientes para los entornos de prueba y desarrollo. Por ejemplo, podría crear lo siguiente:
Entorno | Almacén | Clave de cifrado maestra |
---|---|---|
Producción | my-production-vault | my-production-key |
Prueba | my-nonproduction-vault | my-test-environment-key |
Desarrollo | my-development-environment-key |
Ventajas de almacenes separados para producción y no producción:
- El mantenimiento de almacenes independientes permite la rotación independiente de claves para entornos de producción y no producción.
- Hay un límite en el número de claves por almacén. Tener almacenes separados proporciona un recuento independiente para producción y no producción.
Los refrescamientos de producción a prueba en los que el entorno de prueba utiliza claves gestionadas por el cliente también consumirán versiones de clave; por lo tanto, con frecuencia los P2T reducirán el número de versiones de clave restantes más rápidamente en un almacén.
Para verificar los límites y el uso de claves, consulte la página Límites, cuotas y uso, donde se muestran los límites, las cuotas y el uso de recursos para la región específica, desglosados por servicio:
- En la consola, abra el menú de navegación y seleccione Gobernanza y administración. En Gestión de arrendamiento, seleccione Límites, cuotas y uso.
- En la lista Servicio, seleccione Gestión de claves.
Verifique los límites de clave para: "Recuento de Versiones de Clave para Almacenes Virtuales" o "Recuento de Versiones de Clave de Software para Almacenes Virtuales", según corresponda para el tipo de clave que haya elegido utilizar.
Configuración de claves gestionadas por el cliente
Fusion Applications aprovecha el servicio OCI Vault para permitirle crear y gestionar claves de cifrado con el fin de proteger los entornos de producción y no producción. Puede configurar claves en el entorno durante la creación del entorno o puede agregar la clave a un entorno existente. Si agrega la configuración en un entorno existente, el cifrado del entorno se producirá durante el siguiente ciclo de mantenimiento programado.
Visión general de tareas y roles de configuración
La gestión de claves gestionadas por el cliente implica tareas que deben realizar los distintos roles de la organización. A continuación, se muestra un resumen de los roles y las tareas que realiza cada uno:
Rol | Tareas de configuración | Tareas de mantenimiento |
---|---|---|
Administrador del arrendamiento |
|
|
Administrador de seguridad |
|
|
Administrador de Fusion Applications |
|
|
Tareas de configuración para el administrador del arrendamiento
El administrador de arrendamiento realiza las tareas para configurar el arrendamiento para el administrador de seguridad y el administrador de Fusion Applications con el fin de activar y gestionar claves gestionadas por el cliente.
Se recomienda crear un grupo de administradores de seguridad distinto para limitar el acceso a las funciones de seguridad de los entornos de Fusion Applications.
La política para el grupo de administradores de seguridad permite al grupo gestionar almacenes y claves, pero no permite la supresión. La política es:
allow group '<identity-domain-name'/'<your-group-name>' to manage keys in <location> where request.permission not in ('KEY_DELETE')
allow group '<identity-domain-name'/'<your-group-name>' to manage vaults in <location> where request.permission not in ('VAULT_DELETE')
Consulte Gestión de usuarios de Oracle Cloud con funciones de trabajo específicas para obtener información sobre los procedimientos para crear grupos y políticas para definir roles, incluidos los permisos necesarios específicos para el rol de administrador de seguridad.
read
para almacenes y claves. El permiso read
permite al administrador de FA:- Seleccionar el almacén y la clave durante la configuración.
- Verificar la rotación de claves.
- Ver el almacén y las claves en el servicio OCI Vault para la solución de problemas.
Para agregar los permisos para el administrador de Fusion Applications:
- Consulte el procedimiento Managing Oracle Cloud Users with Specific Job Functions, en el que se describe la creación del rol de administrador de Fusion Applications.
- Agregue las siguientes sentencias al rol Administrador de Entorno de Fusion Applications, si aún no está presente:
Allow group '<identity-domain-name'/'<your-group-name>' to read vaults in compartment <location> Allow group '<identity-domain-name'/'<your-group-name>' to read keys in compartment <location> Allow group '<identity-domain-name'/'<your-group-name>' to use key-delegate in compartment <location>
Asegúrese de sustituir todas las variables <location> por el nombre del compartimento en el que se han creado el almacén y las claves.
La política para activar claves gestionadas por el cliente se debe agregar antes de agregar el almacén y la clave a su entorno. Si no se agrega esta política:
- El entorno no ha completado el aprovisionamiento.
