Oracle Break Glassの顧客管理キー

Fusion Applications環境のセキュリティ機能へのアクセスを制限するために、個別のセキュリティ管理者グループを作成することをお薦めします。

セキュリティ管理者グループのポリシーによって、グループはボールトおよびキーを管理できますが、削除は許可しません。ポリシーは次のとおりです:

allow group '<identity-domain-name'/'<your-group-name>' to manage keys in <location> where request.permission not in ('KEY_DELETE')
allow group '<identity-domain-name'/'<your-group-name>' to manage vaults in <location> where request.permission not in ('VAULT_DELETE')
 

セキュリティ管理者役割に必要な特定の権限など、ロールを定義するグループおよびポリシーを作成する手順は、特定のジョブ・ファンクションを使用したOracle Cloudユーザーの管理を参照してください。

Fusion Applications管理者の権限を追加するには:

1. Fusion Applications管理者ロールの作成の詳細は、特定のジョブ・ファンクションを使用したOracle Cloudユーザーの管理を参照してください。
2. 次のステートメントをFusion Applications環境管理者ロールに追加します(まだ存在しない場合):

   
   Allow group '<identity-domain-name'/'<your-group-name>' to read vaults in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to read keys in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to use key-delegate in compartment <location>
                                   

すべての<location>変数を、ボールトおよびキーが作成されたコンパートメントの名前に置き換えてください。

次のステートメントを使用して、OC1レルムにポリシーを作成します:

define tenancy fusionapps1 as ocid1.tenancy.oc1..aaaaaaaau5s6lj67ia5vy6qjglhvquqdszjqlmvlmsetu4jrtjni4mng6hea
define tenancy fusionapps2 as ocid1.tenancy.oc1..aaaaaaaajgaoycccrtt3l3vnnlave6wkc2zbf6kkksq66begstczxrmxjlia
define dynamic-group fusionapps1_environment as ocid1.dynamicgroup.oc1..aaaaaaaa5wcbybhxa5vqcvniefoihlvnidty4fk77fitn2hjhd7skhzaadqq
define dynamic-group fusionapps2_environment as ocid1.dynamicgroup.oc1..aaaaaaaaztbusgx23a3jdpvgxqx6tkv2nedgxld6pj3w7hcvhfzvw5ei7fiq
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to manage keys in tenancy
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to use vaults in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to manage keys in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to use vaults in tenancy
allow service keymanagementservice to manage vaults in tenancy
allow any-user to read keys in tenancy where all {request.principal.type = 'fusionenvironment'}
allow any-user to read vaults in tenancy where all {request.principal.type = 'fusionenvironment'}

VaultドキュメントのVaultの作成の手順に従います。外部ボールトを作成するには、外部キー管理サービスを参照してください。

2つのボールト(本番環境キー用と非本番環境キー用)を作成することをお薦めします。

ボールトを作成した後、本番環境に作成したボールトをレプリケートします。レプリケートされたボールトは、障害時リカバリに使用されます。

1. 本番Fusion Applications環境があるリージョンのディザスタ・リカバリ・リージョンのペアリングを確認します。リージョンのペアリングのリストは、ディザスタ・リカバリのサポートを参照してください。
2. リージョンのペアリングとしてリストされたリージョンをサブスクライブします。リージョンをサブスクライブするには、インフラストラクチャ・リージョンへのサブスクライブを参照してください。
3. ボールトおよびキーのレプリケートのステップに従って、本番環境に作成したボールトをレプリケートします。レプリケーションの宛先リージョンを選択する場合は、前のステップでサブスクライブしているディザスタ・リカバリ・リージョンを選択してください。

Vaultドキュメントのマスター暗号化キーの作成の手順に従うか、独自のキーをインポートするには、キーおよびキー・バージョンのインポートの手順に従います。

HSM (ハードウェア・セキュリティ・モジュール)のキー保護モードでは、暗号化キーはFIPS 140-2レベル3認定のハードウェア・セキュリティ・モジュール内に格納および保護されます。

Fusion Applicationsのキーを作成する場合は、次の選択を行う必要があります:

