Résolution des problèmes de configuration de base

La procédure suivante s'applique à la console Oracle Cloud Infrastructure.

Problème : un utilisateur membre du groupe Administrateurs a accédé à des ressources à l'aide d'une clé d'API.

Notions de base :

• Les clés d'API sont des informations d'identification permettant aux programmes d'accéder à Oracle Cloud Infrastructure.

• Pour des raisons de sécurité et de gouvernance, les utilisateurs ne doivent avoir accès qu'aux ressources avec lesquelles ils ont besoin d'interagir.

• Pour les membres du groupe Administrateurs qui ont également besoin d'accéder aux ressources via l'API, créez un autre utilisateur dans IAM auquel vous attachez les clés d'API. Accordez à l'utilisateur les droits d'accès aux clés d'API uniquement sur les ressources avec lesquelles ses programmes doivent interagir.

Pour créer un utilisateur, un groupe et une stratégie avec des droits d'accès limités, procédez comme suit :

L'ensemble de procédures suivant vous montre comment configurer un exemple d'utilisateur avec des droits d'accès limités. Dans cet exemple, l'utilisateur doit pouvoir lancer des instances dans un compartiment spécifique.

-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAoTFqF...
...
-----END PUBLIC KEY——

Plus d'informations :

• Sécurisation d'IAM
• Fonctionnement des stratégies et Stratégies courantes
• Gestion des informations d'identification utilisateur
• Gestion des groupes
• Gestion des utilisateurs

Problème : une stratégie accorde des droits de gestion complets pour au moins un service dans un compartiment ou dans la location.

Notions de base :

• L'accès aux ressources est contrôlé par des stratégies. Une stratégie est un document précisant les personne pouvant accéder à une telle ou telle ressource Oracle Cloud Infrastructure dont dispose votre entreprise, ainsi que la façon d'y accéder. Une stratégie permet simplement à un groupe  de travailler d'une certaine façon avec des types spécifiques de ressource  dans un compartiment  donné.
• Pour des raisons de sécurité et de gouvernance, les utilisateurs ne doivent avoir accès qu'aux ressources dont ils ont besoin.
• Réfléchissez bien au niveau d'accès dont l'utilisateur a besoin. Le langage de stratégie fournit un ensemble de verbes par défaut (manage, use, read, inspect) permettant de déterminer facilement la portée des droits d'accès des utilisateurs pour un ensemble de tâches courantes. Par exemple, si un utilisateur doit être en mesure de mettre à jour des ressources, mais qu'il n'a pas besoin de les créer ou de les supprimer, affectez-lui le droit d'accès use plutôt que manage .

• Le langage de stratégie est conçu pour vous permettre d'écrire des instructions simples impliquant uniquement des verbes et des types de ressource, sans avoir à indiquer les droits d'accès dans l'instruction. Pour un contrôle d'accès plus précis, vous pouvez combiner des conditions avec des droits ou des opérations d'API afin de réduire la portée des accès accordés par un verbe particulier.

• Dans la mesure du possible, définissez l'accès aux compartiments spécifiques dont l'utilisateur a besoin plutôt qu'à l'ensemble de la location.

Conseils pour écrire des stratégies de moindre privilège :

Allow group <group_name> to <verb>
                                    <resource-type> in tenancy

Allow group <group_name> to <verb>
                                    <resource-type> in compartment <compartment_name>
                                

Allow group <group_name> to manage <resource-type> in compartment <compartment_name>
                                

Allow group <group_name> to use <resource-type> in compartment <compartment_name>
                                

Allow group XYZ to manage groups in tenancy
                        
                        where any {request.permission='GROUP_INSPECT',
                        request.permission='GROUP_CREATE',
                        request.permission='GROUP_UPDATE'}

Allow group XYZ to manage groups in tenancy where request.permission != 'GROUP_DELETE'

Allow group XYZ to manage groups in tenancy
                        
                        where any {request.operation='ListGroups',  
                        request.operation='GetGroup',
                        request.operation='CreateGroup',
                        request.operation='UpdateGroup'}

Allow group XYZ to manage groups in tenancy
                        
                        where all {request.permission='GROUP_INSPECT',  
                        request.operation='ListGroups'}

Plus d'informations :

• Sécurisation d'IAM
• Fonctionnement des stratégies et Stratégies courantes
• Fonctionnalités de stratégie avancées
• Gestion des stratégies

incident : les clés de signature d'API d'un utilisateur datent de plus de 90 jours. Oracle vous recommande d'effectuer la rotation des clés d'API au moins tous les 90 jours.

Notions de base :

• Les clés d'API sont des informations d'identification permettant aux programmes d'accéder à Oracle Cloud Infrastructure.

• La rotation régulière des clés d'API, au moins tous les 90 jours, est une exigence de conformité et fait partie des meilleures pratiques en matière d'ingénierie de la sécurité.

• Veillez à tester les nouvelles clés avant de désactiver les anciennes.

