Documentation Oracle Cloud Infrastructure

Guides pratiques

Ensemble de tâches et de procédures pour la gestion d'Exadata Database Service on Dedicated Infrastructure.

Activation de Data Guard dans plusieurs régions

Passez en revue les prérequis pour l'activation de Data Guard inter-région lorsque les bases de données utilisent des solutions de gestion de clés de fournisseur de services cloud.

Remarque

Oracle prend actuellement en charge les services de gestion des clés de fournisseur de services cloud suivants pour la gestion des clés de cryptage maître TDE (Transparent Data Encryption) lors de la configuration de Data Guard inter-région :

  • Microsoft Azure : Azure Key Vault (Standard et Premium) et HSM géré
  • Google Cloud : clés de chiffrement gérées par le client (CMEK)
  • AWS : Service de gestion des clés AWS (KMS) et CloudHSM

Rubrique parent : Guides pratiques

Prérequis

Assurez-vous que les conditions suivantes sont remplies avant de configurer Data Guard inter-région.

Configuration requise pour la gestion et la réplication des clés

La ressource de clé de cryptage doit être répliquée de la région source vers la région de destination. Selon le service de gestion des clés utilisé, cela inclut la réplication du coffre, du trousseau de clés ou de la clé de cryptage.

Configuration requise pour le cluster de machines virtuelles

Le cluster de machines virtuelles hébergeant la base de données de secours doit répondre aux exigences suivantes :

  • Un connecteur d'identité doit être créé (applicable lors de l'utilisation d'Azure Key Vault).
  • La gestion des clés du fournisseur de services cloud doit être activée pour le cluster de machines virtuelles à l'aide de l'un des services pris en charge :
    • Azure Key Vault (AKV)
    • Clés de cryptage Google Cloud gérées par le client (CMEK)
    • Service de gestion des clés AWS (AWS KMS)

Pour des étapes de configuration détaillées, reportez-vous aux sections suivantes :

Conseils supplémentaires en matière de récupération après sinistre

Pour plus d'informations sur l'implémentation de la récupération après sinistre inter-région à l'aide d'Active Data Guard avec des déploiements multicloud, reportez-vous aux guides de solution suivants :

Restrictions

Tenez compte des limites suivantes :

  • Les bases de données Conteneur source et de destination doivent utiliser la même clé de cryptage maître TDE.
  • Les bases de données pluggables clones actualisables ne sont pas prises en charge sur la base de données de secours

Répliquer les ressources clés entre les régions

Avant de répliquer des ressources de cryptage entre les régions, assurez-vous que tous les prérequis sont respectés.

  1. Ouvrez le menu de navigation.
  2. Cliquez sur Oracle AI Database, puis sur Intégrations multicloud de base de données, puis sur l'une des options suivantes :
    • Intégration Microsoft Azure
    • Intégration Google Cloud
    • Intégration AWS

Pour répliquer un coffre de clés Azure

  1. Cliquez sur Coffres de clés Azure.
  2. Sélectionnez le coffre requis dans la liste.
  3. Dans le menu Actions, sélectionnez Répliquer le coffre de clés Azure.
  4. Sélectionnez la région cible.
  5. Cliquez sur Répliquer.

    Une fois l'opération terminée, vous pouvez visualiser les détails du coffre de clés répliqué, y compris la région et le statut de réplication, dans l'onglet Réplications inter-région.

Pour répliquer un trousseau de clés GCP

  1. Cliquez sur Anneaux de clés GCP.
  2. Sélectionnez le trousseau de clés requis dans la liste.
  3. Dans le menu Actions, sélectionnez Répliquer le trousseau de clés GCP.
  4. Sélectionnez la région cible.
  5. Cliquez sur Répliquer.

    Une fois l'opération terminée, vous pouvez afficher les détails du trousseau de clés répliqué, y compris la région et le statut de réplication, dans l'onglet Réplications inter-région.

Pour répliquer une clé AWS

  1. Cliquez sur Clés AWS.
  2. Sélectionnez la clé requise dans la liste.
  3. Dans le menu Actions, sélectionnez Répliquer la clé AWS.
  4. Sélectionnez la région cible.
  5. Cliquez sur Répliquer.

    Une fois l'opération terminée, vous pouvez visualiser les détails de la clé répliquée, notamment la région et le statut de réplication, dans l'onglet Réplications inter-région.

Supprimer les ressources de cryptage répliquées

Supprimez les ressources de cryptage répliquées uniquement après avoir vérifié qu'aucune association ou dépendance active n'existe.

  1. Ouvrez le menu de navigation.
  2. Cliquez sur Oracle AI Database, puis sur Intégrations multicloud de base de données, puis sur l'une des options suivantes :
    • Intégration Microsoft Azure
    • Intégration Google Cloud
    • Intégration AWS

Pour supprimer un coffre de clés Azure

  1. Cliquez sur Coffres de clés Azure.
  2. Sélectionner le compartiment.

    La liste des coffres s'affiche.

  3. Sélectionnez le coffre qui vous intéresse.
  4. Dans le menu Actions, sélectionnez Supprimer.
  5. Dans la boîte de dialogue de confirmation, entrez DELETE pour confirmer l'action.
  6. Cliquez sur Supprimer.

Pour supprimer un trousseau de clés GCP

  1. Cliquez sur Anneaux de clés GCP.
  2. Sélectionner le compartiment.

    La liste des anneaux de clé GCP s'affiche.

