Clés gérées par le client pour Oracle Break Glass

Il est recommandé de créer un groupe d'administrateurs de sécurité distinct pour limiter l'accès aux fonctionnalités de sécurité de vos environnements Fusion Applications.

La stratégie du groupe d'administrateurs de sécurité permet au groupe de gérer les coffres et les clés, mais n'autorise pas la suppression. La stratégie est la suivante :

allow group '<identity-domain-name'/'<your-group-name>' to manage keys in <location> where request.permission not in ('KEY_DELETE')
allow group '<identity-domain-name'/'<your-group-name>' to manage vaults in <location> where request.permission not in ('VAULT_DELETE')
 

Pour connaître les procédures de création de groupes et de stratégies afin de définir des rôles, y compris les droits d'accès requis spécifiques pour le rôle d'administrateur de sécurité, reportez-vous à Gestion des utilisateurs Oracle Cloud avec des fonctions spécifiques.

Afin d'ajouter les droits d'accès pour l'administrateur Fusion Applications, procédez comme suit :

1. Reportez-vous à la procédure Gestion des utilisateurs Oracle Cloud avec des fonctionnalités spécifiques, qui décrit la création du rôle d'administrateur Fusion Applications.
2. Ajoutez les instructions suivantes au rôle Administrateur d'environnement Fusion Applications, si elles ne sont pas déjà présentes :

   
   Allow group '<identity-domain-name'/'<your-group-name>' to read vaults in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to read keys in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to use key-delegate in compartment <location>

Veillez à remplacer toutes les variables <location> par le nom du compartiment dans lequel le coffre et les clés ont été créés.

Créez une stratégie dans le domaine OC1 avec les instructions suivantes :

define tenancy fusionapps1 as ocid1.tenancy.oc1..aaaaaaaau5s6lj67ia5vy6qjglhvquqdszjqlmvlmsetu4jrtjni4mng6hea
define tenancy fusionapps2 as ocid1.tenancy.oc1..aaaaaaaajgaoycccrtt3l3vnnlave6wkc2zbf6kkksq66begstczxrmxjlia
define dynamic-group fusionapps1_environment as ocid1.dynamicgroup.oc1..aaaaaaaa5wcbybhxa5vqcvniefoihlvnidty4fk77fitn2hjhd7skhzaadqq
define dynamic-group fusionapps2_environment as ocid1.dynamicgroup.oc1..aaaaaaaaztbusgx23a3jdpvgxqx6tkv2nedgxld6pj3w7hcvhfzvw5ei7fiq
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to manage keys in tenancy
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to use vaults in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to manage keys in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to use vaults in tenancy
allow service keymanagementservice to manage vaults in tenancy
allow any-user to read keys in tenancy where all {request.principal.type = 'fusionenvironment'}
allow any-user to read vaults in tenancy where all {request.principal.type = 'fusionenvironment'}

Suivez la procédure de création d'un coffre dans la documentation Vault. Pour créer un coffre externe, reportez-vous à Service de gestion des clés externes.

Nous vous recommandons de créer 2 coffres : un pour les clés d'environnement de production et un pour les clés d'environnement de non production.

Après avoir créé les coffres, répliquez le coffre que vous avez créé pour l'environnement de production. Le coffre répliqué est utilisé pour la récupération après sinistre.

1. Vérifiez l'association de régions de récupération après sinistre pour la région dans laquelle se trouve l'environnement Fusion Applications de production. Pour obtenir la liste des associations de régions, reportez-vous à Prise en charge de la récupération après sinistre.
2. Abonnez-vous à la région répertoriée en tant qu'association pour votre région. Pour vous abonner à une région, reportez-vous à Abonnement à une région d'infrastructure.
3. Répliquez le coffre que vous avez créé pour votre environnement de production en suivant les étapes décrites dans Réplication de coffres et de clés. Lorsque vous sélectionnez la région de destination pour la réplication, veillez à sélectionner la région de récupération après sinistre à laquelle vous êtes abonné à l'étape précédente.

Suivez la procédure Création d'une clé de cryptage maître dans la documentation Vault ou, pour importer vos propres clés, suivez les procédures décrites dans Import de clés et de versions de clé.

Avec le mode de protection de clé HSM (Hardware Security Module), vos clés de chiffrement sont stockées et protégées dans des modules de sécurité matériels certifiés FIPS 140-2 de niveau 3.

Lorsque vous créez des clés pour Fusion Applications, vous devez effectuer les sélections suivantes :

• Pour Forme de clé : algorithme, sélectionnez AES (clé symétrique utilisée pour le cryptage et le décryptage) (vous devez sélectionner cette option pour les clés gérées par le client Fusion Applications).
• Pour Forme de clé : longueur, sélectionnez 256 bits.

Il est recommandé de créer une clé dans le coffre de production pour votre environnement de production, et une clé pour chaque environnement hors production dans votre coffre hors production.