Pour générer et télécharger de nouvelles clés d'API, procédez comme suit :

openssl rsa -pubout -outform DER -in ~/.oci/oci_api_key.pem | openssl md5 -c

openssl rsa -pubout -outform DER -in \.oci\oci_api_key.pem | openssl md5 -c

Plus d'informations :

• Sécurisation d'IAM
• Clé de signature d'API

Problème : un groupe autre que le groupe Administrateurs dispose des privilèges d'administrateur.

Notions de base :

• L'octroi du privilège d'administrateur de location (manage all-resources in tenancy) à un groupe donne aux membres de ce groupe un accès complet à toutes les ressources de la location.
• Ce droit à des privilèges élevés doit être contrôlé et limité uniquement aux utilisateurs qui en ont besoin pour exercer leur fonction.
• Vérifiez auprès de l'administrateur Oracle Cloud Infrastructure que cet octroi a été approuvé et que l'appartenance au groupe reste valide après l'octroi du privilège d'administrateur.
• Au lieu de créer un autre groupe avec des privilèges d'administrateur, ajoutez les utilisateurs qui ont besoin des privilèges d'administrateur au groupe Administrateurs par défaut.

Pour résoudre ce problème, procédez comme suit :

Ajoutez les utilisateurs ayant besoin de privilèges d'administrateur au groupe Administrateurs :

Enlevez la stratégie ou l'instruction de stratégie qui octroie les privilèges d'administration au groupe (autre que le groupe Administrateurs).

1. Ouvrez le menu de navigation et sélectionnez Identité et sécurité. Sous Identité, sélectionnez Stratégies. La liste des stratégies du compartiment que vous visualisez apparaît.

   Si vous ne voyez pas la stratégie que vous recherchez, vérifiez que vous visualisez le compartiment approprié. Pour visualiser les stratégies attachées à un autre compartiment, sous Portée de la liste, sélectionnez ce compartiment dans la liste.

2. Cliquez sur la stratégie à mettre à jour.

   Les détails et les instructions de la stratégie apparaissent.

3. Recherchez l'instruction qui octroie des privilèges d'administrateur au groupe. Cette stratégie ressemble à ce qui suit :

   Allow group <group_name> to manage all-resources in tenancy
                       

   Cliquez sur le menu Actions (trois points), puis sur Supprimer.

4. Si la stratégie ne comporte aucune autre instruction, vous pouvez la supprimer en cliquant sur Supprimer en regard de son nom.

Plus d'informations :

• Sécurisation d'IAM
• Gestion des stratégies

• Les listes de sécurité fournissent des fonctionnalités de pare-feu avec et sans conservation d'état afin de contrôler l'accès réseau aux instances Compute.
• Une liste de sécurité est configurée au niveau du sous-réseau et appliquée au niveau de l'instance.
• Vous pouvez associer plusieurs listes de sécurité à un sous-réseau. Un paquet est autorisé s'il correspond à une règle dans les listes de sécurité utilisées par le sous-réseau.
• S'il n'existe aucune règle entrante dans les listes de sécurité du sous-réseau, aucun trafic n'est autorisé vers les instances de ce sous-réseau.
• Pour plus de sécurité, nous recommandons que les règles des listes de sécurité entrantes indiquent une source connue spécifique et non une source ouverte (0.0.0.0/0).
• Vous pouvez configurer une exception dans Oracle CASB Cloud Service pour réduire les alertes à partir de listes de sécurité exemptées.

La procédure suivante s'applique à la console Oracle Cloud Infrastructure.

• Les listes de sécurité fournissent des fonctionnalités de pare-feu avec et sans conservation d'état afin de contrôler l'accès réseau aux instances Compute.
• Une liste de sécurité est configurée au niveau du sous-réseau et appliquée au niveau de l'instance.
• Vous pouvez associer plusieurs listes de sécurité à un sous-réseau. Un paquet est autorisé s'il correspond à une règle dans les listes de sécurité utilisées par le sous-réseau.
• S'il n'existe aucune règle entrante dans les listes de sécurité du sous-réseau, aucun trafic n'est autorisé vers les instances de ce sous-réseau.
• Pour plus de sécurité, nous recommandons que les règles des listes de sécurité entrantes indiquent une source connue spécifique et non une source ouverte (0.0.0.0/0).
• Vous pouvez configurer une exception dans Oracle CASB Cloud Service pour réduire les alertes à partir de listes de sécurité exemptées.

La procédure suivante s'applique à la console Oracle Cloud Infrastructure.

