前提条件:

データベースのキー管理サービスとしてGCP顧客管理暗号化キー(CMEK)を構成する前に、次の前提条件が満たされていることを確認してください。

1. Exadataインフラストラクチャをプロビジョニングします。ステップバイステップの手順については、タスク1: Google Cloud用のExadataインフラストラクチャのプロビジョニングを参照してください。
2. Exadata VMクラスタをプロビジョニングします。ステップバイステップの手順については、タスク2: Google Cloud用のExadata VMクラスタのプロビジョニングを参照してください。
   ノート
   
   Exadata VMクラスタをプロビジョニングすると、アイデンティティ・コネクタが自動的に作成され、Exadata VMクラスタに関連付けられます。
3. Exadata VMクラスタ・レベルでGCP顧客管理暗号化キー(CMEK)をキー管理サービスとして構成します。
   ノート
   
   Exadata DatabaseにデプロイされたデータベースでGCP CMEKを有効にするには、VMクラスタ・レベルでキー管理オプションとしてCMEKを構成する必要があります。CMEKを有効にすると、すべてのデータベース暗号化および復号化操作で、指定されたGCP管理キーが使用されます。CMEKを有効にする前に、次のことを確認する必要があります。

   • 必要なGCPキー・リングおよび暗号化キーは、GCPにすでに作成されています。
   • これらのキーはOCIでアンカー・リソースとしてミラー化され、GCPとOCI間の同期が確保されます。
   • データベースのプロビジョニングや、キーのローテーション、失効、監査などの暗号化キー・ライフサイクルの管理のために、アンカー・リソースが配置されています。
4. データベースは、クラスタ・リソース・プリンシパルを使用して、GCPキー・リソースを安全に取得します。この機能を有効にするには、OCIテナンシで適切なIAMポリシーを定義する必要があります。
   Oracle GCPキーへの読取り専用アクセス:

   Allow any-user to read oracle-db-gcp-keys in compartment id <your-compartment-OCID> 
   where all { request.principal.type = 'cloudvmcluster'}

   このポリシーは、VMクラスタ・リソース・プリンシパルのGCPキー・リソースへの読取り専用アクセス権を付与します。

VMクラスタにアタッチされたデフォルトのアイデンティティ・コネクタの検証

これらは、アイデンティティ・コネクタの詳細を表示するために必要なステップです。

1. OCIナビゲーション・メニューから、「Oracle Database」を選択し、「Oracle Exadata Database Service on Dedicated Infrastructure」を選択します。
2. 左側のメニューから、「Oracle Exadata Database Service on Dedicated Infrastructure」の下にある「Exadata VMクラスタ」を選択します。
3. Exadata VMクラスタのリストから、使用しているクラスタを選択します。
4. 「VMクラスタ情報」タブを選択し、「マルチクラウド情報」の下にある「アイデンティティ・コネクタ」に移動します。
   ノート
   
   「アイデンティティ・コネクタ」フィールドに、Exadata VMクラスタにアタッチされたアイデンティティ・コネクタが表示されることを確認します。
5. 「アイデンティティ・コネクタ」リンクを選択して、その詳細を表示します。

Google Cloudコンソールでのキー・リングの作成

1. GCPコンソールで、「キー管理」を選択し、「キーリング」タブを選択します。
2. 「+ CREATE KEY RING」ボタンを選択してプロセスを開始します。
3. 「キー・リングの作成」ページで、「キー・リング名」フィールドにわかりやすい名前を入力します。
4. 「ロケーション・タイプ」フィールドには、3つのオプションがあります。これらのオプションは、「リージョン」、「マルチリージョン」および「グローバル」です。システム要件に基づいて、事業所タイプを選択します。
   ノート
   
   

   • 同じ名前のキーリングは異なる場所に存在できるため、常に場所を指定する必要があります。
   • 保護するリソースに近い場所を選択します。
   • 顧客管理暗号化キー(CMEK)の場合、キー・リングがそれを使用するリソースと同じ場所にあることを確認します。
   • クラウド・キー管理でキー・リングを作成する際には、適切な場所を選択することが重要です。選択内容は、暗号化キーが格納される場所およびレプリケートされる方法に影響します。詳細は、クラウドKMSの場所を参照してください。
5. 情報をレビューして、「作成」ボタンを選択します
6. キー・リングが作成されると、その中に暗号化キーを作成および管理できます。

