Workflow de gestion des clés CMEK
Découvrez les opérations de gestion prises en charge pour les clés de cryptage gérées par le client.
Rubriques connexes
Opérations de gestion des clés CMEK
Chaque opération est expliquée en détail dans les sections suivantes.
Affectation CMEK
- Créez un fichier CMEK dans le coffre. Pour plus d'informations sur la procédure, reportez-vous à Création de CMEK.
- Créez les stratégies de contrôle d'accès requises. Pour plus d'informations, reportez-vous à CMEK Access Control.
- Connectez-vous à la console OCI.
- Ouvrez le menu de navigation situé dans l'angle supérieur gauche, sélectionnez Bases de données, puis NoSQL Database.
- Sélectionnez l'option de liste déroulante dans le champ Environnement et sélectionnez votre environnement dédié.
- Sous le champ Environnement, la clé de cryptage affiche la clé gérée par Oracle. Sélectionnez le lien Affecter en regard de la clé gérée par Oracle.
- Sur la page Affecter une clé de cryptage maître, sélectionnez votre coffre dans la liste déroulante Vault.
- Sélectionnez votre CMEK dans la liste déroulante Clé de cryptage maître.
- Sélectionnez Affecter.
Oracle NoSQL Database Cloud Service valide le code CMEK, puis l'utilise pour crypter les clés Block Volumes et Object Storage dans l'environnement dédié choisi. L'état de l'environnement dédié passe à UPDATING jusqu'à ce que toutes vos clés Block Volumes et Object Storage soient cryptées. Pendant cette durée, un message de notification apparaît sur la console indiquant que la mise à jour de clé est en cours. La mise à jour de la clé peut prendre jusqu'à deux minutes. Après l'affectation CMEK, la clé de cryptage reflète votre CMEK et son OCID.
CMEK - Affecter avec un autre CMEK
- Vous avez créé un CMEK et l'avez affecté à votre environnement dédié. Pour connaître la procédure, reportez-vous à la section CMEK Assign.
- Créez un autre CMEK dans le coffre. Pour plus d'informations sur la procédure, reportez-vous à Création de CMEK.
Oracle NoSQL Database Cloud Service valide le nouveau fichier CMEK, puis l'utilise pour recrypter vos clés Block Volumes et Object Storage dans l'environnement dédié choisi. L'état de l'environnement dédié passe à UPDATING jusqu'à ce que toutes les données des volumes de blocs et d'Object Storage soient recryptées. Pendant cette durée, un message de notification apparaît sur la console indiquant que la mise à jour de clé est en cours. La mise à jour de la clé peut prendre jusqu'à deux minutes. Après la rotation du CMEK, la clé de cryptage reflète le nouveau CMEK et son OCID.
Désactivation de CMEK
- Vous avez créé CMEK et l'avez affecté à votre environnement dédié. Pour connaître la procédure, reportez-vous à la section CMEK Assign.
- Connectez-vous à la console OCI.
- Ouvrez le menu de navigation situé dans le coin supérieur gauche, sélectionnez Identité et sécurité, puis Coffre.
- Sélectionnez le coffre dans lequel vous avez créé CMEK.
- Sélectionnez votre CMEK.
- Sur la page Détails de la clé, sélectionnez Désactiver et confirmez l'opération.
Le statut de CMEK est désactivé. L'environnement dédié devient indisponible pour toute opération en quelques minutes. Lorsque vous tentez d'accéder à l'environnement dédié à partir de la console OCI, un message d'erreur indiquant que CMEK est désactivé s'affiche.
Suppression CMEK
- Vous avez créé CMEK et l'avez affecté à votre environnement dédié. Pour connaître la procédure, reportez-vous à la section CMEK Assign.
- Connectez-vous à la console OCI.
- Ouvrez le menu de navigation situé dans le coin supérieur gauche, sélectionnez Identité et sécurité, puis Coffre.
- Sélectionnez le coffre dans lequel vous avez créé CMEK.
- Sélectionnez votre CMEK.
- Sur la page Détails de la clé, sélectionnez Supprimer la clé.
- Sélectionnez une date de suppression et confirmez l'opération.
Le statut de CMEK affiche la suppression en attente, ce qui équivaut à l'état désactivé. L'environnement dédié devient indisponible pour toute opération. Lorsque vous tentez d'accéder à l'environnement dédié à partir de la console OCI, un message d'erreur indiquant que CMEK est désactivé et en attente de suppression apparaît.
Une fois la date de suppression dépassée, toutes les données de l'environnement dédié deviennent définitivement inutilisables et irrécupérables. Lorsque vous tentez d'accéder à l'environnement dédié à partir de la console OCI, un message d'erreur indiquant que CMEK est supprimé définitivement s'affiche.
Restauration CMEK
- Le CMEK est à l'état désactivé.
- Connectez-vous à la console OCI.
- Ouvrez le menu de navigation situé dans le coin supérieur gauche, sélectionnez Identité et sécurité, puis Coffre.
- Sélectionnez le coffre dans lequel vous avez créé CMEK.
- Sélectionnez votre CMEK.
- Sur la page Détails de clé, sélectionnez Activer.
Vous devez générer un ticket CAM pour remettre l'environnement dédié en ligne une fois que son CMEK a été réactivé dans le coffre.
Suppression CMEK
- Vous avez créé CMEK et l'avez affecté à votre environnement dédié. Pour connaître la procédure, reportez-vous à la section CMEK Assign.
- Connectez-vous à la console OCI.
- Ouvrez le menu de navigation situé dans l'angle supérieur gauche, sélectionnez Bases de données, puis NoSQL Database.
- Sélectionnez l'option de liste déroulante dans le champ Environnement et sélectionnez votre environnement dédié.
- Sous le champ Environnement, la clé de cryptage affiche le CMEK et son OCID. Sélectionnez le lien Annuler l'affectation sous la clé de cryptage.
Oracle NoSQL Database Cloud Service enlève CMEK de l'environnement dédié et lui affecte la clé gérée par Oracle. Toutes les données des volumes de blocs et du stockage d'objets de l'environnement dédié choisi sont cryptées à l'aide d'une clé de cryptage gérée par Oracle. Après la suppression du CMEK, la clé de cryptage reflète la clé gérée par Oracle.