Documentación de Oracle Cloud Infrastructure

Guías de procedimientos

Recopilación de tareas y procedimientos para gestionar Exadata Database Service on Dedicated Infrastructure.

Activación de Data Guard entre regiones

Revise los requisitos para activar Data Guard entre regiones cuando las bases de datos utilicen soluciones de gestión de claves de proveedor de servicios en la nube (CSP).

Nota

Oracle soporta actualmente los siguientes servicios de gestión de claves del proveedor de servicios en la nube para gestionar claves de cifrado maestras de cifrado de datos transparente (TDE) al configurar Data Guard entre regiones:

  • Microsoft Azure: Azure Key Vault (estándar y premium) y HSM gestionado
  • Google Cloud: claves de cifrado gestionadas por el cliente (CMEK)
  • AWS: AWS Key Management Service (KMS) y CloudHSM

Tema principal: Guías de procedimientos

Requisitos

Asegúrese de que se cumplen los siguientes requisitos antes de configurar Cross-Region Data Guard.

Requisitos de replicación y gestión de claves

El recurso de clave de cifrado se debe replicar de la región de origen a la región de destino. Según el servicio de gestión de claves utilizado, esto incluye replicar el almacén, el anillo de claves o la clave de cifrado.

Requisitos de configuración del cluster de VM

El cluster de VM que aloja la base de datos en espera debe cumplir los siguientes requisitos:

  • Se debe crear un conector de identidad (aplicable al utilizar Azure Key Vault).
  • La gestión de claves del proveedor de servicios en la nube debe estar activada para el cluster de VM mediante uno de los servicios soportados:
    • Azure Key Vault (AKV)
    • Claves de cifrado gestionadas por el cliente (CMEK) de Google Cloud
    • Servicio de gestión de claves de AWS (AWS KMS)

Para obtener más información sobre los pasos de configuración, consulte las siguientes secciones:

Guía adicional de recuperación ante desastres

Para obtener información sobre la implementación de la recuperación ante desastres entre regiones mediante Active Data Guard con despliegues multinube, consulte las siguientes guías de soluciones:

Restricciones

Tenga en cuenta las siguientes limitaciones:

  • Las bases de datos de contenedor (CDB) de origen y destino deben utilizar la misma clave de cifrado maestra de TDE.
  • Las PDB de clonación de refrescamiento no están soportadas en la base datos en espera

Replicación de recursos clave en distintas regiones

Antes de replicar recursos de cifrado entre regiones, asegúrese de que se cumplen todos los requisitos.

  1. Abra el menú de navegación.
  2. Haga clic en Oracle AI Database, en Integraciones multinube de base de datos y, a continuación, en una de las siguientes opciones:
    • Integración de Microsoft Azure
    • Integración con Google Cloud
    • Integración de AWS

Para replicar un almacén de claves de Azure

  1. Haga clic en Almacenes de claves de Azure.
  2. Seleccione el almacén necesario en la lista.
  3. En el menú Acciones, seleccione Replicar almacén de claves de Azure.
  4. Seleccione la región de destino.
  5. Haga clic en Replicar.

    Una vez finalizada la operación, puede ver los detalles del almacén de claves replicado, incluidos la región y el estado de replicación, en el separador Replicaciones entre regiones.

Para replicar un anillo de claves GCP

  1. Haga clic en Anillos de claves GCP.
  2. Seleccione el llavero de la lista.
  3. En el menú Acciones, seleccione Replicar anillo de teclas de GCP.
  4. Seleccione la región de destino.
  5. Haga clic en Replicar.

    Una vez finalizada la operación, puede ver los detalles del anillo de claves replicado, incluidos la región y el estado de replicación, en el separador Replicaciones entre regiones.

Para replicar una clave de AWS

  1. Haga clic en Claves de AWS.
  2. Seleccione la clave necesaria de la lista.
  3. En el menú Acciones, seleccione Replicar clave de AWS.
  4. Seleccione la región de destino.
  5. Haga clic en Replicar.

    Una vez finalizada la operación, puede ver los detalles de la clave replicada, incluida la región y el estado de replicación, en el separador Replicaciones entre regiones.

Suprimir recursos de cifrado replicados

Suprima los recursos de cifrado replicados solo después de confirmar que no existen asociaciones o dependencias activas.

  1. Abra el menú de navegación.
  2. Haga clic en Oracle AI Database, en Integraciones multinube de base de datos y, a continuación, en una de las siguientes opciones:
    • Integración de Microsoft Azure
    • Integración con Google Cloud
    • Integración de AWS

Para suprimir un almacén de claves de Azure

  1. Haga clic en Almacenes de claves de Azure.
  2. Seleccione el compartimento.

    Se muestra una lista de almacenes.

  3. Seleccione la bóveda que le interesa.
  4. En el menú Acciones, seleccione Suprimir.
  5. En el cuadro de diálogo de confirmación, introduzca DELETE para confirmar la acción.
  6. Haga clic en Suprimir.

Para suprimir un anillo de claves GCP

  1. Haga clic en Anillos de claves GCP.
  2. Seleccione el compartimento.

    Se muestra la lista de anillos de clave GCP.