- El mantenimiento de su entorno existente no se completa.
- No se completa la activación de la clave gestionada por el cliente.
Esta política es solo para arrendamientos en la nube comercial (dominio OC1). Si el entorno de Fusion Applications está en cualquier otro dominio (por ejemplo, Oracle US Government Cloud, United Kingdom Government Cloud, etc.), debe abrir una solicitud de soporte para obtener la política correcta.
Crear una política en el dominio OC1 con las siguientes sentencias:
define tenancy fusionapps1 as ocid1.tenancy.oc1..aaaaaaaau5s6lj67ia5vy6qjglhvquqdszjqlmvlmsetu4jrtjni4mng6hea
define tenancy fusionapps2 as ocid1.tenancy.oc1..aaaaaaaajgaoycccrtt3l3vnnlave6wkc2zbf6kkksq66begstczxrmxjlia
define dynamic-group fusionapps1_environment as ocid1.dynamicgroup.oc1..aaaaaaaa5wcbybhxa5vqcvniefoihlvnidty4fk77fitn2hjhd7skhzaadqq
define dynamic-group fusionapps2_environment as ocid1.dynamicgroup.oc1..aaaaaaaaztbusgx23a3jdpvgxqx6tkv2nedgxld6pj3w7hcvhfzvw5ei7fiq
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to manage keys in tenancy
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to use vaults in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to manage keys in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to use vaults in tenancy
allow service keymanagementservice to manage vaults in tenancy
allow any-user to read keys in tenancy where all {request.principal.type = 'fusionenvironment'}
allow any-user to read vaults in tenancy where all {request.principal.type = 'fusionenvironment'}
Las políticas de ejemplo proporcionadas en el ejemplo están destinadas como directrices. Debe revisar estas políticas con el equipo de seguridad de su organización para garantizar la alineación con los requisitos de seguridad internos y las mejores prácticas.
Como alternativa, para restringir los permisos a compartimentos específicos, especifique el compartimento en lugar del arrendamiento que se muestra en el ejemplo. Si no tiene sentencias de política para cada compartimento, debe crearlas. Para agregar sentencias de política para los compartimentos, consulte Creación de una política. Si tiene sentencias de política existentes para cada compartimento, debe actualizarlas. Para actualizar las sentencias de política de cada compartimento, consulte Actualización de sentencias de una política.
Tenga en cuenta que si cambia los compartimentos de clave o almacén en el futuro, también debe actualizar las políticas. De lo contrario, el entorno de Fusion no podrá acceder a las claves, lo que puede provocar interrupciones. Para buscar el compartimento para el almacén, consulte Obtención de detalles de un almacén.
Tareas de configuración para el administrador de seguridad
El administrador de seguridad configura los almacenes y las claves y proporciona la información al administrador de Fusion Applications para agregarlos al entorno.
Siga el procedimiento para Creación de un almacén en la documentación de Vault. Para crear un almacén externo, consulte la documentación de External Key Management Service para obtener más información.
El tipo de almacén básico se incluye en la suscripción al servicio Break Glass. Al crear un almacén, tiene la opción de hacerlo un almacén privado virtual. Este tipo de almacén utiliza una partición dedicada para su almacén y no está incluido en su suscripción al servicio Break Glass. Si selecciona Convertirlo en un almacén privado virtual, se le aplicarán cargos adicionales. Para obtener más información sobre los tipos de almacén, consulte Conceptos de gestión de claves y secretos. Esta información no se aplica a la creación de un almacén externo.
Se recomienda crear 2 almacenes: uno para las claves del entorno de producción y otro para las claves del entorno que no sean de producción.
Después de crear los almacenes, replique el almacén creado para el entorno de producción. El almacén replicado se utiliza para la recuperación ante desastres.
- Verifique el emparejamiento de la región de recuperación ante desastres para la región en la que se encuentra el entorno de producción de Fusion Applications. Consulte Soporte de recuperación ante desastres para obtener la lista de emparejamientos de regiones.
- Suscríbase a la región que aparece como emparejamiento para su región. Para suscribirse a una región, consulte Suscripción a una región de infraestructura.
- Replicación del almacén creado para el entorno de producción siguiendo los pasos descritos en Replicación de almacenes y claves. Al seleccionar la región de destino para la replicación, asegúrese de seleccionar la región de recuperación ante desastres a la que se ha suscrito en el paso anterior.
