Chiavi gestite dal cliente per Oracle Break Glass

Si consiglia di creare un gruppo di amministratori della sicurezza distinto per limitare l'accesso alle funzioni di sicurezza degli ambienti Fusion Applications.

Il criterio per il gruppo di amministratori della sicurezza consente al gruppo di gestire vault e chiavi, ma non consente l'eliminazione. Il criterio è:

allow group '<identity-domain-name'/'<your-group-name>' to manage keys in <location> where request.permission not in ('KEY_DELETE')
allow group '<identity-domain-name'/'<your-group-name>' to manage vaults in <location> where request.permission not in ('VAULT_DELETE')
 

Vedere Gestione degli utenti di Oracle Cloud con funzioni mansione specifiche per le procedure di creazione di gruppi e criteri per definire i ruoli, incluse le autorizzazioni specifiche necessarie per il ruolo di amministratore della sicurezza.

Per aggiungere le autorizzazioni per l'amministratore di Fusion Applications, effettuare le operazioni riportate di seguito.

1. Vedere la procedura Gestione degli utenti di Oracle Cloud con funzioni mansione specifiche che descrive la creazione del ruolo di amministratore di Fusion Applications.
2. Aggiungere le seguenti istruzioni al ruolo Amministratore dell'ambiente Fusion Applications, se non è già presente:

   
   Allow group '<identity-domain-name'/'<your-group-name>' to read vaults in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to read keys in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to use key-delegate in compartment <location>

Assicurarsi di sostituire tutte le variabili <location> con il nome del compartimento in cui sono stati creati il vault e le chiavi.

Creare un criterio nel realm OC1 con le istruzioni riportate di seguito.

define tenancy fusionapps1 as ocid1.tenancy.oc1..aaaaaaaau5s6lj67ia5vy6qjglhvquqdszjqlmvlmsetu4jrtjni4mng6hea
define tenancy fusionapps2 as ocid1.tenancy.oc1..aaaaaaaajgaoycccrtt3l3vnnlave6wkc2zbf6kkksq66begstczxrmxjlia
define dynamic-group fusionapps1_environment as ocid1.dynamicgroup.oc1..aaaaaaaa5wcbybhxa5vqcvniefoihlvnidty4fk77fitn2hjhd7skhzaadqq
define dynamic-group fusionapps2_environment as ocid1.dynamicgroup.oc1..aaaaaaaaztbusgx23a3jdpvgxqx6tkv2nedgxld6pj3w7hcvhfzvw5ei7fiq
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to manage keys in tenancy
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to use vaults in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to manage keys in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to use vaults in tenancy
allow service keymanagementservice to manage vaults in tenancy
allow any-user to read keys in tenancy where all {request.principal.type = 'fusionenvironment'}
allow any-user to read vaults in tenancy where all {request.principal.type = 'fusionenvironment'}

In alternativa, per limitare le autorizzazioni a compartimenti specifici, specificare il compartimento anziché la tenancy visualizzata nell'esempio. Se non si dispone di istruzioni dei criteri per ciascun compartimento, è necessario crearle. Per aggiungere istruzioni dei criteri per i compartimenti, vedere Creazione di un criterio. Se sono presenti istruzioni dei criteri per ciascun compartimento, è necessario aggiornarle. Per aggiornare le istruzioni dei criteri per ciascun compartimento, vedere Aggiornamento delle istruzioni di un criterio.

Tenere presente che se si modificano i compartimenti chiave o vault in futuro, sarà necessario aggiornare anche i criteri. In caso contrario, l'ambiente Fusion non potrà accedere alle chiavi, il che potrebbe causare interruzioni. Per trovare il compartimento per il vault, vedere Recupero dei dettagli di un vault.

Seguire la procedura Creazione di un vault nella documentazione del vault.

Si consiglia di creare 2 vault: uno per le chiavi dell'ambiente di produzione e uno per le chiavi dell'ambiente non di produzione.