• Les listes de sécurité fournissent des fonctionnalités de pare-feu avec et sans conservation d'état afin de contrôler l'accès réseau aux instances Compute.
• Une liste de sécurité est configurée au niveau du sous-réseau et appliquée au niveau de l'instance.
• Vous pouvez associer plusieurs listes de sécurité à un sous-réseau. Un paquet est autorisé s'il correspond à une règle dans les listes de sécurité utilisées par le sous-réseau.
• S'il n'existe aucune règle entrante dans les listes de sécurité du sous-réseau, aucun trafic n'est autorisé vers les instances de ce sous-réseau.
• Pour plus de sécurité, nous recommandons que les règles des listes de sécurité entrantes indiquent une source connue spécifique et non une source ouverte (0.0.0.0/0).
• Vous pouvez configurer une exception dans Oracle CASB Cloud Service pour réduire les alertes à partir de listes de sécurité exemptées.

La procédure suivante s'applique à la console Oracle Cloud Infrastructure.

La procédure suivante s'applique à la console Oracle Cloud Infrastructure.

La procédure suivante s'applique à la console Oracle Cloud Infrastructure.

1. Sous Equilibreurs de charge, sélectionnez Equilibreur de charge.

   La page de liste Equilibreurs de charge s'ouvre. Toutes les ressources d'équilibreur de charge existantes dans le compartiment sélectionné sont affichées dans une table de liste.

2. Pour visualiser les ressources dans un autre compartiment, utilisez le filtre Compartiment pour changer de compartiment.

   Vous devez être autorisé à travailler dans un compartiment pour voir les ressources qu'il contient. En cas de doute sur le compartiment à utiliser, contactez un administrateur. Pour plus d'informations, reportez-vous à Présentation des compartiments.

3. Sélectionnez un état dans la liste pour limiter les équilibreurs de charge à cet état.
4. Sélectionnez l'équilibreur de charge pour lequel vous souhaitez créer un processus d'écoute. La page Détails de l'équilibreur de charge apparaît.
5. Sélectionnez Processus d'écoute sous Ressources. La liste Processus d'écoute apparaît. Tous les processus d'écoute sont répertoriés dans un tableau.
6. Sélectionnez Créer un processus d'écoute. La boîte de dialogue Créer un processus d'écoute apparaît.
7. Renseignez les champs suivants :
   • Nom : saisissez le nom convivial du processus d'écoute. Le nom doit être unique et ne peut pas être modifié.
   • Nom d'hôte : (facultatif) sélectionnez jusqu'à 16 noms d'hôte virtuel pour ce processus d'écoute.
     Remarque
     
     Pour appliquer un nom d'hôtes virtuel à un processus d'écoute, ce nom doit Faire partie de la configuration de l'équilibreurs de charge. Si aucun Nom d'hôte n'est associé à l'équilibreur de charge, vous pouvez le créer sur la page Noms d'hôte. Pour plus d'informations, reportez-vous à Noms d'hôte virtuel pour les équilibreurs de charge.
   • Protocole : indiquez le protocole à utiliser : HTTP, HTTP/2, TCP ou HTTPS.
   • Port : indiquez le port sur lequel écouter le trafic entrant.
   • Utiliser SSL : (obligatoire pour HTTP/2 et HTTPS, facultatif pour HTTP et TCP), sélectionnez cette option pour l'activer. Les paramètres suivants sont requis pour associer un groupe de certificats SSL au processus d'écoute afin d'activer le traitement SSL. Pour plus d'informations sur l'utilisation des certificats SSL avec des équilibreurs de charge, reportez-vous à Certificats SSL pour les équilibreurs de charge.

     L'équilibreur de charge détecte automatiquement les modifications et utilise la version en cours des entités de service Certificates (certificats, autorités de certification et packages d'autorité de certification) dans la configuration SSL. Pour plus d'informations sur les rotations de certificat automatisées, reportez-vous à Certificates.

     • Ressource de certificat : sélectionnez dans la liste le type de ressource de certificat :

       La méthode d'import du certificat varie en fonction du type de ressource de certificat sélectionné.

       Attestation gérée par le service de certificats : dans la liste Attestation, sélectionnez le certificat dans le compartiment indiqué. Sélectionnez Modifier le compartiment pour choisir un autre compartiment dans lequel sélectionner le certificat.

       • Des options avancées sont disponibles avec cette sélection. Sélectionnez Afficher les options avancées et cliquez sur l'onglet SSL avancé. Cette option est décrite plus loin dans cette rubrique.
       • Certificat géré par l'équilibreur de charge : sélectionnez l'une des options suivantes pour importer le certificat :

         Choisir le fichier de certificat SSL : faites glisser le fichier de certificat au format PEM dans le champ certificat SSL. Vous pouvez également sélectionner l'option Coller le certificat SSL pour coller un certificat directement dans ce champ. Si vous soumettez un certificat auto-signé pour SSL back-end, vous devez soumettre le même certificat dans le champ de certificat de l'autorité de certification correspondant.

         Indiquer une clé privée : (obligatoire pour la terminaison SSL, facultatif pour toutes les autres) cochez la case afin de fournir une clé privée pour le certificat.

         Sélectionner un fichier de clés privées : faites glisser la clé privée au format PEM dans le champ Clé privée. Vous pouvez également sélectionner l'option Coller la clé privée pour coller une clé privée directement dans ce champ.

