Rotation de clé secrète de base de données sans fonction de portefeuille

Permissions

L'exécution d'une fonction nécessite certaines politiques IAM.

Pour la fonction Rotation de clé secrète de base de données sans portefeuille, vous devez créer un groupe dynamique et configurer une politique IAM pour permettre au service de rotation de clé secrète d'appeler la fonction. Pour définir les politiques appropriées :

• Créez un groupe dynamique en utilisant la règle suivante :

  resource.type='vaultsecret'

  Cette règle inclut toutes les clés secrètes de chambre forte du groupe dynamique. Vous pouvez limiter la clé secrète de chambre forte incluse dans le groupe dynamique à l'aide d'une règle plus restrictive. Par exemple :

  resource.id='<secret-id>'

• Configurez une politique IAM qui permet aux ressources incluses dans le groupe dynamique d'appeler des fonctions. Par exemple :

  Allow dynamic-group <vs-dynamic-group-name> to manage functions-family in tenancy

  Note
  
  Remplacez <vs-dynamic-group-name> par le nom du groupe dynamique que vous avez créé pour la clé secrète de la chambre forte.

En outre, si vous avez sélectionné l'option Ne pas créer de groupe dynamique et de politique IAM lors de la création de la fonction, vous devez définir le groupe dynamique et la politique IAM vous-même pour permettre à la fonction de gérer les clés secrètes. Pour définir les politiques appropriées :

• Créez un groupe dynamique avec la règle :

  resource.type='fnfunc'

  Cette règle inclut toutes les fonctions du groupe dynamique. Vous pouvez limiter la fonction incluse dans le groupe dynamique à l'aide d'une règle plus restrictive. Par exemple :

  resource.id='<function-ocid>'

• Configurez une politique IAM à l'aide du groupe dynamique :

  Allow dynamic-group <dynamic-group-name> to manage secret-family in tenancy

  Vous pouvez limiter les clés secrètes de chambre forte que la fonction peut gérer à l'aide d'une politique plus restrictive. Par exemple :

  Allow dynamic-group <dynamic-group-name> to manage secret-family in compartment <compartment-name> where target.secret.id = "<secret-ocid>"

Appel de cette fonction

La fonction créée à l'aide de ce fichier PBF sera appelée par le service secret pour effectuer la rotation de la clé secrète.

1. Créez une fonction à l'aide de ce fichier PBF et copiez l'ID fonction.
2. 1. Ouvrez le menu de navigation, sélectionnez Identité et sécurité, puis Chambre forte.
   2. Sous Portée de la liste, sélectionnez un compartiment qui contient les clés secrètes que vous avez créées dans une chambre forte.
   3. Dans la liste des clés secrètes, sélectionnez le nom de clé secrète dont vous avez besoin pour effectuer la rotation à l'aide de ce fichier PBF, ou créez une nouvelle clé secrète.

      • Pour créer une clé secrète, voir Créer une clé secrète.
      • Pour mettre à jour une clé secrète existante, voir Mettre à jour une clé secrète.
3. Sélectionnez Type de système cible comme Fonction pour les rotations.
4. Ajoutez l'ID fonction copié à l'étape 1 en tant qu'ID système cible.
5. Assurez-vous que la clé secrète respecte les conditions suivantes :
   • La première version de la clé secrète doit être créée manuellement. Sélectionnez Génération manuelle de clé secrète avec le contenu de clé secrète au format JSON suivant :

     {
      "username": "<required: username>",
      "password": "<required: password>",
      "connectionString": "<required: DB connection string>"
     }

   • Le mot de passe doit être le même que celui défini pour la rotation de la base de données.
   • Une fois la clé secrète créée, la génération automatique de clé secrète doit être activée afin que les versions de clé secrète suivantes puissent être générées automatiquement par le service de clé secrète.
   • Modifiez la clé secrète nouvellement créée, activez la génération automatique de clé secrète et fournissez le contenu de la clé secrète au format JSON suivant :

     {
      "username": "<required: username>",
      "password": "%GENERATED_PASSPHRASE%",
      "connectionString": "<required: DB connection string>"
     }
     

   • Dans Génération automatique de clé secrète, le mot de passe est %GENERATED_PASSPHRASE% afin que le service de clé secrète puisse générer automatiquement le mot de passe dans ce champ.
   • Le nom d'utilisateur et le mot de passe doivent établir une connexion avec la base de données dans le format suivant : jdbc:oracle:thin:@<connectionString>?user=<username>&password=<example-password>
   • Assurez-vous d'utiliser la connexion TLS.
     Note
     
     Cette fonction n'est pas compatible avec la connexion MTLS.

Dépannage

Par exemple, une entrée de journal pour la rotation des clés secrètes de base de données sans fonction prédéfinie de portefeuille ressemble à ce qui suit :

"PBF | Database Secret Rotation without Wallet | INFO | 2024-01-31T18:06:50.809Z | Fetching details from Events JSON"