Dopo aver creato i vault, replicare il vault creato per l'ambiente di produzione. Il vault replicato viene utilizzato per il disaster recovery.

1. Verificare l'associazione dell'area di disaster recovery per l'area in cui si trova l'ambiente Fusion Applications di produzione. Per l'elenco delle coppie di aree, vedere Supporto per il disaster recovery.
2. Eseguire la sottoscrizione all'area elencata come associazione per la propria area. Per effettuare la sottoscrizione a un'area, vedere Sottoscrizione a un'area dell'infrastruttura.
3. Replicare il vault creato per l'ambiente di produzione attenendosi alla procedura descritta in Replica di vault e chiavi. Quando si seleziona l'area di destinazione per la replica, assicurarsi di scegliere l'area di disaster recovery a cui è stata eseguita la sottoscrizione nel passo precedente.

Seguire la procedura Creazione di una chiave di cifratura master nella documentazione del vault oppure, per importare le proprie chiavi, attenersi alle procedure descritte in Recupero della chiave di wrapping RSA pubblica e Applicazione di RSA-OAEP con AES per il wrapping del materiale della chiave.

Quando si creano le chiavi per Fusion Applications, è necessario effettuare le selezioni riportate di seguito.

• Per Forma chiave: Algoritmo, selezionare AES (Chiave simmetrica utilizzata per la cifratura e la decifrazione (è necessario selezionare questa opzione per le chiavi gestite dal cliente di Fusion Applications).
• Per Forma chiave: Lunghezza, selezionare 256 bit.

Si consiglia di creare una chiave nel vault di produzione per l'ambiente di produzione e una chiave per ogni ambiente non di produzione nel vault non di produzione.

Dopo aver creato il vault e le chiavi, assegnare all'amministratore di Fusion Applications il nome del compartimento vault, il nome del vault e il nome della chiave (e il nome del compartimento della chiave, se diverso).

Questa procedura include solo i passi per abilitare la chiave gestita dal cliente. Per la procedura completa per la creazione di un ambiente, vedere Task di gestione dell'ambiente.

Nella pagina di creazione dell'ambiente:

1. Selezionare Mostra opzioni avanzate.
2. Selezionare la scheda Cifratura .

3. Selezionare Chiave gestita dal cliente (opzione consigliata).

   

   Se questa opzione non viene visualizzata, la sottoscrizione non è stata aggiunta alla famiglia di ambienti.

4. Selezionare il vault. Se il vault non si trova nello stesso compartimento in cui si sta creando l'ambiente, è necessario fare clic su Modifica compartimento e scegliere il compartimento appropriato.
5. Selezionare la chiave. Se la chiave non si trova nello stesso compartimento in cui si sta creando l'ambiente, è necessario fare clic su Modifica compartimento e scegliere il compartimento appropriato. Vengono visualizzate solo le chiavi a 256 bit AES.

Dopo aver completato tutti i passi per l'impostazione dell'ambiente, viene avviato il processo di provisioning. L'aggiunta della chiave gestita dal cliente aggiunge tempo al processo di provisioning. Durante l'abilitazione della chiave, verrà visualizzato un messaggio che avvisa che l'ambiente non è disponibile.

Per abilitare una chiave gestita dal cliente per un ambiente esistente, effettuare le operazioni riportate di seguito.

1. Passare all'ambiente: nella home page Applicazioni della console, selezionare Fusion Applications. Nella pagina Panoramica, trovare la famiglia di ambienti per l'ambiente, quindi selezionare il nome dell'ambiente.
2. Selezionare Sicurezza nella sezione Risorse. Viene visualizzata la scheda Cifratura.
3. Per impostazione predefinita, il tipo è gestito da Oracle. Selezionare Modifica cifratura per aggiungere il vault e la chiave.

   Se l'opzione di modifica non viene visualizzata, non sono state aggiunte le opzioni appropriate oppure l'ambiente è in fase di aggiornamento.

