Documentazione di Oracle Cloud Infrastructure

Replica di vault e chiavi

Replica vault e chiavi per gli scenari di disaster recovery. La replica consente di leggere le chiavi in un vault da un'area diversa all'interno dello stesso realm.

Puoi replicare i vault da un'area a una seconda per renderli disponibili e le chiavi che contengono nell'area remota. La replica dei vault offre i vantaggi riportati di seguito.

  • Miglioramento del disaster recovery: la replica delle chiavi in più aree garantisce l'accessibilità dei dati e un recupero più rapido in caso di interruzioni regionali.
  • Protezione dei dati: la conservazione di copie chiave ridondanti protegge da perdita accidentale o accesso non autorizzato.
  • Compliance e residenza dei dati: per settori e organizzazioni regolamentati con requisiti specifici di residenza dei dati, la replica garantisce la conformità alle leggi pertinenti.
Nota

Per informazioni sulla replica dei segreti in più aree, vedere Replica di segreti.

Funzionamento della replica

Quando si configura la replica tra più aree per un vault, il servizio sincronizza automaticamente la creazione, l'eliminazione, l'aggiornamento o lo spostamento di chiavi o versioni di chiavi tra un vault specificato e una replica di tale vault in un'altra area. Il vault da cui il servizio replica i dati è noto come vault di origine. Il vault nell'area di destinazione in cui il servizio replica i dati dal vault di origine è noto come replica del vault.

Il vault gestisce la sicurezza di FIPS 140-2 livello 3 durante la replica regionale e le chiavi vengono esportate come oggetti binari cifrati e ripristinate solo all'interno dei moduli di sicurezza hardware (HSM) di livello 3 FIPS 140-2 forniti da Oracle all'interno della tenancy. Le chiavi non lasciano mai l'HSM in testo semplice. Le operazioni di avvio ed eliminazione della replica vengono registrate nei log di audit OCI.

Gestione vault di origine e replica

Il servizio supporta l'uso della replica del vault per le operazioni di crittografia. Non è possibile eseguire operazioni di gestione direttamente sulla replica del vault e sulle relative chiavi. Ad esempio, non è possibile creare chiavi direttamente nella replica del vault né eseguire il backup della replica del vault. È possibile trovare l'endpoint crittografico della replica del vault visualizzando i dettagli della replica del vault ed è possibile utilizzare tale endpoint quando necessario.

Per arrestare la replica di un vault di origine, eliminare la replica del vault nell'area di destinazione. Poiché può esistere una sola replica vault per un vault di origine alla volta, è necessario eliminare una replica vault esistente per replicare il vault di origine in un'area di destinazione diversa.

Tempo di recupero e punto di recupero durante il failover

L'obiettivo RTO (Recovery Time Objective) indica il periodo di tempo massimo in cui le applicazioni potrebbero non essere disponibili durante un failover nell'area di destinazione. L'RTO è prossimo a zero in stato stazionario, perché ogni chiave creata nell'area di origine viene immediatamente replicata nell'area di destinazione. Il ritardo deriva principalmente dalla latenza di rete tra le aree e viene misurato in millisecondi. Pertanto, il failover delle applicazioni nell'area di destinazione e le chiavi di accesso possono essere eseguiti quasi istantaneamente.

RPO (Recovery Point Objective) è la quantità massima di dati che potrebbero andare persi nell'area di origine durante un failover. L'RPO per le chiavi vault replicate è pari a zero, poiché KMS non conferma che un'operazione di replica sia riuscita finché non viene eseguito il commit di una chiave nello storage HSM persistente, contribuendo a garantire l'assenza di perdita di dati.

Nota

OCI KMS supporta due tipi di offerte vault:

  • Vault virtuale: servizio multi-tenant a costi contenuti per la gestione delle chiavi.
  • Vault privato: un servizio single-tenant che offre maggiore isolamento e sicurezza.

Vanno considerate le seguenti limitazioni e considerazioni:

  • I vault virtuali creati prima dell'introduzione della funzione di replica vault tra più aree non possono essere replicati tra più aree. Tuttavia, tutti i vault privati supportano la replica tra più aree. È possibile utilizzare il parametro isVaultReplicable dell'interfaccia API GetVault per determinare se un vault virtuale supporta la replica tra più aree. Creare un nuovo vault e nuove chiavi se si dispone di un vault che è necessario replicare in un'altra area e la replica non è supportata per tale vault. Le chiavi esistenti non possono essere copiate in un nuovo vault.

    Se si dispone di un vault che non supporta la replica tra più aree, il pulsante Replica vault nella pagina dei dettagli del vault è disabilitato.

  • Per impostazione predefinita, i vault privati hanno un limite pari a zero, pertanto è necessario richiedere un aumento del limite del servizio nell'area di destinazione in cui si desidera replicare un vault privato prima di creare una replica del vault.

Criteri IAM necessari

Per utilizzare Oracle Cloud Infrastructure, un amministratore deve essere membro di un gruppo a cui è stato concesso l'accesso di sicurezza in un criterio da un amministratore della tenancy. Questo accesso è necessario, indipendentemente dal fatto che si stia utilizzando la console o l'API REST con un SDK, un'interfaccia CLI o unaltro strumento. Se viene visualizzato un messaggio che informa che non si dispone dell'autorizzazione o che non si è autorizzati, verificare con l'amministratore della tenancy il tipo di accesso di cui si dispone e il compartimento in cui funziona l'accesso.

Per gli amministratori: per un criterio standard che consente l'accesso a vault, chiavi e segreti, vedere Consentire agli amministratori della sicurezza di gestire vault, chiavi e segreti. Oltre ai criteri per utenti e gruppi, è necessario scrivere anche un criterio che consenta al servizio Vault di eseguire qualsiasi operazione con i vault in modo che possa creare e gestire i vault per conto dell'utente durante la replica. Ad esempio, il criterio riportato di seguito concede l'autorizzazione al servizio in tutte le aree a livello di realm.

Allow service keymanagementservice to manage vaults in tenancy

Per limitare le autorizzazioni a compartimenti specifici, specificare il compartimento. Per ulteriori informazioni sulle autorizzazioni o se è necessario scrivere criteri più restrittivi, vedere Dettagli per il servizio vault.

Se non si ha familiarità con i criteri, vedere Gestione dei domini di Identity e Criteri comuni.