         Entrer une phrase de passe de clé privée : (facultatif) indiquez-la.

       • Activer la reprise de session : sélectionnez cette option pour reprendre la session de cryptage précédente plutôt que de terminer une nouvelle connexion SSL avant chaque demande. L'activation de la reprise de session améliore les performances mais offre un niveau de sécurité inférieur. Désélectionnez la fonctionnalité pour forcer une nouvelle connexion SSL avant chaque demande. La désactivation de la reprise de session améliore la sécurité mais réduit les performances.
     • Vérifier le certificat homologue : (facultatif) sélectionnez cette option pour activer la vérification du certificat homologue. Pour plus d'informations, reportez-vous à Certificats SSL pour les équilibreurs de charge.

       L'authentification mTLS n'est pas prise en charge pour la communication entre un équilibreur de charge et ses serveurs back-end. Vous pouvez utiliser l'authentification mTLS pour la communication entre les équilibreurs de charge et les utilisateurs.

     • Vérifier la profondeur : (facultatif) indiquez la profondeur maximale pour la vérification de la chaîne de certificat. Pour plus d'informations, reportez-vous à Certificats SSL pour les équilibreurs de charge.
   • Ensemble de back-ends : indiquez l'ensemble de back-ends par défaut vers lequel le processus d'écoute route le trafic.
   • Délai d'expiration en secondes : (facultatif) indiquez la durée maximale d'expiration en secondes. Ce paramètre s'applique au temps autorisé entre deux opérations d'entrée/de sortie réseau successives de réception ou d'envoi lors de la phase demande-réponse HTTP. La valeur maximale est de 7 200 secondes. Pour plus d'informations, reportez-vous à Paramètres de délai d'expiration de connexion d'équilibreur de charge.
   • (Facultatif) Sélectionnez l'onglet Protocole proxy pour activer et configurer le protocole proxy sur l'équilibreur de charge. Pour plus d'informations sur cette fonctionnalité, reportez-vous à la section Proxy Protocol.
     1. Sélectionnez Activer le protocole proxy pour activer cette fonctionnalité.
     2. Sélectionnez la version de protocole proxy à utiliser :
        • Version 1 : prend en charge un format d'en-tête (texte) lisible par l'utilisateur et correspond généralement à une seule ligne d'une entrée de journal. Utilisez cette option pour le débogage lors de la phase d'adoption précoce lorsqu'il existe peu d'implémentations.
        • Version 2 : combine la prise en charge de l'en-tête lisible par l'utilisateur à partir de la version 1 avec un codage binaire de l'en-tête pour une plus grande efficacité dans la production et l'analyse. Utilisez cette option pour les adresses IPv6, qui sont difficiles à générer et à analyser sous forme ASCII. La version 2 prend également mieux en charge les extensions personnalisées. Par défaut, l'option PP2 Type Authority est sélectionnée comme seule option Version 2 disponible.
   • Sélectionnez une stratégie de acheminement ou un ensemble de routages par chemin
     • Stratégie de routage : (facultatif) indiquez le nom de la stratégie de routage qui s'applique au trafic de ce processus d'écoute.
     • Ensemble de routages par chemin : (facultatif) indiquez le nom de l'ensemble de règles de routage basées sur un chemin qui s'applique au trafic de ce processus d'écoute.

       Pour appliquer un ensemble de routage par chemin à un processus d'écoute, il doit faire partie de la configuration de l'équilibreur de charge.

       Pour enlever un ensemble de routages par chemin d'un processus d'écoute existant, sélectionnez Aucun pour l'option Ensemble de routages par chemin. L'ensemble de routages par chemin reste disponible pour d'autres processus d'écoute sur cet équilibreur de charge.

   • Ensembles de règles : (facultatif) sélectionnez un ensemble de règles à appliquer au trafic du processus d'écoute. Pour appliquer un ensemble de règles à un processus d'écoute, l'ensemble doit faire partie de la configuration de l'équilibreur de charge. Pour enlever un ensemble de règles de la liste, sélectionnez la zone rouge correspondante. L'ensemble de règles reste disponible pour d'autres processus d'écoute sur cet équilibreur de charge.
   • Afficher les options avancées : sélectionnez cette option pour afficher les options suivantes :
     • SSL avancé : présent uniquement si la ressource de certificat Certificat géré par le service de certificats est sélectionnée. sélectionnez l'une de ces options si vous avez choisi Certificat géré par le service de certificats lors de la sélection de la ressource de certificat pour le processus d'écoute.

       Package d'autorité de certification : dans la liste, sélectionnez le package d'autorité de certification dans le compartiment indiqué. Sélectionnez Modifier le compartiment pour choisir un autre compartiment dans lequel sélectionner le package d'autorité de certification.

       Autorité de certification : sélectionnez l'autorité de certification dans le compartiment indiqué dans la liste. Sélectionnez Modifier le compartiment pour choisir un autre compartiment dans lequel sélectionner le package d'autorité de certification.