  3. Sélectionnez le trousseau de clés qui vous intéresse.
  4. Dans le menu Actions, sélectionnez Supprimer.
  5. Dans la boîte de dialogue de confirmation, entrez DELETE pour confirmer l'action.
  6. Cliquez sur Supprimer.

Pour supprimer une clé AWS

  1. Cliquez sur Clés AWS.
  2. Sélectionner le compartiment.

    La liste des clés AWS s'affiche.

  3. Sélectionnez la clé AWS qui vous intéresse.
  4. Dans le menu Actions, sélectionnez Supprimer.
  5. Dans la boîte de dialogue de confirmation, entrez DELETE pour confirmer l'action.
  6. Cliquez sur Supprimer.

Instructions de suppression de ressource de cryptage

Instructions pour la suppression des ressources de chiffrement répliquées et non répliquées sur plusieurs fournisseurs de services cloud, en fonction de leur association et de leur statut de réplication.

Ressource de cryptage non répliquée

Coffre de clés Azure

Impossible de supprimer un coffre de clés Azure s'il comporte des associations de connecteur d'identité actives.

Pour continuer :

  1. Identifiez les associations de connecteur d'identité référençant Azure Key Vault <OCID> dans <REGION>.
  2. Enlevez les associations ou réaffectez les ressources dépendantes à un autre coffre de clés.
  3. Réessayez l'opération de suppression.

Google Cloud KMS (Clé de chiffrement gérée par le client, CMEK)

Un trousseau de clés GCP ne peut pas être supprimé s'il contient des clés activement associées aux ressources (par exemple, des bases de données créées à l'aide de CMEK).

Pour continuer :

  1. Identifiez les ressources qui utilisent actuellement les clés du trousseau de clés.
  2. Reconfigurez ces ressources pour utiliser une autre clé de cryptage ou supprimez les ressources dépendantes.
  3. Réessayez l'opération de suppression une fois toutes les associations supprimées.

Service de gestion des clés AWS (AWS KMS)

Une clé AWS KMS ne peut pas être supprimée si elle a des associations actives (par exemple, des bases de données cryptées à l'aide d'AWS KMS).

Remarque

Les clés KMS AWS ne sont pas supprimées immédiatement ; elles doivent être programmées pour suppression et sont soumises à un délai d'attente obligatoire.

Pour continuer :

  1. Identifiez les ressources actuellement chiffrées avec la clé KMS.
  2. Reconfigurez ou supprimez les ressources dépendantes.
  3. Planifiez la suppression de la clé une fois que toutes les dépendances ont été supprimées.

Points clés à retenir

  • Recherchez toujours les associations actives avant de tenter la suppression.
  • Les ressources répliquées nécessitent des soins supplémentaires car des associations peuvent exister entre les régions principale et de secours.
  • Les ressources non répliquées suivent des règles propres au fournisseur cloud et ne peuvent pas être supprimées tant que les dépendances ne sont pas effacées.

Ressource de cryptage répliquée

Vous pouvez supprimer une ressource de cryptage répliquée de la région principale ou d'une région de secours.

  • Suppression de la région principale :

    La ressource est supprimée de la région principale et automatiquement supprimée de toutes les régions de secours (répliquées) associées.

  • Suppression d'une région de secours :

    La ressource est supprimée uniquement de la région de secours sélectionnée. La ressource reste inchangée dans la région principale et dans toutes les autres régions de secours.

Etats du cycle de vie des ressources de cryptage répliquées

Une ressource de cryptage répliquée peut présenter l'un des états de cycle de vie suivants.

  • CREATING : la ressource de cryptage répliquée est en cours de création.
  • ACTIVE : la ressource de cryptage répliquée a été créée et est opérationnelle.
  • Mise à jour : la ressource de cryptage répliquée est en cours de modification.
  • DELETING : la ressource de cryptage répliquée est en cours de suppression.
  • DELETED : la ressource de cryptage répliquée a été supprimée et n'est plus disponible.
  • FAILED : l'opération de ressource de chiffrement répliquée a échoué. Pour plus d'informations, consultez les journaux ou les messages d'erreur associés.

Activation de Data Guard pour les bases de données à l'aide d'Azure, de Google Cloud et des services de gestion des clés AWS

Avant d'activer Data Guard, vérifiez la configuration de gestion des clés sur la base de données principale.

  1. Accédez à la page Détails de la base de données principale sur laquelle vous prévoyez d'activer Data Guard.
  2. Dans la section Cryptage, vérifiez les valeurs sous Gestion des clés.

Confirmez les valeurs en fonction du service de gestion des clés configuré :

  • Si vous utilisez Azure Key Vault
    • Gestion des clés : Azure Key Vault
    • Vault : nom de coffre
    • Clé : valeur de clé
  • Si vous utilisez Google Cloud CMEK
    • Gestion des clés : clé de cryptage gérée par le client (CMEK) GCP
    • Porte-clés : Valeur porte-clés
    • Clé : valeur de clé
  • Si vous utilisez AWS KMS
    • Gestion des clés : clé gérée par le client (CMK) AWS
    • Clé : valeur de clé

Pour la procédure d'activation Data Guard générique, reportez-vous à Procédure d'activation de Data Guard sur un système Exadata Cloud Infrastructure.