ボールトおよびキーのレプリケート
障害時リカバリ・シナリオ用にボールトおよびキーをレプリケートします。レプリケーションは、同じレルム内の別のリージョンからボールト内のキーを読み取るのに役立ちます。
あるリージョンから2番目のリージョンにボールトをレプリケートして、それらとそれに含まれるキーをリモート・リージョンで使用可能にできます。ボールトのレプリケートには、次の利点があります。
- ディザスタ・リカバリの向上:リージョン間でキーをレプリケートすることで、地域が混乱した場合にデータのアクセシビリティとリカバリを高速化できます。
- データ保護:冗長キー・コピーを維持すると、偶発的な損失や不正アクセスから保護されます。
- コンプライアンスとデータ・レジデンシ:特定のデータ・レジデンシ要件を持つ規制対象の業界や組織にとって、レプリケーションは関連する法律への準拠を保証します。
レプリケーションの仕組み
ボールトのリージョン間レプリケーションを構成すると、サービスは、指定されたボールトと別のリージョン内のそのボールトのレプリカとの間のキーまたはキー・バージョンの作成、削除、更新または移動を自動的に同期します。サービスがデータをレプリケートするボールトは、ソース・ボールトと呼ばれます。ソース・ボールトからサービスがデータをレプリケートする宛先リージョンのボールトは、ボールト・レプリカと呼ばれます。
ボールトは、リージョナル・レプリケーション中にFIPS 140-2レベル3のセキュリティを維持し、キーは暗号化されたバイナリ・オブジェクトとしてエクスポートされ、テナンシ内のOracle提供のFIPS 140-2レベル3ハードウェア・セキュリティ・モジュール(HSM)内でのみリストアされます。キーはHSMをプレーン・テキストのままにしません。レプリケーションの開始および削除操作は、OCI監査ログに記録されます。
ソースおよびレプリカVault管理
このサービスでは、暗号化操作でのボールト・レプリカの使用がサポートされています。ボールト・レプリカおよびそのキーで管理操作を直接実行することはできません。たとえば、ボールト・レプリカでキーを直接作成することも、ボールト・レプリカをバックアップすることもできません。ボールト・レプリカの詳細を表示することで、ボールト・レプリカの暗号化エンドポイントを見つけ、必要に応じてそのエンドポイントを使用できます。
ソース・ボールトのレプリケーションを停止するには、宛先リージョンのボールト・レプリカを削除します。ソース・ボールトに対して存在できるボールト・レプリカは1つのみであるため、既存のボールト・レプリカを削除して、別の宛先リージョンでソース・ボールトをレプリケートする必要があります。
フェイルオーバー中のリカバリ時間およびリカバリ・ポイント
リカバリ時間目標(RTO)は、宛先リージョンへのフェイルオーバー中にアプリケーションが使用できない可能性がある最大時間です。RTOは、ソース・リージョンで作成されたすべてのキーが宛先リージョンに即時にレプリケートされるため、安定した状態ではほぼゼロです。遅延は、主にリージョン間のネットワーク待機時間から発生し、ミリ秒単位で測定されます。したがって、アプリケーションは宛先リージョンにフェイルオーバーし、ほぼ瞬時にキーにアクセスできます。
リカバリ・ポイント目標(RPO)は、フェイルオーバー中にソース・リージョンで失われる可能性のあるデータの最大量です。レプリケートされたボールト・キーのRPOはゼロです。これは、キーが永続的HSMストレージにコミットされるまで、KMSはレプリケーション操作が正常に実行されたことを確認しないため、データ損失は発生しません。
OCI KMSは、次の2つのタイプのボールト・オファリングをサポートしています。
- 仮想ボールト:キーを管理するためのコスト効率の高いマルチテナント・サービス。
- プライベート・ボールト:分離とセキュリティを強化するシングルテナント・サービス。
次の制限および考慮事項に注意してください。
-
リージョン間ボールト・レプリケーション機能が導入される前に作成された仮想ボールトは、リージョン間でレプリケートできません。ただし、すべてのプライベート・ボールトはクロス・リージョン・レプリケーションをサポートしています。GetVault APIの
isVaultReplicableパラメータを使用して、仮想ボールトがクロス・リージョン・レプリケーションをサポートしているかどうかを確認できます。別のリージョンでレプリケートする必要があるボールトがあり、そのボールトでレプリケーションがサポートされていない場合は、新しいボールトおよび新しいキーを作成します。既存のキーを新しいボールトにコピーできません。リージョン間レプリケーションをサポートしていないボールトがある場合、ボールトの詳細ページの「Vaultのレプリケート」ボタンは無効になります。
- デフォルトでは、プライベート・ボールトの制限は0であるため、ボールト・レプリカを作成する前に、プライベート・ボールトをレプリケートする宛先リージョンのサービス制限の引上げをリクエストする必要があります。
必須IAMポリシー
Oracle Cloud Infrastructureを使用するには、管理者からポリシーでセキュリティ・アクセス権が付与されている必要があります。コンソールまたは(SDK、CLIまたはその他のツールを使用した) REST APIのどれを使用しているかにかかわらず、このアクセス権が必要です。権限を持っていない、または認可されていないというメッセージが表示された場合は、持っているアクセス権のタイプと作業しているコンパートメントを管理者に確認してください。
管理者向け: ボールト、キーおよびシークレットにアクセスする一般的なポリシーについては、セキュリティ管理者によるボールト、キーおよびシークレットの管理を参照してください。ユーザーおよびグループのポリシーに加えて、Vaultサービスにボールトのすべての操作を許可するポリシーを記述して、レプリケーション中にユーザーにかわってボールトを作成および管理できるようにする必要があります。たとえば、次のポリシーは、レルム全体のすべてのリージョンでサービスに権限を付与します。
Allow service keymanagementservice to manage vaults in tenancy権限を特定のコンパートメントに制限するには、かわりにコンパートメントを指定します。権限の詳細、またはより詳細なポリシーを記述する方法については、ボールト・サービスの詳細を参照してください。