     • Version TLS : indiquez les versions de protocole TLS (Transport Layer Security) : 1.0, 1.1, 1.2 (recommandé) et 1.3.

       Vous pouvez sélectionner n'importe quelle combinaison de versions. Choisissez celles que vous voulez dans la liste Si vous n'indiquez pas les versions de protocole TLS, la version de protocole TLS par défaut est la version 1.2 uniquement.

       Sélectionner un mécanisme de cryptage : sélectionnez un ensemble de mécanismes de cryptage dans la liste. (Par défaut. Toutes les options présentées dans la liste ont au moins un mécanisme de cryptage associé à chaque version de protocole TLS sélectionnée.

       Créez un certificat SSL à l'aide de l'algorithme de signature fondé sur les cryptages activés pour votre stratégie de sécurité.

     • Afficher les détails du mécanisme de cryptage : sélectionnez cette option pour afficher les cryptages que contient le mécanisme de cryptage sélectionné.
     • Préférence d'ordre de serveur : sélectionnez Activer pour donner la préférence aux mécanismes de cryptage du serveur par rapport à ceux du client.
8. Sélectionnez Créer un processus d'écoute.

La procédure suivante s'applique à la console Oracle Cloud Infrastructure.

1. Sous Equilibreurs de charge, sélectionnez Equilibreur de charge.

   La page de liste Equilibreurs de charge s'ouvre. Toutes les ressources d'équilibreur de charge existantes dans le compartiment sélectionné sont affichées dans une table de liste.

2. Pour visualiser les ressources dans un autre compartiment, utilisez le filtre Compartiment pour changer de compartiment.

   Vous devez être autorisé à travailler dans un compartiment pour voir les ressources qu'il contient. En cas de doute sur le compartiment à utiliser, contactez un administrateur. Pour plus d'informations, reportez-vous à Présentation des compartiments.

3. Sélectionnez un état dans la liste pour limiter les équilibreurs de charge à cet état.
4. Sélectionnez l'équilibreur de charge auquel ajouter un ensemble de back-ends. La page Détails de l'équilibreur de charge apparaît.
5. Sélectionnez Ensembles de back-ends sous Ressources. La liste des ensembles de back-ends apparaît. Tous les ensembles de back-ends sont répertoriés dans un tableau.
6. Sélectionnez Créer un ensemble de back-ends. La boîte de dialogue Créer un ensemble de back-ends apparaît.

7. Renseignez les champs suivants :

   • Nom : saisissez le nom convivial de l'ensemble de back-ends. Elle doit être unique au sein de l'équilibreur de charge et ne peut pas être modifiée. Les noms d'ensemble de back-ends valides incluent uniquement des caractères alphanumériques, des tirets et des traits de soulignement. Les noms d'ensemble de back-ends ne peuvent pas contenir d'espaces.
   • Stratégie de distribution du trafic : sélectionnez la stratégie d'équilibreur de charge de l'ensemble de back-ends. Les options disponibles sont les suivantes :
     • Hachage d'adresse IP
     • Nombre minimal de connexions
     • Tour de rôle pondéré

     Vous ne pouvez pas ajouter un serveur back-end désigné comme un serveur de sauvegarde à un ensemble de back-ends qui utilise la stratégie de hachage d'adresse IP. Pour plus d'informations sur ces stratégies, reportez-vous à Stratégies d'équilibreur de charge.

   • Utiliser SSL : sélectionnez cette option pour associer une ressource de certificat SSL à l'ensemble de back-ends.

     L'équilibreur de charge détecte automatiquement les modifications et utilise la version en cours des entités de service Certificates (certificats, autorités de certification et packages d'autorité de certification) dans la configuration SSL. Pour plus d'informations sur les rotations de certificat automatisées, reportez-vous à Certificates.

     Si aucune ressource de certificat n'est attachée à l'équilibreur de charge, cette option est désactivée.

     Ressource de certificat : sélectionnez dans la liste le type de ressource de certificat :

     La méthode d'import du certificat varie en fonction du type de ressource de certificat sélectionné. Pour plus d'informations sur la façon dont les équilibreurs de charge utilisent les certificats SSL, reportez-vous à Certificats SSL pour les équilibreurs de charge.

     Reportez-vous à Certificates pour obtenir des informations générales sur l'utilisation de SSL avec la stratégie de pare-feu d'application Web.

     • Certificat géré par le service de certificats

       Sélectionnez l'option Paquet d'autorité de certification ou Autorité de certification, puis sélectionnez votre choix dans la liste associée. Sélectionnez Modifier le compartiment pour choisir un autre compartiment dans lequel sélectionner le package d'autorité de certification ou l'autorité de certification.

       Des options avancées sont disponibles avec cette sélection. Sélectionnez Afficher les options avancées et cliquez sur l'onglet SSL avancé. Cette option est décrite plus loin dans cette rubrique.