• 「キー・シェイプ: アルゴリズム」で、「AES (暗号化および復号化に使用される対称キー)」を選択します。(Fusion Applicationsの顧客管理キーの場合、このオプションを選択する必要があります。)
• 「キー・シェイプ: 長さ」で、「256ビット」を選択します。

本番環境用の本番ボールトのキーを1つ、非本番ボールトの非本番環境ごとにキーを1つ作成することをお薦めします。

ボールトとキーを作成した後、ボールト・コンパートメント名、ボールト名およびキー名(および異なる場合はキー・コンパートメント名)をFusion Applications管理者に提供します。

この手順には、顧客管理キーを有効にするステップのみが含まれます。環境を作成する完全な手順については、環境管理タスクを参照してください。

環境の作成ページで:

1. 「拡張オプション」で、「暗号化」セクションを展開します。
2. 「顧客管理キー(推奨)」を選択します。

   このオプションが表示されない場合、サブスクリプションが環境ファミリに追加されていません。

3. ポリシーが作成されたことを確認します。
4. ボールトを選択します。

   ボールトが環境の作成先と同じコンパートメントにない場合は、適切なコンパートメントを選択します。

5. キーを選択します。

   キーが環境を作成しているコンパートメントと同じコンパートメントにない場合は、適切なコンパートメントを選択します。AES-256-bitキーのみが表示されます。

環境を設定するためのすべてのステップを完了すると、プロビジョニング・プロセスが開始されます。顧客管理キーを追加すると、プロビジョニング・プロセスに時間がかかります。キーが有効になっている間、環境が使用不可であることを警告するメッセージが表示されます。

既存の環境で顧客管理キーを有効にするには:

1. 「環境」リスト・ページで、作業する環境を選択します。リスト・ページの検索に関するヘルプが必要な場合は、環境をリストするにはを参照してください。

2. 環境の詳細ページで、「セキュリティ」を選択します。
3. 「暗号化」では、「タイプ」はデフォルトでOracle管理です。「暗号化の編集」を選択して、ボールトおよびキーを追加します。

   編集オプションが表示されない場合は、適切なオプションを追加していないか、環境が更新中です。

4. 「顧客管理キー(推奨)」を選択します。
5. ポリシーが作成されたことを確認します。
6. ボールトを選択します。

   ボールトが環境の作成先と同じコンパートメントにない場合は、適切なコンパートメントを選択します。

   ディザスタ・リカバリ(DR)を使用している場合は、レプリケーションをサポートするボールトを選択する必要があります。すべてのプライベート・ボールトでレプリケーションがサポートされています。仮想ボールトの場合、仮想ボールトでレプリケーションがサポートされているかどうかを判断する方法は、ボールトおよびキーのレプリケートを参照してください。

7. キーを選択します。

   キーが環境を作成しているコンパートメントと同じコンパートメントにない場合は、適切なコンパートメントを選択します。AES-256-bitキーのみが表示されます。

8. 「暗号化更新スケジュール」で、暗号化管理の更新を開始する時間ウィンドウを選択します。最大3つの日付が表示されます。
9. 「送信」を選択して、環境内の顧客管理キーを有効にする更新をリクエストします。

暗号化がスケジュールされると、ウィンドウの下部にメッセージが表示されます。暗号化は、指定した時間ウィンドウ中に実行されます。更新が発生するまで、環境はOracle管理キーによって暗号化されたままになります。

1. 「環境」リスト・ページで、作業する環境を選択します。リスト・ページの検索に関するヘルプが必要な場合は、環境をリストするにはを参照してください。

2. 環境の詳細ページで、「セキュリティ」を選択します。
3. 「暗号化」で、「顧客管理」行を見つけます。「アクション」メニュー(3つのドット)を選択し、「再スケジュール」または「取消」を選択します。
4. 再スケジュールのみ:顧客管理キーの更新を再スケジュールする場合は、新しい日付を選択し、「送信」を選択します。
   ノート
   
   更新に選択した時間が、リフレッシュ操作などの他の重要な環境アクティビティと競合しないことを確認します。リフレッシュ操作の場合、これは、リフレッシュの実行中に顧客管理キーのソース環境もターゲット環境も更新できないことを意味します。

   取消のみ:更新を取り消す場合は、環境名を入力して更新を取り消すことを確認し、「スケジュール済キーの取消」を選択します。