Siga el procedimiento Creating a Master Encryption Key en la documentación de Vault o, para importar sus propias claves, siga los procedimientos de Getting Public RSA Wrapping Key y Applying RSA-OAEP with AES to Wrap Key Material.
Con el modo de protección de claves del módulo de seguridad de hardware (HSM), las claves de cifrado se almacenan y protegen en módulos de seguridad de hardware con certificación FIPS 140-2 de nivel 3.
Debe realizar las siguientes selecciones al crear claves para Fusion Applications:
- Para Unidad de clave: algoritmo, seleccione AES (clave simétrica usada para el cifrado y el descifrado (debe seleccionar esta opción para las claves gestionadas por el cliente de Fusion Applications).
- En Unidad de clave: longitud, seleccione 256 bits.
Se recomienda crear una clave en el almacén de producción para su entorno de producción y una clave para cada entorno que no sea de producción en el almacén que no sea de producción.
Después de crear el almacén y las claves, proporcione al administrador de Fusion Applications el nombre del compartimento del almacén, el nombre del almacén y el nombre de clave (y el nombre del compartimento de clave, si es diferente).
Adición de claves gestionadas por el cliente a entornos nuevos y existentes
El administrador de Fusion Applications agrega las claves gestionadas por el cliente a los entornos. Esto se puede realizar durante la creación del entorno o después de que éste ya se haya creado. Para los entornos existentes, Oracle proporciona al administrador una selección de ventanas de tiempo para programar la actualización. Para los nuevos entornos, las claves se agregan en el momento del aprovisionamiento del entorno y no se requiere programación.
Una vez activadas las claves gestionadas por el cliente, el administrador también puede cambiar una clave en un entorno.
Requisitos:
- La suscripción se ha agregado a la familia de entornos. Si no se ha agregado la suscripción, no verá la opción de elegir una clave gestionada por el cliente.
- El administrador de seguridad ha creado el almacén y la clave.Nota
El tipo de almacén básico se incluye en la suscripción al servicio Break Glass. Al crear un almacén, tiene la opción de convertirlo en un almacén privado virtual. Este tipo de almacén utiliza una partición dedicada para el almacén y no está incluido en la suscripción al servicio Break Glass. Si selecciona Convertirlo en un almacén privado virtual, incurrirá en cargos adicionales. Para obtener más información sobre los tipos de almacén, consulte Conceptos de gestión de claves y secretos. - El administrador de arrendamiento ha configurado la política del sistema para activar las claves gestionadas por el cliente en su arrendamiento.
- El administrador de arrendamiento ha creado una política para el administrador de Fusion Applications para leer los almacenes y las claves y asociarlos a los entornos de Fusion Applications.
Este procedimiento incluye solo los pasos para activar la clave gestionada por el cliente. Consulte Tareas de gestión del entorno para conocer el procedimiento completo para crear un entorno.
En la página de creación del entorno:
- Seleccione Mostrar Opciones Avanzadas.
- Haga clic en el separador Cifrado .
-
Seleccione Clave gestionada por el cliente (recomendada).
Si no ve esta opción, la suscripción no se ha agregado a la familia de entornos.
- Seleccione el almacén. Si el almacén no está en el mismo compartimento en el que está creando el entorno, debe hacer clic en Cambiar compartimento y seleccionar el compartimento adecuado.
- Seleccione la clave. Si la clave no está en el mismo compartimento en el que está creando el entorno, debe hacer clic en Cambiar compartimento y seleccionar el compartimento adecuado. Solo se muestran las claves AES de 256 bits.
Después de completar todos los pasos para configurar el entorno, comienza el proceso de aprovisionamiento. Al agregar la clave gestionada por el cliente, se agrega tiempo al proceso de aprovisionamiento. Mientras se activa la clave, verá un mensaje que le avisará de que el entorno no está disponible.
- Al activar una clave gestionada por el cliente en un entorno existente, el cifrado no se realiza inmediatamente. La opción se activa durante una actualización programada, que puede ser durante el siguiente ciclo de mantenimiento programado o en una de las otras dos ocasiones proporcionadas por Oracle. Las dos horas alternativas de su entorno se muestran en la consola de OCI al abrir el cuadro de diálogo Editar cifrado para solicitar la actualización. Tenga en cuenta que en la lista de ventanas de tiempo mostradas para programar la actualización, la ventana de mantenimiento normal es la última entrada de la lista de opciones. Consulte Activación de una clave gestionada por el cliente para un entorno existente en este tema para obtener más información.