     • Certificat géré par l'équilibreur de charge : sélectionnez l'une des options suivantes pour importer le certificat :

       Choisir le fichier de certificat SSL : faites glisser le fichier de certificat au format PEM dans le champ certificat SSL. Vous pouvez également sélectionner l'option Coller le certificat SSL pour coller un certificat directement dans ce champ.

       Si vous soumettez un certificat auto-signé pour SSL back-end, vous devez soumettre le même certificat dans le champ de certificat de l'autorité de certification correspondant.

       Indiquer une clé privée : (obligatoire pour la terminaison SSL). Sélectionnez cette option pour fournir une clé privée pour le certificat.

       Sélectionner un fichier de clés privées : faites glisser la clé privée au format PEM dans le champ Clé privée.

       Entrer une phrase de passe de clé privée : indiquez la phrase de passe de clé privée. Vous pouvez également sélectionner l'option Coller la clé privée pour coller une clé privée directement dans ce champ.

       Vérifier le certificat homologue : sélectionnez cette option pour activer la vérification du certificat homologue. Pour plus d'informations, reportez-vous à Certificats SSL pour les équilibreurs de charge.

       Profondeur de vérification : facultatif. Indiquez la profondeur maximale pour la vérification de la chaîne de certificat. Pour plus d'informations, reportez-vous à Certificats SSL pour les équilibreurs de charge.

   • Persistance de session : indiquez la façon dont l'équilibreur de charge gère la persistance de session. Pour obtenir des informations importantes sur la configuration de ces paramètres, reportez-vous à Persistance de session d'équilibreur de charge.
     • Supprimer la persistance de session : choisissez cette option pour désactiver la persistance de session basée sur un cookie.
     • Activer la persistance de cookie d'application : choisissez cette option pour activer les sessions persistantes à partir d'un seul client logique lorsque la réponse d'un serveur d'applications back-end inclut un en-tête Set-cookie avec le nom de cookie indiqué.
       • Nom de cookie : : nom de cookie utilisé pour activer la persistance de session. Indiquez * pour renvoyer tous les noms de cookie.
       • Désactiver le basculement : cochez cette case pour désactiver le basculement lorsque le serveur d'origine est indisponible.
     • Activer la persistance de cookie d'équilibreur de charge : choisissez cette option pour activer les sessions persistantes basées sur un cookie inséré par l'équilibreur de charge.
       • Nom de cookie : indiquez le nom du cookie utilisé pour activer la persistance de session. Si cette valeur est vide, le nom de cookie par défaut est X-Oracle-BMC-LBS-Route.

         Assurez-vous que les noms de cookie utilisés sur les serveurs d'application back-end sont différents du nom de cookie utilisé sur l'équilibreur de charge.

       • Désactiver le basculement : cochez cette case pour désactiver le basculement lorsque le serveur d'origine est indisponible.
       • Nom de domaine : indiquez le domaine dans lequel le cookie est valide.

         Cet attribut n'a pas de valeur par défaut. Si vous n'indiquez aucune valeur, l'équilibreur de charge n'insère pas l'attribut de domaine dans l'en-tête Set-cookie.

       • Chemin : indiquez le chemin dans lequel le cookie est valide. La valeur par défaut est /.
       • Période d'expiration en secondes : indiquez la durée de validité du cookie. Si cette valeur est vide, le cookie expire à la fin de la session client.
       • Attributs

         Sécurité : : Indiquez si l'en-tête Set-cookie contient l'attribut Secure. Si cette option est sélectionnée, le client envoie le cookie uniquement à l'aide d'un protocole sécurisé.

         Si vous activez ce paramètre, vous ne pouvez pas associer l'ensemble de back-ends correspondant à un processus d'écoute HTTP.

         HTTP uniquement : : indiquez si l'en-tête Set-cookie contient l'attribut HttpOnly. Si cette option est sélectionnée, le cookie est limité aux demandes HTTP. Le client omet le cookie lorsqu'il fournit l'accès aux cookies via des API non HTTP, comme les canaux JavaScript.

