Documentation sur Oracle Cloud Infrastructure

Guides pratiques

Ensemble de tâches et de procédures pour la gestion du service Exadata Database sur une infrastructure dédié.

Activation de Data Guard inter-régions

Vérifiez les conditions requises pour activer Data Guard inter-région lorsque les bases de données utilisent des solutions de gestion de clés de fournisseur de services en nuage.

Note

Oracle prend actuellement en charge les services de gestion des clés des fournisseurs de services en nuage suivants pour la gestion des clés de chiffrement principales TDE lors de la configuration de Data Guard entre les régions :

  • Microsoft Azure : Azure Key Vault (Standard et Premium) et module de sécurité matériel géré
  • Google Cloud : Clés de chiffrement gérées par le client (CMEK)
  • AWS : AWS Key Management Service (KMS) et CloudHSM

Rubrique parent : Guides pratiques

Préalables

Assurez-vous que les exigences suivantes sont satisfaites avant de configurer Data Guard inter-régions.

Exigences en matière de gestion des clés et de réplication

La ressource de clé de chiffrement doit être répliquée de la région source vers la région de destination. Selon le service de gestion des clés utilisé, cela inclut la réplication de la chambre forte, du porte-clés ou de la clé de chiffrement.

Exigences de configuration de grappe de MV

La grappe de machines virtuelles hébergeant la base de données de secours doit répondre aux exigences suivantes :

  • Un connecteur d'identité doit être créé (applicable lors de l'utilisation d'Azure Key Vault).
  • La gestion des clés du fournisseur de services en nuage doit être activée pour la grappe de machines virtuelles à l'aide de l'un des services pris en charge :
    • Azure Key Vault (AKV)
    • Clés de chiffrement gérées par le client de Google Cloud (CMEK)
    • AWS Key Management Service (AWS KMS)

Pour des étapes de configuration détaillées, consultez les sections suivantes :

Directives supplémentaires en matière de reprise après sinistre

Pour plus d'informations sur la mise en oeuvre de la récupération après sinistre inter-région à l'aide d'Active Data Guard avec des déploiements multinuages, reportez-vous aux guides de solution suivants :

Restrictions

Tenez compte des limites suivantes :

  • Les bases de données conteneur source et de destination doivent utiliser la même clé de chiffrement principale TDE.
  • Les bases de données enfichables du clone actualisable ne sont pas prises en charge sur la base de données de secours

Répliquer des ressources clés entre régions

Avant de répliquer les ressources de chiffrement entre les régions, assurez-vous que toutes les conditions requises sont remplies.

  1. Ouvrez le menu de navigation.
  2. Cliquez sur Oracle AI Database, puis sur Intégrations multinuages de base de données, puis sur l'un des éléments suivants :
    • Intégration de Microsoft Azure
    • Google Cloud Integration
    • Intégration AWS

Pour répliquer une chambre forte de clés Azure

  1. Cliquez sur Chambres fortes de clés Azure.
  2. Sélectionnez la chambre forte requise dans la liste.
  3. Dans le menu Actions, sélectionnez Répliquer la chambre forte de clés Azure.
  4. Sélectionnez la région cible.
  5. Cliquez sur Répliquer.

    Une fois l'opération terminée, vous pouvez voir les détails de la chambre forte de clés répliquée, notamment la région et le statut de réplication, dans l'onglet Réplications inter-région.

Pour répliquer un porte-clés GCP

  1. Cliquez sur Anneaux clés GCP.
  2. Sélectionnez le porte-clés requis dans la liste.
  3. Dans le menu Actions, sélectionnez Répliquer le sceau de clés GCP.
  4. Sélectionnez la région cible.
  5. Cliquez sur Répliquer.

    Une fois l'opération terminée, vous pouvez voir les détails du sceau de clés répliqué, notamment la région et le statut de réplication, dans l'onglet Réplications inter-régions.

Pour répliquer une clé AWS

  1. Cliquez sur Clés AWS.
  2. Sélectionnez la clé requise dans la liste.
  3. Dans le menu Actions, sélectionnez Répliquer la clé AWS.
  4. Sélectionnez la région cible.
  5. Cliquez sur Répliquer.

    Une fois l'opération terminée, vous pouvez voir les détails de la clé répliquée, notamment la région et le statut de réplication, dans l'onglet Réplications inter-région.

Supprimer les ressources de chiffrement répliquées

Supprimer les ressources de chiffrement répliquées seulement après avoir vérifié qu'il n'existe aucune association ou dépendance active.

  1. Ouvrez le menu de navigation.
  2. Cliquez sur Oracle AI Database, puis sur Intégrations multinuages de base de données, puis sur l'un des éléments suivants :
    • Intégration de Microsoft Azure
    • Google Cloud Integration
    • Intégration AWS

Pour supprimer une chambre forte de clés Azure

  1. Cliquez sur Chambres fortes de clés Azure.
  2. Sélectionner le compartiment.

    La liste des chambres fortes s'affiche.

  3. Sélectionnez la chambre forte qui vous intéresse.
  4. Dans le menu Actions, sélectionnez Supprimer.
  5. Dans la boîte de dialogue de confirmation, entrez DELETE pour confirmer l'action.
  6. Cliquez sur Supprimer.

Pour supprimer un porte-clés GCP

  1. Cliquez sur Anneaux clés GCP.
  2. Sélectionner le compartiment.

    La liste des anneaux de clé GCP s'affiche.