Après avoir créé le coffre et les clés, fournissez à l'administrateur Fusion Applications le nom du compartiment de coffre, le nom du coffre et le nom de la clé (ainsi que le nom du compartiment de clé, le cas échéant).

Cette procédure comprend uniquement les étapes d'activation de la clé gérée par le client. Pour obtenir la procédure complète de création d'un environnement, reportez-vous à Tâches de gestion des environnements.

Sur la page de création d'environnement, procédez comme suit :

1. Sélectionnez l'option Afficher les options avancées.
2. Sélectionnez l'onglet Chiffrement .

3. Sélectionnez Clé gérée par le client (recommandé).

   

   Si cette option n'apparaît pas, l'abonnement n'a pas été ajouté à la famille d'environnements.

4. Sélectionnez le coffre. Si le coffre ne se trouve pas dans le compartiment dans lequel vous créez votre environnement, vous devez cliquer sur Modifier le compartiment et choisir le compartiment approprié.
5. Sélectionnez la clé. Si la clé ne se trouve pas dans le compartiment dans lequel vous créez votre environnement, vous devez cliquer sur Modifier le compartiment et choisir le compartiment approprié. Seules les clés AES 256 bits sont affichées.

Une fois toutes les étapes de configuration de l'environnement terminées, le processus de provisionnement commence. L'ajout de la clé gérée par le client ajoute du temps au processus de provisionnement. Pendant l'activation de la clé, un message vous avertit que l'environnement n'est pas disponible.

Afin d'activer une clé gérée par le client pour un environnement existant, procédez comme suit :

1. Accédez à l'environnement : dans l'accueil Applications de la console, sélectionnez Applications Fusion. Sur la page Aperçu, recherchez la famille d'environnements de l'environnement, puis sélectionnez le nom de l'environnement.
2. Sous Ressources, sélectionnez Sécurité. L'onglet Cryptage apparaît.
3. Par défaut, le type est géré par Oracle. Sélectionnez Modifier le cryptage pour ajouter le coffre et la clé.

   Si vous ne voyez pas l'option de modification, vous n'avez pas ajouté les options appropriées ou l'environnement est en cours de mise à jour.

4. Sélectionnez clé gérée par le client.

5. Sélectionnez le coffre. Si le coffre ne se trouve pas dans le compartiment dans lequel vous créez votre environnement, sélectionnez Modifier le compartiment et le compartiment approprié. Si vous utilisez la récupération après sinistre, vous devez sélectionner un coffre prenant en charge la réplication. Tous les coffres privés prennent en charge la réplication. Pour les coffres virtuels, reportez-vous à Réplication de coffres et de clés pour plus d'informations sur la façon de déterminer si un coffre virtuel prend en charge la réplication.
6. Sélectionnez la clé de cryptage maître. Si la clé ne se trouve pas dans le compartiment dans lequel vous créez votre environnement, sélectionnez Modifier le compartiment et le compartiment approprié. Seules les clés AES 256 bits sont affichées.

7. Dans la section Programmation de mise à jour de cryptage, sélectionnez la fenêtre de temps pour indiquer l'heure de début de la mise à jour de la gestion de cryptage. Jusqu'à trois dates sont affichées.

8. Sélectionnez Soumettre pour demander la mise à jour qui active les clés gérées par le client dans votre environnement.

Le message en bas de la fenêtre apparaît lorsque le cryptage est programmé. Le cryptage est effectué pendant la fenêtre de temps indiquée. Jusqu'à ce que la mise à jour ait lieu, l'environnement reste crypté par la clé gérée par le service Oracle.

1. Accédez à l'environnement : dans l'accueil Applications de la console, sélectionnez Applications Fusion. Sur la page Aperçu, recherchez la famille d'environnements de l'environnement, puis sélectionnez le nom de l'environnement.
2. Sous Ressources, sélectionnez Sécurité. L'onglet Cryptage apparaît.
3. Dans le tableau des options de cryptage, recherchez la ligne "Géré par le client", sélectionnez le menu Actions (trois points), puis sélectionnez Replanifier ou Annuler.

4. Replanifier uniquement : si vous reprogrammez la mise à jour pour les clés gérées par le client, sélectionnez une nouvelle date dans le menu déroulant, puis sélectionnez Soumettre.

   Remarque
   
   Assurez-vous que l'heure que vous choisissez pour la mise à jour n'est pas en conflit avec d'autres activités d'environnement importantes, telles qu'une opération d'actualisation. Pour les opérations d'actualisation, cela signifie que ni l'environnement source ni l'environnement cible ne peuvent être mis à jour pour les clés gérées par le client pendant l'actualisation.

   Annuler uniquement : si vous annulez la mise à jour, saisissez le nom de l'environnement pour confirmer l'annulation de la mise à jour, puis sélectionnez Annuler la clé programmée.