   • Vérification de l'état : indiquez les paramètres de test permettant de vérifier l'état des serveurs back-end.
     • Protocole : indiquez le protocole à utiliser (HTTP ou TCP). Configurez le protocole de vérification de l'état pour qu'il corresponde à votre application ou service. Pour plus d'informations, reportez-vous à Vérifications de l'état pour les équilibreurs de charge.
     • Port : (facultatif) indiquez le port du serveur back-end sur lequel exécuter la vérification de l'état. Vous pouvez saisir la valeur 0 pour que la vérification de l'état utilise le port de trafic du serveur back-end.
     • Forcer les vérifications de l'état en texte brut : (HTTP uniquement) (facultatif) cochez cette case pour envoyer la vérification de l'état au serveur back-end sans SSL. Cette option est disponible uniquement lorsque le protocole du serveur back-end est défini sur HTTP. Cela n'a aucun effet lorsque SSL n'est pas activé sur le serveur back-end. Lorsque SSL est désactivé, les vérifications de l'état sont toujours en texte brut.
     • Intervalle en millisecondes : (facultatif) indiquez la fréquence d'exécution de la vérification de l'état, en millisecondes. La valeur par défaut est 10 000 (10 secondes).
     • Expiration en millisecondes : (facultatif) indiquez la durée maximale d'attente d'une réponse à une vérification de l'état, en millisecondes. La vérification de l'état est réussie uniquement si une réponse est renvoyée avant ce délai d'expiration. La valeur par défaut est 3 000 (3 secondes).
     • Nombre de nouvelles tentatives : (facultatif) indiquez le nombre de nouvelles tentatives à effectuer avant de considérer un serveur back-end comme étant en mauvais état. Ce nombre s'applique également lors de la récupération d'un serveur à l'état fonctionnel. La valeur par défaut est 3.
     • Code de statut : (HTTP uniquement) (facultatif) indiquez le code de statut qu'un serveur back-end en bon état doit renvoyer.
     • Chemin d'URL (URI) : (HTTP uniquement) indiquez l'adresse URL sur laquelle exécuter la vérification de l'état.
     • Expression régulière de corps de réponse : (HTTP uniquement) (facultatif) indiquez une expression régulière pour analyser le corps de réponse à partir du serveur back-end.
   • Afficher les options avancées : sélectionnez ce lien pour accéder à d'autres options. Sélectionnez l'onglet correspondant à la fonctionnalité :
     • Onglet SSL avancé : présent uniquement si la ressource de certificat Certificat géré par le service de certificats est sélectionnée. sélectionnez l'une de ces options si vous avez choisi Certificat géré par le service de certificats lors de la sélection de la ressource de certificat pour le processus d'écoute. Pour plus d'informations sur la façon dont les équilibreurs de charge utilisent les certificats SSL, reportez-vous à Certificats SSL pour les équilibreurs de charge.

       Package d'autorité de certification : dans la liste, sélectionnez le package d'autorité de certification dans le compartiment indiqué. Sélectionnez Modifier le compartiment pour choisir un autre compartiment dans lequel sélectionner le package d'autorité de certification.

       Autorité de certification : sélectionnez l'autorité de certification dans le compartiment indiqué dans la liste. Sélectionnez Modifier le compartiment pour choisir un autre compartiment dans lequel sélectionner le package d'autorité de certification.

     • Version TLS : option facultative. Indiquez les versions de TLS (Transport Layer Security) : 1.0, 1.1, 1.2 (recommandé) et 1.3

       Vous pouvez sélectionner n'importe quelle combinaison de versions. Choisissez celles que vous voulez dans la liste Si vous n'indiquez pas les versions de TLS, la version de TLS par défaut est la version 1.2 uniquement.

       Sélectionner un mécanisme de cryptage : sélectionnez un ensemble de mécanismes de cryptage dans la liste. Toutes les options présentées dans la liste ont au moins un mécanisme de cryptage associé à chaque version de protocole TLS sélectionnée.

8. Choisissez Créer.

La procédure suivante s'applique à la console Oracle Cloud Infrastructure.

1. Mettez à jour le serveur client ou back-end pour qu'il utilise un nouveau groupe de certificats.
   Remarque
   
   La procédure de mise à jour d'un serveur client ou back-end dépend de votre système.
2. Téléchargement du nouveau groupe de certificats SSL vers l'équilibreur de charge:
   1. Sous Equilibreurs de charge, sélectionnez Equilibreur de charge. La page équilibreurs de charge apparaît.
   2. Sélectionnez le nom du compartiment contenant l'équilibreur de charge à modifier, puis le nom de l'équilibreur de charge.
   3. Sélectionnez l'équilibreur de charge à configurer. La page Détails de l'équilibreur de charge apparaît.
   4. Sélectionnez Certificats sous Ressources. La liste des certificats apparaît. Tous les certificats sont répertoriés dans un tableau.
   5. Renseignez les champs suivants :
      • Nom de certificat : entrez un nom convivial pour le groupe de certificats. Il doit être unique dans l'équilibreur de charge et ne peut pas être modifié dans la console. (Il peut être modifié à l'aide de l'API.)
      • Choisir le fichier de certificat SSL : faites glisser le fichier de certificat au format PEM dans le champ certificat SSL.

        Vous pouvez également sélectionner l'option Coller le certificat SSL pour coller un certificat directement dans ce champ.

        Important
        
        Si vous soumettez un certificat auto-signé pour SSL back-end, vous devez soumettre le même certificat dans le champ Certificat de l'autorité de certification correspondant.
      • Indiquer un certificat d'autorité de certification : (recommandé pour les configurations de terminaison SSL back-end). Cochez cette case pour fournir un certificat CA.
        • Choisir le fichier de certificat de l'AC : faites glisser le fichier de certificat de l'AC au format PEM dans le champ Certificat de l'AC.