4. Selezionare Chiave gestita dal cliente.

   
5. Selezionare il Vault. Se il vault non si trova nello stesso compartimento in cui si sta creando l'ambiente, selezionare Modifica compartimento e selezionare il compartimento appropriato. Se si utilizza il disaster recovery (DR), è necessario selezionare un vault che supporti la replica. Tutti i vault privati supportano la replica. Per informazioni su come determinare se un vault virtuale supporta la replica, vedere Replica di vault e chiavi.
6. Selezionare la chiave di cifratura master. Se la chiave non si trova nello stesso compartimento in cui si sta creando l'ambiente, selezionare Modifica compartimento e selezionare il compartimento appropriato. Vengono visualizzate solo le chiavi a 256 bit AES.

7. Nella sezione Pianificazione aggiornamento cifratura, selezionare la finestra oraria per specificare l'ora di inizio dell'aggiornamento della gestione della cifratura. Vengono visualizzate fino a tre date, a seconda di quando viene eseguita la manutenzione pianificata successiva per l'ambiente.

   Si noti che una delle date nell'elenco delle scelte è la data della successiva manutenzione pianificata. Se si seleziona la data della successiva manutenzione pianificata, nel testo del suggerimento viene visualizzato il messaggio "La data selezionata sopra riportata è la successiva data di manutenzione pianificata".

   

   Il testo del suggerimento per la successiva data di manutenzione pianificata viene visualizzato come mostrato nella seguente immagine:

   

   Tenere presente quanto riportato di seguito.

   • Per impostazione predefinita, nella finestra temporale viene visualizzata l'opzione del prossimo aggiornamento della manutenzione pianificata. Se si utilizza questa opzione e si desidera annullare o ripianificare l'aggiornamento per abilitare le chiavi gestite dal cliente, contattare il Supporto Oracle.
   • Oracle fornisce due finestre temporali che non corrispondono all'ora del successivo aggiornamento della manutenzione pianificata. Se si seleziona una di queste due finestre, è possibile utilizzare OCI Console per annullare o ripianificare l'aggiornamento e abilitare le chiavi gestite dal cliente.
8. Selezionare Sottometti per richiedere l'aggiornamento che abilita le chiavi gestite dal cliente nell'ambiente.

Il messaggio nella parte inferiore della finestra viene visualizzato quando è pianificata l'esecuzione della cifratura. La cifratura viene eseguita durante la finestra temporale specificata. Fino a quando non viene eseguita la manutenzione, l'ambiente rimane cifrato mediante la chiave gestita da Oracle.

1. Passare all'ambiente: nella home page Applicazioni della console, selezionare Fusion Applications. Nella pagina Panoramica, trovare la famiglia di ambienti per l'ambiente, quindi selezionare il nome dell'ambiente.
2. Selezionare Sicurezza nella sezione Risorse. Viene visualizzata la scheda Cifratura.
3. Nella tabella delle opzioni di cifratura, individuare la riga "Gestito dal cliente" e selezionare il menu Azioni (tre punti), quindi selezionare Riprogramma o Annulla.

4. Solo riprogrammazione: se si sta riprogrammando l'aggiornamento per le chiavi gestite dal cliente, selezionare una nuova data utilizzando il menu a discesa, quindi selezionare Sottometti.

   Nota
   
   Se si stanno abilitando chiavi gestite dal cliente al di fuori di una manutenzione pianificata regolarmente, assicurarsi che l'ora selezionata per l'aggiornamento non sia in conflitto con altre importanti attività dell'ambiente, ad esempio un'operazione di aggiornamento. Per le operazioni di aggiornamento, ciò significa che né l'ambiente di origine né quello di destinazione possono essere aggiornati per le chiavi gestite dal cliente durante l'aggiornamento.

   Solo annullamento: se si sta annullando l'aggiornamento, digitare il nome dell'ambiente per confermare che si desidera annullare l'aggiornamento, quindi selezionare Annulla chiave pianificata.