Clés gérées par le client pour Oracle Break Glass

Nous vous recommandons de créer un groupe d'administrateurs de la sécurité distinct afin de limiter l'accès aux fonctions de sécurité de vos environnements Fusion Applications.

La politique du groupe d'administrateurs de la sécurité permet au groupe de gérer les chambres fortes et les clés, mais pas de les supprimer. La politique est la suivante :

allow group '<identity-domain-name'/'<your-group-name>' to manage keys in <location> where request.permission not in ('KEY_DELETE')
allow group '<identity-domain-name'/'<your-group-name>' to manage vaults in <location> where request.permission not in ('VAULT_DELETE')
 

Voir Gestion des utilisateurs Oracle Cloud avec des fonctions spécifiques pour les procédures de création de groupes et de politiques permettant de définir des rôles, notamment les autorisations requises spécifiques pour le rôle d'administrateur de la sécurité.

Pour ajouter les autorisations pour l'administrateur Fusion Applications :

1. Voir Gestion des utilisateurs Oracle Cloud avec des fonctions spécifiques, qui décrit la création du rôle d'administrateur Fusion Applications.
2. Ajoutez les énoncés suivants au rôle Administrateur de l'environnement Fusion Applications, si ce n'est pas déjà fait :

   
   Allow group '<identity-domain-name'/'<your-group-name>' to read vaults in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to read keys in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to use key-delegate in compartment <location>
                                   

Assurez-vous de remplacer toutes les variables <location> par le nom du compartiment dans lequel la chambre forte et les clés ont été créées.

Créez une politique dans le domaine OC1 à l'aide des énoncés suivants :

define tenancy fusionapps1 as ocid1.tenancy.oc1..aaaaaaaau5s6lj67ia5vy6qjglhvquqdszjqlmvlmsetu4jrtjni4mng6hea
define tenancy fusionapps2 as ocid1.tenancy.oc1..aaaaaaaajgaoycccrtt3l3vnnlave6wkc2zbf6kkksq66begstczxrmxjlia
define dynamic-group fusionapps1_environment as ocid1.dynamicgroup.oc1..aaaaaaaa5wcbybhxa5vqcvniefoihlvnidty4fk77fitn2hjhd7skhzaadqq
define dynamic-group fusionapps2_environment as ocid1.dynamicgroup.oc1..aaaaaaaaztbusgx23a3jdpvgxqx6tkv2nedgxld6pj3w7hcvhfzvw5ei7fiq
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to manage keys in tenancy
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to use vaults in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to manage keys in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to use vaults in tenancy
allow service keymanagementservice to manage vaults in tenancy
allow any-user to read keys in tenancy where all {request.principal.type = 'fusionenvironment'}
allow any-user to read vaults in tenancy where all {request.principal.type = 'fusionenvironment'}

Suivez la procédure de création d'une chambre forte dans la documentation sur le service de chambre forte. Pour créer une chambre forte externe, voir Service de gestion des clés externes.

Nous vous recommandons de créer 2 chambres fortes : une pour les clés d'environnement de production et une pour les clés d'environnement hors production.

Après avoir créé les chambres fortes, répliquez celle que vous avez créée pour l'environnement de production. La chambre forte répliquée est utilisée pour la récupération après sinistre.

1. Vérifiez l'appariement des régions de récupération après sinistre pour la région où se trouve l'environnement de production Fusion Applications. Voir Prise en charge de la récupération après sinistre pour obtenir la liste des appariements de régions.
2. Abonnez-vous à la région indiquée en tant qu'appariement pour votre région. Pour vous abonner à une région, voir Abonnement à une région d'infrastructure.
3. Répliquez la chambre forte que vous avez créée pour votre environnement de production en suivant les étapes décrites sous Réplication des chambres fortes et des clés. Lorsque vous sélectionnez la région de destination pour la réplication, assurez-vous de sélectionner la région de récupération après sinistre à laquelle vous êtes abonné à l'étape précédente.

Suivez la procédure Création d'une clé de chiffrement principale dans la documentation sur le service de chambre forte ou, pour importer vos propres clés, suivez les procédures sous Importation de clés et de versions de clé.

Avec le mode de protection des clés HSM (Hardware Security Module), vos clés de chiffrement sont stockées et protégées dans des modules de sécurité matériels certifiés FIPS 140-2 de niveau 3.

Vous devez effectuer les sélections suivantes lors de la création des clés pour Fusion Applications :

• Pour Forme de clé : Algorithme, sélectionnez AES (clé symétrique utilisée pour chiffrer et déchiffrer. (Vous devez sélectionner cette option pour les clés gérées par le client Fusion Applications.)
• Pour Forme de la clé : Longueur, sélectionnez 256 bits.

