Documentazione di Oracle Cloud Infrastructure

Guide pratiche

Raccolta di task e procedure per la gestione di Exadata Database Service on Dedicated Infrastructure.

Abilitazione di Data Guard tra più aree

Esamina i prerequisiti per l'abilitazione di Data Guard tra più aree quando i database utilizzano le soluzioni di gestione delle chiavi CSP (Cloud Service Provider).

Nota

Oracle attualmente supporta i seguenti servizi di gestione delle chiavi del provider di servizi cloud per la gestione delle chiavi di cifratura master TDE (Transparent Data Encryption) durante la configurazione di Data Guard tra più aree:

  • Microsoft Azure: Azure Key Vault (Standard e Premium) e Managed HSM
  • Google Cloud: chiavi di cifratura gestite dal cliente (CMEK)
  • AWS: AWS Key Management Service (KMS) e CloudHSM

Argomento padre: guide esplicative

Requisiti indispensabili

Assicurarsi che vengano soddisfatti i requisiti riportati di seguito prima di configurare Data Guard tra più aree.

Requisiti per la gestione delle chiavi e la replica

La risorsa chiave di cifratura deve essere replicata dall'area di origine all'area di destinazione. A seconda del servizio di gestione delle chiavi utilizzato, questa operazione include la replica del vault, del keyring o della chiave di cifratura.

Requisiti di configurazione del cluster VM

Il cluster VM che ospita il database in standby deve soddisfare i requisiti riportati di seguito.

  • È necessario creare un connettore di identità (applicabile quando si utilizza Azure Key Vault).
  • La gestione delle chiavi del provider di servizi cloud deve essere abilitata per il cluster VM che utilizza uno dei servizi supportati:
    • Vault di chiavi di Azure (AKV)
    • Chiavi di cifratura gestite dal cliente (CMEK) di Google Cloud
    • AWS Key Management Service (AWS KMS)

Per i passi di configurazione dettagliati, vedere le sezioni riportate di seguito.

Ulteriori linee guida sul disaster recovery

Per informazioni sull'implementazione del disaster recovery tra più aree utilizzando Active Data Guard con distribuzioni multicloud, fare riferimento alle seguenti guide della soluzione:

Limitazioni

Tenere presente quanto riportato di seguito.

  • I container database (CDB) di origine e destinazione devono utilizzare la stessa chiave di cifratura principale TDE.
  • I PDB di copia aggiornabili non sono supportati nel database di standby

Replica risorse chiave in tutte le aree

Prima di replicare le risorse di cifratura in tutte le aree, assicurarsi che vengano soddisfatti tutti i prerequisiti.

  1. Aprire il menu di navigazione.
  2. Fare clic su Oracle AI Database, quindi su Integrazioni multicloud del database e quindi su una delle seguenti opzioni:
    • Integrazione con Microsoft Azure
    • Integrazione con Google Cloud
    • Integrazione AWS

Per replicare un vault di chiavi Azure

  1. Fare clic su Vault di chiavi Azure.
  2. Selezionare il vault richiesto dall'elenco.
  3. Dal menu Azioni, selezionare Replica vault di chiavi di Azure.
  4. Selezionare l'area di destinazione.
  5. Fare clic su Replica.

    Al termine dell'operazione, è possibile visualizzare i dettagli del vault di chiavi replicate, inclusi lo stato dell'area e della replica, nella scheda Repliche tra più aree.

Per replicare un anello chiave GCP

  1. Fare clic su Anelli chiave GCP.
  2. Selezionare l'anello chiave richiesto dall'elenco.
  3. Dal menu Azioni, selezionare Replica anello chiave GCP.
  4. Selezionare l'area di destinazione.
  5. Fare clic su Replica.

    Al termine dell'operazione, è possibile visualizzare i dettagli dell'anello chiave replicato, inclusi l'area e lo stato della replica, nella scheda Repliche tra più aree.

Per replicare una chiave AWS

  1. Fare clic su Chiavi AWS.
  2. Selezionare la chiave richiesta dall'elenco.
  3. Dal menu Azioni, selezionare Replica chiave AWS.
  4. Selezionare l'area di destinazione.
  5. Fare clic su Replica.

    Al termine dell'operazione, è possibile visualizzare i dettagli della chiave replicata, inclusi lo stato dell'area e della replica, nella scheda Repliche tra più aree.

Elimina risorse di cifratura replicate

Elimina le risorse di cifratura replicate solo dopo aver confermato che non esistono associazioni o dipendenze attive.

  1. Aprire il menu di navigazione.
  2. Fare clic su Oracle AI Database, quindi su Integrazioni multicloud del database e quindi su una delle seguenti opzioni:
    • Integrazione con Microsoft Azure
    • Integrazione con Google Cloud
    • Integrazione AWS

Per eliminare un vault di chiavi Azure

  1. Fare clic su Vault di chiavi Azure.
  2. Selezionare il compartimento.

    Viene visualizzata la lista dei vault.

  3. Seleziona il vault a cui sei interessato.
  4. Dal menu Azioni, selezionare Elimina.
  5. Nella finestra di dialogo di conferma immettere DELETE per confermare l'azione.
  6. Fare clic su Delete.

Per eliminare un anello chiave GCP

  1. Fare clic su Anelli chiave GCP.
  2. Selezionare il compartimento.

    Viene visualizzato l'elenco degli anelli chiave GCP.