-
Si decide activar claves gestionadas por el cliente durante una de las dos veces alternativas que Oracle proporciona para activar esta opción, puede reprogramar o cancelar esta actualización en la consola de OCI sin ponerse en contacto con los Servicios de Soporte Oracle, siempre que la actualización tenga el estado "Programada". Si la actualización está en curso o se ha completado, no puede cancelar ni deshacer la actualización.
Si decide activar las claves gestionadas por el cliente durante el siguiente mantenimiento programado y, a continuación, tiene que reprogramar o cancelar la actualización de cifrado, debe ponerse en contacto con los Servicios de Soporte Oracle para cancelar o reprogramar.
- Si activa claves gestionadas por el cliente fuera de un mantenimiento programado regularmente, asegúrese de que el tiempo que seleccione para la actualización no entre en conflicto con otras actividades importantes del entorno, como una operación de refrescamiento. Para las operaciones de refrescamiento, esto significa que ni el entorno de origen ni el de destino se pueden actualizar para las claves gestionadas por el cliente mientras se realiza el refrescamiento.
- Hasta que se realice la actualización para activar las claves gestionadas por el cliente, la clave gestionada por Oracle seguirá cifrando el entorno.
Para activar una clave gestionada por el cliente para un entorno existente:
- Navegue al entorno: en el directorio raíz de aplicaciones de la consola, seleccione Aplicaciones de Fusion. En la página Visión general, busque la familia de entornos para el entorno y, a continuación, seleccione el nombre del entorno.
- En Recursos, seleccione Seguridad. Aparece el separador Cifrado.
- Por defecto, el tipo está gestionado por Oracle. Seleccione Editar cifrado para agregar el almacén y la clave.
Si no ve la opción de edición, no agregó las opciones adecuadas o el entorno se está actualizando.
-
Seleccione clave gestionada por el cliente.
- Seleccione el almacén. Si el almacén no está en el mismo compartimento en el que está creando el entorno, seleccione Cambiar compartimento y seleccione el compartimento adecuado. Si utiliza la recuperación ante desastres (DR), debe seleccionar un almacén que admita la replicación. Todos los almacenes privados admiten la replicación. Para los almacenes virtuales, consulte Replicating Vaults and Keys para obtener información sobre cómo determinar si un almacén virtual admite la replicación.
- Seleccione la clave de cifrado maestra. Si la clave no está en el mismo compartimento en el que está creando el entorno, seleccione Cambiar compartimento y seleccione el compartimento adecuado. Solo se muestran las claves AES de 256 bits.
-
En la sección Programa de actualización de cifrado, seleccione la ventana de tiempo para especificar la hora a la que desea que comience la actualización de gestión de cifrado. Se muestran hasta tres fechas, dependiendo de cuándo se ejecute la siguiente ejecución de mantenimiento programado para el entorno.
Tenga en cuenta que una de las fechas de la lista de opciones es la fecha del siguiente mantenimiento programado. Si selecciona la fecha del siguiente mantenimiento programado, el texto de indicación muestra el mensaje "La fecha seleccionada anteriormente es la siguiente fecha de mantenimiento programado".El texto de indicación para la siguiente fecha de mantenimiento programado aparece como se muestra en la siguiente imagen:
Tenga en cuenta lo siguiente:
- Por defecto, la ventana de tiempo muestra la opción de la próxima actualización de mantenimiento programada. Si utiliza esta opción y necesita cancelar o reprogramar la actualización para activar las claves gestionadas por el cliente, debe ponerse en contacto con los Servicios de Soporte Oracle.
- Oracle proporciona dos ventanas de tiempo que no son la hora de la próxima actualización de mantenimiento programada. Si selecciona una de estas dos ventanas, puede utilizar la consola de OCI para cancelar o reprogramar la actualización para activar claves gestionadas por el cliente.
- Seleccione Enviar para solicitar la actualización que activa las claves gestionadas por el cliente en su entorno.
El mensaje de la parte inferior de la ventana se muestra cuando está programado que se produzca el cifrado. El cifrado se realiza durante la ventana de tiempo especificada. Hasta que este se realice, el entorno permanece cifrado por la clave gestionada por Oracle.
Si necesita reprogramar o cancelar la actualización de las claves gestionadas por el cliente, consulte las instrucciones en Para reprogramar o cancelar una actualización para activar claves gestionadas por el cliente.
