ウォレット関数を使用するデータベース・シークレット・ローテーション

権限

ファンクションを実行するには、特定のIAMポリシーが必要です。

Walletを使用したデータベース・シークレット・ローテーション・ファンクションの場合、動的グループを作成し、シークレット・ローテーション・サービスがファンクションを起動できるようにIAMポリシーを構成する必要があります。適切なポリシーを設定するには、次のステップを実行します。

• ルールを含む動的グループを作成します:

  resource.type='vaultsecret'

  このルールには、動的グループ内のすべてのボールト・シークレットが含まれます。より限定的なルールを使用して、動的グループに含めるボールト・シークレットを制限できます。例:

  resource.id='<secret-id>'

• 動的グループに含まれるリソースがファンクションを起動できるようにするIAMポリシーを構成します。例:

  Allow dynamic-group <vs-dynamic-group-name> to manage functions-family in tenancy

  ノート
  
  <vs-dynamic-group-name>は、ボールト・シークレット用に作成した動的グループの名前です。

また、ファンクションの作成時に「動的グループおよびIAMポリシーを作成しない」オプションを選択した場合は、ファンクションでシークレットを管理できるように、動的グループおよびIAMポリシーを自分で定義する必要があります。適切なポリシーを設定するには、次のステップを実行します。

• ルールを含む動的グループを作成します。

  resource.type='fnfunc'

  このルールには、動的グループ内のすべての関数が含まれます。より限定的なルールを使用して、動的グループに含める関数を制限できます。例:

  resource.id='<function-ocid>'

• 動的グループを使用してIAMポリシーを構成します:

  Allow dynamic-group <dynamic-group-name> to manage secret-family in tenancy
  Allow dynamic-group <dynamic-group-name> to read autonomous-databases in tenancy

  より限定的なポリシーを使用して、ファンクションが管理できるボールト・シークレットを制限できます。例:

  Allow dynamic-group <dynamic-group-name> to manage secret-family in compartment <compartment-name> where target.secret.id = "<secret-ocid>"

この関数の起動

このPBFを使用して作成された関数は、シークレット・サービスによって起動され、シークレットがローテーションされます。

1. このPBFを使用してファンクションを作成し、ファンクションIDをコピーします。
2. 1. ナビゲーション・メニューを開き、「アイデンティティとセキュリティ」、「Vault」の順に選択します。
   2. 「リスト範囲」で、ボールトに作成したシークレットを含むコンパートメントを選択します。
   3. シークレットのリストから、このPBFを使用してローテーションする必要があるシークレット名を選択するか、新しいシークレットを作成します。

      • 新しいシークレットを作成するには、シークレットの作成を参照してください。
      • 既存のシークレットを更新するには、シークレットの更新を参照してください。
3. 交代勤務の場合、[ターゲット システム タイプ]で [関数]を選択します。
4. ステップ1からコピーしたファンクションIDを「ターゲット・システムID」として追加します。
5. シークレットが次の要件に従っていることを確認します。
   • シークレットの最初のバージョンを手動で作成する必要があります。次のJSON形式のシークレット・コンテンツを含む「手動シークレット生成」を選択します:

     {
      "username": "<required: username>",
      "password": "<required: password>",
      "adbId": "<required: adbId>",
      "tnsName": "<required: tnsName (adbName + ‘_high/_low/_medium’)>"
     }

   • パスワードは、ローテーションするデータベースに対して設定されているパスワードと同じである必要があります。
   • シークレットが正常に作成された後、シークレット・サービスによって後続のシークレット・バージョンを自動生成できるように、「シークレットの自動生成」を有効にする必要があります。
   • 新しく作成したシークレットを編集し、「シークレットの自動生成」を有効にして、次のJSON形式でシークレット・コンテンツを指定します:

     {
      "username": "<required: username>",
      "password": "%GENERATED_PASSPHRASE%",
      "adbId": "<required: adbId>",
      "tnsName": "<required: tnsName (adbName + ‘_high/_low/_medium’)>"
     }

   • 「シークレットの自動生成」では、シークレット・サービスがこのフィールドでパスワードを自動生成できるように、パスワードは%GENERATED_PASSPHRASE%として指定されます。
   • ユーザー名とパスワードは、jdbc:oracle:thin:@<tnsName>?TNS_ADMIN=<walletDirectory>という形式を使用してデータベースとの接続を確立する必要があります。
   • シークレット・コンテンツには、tnsName (adbName + ‘_high/_low/_medium’)およびadbIdが含まれる必要があります。
   • mTLS接続を使用してください。詳細は、Autonomouse Database ServerlessドキュメントのJDBC Thin Connections with a Wallet (mTLS)を参照してください。

トラブルシューティング

たとえば、Database Secret Rotation with Walletの事前構築済関数のログ・エントリは次のようになります。

"PBF | Database Secret Rotation with Wallet | INFO | 2024-01-31T18:06:50.809Z | Fetching details from Events JSON"