  3. Sélectionnez le porte-clés qui vous intéresse.
  4. Dans le menu Actions, sélectionnez Supprimer.
  5. Dans la boîte de dialogue de confirmation, entrez DELETE pour confirmer l'action.
  6. Cliquez sur Supprimer.

Pour supprimer une clé AWS

  1. Cliquez sur Clés AWS.
  2. Sélectionner le compartiment.

    La liste des clés AWS s'affiche.

  3. Sélectionnez la clé AWS qui vous intéresse.
  4. Dans le menu Actions, sélectionnez Supprimer.
  5. Dans la boîte de dialogue de confirmation, entrez DELETE pour confirmer l'action.
  6. Cliquez sur Supprimer.

Directives de suppression des ressources de chiffrement

Directives pour supprimer des ressources de chiffrement répliquées et non répliquées sur plusieurs fournisseurs de service en nuage, en fonction de leur statut d'association et de réplication.

Ressource de chiffrement non répliquée

Chambre forte de clés Azure

Une chambre forte de clés Azure ne peut pas être supprimée si elle comporte des associations actives de connecteur d'identité.

Pour continuer :

  1. Identifiez les associations de connecteur d'identité référençant Azure Key Vault <OCID> dans <REGION>.
  2. Supprimez les associations ou réaffectez les ressources dépendantes à une autre chambre forte de clés.
  3. Réessayez l'opération de suppression.

Google Cloud KMS (Clé de chiffrement gérée par le client, CMEK)

Un anneau de clés GCP ne peut pas être supprimé s'il contient des clés activement associées à des ressources (par exemple, des bases de données créées à l'aide de CMEK).

Pour continuer :

  1. Identifier les ressources utilisant actuellement des clés à partir du Key Ring.
  2. Reconfigurez ces ressources pour qu'elles utilisent une autre clé de chiffrement ou supprimez les ressources dépendantes.
  3. Réessayez l'opération de suppression une fois toutes les associations supprimées.

AWS Key Management Service (AWS KMS)

Une clé AWS KMS ne peut pas être supprimée si elle a des associations actives (par exemple, des bases de données chiffrées à l'aide d'AWS KMS).

Note

Les clés AWS KMS ne sont pas supprimées immédiatement; elles doivent être programmées pour suppression et sont soumises à une période d'attente obligatoire.

Pour continuer :

  1. Identifier les ressources actuellement chiffrées à l'aide de la clé KMS.
  2. Reconfigurez ou supprimez les ressources dépendantes.
  3. Programmez la clé à supprimer une fois toutes les dépendances supprimées.

Points à retenir

  • Vérifiez toujours les associations actives avant de tenter la suppression.
  • Les ressources répliquées nécessitent des soins supplémentaires car des associations peuvent exister entre les régions principale et de secours.
  • Les ressources non répliquées suivent des règles propres au fournisseur de services en nuage et ne peuvent pas être supprimées tant que les dépendances ne sont pas effacées.

Ressource de chiffrement répliquée

Vous pouvez supprimer une ressource de chiffrement répliquée de la région principale ou d'une région de secours.

  • Suppression de la région principale :

    La ressource est supprimée de la région principale et automatiquement de toutes les régions de secours (répliquées) associées.

  • Suppression d'une région de secours :

    La ressource est supprimée uniquement de la région de secours sélectionnée. La ressource reste inchangée dans la région principale et dans toutes les autres régions de secours.

États du cycle de vie des ressources de chiffrement répliquées

Une ressource de chiffrement répliquée peut avoir l'un des états de cycle de vie suivants.

  • Création : La ressource de chiffrement répliquée est en cours de création.
  • ACTIVE : La ressource de chiffrement répliquée a été créée et est opérationnelle.
  • MISE À JOUR : La ressource de chiffrement répliquée est en cours de modification.
  • DELETING : La ressource de chiffrement répliquée est en cours de suppression.
  • DELETED : La ressource de chiffrement répliquée a été supprimée et n'est plus disponible.
  • FAILED : Échec de l'opération de ressource de chiffrement répliquée. Pour plus d'informations, consultez les journaux ou les messages d'erreur associés.

Activer Data Guard pour les bases de données à l'aide des services de gestion de clés Azure, Google Cloud et AWS

Avant d'activer Data Guard, vérifiez la configuration de la gestion des clés sur la base de données principale.

  1. Accédez à la page Détails de la base de données principale dans laquelle vous prévoyez d'activer Data Guard.
  2. Dans la section Chiffrement, vérifiez les valeurs sous Gestion des clés.

Confirmez les valeurs en fonction du service de gestion des clés configuré :

  • Si vous utilisez Azure Key Vault
    • Gestion des clés : Chambre forte de clés Azure
    • Chambre forte : Nom de la chambre forte
    • Clé : Valeur de clé
  • Si vous utilisez Google Cloud CMEK
    • Gestion des clés : Clé de chiffrement GCP gérée par le client (CMEK)
    • Porte-clés : Porte-clés
    • Clé : Valeur de clé
  • Si vous utilisez AWS KMS
    • Gestion des clés : AWS Customer-Managed Key (CMK)
    • Clé : Valeur de clé

Pour la procédure générique d'activation de Data Guard, voir Pour activer Data Guard sur un système Exadata Cloud Infrastructure.