Nous vous recommandons de créer une clé dans la chambre forte de production pour votre environnement de production et une clé pour chaque environnement hors production dans votre chambre forte hors production.

Après avoir créé la chambre forte et les clés, indiquez le nom du compartiment de chambre forte, le nom de la chambre forte et le nom de la clé (et le nom du compartiment de la clé, le cas échéant) à l'administrateur Fusion Applications.

Cette procédure comprend uniquement les étapes d'activation de la clé gérée par le client. Voir Tâches de gestion de l'environnement pour la procédure complète de création d'un environnement.

Dans la page de création de l'environnement :

1. Sous Options avancées, développez la section Chiffrement.
2. Sélectionnez Clé gérée par le client (recommandé).

   Si vous ne voyez pas cette option, l'abonnement n'a pas été ajouté à la famille d'environnements.

3. Vérifiez que les politiques ont été créées.
4. Sélectionnez la chambre forte.

   Si votre chambre forte ne se trouve pas dans le même compartiment que celui dans lequel vous créez votre environnement, sélectionnez le compartiment approprié.

5. Sélectionnez la clé.

   Si votre clé ne se trouve pas dans le même compartiment que celui dans lequel vous créez votre environnement, sélectionnez le compartiment approprié. Seules les clés AES 256 bits sont affichées.

Une fois toutes les étapes de configuration de l'environnement terminées, le processus de provisionnement commence. L'ajout de la clé gérée par le client rallonge le processus de provisionnement. Lorsque la clé est en cours d'activation, un message vous avertit que l'environnement n'est pas disponible.

Pour activer une clé gérée par le client pour un environnement existant :

1. Dans la page de liste Environnements, sélectionnez l'environnement avec lequel vous voulez travailler. Si vous avez besoin d'aide pour trouver la page de liste, voir Pour lister les environnements.

2. Dans la page des détails de l'environnement, sélectionnez Sécurité.
3. Sous Chiffrement, le type est Géré par Oracle, par défaut. Sélectionnez Modifier le chiffrement pour ajouter votre chambre forte et votre clé.

   Si vous ne voyez pas l'option de modification, vous n'avez pas ajouté les options appropriées ou l'environnement est en cours de mise à jour.

4. Sélectionnez Clé gérée par le client (recommandé).
5. Vérifiez que les politiques ont été créées.
6. Sélectionnez la chambre forte.

   Si votre chambre forte ne se trouve pas dans le même compartiment que celui dans lequel vous créez votre environnement, sélectionnez le compartiment approprié.

   Si vous utilisez la récupération après sinistre, vous devez sélectionner une chambre forte qui prend en charge la réplication. Toutes les chambres fortes privées prennent en charge la réplication. Pour les chambres fortes virtuelles, voir Réplication des chambres fortes et des clés pour plus d'informations sur la façon de déterminer si une chambre forte virtuelle prend en charge la réplication.

7. Sélectionnez la clé.

   Si votre clé ne se trouve pas dans le même compartiment que celui dans lequel vous créez votre environnement, sélectionnez le compartiment approprié. Seules les clés AES 256 bits sont affichées.

8. Sous Programme de mise à jour du chiffrement, sélectionnez la fenêtre de temps dans laquelle vous souhaitez que la mise à jour de la gestion du chiffrement commence. Jusqu'à trois dates sont affichées.
9. Sélectionnez Soumettre pour demander la mise à jour qui active les clés gérées par le client dans votre environnement.

Un message au bas de la fenêtre s'affiche lorsque le chiffrement programmé doit se produire. Le chiffrement est effectué pendant la fenêtre de temps que vous avez spécifiée. Jusqu'à la mise à jour, l'environnement reste chiffré par la clé gérée par Oracle.

1. Dans la page de liste Environnements, sélectionnez l'environnement avec lequel vous voulez travailler. Si vous avez besoin d'aide pour trouver la page de liste, voir Pour lister les environnements.

2. Dans la page des détails de l'environnement, sélectionnez Sécurité.
3. Sous Chiffrement, recherchez la rangée Gérée par le client. Sélectionnez le menu Actions (trois points), puis sélectionnez Reprogrammer ou Annuler.
4. Reprogrammer seulement : Si vous reprogrammez la mise à jour des clés gérées par le client, sélectionnez une nouvelle date, puis Soumettre.
   Note
   
   Assurez-vous que l'heure sélectionnée pour la mise à jour n'est pas en conflit avec d'autres activités d'environnement importantes, telles qu'une opération d'actualisation. Pour les opérations d'actualisation, cela signifie que ni l'environnement source ni l'environnement cible ne peuvent être mis à jour pour les clés gérées par le client pendant l'actualisation.

   Annuler seulement : Si vous annulez la mise à jour, entrez le nom de l'environnement pour confirmer que vous voulez annuler la mise à jour, puis sélectionnez Annuler la clé programmée.