Reprogramación o cancelación de una actualización para activar claves gestionadas por el cliente
Puede reprogramar o cancelar una actualización para cambiar a claves gestionadas por el cliente siempre que el estado de la actualización sea "programado". La forma de hacerlo depende de si la actualización está programada para realizarse durante el mantenimiento regular o fuera de la ventana de mantenimiento regular.
- Actualizaciones programadas durante el mantenimiento regular: si ha enviado una solicitud para activar claves gestionadas por el cliente durante un mantenimiento programado regularmente, póngase en contacto con los Servicios de Soporte Oracle para cancelar o reprogramar la activación de claves gestionadas por el cliente.
- Actualizaciones programadas fuera de una ventana de mantenimiento: si ha especificado una ventana de tiempo para activar claves gestionadas por el cliente que no se realizaron durante el mantenimiento programado regularmente, puede cancelar o reprogramar la actualización usted mismo en la consola de OCI, siguiendo las instrucciones de este tema.
Para reprogramar o cancelar una actualización para cambiar a claves gestionadas por el cliente, el estado de actualización debe ser "programado". Si la actualización está en curso o está completa, no se puede cancelar ni deshacer la actualización.
Estas instrucciones solo se aplican a las actualizaciones programadas fuera de la ventana de mantenimiento normal. El estado de la actualización debe ser "programado" para usar estas instrucciones. Si la actualización para permitir que las claves gestionadas por el cliente se realicen durante el mantenimiento regular, póngase en contacto con los Servicios de Soporte Oracle para obtener ayuda.
- Navegue al entorno: en el directorio raíz de aplicaciones de la consola, seleccione Aplicaciones de Fusion. En la página Visión general, busque la familia de entornos para el entorno y, a continuación, seleccione el nombre del entorno.
- En Recursos, seleccione Seguridad. Aparece el separador Cifrado.
- En la tabla de opciones de cifrado, busque la fila "Gestionada por el cliente", seleccione el menú y, a continuación, seleccione Volver a programar o Cancelar.
-
Solo reprogramar: si está reprogramando la actualización para claves gestionadas por el cliente, seleccione una nueva fecha mediante el menú desplegable y, a continuación, seleccione Enviar.
Nota
Si está activando claves gestionadas por el cliente fuera de un mantenimiento programado regularmente, asegúrese de que el tiempo que seleccione para la actualización no entre en conflicto con otras actividades importantes del entorno, como una operación de refrescamiento. Para las operaciones de refrescamiento, esto significa que ni el entorno de origen ni el de destino se pueden actualizar para las claves gestionadas por el cliente mientras se realiza el refrescamiento.Cancelar solo: si está cancelando la actualización, escriba el nombre del entorno para confirmar que desea cancelar la actualización y, a continuación, seleccione Cancelar clave programada.
Visualización del estado y los detalles de las claves
Para ver el estado y los detalles de la clave:
- Navegue al entorno: en el directorio raíz de aplicaciones, en Mis aplicaciones, seleccione Aplicaciones de Fusion y, a continuación, seleccione el nombre del entorno. Aparecerá la página de detalles del entorno.
- En Recursos, seleccione Seguridad. Aparece el separador Cifrado.
Si se ha agregado la clave, pero el ciclo de mantenimiento aún no se ha ejecutado, el estado de la clave se mostrará como Programada.
Puede seleccionar los nombres de Almacén y Clave para desplazarse a estos recursos.
Cambio y rotación de claves
Puede cambiar la clave de cifrado maestra y rotar las versiones de clave según sea necesario.
- Navegue al entorno: en el directorio raíz de aplicaciones de la consola, seleccione Aplicaciones de Fusion. En la página Visión general, busque la familia de entornos para el entorno y, a continuación, seleccione el nombre del entorno.
- En Recursos, seleccione Seguridad.
- Haga clic en el separador Cifrado.
- Seleccione Cambiar clave de cifrado.
-
En el panel Cambiar clave de cifrado, seleccione un almacén. Si utiliza la recuperación ante desastres (DR), debe seleccionar un almacén que admita la replicación. Todos los almacenes privados admiten la replicación. Para los almacenes virtuales, consulte Replicating Vaults and Keys para obtener información sobre cómo averiguar si un almacén virtual admite la replicación.
Si el almacén seleccionado está en un compartimento diferente, puede que necesite crear políticas de IAM para el acceso al almacén. Consulte 3. Agregue la política del sistema para activar las claves gestionadas por el cliente en su arrendamiento para obtener más información.