  3. Seleziona l'anello chiave a cui sei interessato.
  4. Dal menu Azioni, selezionare Elimina.
  5. Nella finestra di dialogo di conferma immettere DELETE per confermare l'azione.
  6. Fare clic su Delete.

Per eliminare una chiave AWS

  1. Fare clic su Chiavi AWS.
  2. Selezionare il compartimento.

    Vengono visualizzate le chiavi AWS.

  3. Seleziona la chiave AWS a cui sei interessato.
  4. Dal menu Azioni, selezionare Elimina.
  5. Nella finestra di dialogo di conferma immettere DELETE per confermare l'azione.
  6. Fare clic su Delete.

Linee guida per l'eliminazione delle risorse di cifratura

Linee guida per l'eliminazione delle risorse di cifratura replicate e non replicate tra più provider di servizi cloud, in base allo stato di associazione e replica.

Risorsa di cifratura non replicata

Vault di chiavi Azure

Impossibile eliminare un vault di chiavi Azure se dispone di associazioni di Identity Connector attive.

Per procedere:

  1. Identificare le associazioni Identity Connector che fanno riferimento a Azure Key Vault <OCID> in <REGION>.
  2. Rimuovere le associazioni o riassegnare le risorse dipendenti a un vault di chiavi diverso.
  3. Ripetere l'operazione di eliminazione.

Google Cloud KMS (Chiave di crittografia gestita dal cliente, CMEK)

Un anello chiave GCP non può essere eliminato se contiene chiavi attivamente associate alle risorse (ad esempio, database creati utilizzando CMEK).

Per procedere:

  1. Identificare le risorse che attualmente utilizzano le chiavi dall'anello chiave.
  2. Riconfigurare queste risorse per utilizzare una chiave di cifratura diversa o eliminare le risorse dipendenti.
  3. Ripetere l'operazione di eliminazione una volta rimosse tutte le associazioni.

AWS Key Management Service (AWS KMS)

Una chiave AWS KMS non può essere eliminata se ha associazioni attive (ad esempio, database cifrati utilizzando AWS KMS).

Nota

Le chiavi AWS KMS non vengono eliminate immediatamente; devono essere pianificate per l'eliminazione e sono soggette a un periodo di attesa obbligatorio.

Per procedere:

  1. Identificare le risorse attualmente cifrate con la chiave KMS.
  2. Riconfigurare o eliminare le risorse dipendenti.
  3. Pianificare la chiave per l'eliminazione dopo la rimozione di tutte le dipendenze.

Informazioni principali

  • Controllare sempre le associazioni attive prima di tentare l'eliminazione.
  • Le risorse replicate richiedono ulteriore assistenza poiché potrebbero esistere associazioni tra le region primarie e standby.
  • Le risorse non replicate seguono regole specifiche del provider cloud e non possono essere eliminate finché le dipendenze non vengono cancellate.

Risorsa di cifratura replicata

È possibile eliminare una risorsa di cifratura replicata dall'area primaria o da un'area di standby.

  • Eliminazione dall'area principale:

    La risorsa viene eliminata dall'area primaria e rimossa automaticamente da tutte le aree di standby (replicate) associate.

  • Eliminazione da una standby region:

    La risorsa viene eliminata solo dall'area di standby selezionata. La risorsa rimane invariata nell'area primaria e in qualsiasi altra area in standby.

Stati del ciclo di vita delle risorse di cifratura replicate

Una risorsa di cifratura replicata può trovarsi in uno degli stati seguenti del ciclo di vita.

  • FORMAZIONE: è in corso la creazione della risorsa di cifratura replicata.
  • ACTIVE: la risorsa di cifratura replicata è stata creata ed è operativa.
  • AGGIORNAMENTO: la risorsa di cifratura replicata è in fase di modifica.
  • DELETING: la risorsa di cifratura replicata è in fase di eliminazione.
  • DELETED: la risorsa di cifratura replicata è stata eliminata e non è più disponibile.
  • FAILED: l'operazione della risorsa di cifratura replicata non è riuscita. Per ulteriori informazioni, rivedere i log o i messaggi di errore associati.

Abilita Data Guard per i database utilizzando Azure, Google Cloud e AWS Key Management Services

Prima di abilitare Data Guard, verificare la configurazione di gestione delle chiavi nel database primario.

  1. Andare alla pagina Dettagli database del database primario in cui si prevede di abilitare Data Guard.
  2. Nella sezione Cifratura esaminare i valori in Gestione chiavi.

Confermare i valori in base al servizio di gestione delle chiavi configurato:

  • Se si utilizza Azure Key Vault
    • Gestione delle chiavi: Key Vault di Azure
    • Vault: nome vault
    • Chiave: valore chiave
  • Se si utilizza Google Cloud CMEK
    • Gestione chiavi: chiave di cifratura gestita dal cliente GCP (CMEK)
    • Anello chiave: Valore dell'anello chiave
    • Chiave: valore chiave
  • Se si utilizza AWS KMS
    • Gestione delle chiavi: chiave gestita dal cliente AWS (CMK)
    • Chiave: valore chiave

Per la procedura di abilitazione generica di Data Guard, vedere Per abilitare Data Guard in un sistema di infrastruttura Exadata Cloud.