Google Cloudコンソールでのキーの作成

指定されたキー・リングおよび場所にRAW対称暗号化キーを作成するには、次のステップを実行します。

1. GCPコンソールで、「キー管理」を選択し、「キーリング」タブを選択します。
2. キー・リング・リストから、以前に作成したキー・リングを選択します。
3. 「キー・リングの詳細」ページで、「+ CREATE KEY」ボタンを選択します。
4. 「キーの作成」ページで、次のサブステップを完了します:
   1. 「名前と保護」セクションで、「キー名」フィールドにわかりやすい名前を入力します。
   2. 「保護レベル」を選択します。「ソフトウェア」または「HSM」オプションのいずれかを選択します。
      ノート
      
      キーの保護レベルは、キーの作成後に変更できません。詳細は、保護レベルを参照してください。
   3. 「続行」ボタンを選択します。
   4. 「キー・マテリアル」セクションで、「生成済キー」オプションを選択し、「CONTINUE」ボタンを選択します。
      ノート
      
      生成済キー資料をCloud KMSで入手するか、Google Cloudの外部で保持されているキー資料をインポートします。詳細は、顧客管理暗号化キー(CMEK)を参照してください。
   5. 「目的とアルゴリズム」セクションで、「目的」として「RAW対称暗号化/復号化」オプションを選択します。「アルゴリズム」ドロップダウン・リストから、「AES-128-CBC」または「AES-256-CBC」オプションを選択します。次に、「CONTINUE」ボタンを選択してください。詳細は、主要な目的およびアルゴリズムを参照してください
   6. 「バージョン」セクションで、「続行」ボタンを選択します。
   7. 「追加設定」セクションはオプションです。
   8. 「CREATE」ボタンを選択して、キーを作成します。
5. 「ロケーション・タイプ」フィールドには、2つのオプションがあります。これらのオプションは、「リージョン」および「マルチリージョン」です。システム要件に基づいて、事業所タイプを選択します。
6. 情報をレビューして、「作成」ボタンを選択します
7. キーの作成後、AES-CBCの暗号化および復号化を必要とする暗号化操作に使用できます。

Oracle Cloud Infrastructure (OCI)によるキー検出のためのGoogle Cloud KMSでの権限の付与

OCIでキーを検出できるようにするには、次のステップを実行します:

1. カスタム・ロールを作成します。詳細は、カスタム・ロールの作成と管理を参照してください。
2. 次のサブステップを完了して、OCIでのキー検出のためにカスタム・ロールに次の権限を割り当てます。
   1. GCPコンソールで、「キー管理」を選択し、「キーリング」タブを選択します。
   2. リストから、使用するキーを選択します。
   3. 「権限」タブで、「+主体の追加」を選択します。
   4. 「新規プリンシパル」フィールドに、アイデンティティ・コネクタのワークロード・リソース・サービス・エージェントを貼り付けます。
   5. 「ロールの割当て」セクションから、選択したロールを追加します。
      ノート
      
      次の権限を持つカスタム・ロールを作成し、キー・リングに割り当てる必要があります。

      表1-2必要な権限:

      ロール名	摘要
      cloudkms.cryptoKeyVersions.get	特定のキー・バージョンのメタデータの取得
      cloudkms.cryptoKeyVersions.manageRawAesCbcKeys	AES-CBCの原材料の管理
      cloudkms.cryptoKeyVersions.create	キー内に新しいキー・バージョンを作成します。
      cloudkms.cryptoKeyVersions.list	キーのすべてのバージョンを一覧表示します
      cloudkms.cryptoKeyVersions.useToDecrypt	キー・バージョンを使用したデータの復号化
      cloudkms.cryptoKeyVersions.useToEncrypt	キー・バージョンを使用したデータの暗号化
      cloudkms.cryptoKeys.get	キーのメタデータの取得
      cloudkms.cryptoKeys.list	キー・リング内のすべてのキーをリストします
      cloudkms.keyRings.get	キー・リングのメタデータの取得
      cloudkms.locations.get	サポートされているキーの場所に関する情報を取得します