  3. Seleccione el llavero que le interese.
  4. En el menú Acciones, seleccione Suprimir.
  5. En el cuadro de diálogo de confirmación, introduzca DELETE para confirmar la acción.
  6. Haga clic en Suprimir.

Para suprimir una clave de AWS

  1. Haga clic en Claves de AWS.
  2. Seleccione el compartimento.

    Se muestra la lista de claves de AWS.

  3. Seleccione la clave de AWS que le interesa.
  4. En el menú Acciones, seleccione Suprimir.
  5. En el cuadro de diálogo de confirmación, introduzca DELETE para confirmar la acción.
  6. Haga clic en Suprimir.

Directrices de supresión de recursos de cifrado

Directrices para suprimir recursos de cifrado replicados y no replicados en varios proveedores de servicios en la nube, en función de su asociación y estado de replicación.

Recurso de cifrado no replicado

Almacén de claves de Azure

No se puede suprimir un almacén de claves de Azure si tiene asociaciones de Identity Connector activas.

Para continuar:

  1. Identifique las asociaciones de Identity Connector que hacen referencia a Azure Key Vault <OCID> en <REGION>.
  2. Elimine las asociaciones o reasigne los recursos dependientes a un almacén de claves diferente.
  3. Vuelva a intentar la operación de supresión.

Google Cloud KMS (Clave de cifrado gestionada por el cliente, CMEK)

Un conjunto de claves GCP no se puede suprimir si contiene claves asociadas activamente a recursos (por ejemplo, bases de datos creadas mediante CMEK).

Para continuar:

  1. Identifique los recursos que actualmente utilizan claves del anillo de claves.
  2. Vuelva a configurar esos recursos para utilizar una clave de cifrado diferente o suprima los recursos dependientes.
  3. Vuelva a intentar la operación de supresión una vez eliminadas todas las asociaciones.

Servicio de gestión de claves de AWS (AWS KMS)

Una clave de AWS KMS no se puede suprimir si tiene asociaciones activas (por ejemplo, bases de datos cifradas mediante AWS KMS).

Nota

Las claves de AWS KMS no se suprimen de inmediato; se deben programar para su supresión y están sujetas a un período de espera obligatorio.

Para continuar:

  1. Identifique los recursos actualmente cifrados con la clave de KMS.
  2. Reconfigure o suprima los recursos dependientes.
  3. Programe la supresión de la clave una vez eliminadas todas las dependencias.

Conceptos clave

  • Compruebe siempre las asociaciones activas antes de intentar la supresión.
  • Los recursos replicados requieren cuidados adicionales, ya que pueden existir asociaciones entre las regiones principal y en espera.
  • Los recursos no replicados siguen reglas específicas de proveedor de nube y no se pueden suprimir hasta que se borren las dependencias.

Recurso de cifrado replicado

Puede suprimir un recurso de cifrado replicado de la región principal o de una región en espera.

  • Supresión de la región principal:

    El recurso se suprime de la región principal y se elimina automáticamente de todas las regiones en espera (replicadas) asociadas.

  • Supresión de una región en espera:

    El recurso solo se suprime de la región en espera seleccionada. El recurso no cambia en la región principal ni en ninguna otra región en espera.

Estados del ciclo de vida de los recursos de cifrado replicados

Un recurso de cifrado replicado puede tener uno de los siguientes estados de ciclo de vida.

  • CREANDO: se está creando el recurso de cifrado replicado.
  • ACTIVO: el recurso de cifrado replicado se ha creado correctamente y está operativo.
  • ACTUALIZACIÓN: el recurso de cifrado replicado se está modificando.
  • DELETING: el recurso de cifrado replicado está en proceso de supresión.
  • DELETED: el recurso de cifrado replicado se ha suprimido y ya no está disponible.
  • FALLIDO: la operación de recurso de cifrado replicado ha fallado. Revise los logs asociados o los mensajes de error para obtener más información.

Activar Data Guard para bases de datos con Azure, Google Cloud y AWS Key Management Services

Antes de activar Data Guard, verifique la configuración de gestión de claves en la base de datos primaria.

  1. Vaya a la página Database Details de la base de datos primaria en la que desea activar Data Guard.
  2. En la sección Cifrado, revise los valores en Gestión de claves.

Confirme los valores según el servicio de gestión de claves configurado:

  • Si se utiliza Azure Key Vault
    • Gestión de claves: Azure Key Vault
    • Archivo nativo: Nombre de archivo nativo
    • Clave: valor de clave
  • Si utiliza Google Cloud CMEK
    • Gestión de claves: clave de cifrado gestionada por el cliente (CMEK) de GCP
    • Anillo de teclas: valor del anillo de teclas
    • Clave: valor de clave
  • Si utiliza AWS KMS
    • Gestión de claves: clave gestionada por el cliente (CMK) de AWS
    • Clave: valor de clave

Para conocer el procedimiento de activación de Data Guard genérico, consulte Activación de Data Guard en un sistema de Exadata Cloud Infrastructure.