- Seleccione una Clave de cifrado maestra.
- Seleccione Enviar y, a continuación, confirme que desea cambiar la clave.
Las claves se rotan en función de la práctica de seguridad de la organización. Puede configurar un trabajo de la CLI para rotar automáticamente las claves o el administrador de seguridad designado puede rotarlas manualmente mediante la interfaz de usuario de la consola del servicio de Vault. Consulte Conceptos de gestión de claves y secretos para obtener más información sobre las versiones de claves.
Para poder rotar una clave, se deben cumplir las siguientes condiciones:
- El estado del ciclo de vida del entorno debe ser Activo y el estado debe ser Disponible.
- No debe haber alcanzado el límite de versiones de clave disponibles para el almacén. Los refrescamientos de producción a prueba en los que el entorno de prueba utilice claves gestionadas por el cliente también consumirán versiones de clave, por lo que los P2T frecuentes también reducirán el número de versiones de clave restantes en un almacén.
Qué esperar durante la rotación de claves:
- No hay tiempo de inactividad y el estado del entorno sigue siendo Disponible.
- Se muestra un mensaje de banner en la página de detalles del entorno para avisarle de que la rotación está en curso.
- El estado de la clave se muestra como Rotación en curso.
Para rotar una clave
Siga el procedimiento Rotating a Vault Key en la documentación de Vault.
Para verificar la rotación de claves
Después de rotar una clave, puede verificar la rotación en la página de detalles del entorno:
- Navegue al entorno: en el directorio raíz de aplicaciones, en Mis aplicaciones, seleccione Aplicaciones de Fusion y, a continuación, seleccione el nombre del entorno. Aparecerá la página de detalles del entorno.
- En Recursos, seleccione Seguridad. Se muestra el separador Cifrado.
- Seleccione la versión de clave para verificar que se corresponda con la versión del servicio Vault.
Desactivación y activación de claves
Si encuentra una situación en la que desea cerrar Fusion Applications y acceder a la base de datos de Fusion, el administrador de seguridad puede desactivar la clave para forzar la salida inmediata de todos los usuarios del sistema.
La desactivación de una clave puede provocar la pérdida de datos. Si la clave está desactivada, el servicio en la nube de Fusion Applications intentará de forma proactiva cerrar el entorno para minimizar la posibilidad de fallos mientras se utiliza el entorno. Sin embargo, una vez desactivada la clave, el entorno no se puede reiniciar hasta que se vuelva a activar. Si bien la clave permanece en estado desactivado, ningún servicio en la nube de Fusion Applications podrá acceder a los datos de clientes guardados anteriormente.
- El estado del entorno se actualiza a No disponible. El estado del ciclo de vida se actualiza a Desactivado. Todos los usuarios se ven forzados a salir de la aplicación.
- Se muestra un mensaje de banner en la página de detalles del entorno para avisarle de que el cifrado se ha desactivado.
- El estado de la clave se muestra como Desactivado.
Al iniciar la desactivación de una clave, se realizan una serie de procesos para cerrar los componentes del entorno (por ejemplo, los servicios de base de datos, el nivel medio y los equilibradores de carga), que pueden tardar hasta una hora en completarse. No intente volver a activar una clave hasta que estos procesos hayan finalizado.
Del mismo modo, al iniciar la activación de una clave, la finalización del juego de procesos para realizar la copia de seguridad del sistema puede tardar hasta una hora.
Para desactivar una clave
Siga el procedimiento Disabling a Vault Key en la documentación de Vault.
Para activar una clave
Siga el procedimiento Enabling a Vault Key en la documentación de Vault.
Supresión de claves
Los permisos otorgados al rol de administrador de seguridad no incluyen la supresión de claves y almacenes. La supresión de claves y almacenes es una operación altamente destructiva y solo la debe realizar el administrador del arrendamiento en circunstancias excepcionales.
Cuando un administrador de arrendamiento suprime una clave, cualquier dato o recurso de OCI (incluida la base de datos de Fusion Applications) cifrado por esta clave se volverá inmediatamente inutilizable e irrecuperable.
Le recomendamos que haga una copia de seguridad de una clave antes de programar su supresión. Con una copia de seguridad, puede restaurar la clave y el almacén si desea continuar usándola de nuevo más tarde.
Para obtener más información, consulte Supresión de una clave de almacén.