          Vous pouvez également sélectionner l'option Coller le certificat de l'autorité de certification pour coller un certificat directement dans ce champ.

      • Indiquer une clé privée : (obligatoire pour la terminaison SSL). Sélectionnez cette option pour fournir une clé privée pour le certificat.
        • Sélectionner un fichier de clés privées : faites glisser la clé privée au format PEM dans le champ Clé privée.

          Vous pouvez également sélectionner l'option Coller la clé privée pour coller une clé privée directement dans ce champ.

        • Entrer une phrase de passe de clé privée : (facultatif) indiquez-la.
   6. Sélectionnez Ajouter un certificat. Modifiez ensuite chaque processus d'écoute ou ensemble de back-ends applicable (si nécessaire) pour qu'il utilise le nouveau groupe de certificats :

3. Modifiez le processus d'écoute :

   1. Sous Equilibreurs de charge, sélectionnez Equilibreur de charge.
   2. Choisissez le compartiment contenant l'équilibreur de charge à modifier, puis sélectionnez le nom de l'équilibreur de charge.
   3. Sélectionnez Processus d'écoute sous Ressources. La liste Processus d'écoute s'affiche. Tous les processus d'écoute sont répertoriés dans un tableau.
   4. Sélectionnez le menu Actions (trois points) en regard du processus d'écoute à modifier, puis sélectionnez Modifier le processus d'écoute.
   5. Dans la liste Nom de certificat, sélectionnez le nouveau groupe de certificats.
   6. Sélectionnez Soumettre.
4. Modifier un ensemble de back-ends :
   Important
   
   La mise à jour de l'ensemble de back-ends interrompt temporairement les échanges et peut supprimer des connexions actives.
   1. Sous Equilibreurs de charge, sélectionnez Equilibreur de charge.

      La page de liste Equilibreurs de charge s'ouvre. Toutes les ressources d'équilibreur de charge existantes dans le compartiment sélectionné sont affichées dans une table de liste.

   2. Pour visualiser les ressources dans un autre compartiment, utilisez le filtre Compartiment pour changer de compartiment.

      Vous devez être autorisé à travailler dans un compartiment pour voir les ressources qu'il contient. En cas de doute sur le compartiment à utiliser, contactez un administrateur. Pour plus d'informations, reportez-vous à Présentation des compartiments.

   3. Sélectionnez un état dans la liste pour limiter les équilibreurs de charge à cet état.
   4. Sélectionnez l'équilibreur de charge dont vous souhaitez modifier l'ensemble de back-ends. La page Détails de l'équilibreur de charge apparaît.
   5. Sélectionnez Ensembles de back-ends sous Ressources. La liste des ensembles de back-ends apparaît. Tous les ensembles de back-ends sont répertoriés dans un tableau.
   6. Sélectionnez le nom de l'ensemble de back-ends à modifier. La page Détails de l'ensemble de back-ends apparaît.
   7. Sélectionnez Modifier l'ensemble de back-ends. La boîte de dialogue Modifier l'ensemble de back-ends apparaît.
   8. Sélectionnez Utiliser SSL.
   9. Dans la liste Nom de certificat, sélectionnez le nouveau groupe de certificats.
   10. Sélectionnez Enregistrer les modifications.

5. (Facultatif) Suppression du groupe de certificats SSL en cours d'expiration.

   Remarque
   
   Vous ne pouvez pas supprimer un groupe de certificats SSL associé à un processus d'écoute ou à un ensemble de back-ends. Enlevez le groupe de tous les autres processus d'écoute ou ensembles de back-ends avant la suppression.
   1. Sous Equilibreurs de charge, sélectionnez Equilibreur de charge.
   2. Sélectionnez le nom du compartiment contenant l'équilibreur de charge à modifier, puis le nom de l'équilibreur de charge.
   3. Sélectionnez l'équilibreur de charge à configurer.
   4. Dans le menu Ressources, sélectionnez Certificats.
   5. Pour le certificat à supprimer, sélectionnez le menu Actions (trois points), puis Supprimer.
   6. Confirmez l'opération lorsque vous y êtes invité.

La procédure suivante s'applique à la console Oracle Cloud Infrastructure.

1. Sur la page de liste Buckets, recherchez le bucket Object Storage à utiliser. Si vous avez besoin d'aide pour trouver la page de liste ou le bucket, reportez-vous à Liste des buckets.
2. Dans le menu Actions du bucket souhaité, sélectionnez Modifier la visibilité.

   Le panneau Modifier la visibilité s'ouvre.

3. Sélectionnez Public ou Privé.

   Si vous sélectionnez Public pour activer l'accès public, indiquez si vous autorisez les utilisateurs à répertorier le contenu du bucket. Pour définir la visibilité des listes d'objets de bucket, sélectionnez Autoriser les utilisateurs à répertorier les objets de ce bucket.

4. Sélectionnez Mettre à jour.