Gestisci chiavi di cifratura

Questo articolo fornisce i dettagli sulle chiavi di cifratura e cifratura.

Oracle Base Database Service cifra i dati memorizzati in tabelle e tablespace utilizzando la cifratura TDE (Transparent Data Encryption).

Cifratura dei dati trasparente:

Il servizio Base Database utilizza TDE per cifrare e decifrare tutte le tablespace create dall'utente.

Chiavi di cifratura:

È possibile scegliere di cifrare il database utilizzando le proprie chiavi di cifratura ("chiavi gestite dal cliente") o utilizzare le chiavi gestite da Oracle. Per impostazione predefinita, Base Database Service utilizza chiavi gestite da Oracle. La chiave gestita dal cliente viene memorizzata in OCI Vault, che è esterna all'host del database.

Chiave vault OCI:

Nel vault OCI, le chiavi di cifratura sono entità logiche che contengono una o più versioni di chiavi utilizzate per la cifratura e la decifrazione. Queste versioni chiave possono essere generate automaticamente da OCI Vault o importate da un'origine esterna (Bring-Your-Own-Key).

Per ulteriori informazioni, vedere Introduzione alla cifratura dei dati trasparente e Gestione delle chiavi di OCI Vault.

Criterio IAM necessario

Se si desidera utilizzare le proprie chiavi di cifratura per cifrare un database, è necessario creare un gruppo dinamico e assegnare criteri specifici al gruppo per le chiavi di cifratura gestite dal cliente. Vedere Gestione dei gruppi dinamici e Consenti agli amministratori della sicurezza di gestire vault, chiavi e segreti nell'argomento Criteri comuni.

Informazioni generali

Durante la creazione di un nuovo sistema DB, verrà assegnata una chiave sia al container database che al pluggable database.

La versione della chiave, se fornita, verrà utilizzata solo per il container database e non per il pluggable database. Al pluggable database verrà assegnata una nuova versione della chiave generata automaticamente. Impossibile assegnare versioni chiave specifiche ai pluggable database durante la creazione.

Il pluggable database utilizzerà sempre la stessa chiave del container database, ma con una versione della chiave uguale o diversa.

È possibile specificare qualsiasi versione della chiave, inclusa l'ultima versione della chiave selezionata.

Per impostazione predefinita, il database viene configurato utilizzando chiavi gestite da Oracle. Tuttavia, è possibile scegliere di configurarlo utilizzando chiavi gestite dal cliente.

Ruota chiave di cifratura

L'operazione di rotazione della chiave di cifratura genera una nuova versione della chiave per la stessa chiave.

È possibile eseguire qualsiasi numero di rotazioni chiave. La rotazione periodica delle chiavi limita la quantità di dati cifrati o firmati da una versione delle chiavi. Viene mantenuta anche la cronologia delle chiavi disattivate, che consente di ruotare la chiave e di continuare a decifrare i dati cifrati con una chiave precedente.

La chiave di rotazione a livello di container database e pluggable database funziona in modo indipendente l'uno dall'altro. L'operazione di rotazione della chiave in un container database non ruoterà le chiavi nei pluggable database. Analogamente, la rotazione delle chiavi in un pluggable database non ruoterà le chiavi in altri pluggable database o nel relativo container database.

Per assicurarsi di utilizzare la versione più recente, ruotare le chiavi dalla pagina dei dettagli del database in OCI Console anziché nella pagina Console del servizio Vault.

Nota: la rotazione delle chiavi di cifratura non è disponibile per i database che usano la cifratura gestita da Oracle.

Per ruotare una chiave di cifratura utilizzando OCI Console, vedere Ruota chiave di cifratura per un database e Ruota chiave di cifratura per un pluggable database.

Assegna versione chiave

È possibile creare e assegnare nuove versioni delle chiavi sia per i container database che per i pluggable database. È possibile modificare solo la versione della chiave. La chiave non può essere modificata.

Per assegnare la versione chiave utilizzando OCI Console, vedere Assegnare una nuova versione chiave per un database e Assegnare una nuova versione chiave per un pluggable database.

Modifica gestione chiavi

È possibile passare dalle chiavi gestite da Oracle alle chiavi gestite dal cliente sui database esistenti. Il passaggio da chiavi gestite dal cliente a chiavi gestite da Oracle non è tuttavia supportato.

Quando una chiave viene modificata per un container database, viene applicata automaticamente anche a un pluggable database. La chiave di un pluggable database non può essere modificata in modo indipendente. Il pluggable database utilizzerà sempre la stessa chiave di quella del container database, ma può utilizzare la stessa versione della chiave o una versione diversa.

Quando si passa alle chiavi gestite dal cliente, il container database e tutti i relativi pluggable database devono essere aperti e tutte le tablespace devono essere in modalità di lettura/scrittura.

Per modificare il tipo di gestione delle chiavi utilizzando OCI Console, vedere Modifica tipo di gestione delle chiavi per un database.

Duplica, copia remota e riposiziona pluggable database

Il database duplicato utilizzerà la stessa versione della chiave del database di origine durante la duplicazione di un sistema DB che utilizza chiavi di cifratura gestite dal cliente.

I database di origine e di destinazione devono utilizzare la stessa chiave, ma possono avere una versione di chiave diversa. L'operazione di clonazione o riposizionamento remoto non riesce se i database di origine e di destinazione utilizzano chiavi diverse.

Le chiavi vengono ruotate nel vault di chiavi di destinazione dopo le operazioni di clonazione e riposizionamento remoto. Verranno quindi generate nuove versioni della chiave per il pluggable database duplicato o riposizionato remoto nel database di destinazione.