   6. 「保存」ボタンを選択して変更を適用します。
3. 次のサブステップを完了して、ブラウザ・ロールをアイデンティティ・コネクタに割り当てます。
   1. GCPコンソールから、「IAMと管理」を選択し、「IAM」を選択します。
   2. 「IAM」ページで、「+アクセス権の付与」ボタンを選択します。
   3. 「プリンシパルの追加」ドロップダウン・リストから、アイデンティティ・コネクタのサービス・アカウントを選択します。
      ノート
      
      「アイデンティティ・コネクタの詳細」ページの「GCP情報」セクションで、「ワークロード・リソース・サービス・エージェント」を見つけて、そのIDを書き留めます。これは、アイデンティティ・コネクタに関連付けられたサービス・アカウントです。
   4. 「ロール」ドロップダウン・リストから「ブラウザ」を選択し、「保存」ボタンを選択します。
4. 次のサブステップを完了して、次のロールをキー・リングに割り当てます。
   1. GCPコンソールから、「キー管理」を選択し、「キー・リング」タブを選択します。
   2. 使用しているキー・リングのチェック・ボックスを選択し、「+ ADD PRINCIPAL」ボタンを選択します。
   3. 「新規プリンシパル」フィールドに、アイデンティティ・コネクタのワークロード・リソース・サービス・エージェントを貼り付けます。
   4. 「ロール」ドロップダウン・リストから、次のロールを選択します。
      1. クラウドKMS暗号オペレータ
      2. クラウドKMSエキスパートRAW AES-CBCキー・マネージャ
      3. クラウドKMSビューア
   5. 「保存」ボタンを選択します。

Oracle Cloud Infrastructure (OCI)でのGCPキー・リングの登録

1. OCIコンソールから、「Oracle Database」を選択し、「データベース・マルチクラウド統合」、「Google Cloud統合」の順に選択します。
2. 左側のメニューから、「GCPキー・リング」リンクを選択し、「GCPキー・リングの登録」ボタンをクリックします。
3. 「GCPキー・リングの登録」ページで、「コンパートメント」を選択します。
4. 「GCPキー・リング」セクションで、アイデンティティ・コネクタを選択し、「キー・リング名」フィールドにキー・リング名を入力します。
5. 「検出」ボタンを選択すると、キー・リングのリストが表示されます。キー・リングを選択し、「登録」ボタンを選択します。
   ノート
   
   登録できるのはキー・リングのみです。個々のキーは登録できません。登録済キー・リングに関連付けられたすべてのサポートされているキーは、必要な権限が付与されると使用可能になります。

Google Cloudキー管理の有効化または無効化

Exadata VMクラスタをプロビジョニングする場合、GCP CMEKはデフォルトで無効になっています。GCP CMEKを有効にするには、次のステップを実行します。

1. OCIナビゲーション・メニューから、「Oracle Database」を選択し、「Oracle Exadata Database Service on Dedicated Infrastructure」を選択します。
2. 左側のメニューから、「Oracle Exadata Database Service on Dedicated Infrastructure」の下にある「Exadata VMクラスタ」を選択します。
3. Exadata VMクラスタのリストから、使用しているクラスタを選択します。
4. 「VMクラスタ情報」を選択し、「マルチクラウド情報」の下にある「GCP顧客管理暗号化キー」に移動します。
5. 「有効化」ボタンを選択して有効にします。
   ノート
   
   GCP顧客管理暗号化キーを無効にする場合は、「無効化」ボタンを選択します。

既存のExadata VMクラスタにデータベースを作成し、キー管理として「GCP顧客管理暗号化キー」を選択します。

既存のExadata Cloud Infrastructureインスタンスにデータベースを作成するにはのドキュメントの説明に従って、「GCP顧客管理暗号化キー」を「キー管理」として選択します。

Oracle WalletからGCP Customer Managed Encryption KeyへのKey Managementの変更

これらは、異なる暗号化方式間で暗号化鍵を変更する手順です。

コンテナ・データベース(CDB)のGCP顧客管理暗号化キーのローテーション

プラガブル・データベース(PDB)のGCP顧客管理暗号化キーのローテーション