Oracle Break Glassの顧客管理キー

Fusion Applications環境のセキュリティ機能へのアクセスを制限するために、個別のセキュリティ管理者グループを作成することをお薦めします。

セキュリティ管理者グループのポリシーによって、グループはボールトおよびキーを管理できますが、削除は許可されません。ポリシーは次のとおりです:

allow group '<identity-domain-name'/'<your-group-name>' to manage keys in <location> where request.permission not in ('KEY_DELETE')
allow group '<identity-domain-name'/'<your-group-name>' to manage vaults in <location> where request.permission not in ('VAULT_DELETE')
 

セキュリティ管理者ロールに必要な特定の権限など、ロールを定義するグループおよびポリシーを作成する手順は、特定のジョブ・ファンクションを使用したOracle Cloudユーザーの管理を参照してください。

Fusion Applications管理者の権限を追加するには:

1. Fusion Applications管理者ロールの作成については、特定のジョブ・ファンクションを使用したOracle Cloudユーザーの管理の手順を参照してください。
2. 次のステートメントをFusion Applications環境管理者ロールに追加します(まだ存在しない場合):

   
   Allow group '<identity-domain-name'/'<your-group-name>' to read vaults in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to read keys in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to use key-delegate in compartment <location>

すべての<location>変数を、ボールトおよびキーが作成されたコンパートメントの名前に置き換えてください。

次のステートメントを使用してポリシーを作成します:

define tenancy fusionapps1 as ocid1.tenancy.oc1..aaaaaaaau5s6lj67ia5vy6qjglhvquqdszjqlmvlmsetu4jrtjni4mng6hea
define tenancy fusionapps2 as ocid1.tenancy.oc1..aaaaaaaajgaoycccrtt3l3vnnlave6wkc2zbf6kkksq66begstczxrmxjlia
define dynamic-group fusionapps1_environment as ocid1.dynamicgroup.oc1..aaaaaaaa5wcbybhxa5vqcvniefoihlvnidty4fk77fitn2hjhd7skhzaadqq
define dynamic-group fusionapps2_environment as ocid1.dynamicgroup.oc1..aaaaaaaaztbusgx23a3jdpvgxqx6tkv2nedgxld6pj3w7hcvhfzvw5ei7fiq
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to manage keys in compartment <location>
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to use vaults in compartment <location>
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to manage keys in compartment <location>
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to use vaults in compartment <location>
allow service keymanagementservice to manage vaults in tenancy
allow any-user to read keys in tenancy where all {request.principal.type = 'fusionenvironment'}
allow any-user to read vaults in tenancy where all {request.principal.type = 'fusionenvironment'}

すべての<location>変数を、ボールトおよびキーが作成されたコンパートメントの名前に置き換えてください。

複数のコンパートメントにボールトおよびキーを作成する場合は、コンパートメントごとにポリシーを作成します。または、テナンシへのアクセスを許可するポリシーを作成して、すべてのコンパートメントへのアクセスを許可することもできます。

VaultドキュメントのVaultの作成の手順に従います。

本番環境キー用と非本番環境キー用の2つのボールトを作成することをお薦めします。

ボールトを作成したら、本番環境に作成したボールトをレプリケートします。レプリケートされたボールトは、ディザスタ・リカバリに使用されます。

1. 本番Fusion Applications環境が配置されているリージョンのディザスタ・リカバリ・リージョンのペアリングを確認します。リージョンのペアリングのリストは、ディザスタ・リカバリのサポートを参照してください。
2. リージョンのペアリングとしてリストされたリージョンをサブスクライブします。リージョンにサブスクライブするには、インフラストラクチャ・リージョンのサブスクライブを参照してください。
3. ボールトおよびキーのレプリケートのステップに従って、本番環境に作成したボールトをレプリケートします。レプリケーションの宛先リージョンを選択する場合は、前のステップでサブスクライブしたディザスタ・リカバリ・リージョンを必ず選択してください。

Vaultドキュメントのマスター暗号化キーの作成の手順に従います。

Fusion Applicationsのキーを作成する場合は、次の選択を行う必要があります:

• 「キー・シェイプ: アルゴリズム」で、「AES (暗号化および復号化に使用される対称キー)」を選択します(Fusion Applicationsの顧客管理キーの場合、このオプションを選択する必要があります)。
• 「キー・シェイプ: 長さ」で、「256ビット」を選択します。

本番環境用の本番ボールトに1つのキーを作成し、非本番ボールト内の非本番環境ごとに1つのキーを作成することをお薦めします。

ボールトとキーを作成した後、ボールト・コンパートメント名、ボールト名とキー名(および異なる場合はキー・コンパートメント名)をFusion Applications管理者に提供します。

この手順には、顧客管理キーを有効にするステップのみが含まれます。環境を作成する完全な手順については、環境管理タスクを参照してください。

環境の作成ページで:

1. 「拡張オプションの表示」をクリックします。
2. 「暗号化」タブをクリックします。

3. 「顧客管理キー(推奨)」を選択します。

   

   このオプションが表示されない場合、サブスクリプションが環境ファミリに追加されていません。

4. 「Vault」を選択します。ボールトが環境の作成先と同じコンパートメントにない場合は、「コンパートメントの変更」をクリックし、適切なコンパートメントを選択する必要があります。
5. 「キー」を選択します。キーが環境の作成先と同じコンパートメントにない場合は、「コンパートメントの変更」をクリックし、適切なコンパートメントを選択する必要があります。AES-256-bitキーのみが表示されます。

環境を設定するためのすべてのステップを完了すると、プロビジョニング・プロセスが開始されます。顧客管理キーを追加すると、プロビジョニング・プロセスに時間がかかります。キーが有効になっている間、環境が使用不可であることを警告するメッセージが表示されます。

既存の環境で顧客管理キーを有効にするには:

1. 環境にナビゲートします: コンソールの「アプリケーション」タブで、「Fusionアプリケーション」をクリックします。「概要」ページで、環境の環境ファミリを検索し、環境名をクリックします。
2. 「リソース」で、「セキュリティ」をクリックします。「暗号化」タブが表示されます。
3. デフォルトでは、「タイプ」はOracle管理です。「暗号化キーの編集」をクリックして、ボールトおよびキーを追加します。

   編集オプションが表示されない場合は、適切なオプションを追加していないか、環境が更新中です。

4. 「顧客管理キー」を選択します。

   
   
   
5. 「Vault」を選択します。ボールトが環境の作成先と同じコンパートメントにない場合は、「コンパートメントの変更」をクリックし、適切なコンパートメントを選択する必要があります。
6. 「キー」を選択します。キーが環境の作成先と同じコンパートメントにない場合は、「コンパートメントの変更」をクリックし、適切なコンパートメントを選択する必要があります。AES-256-bitキーのみが表示されます。
7. 「変更の保存」をクリックします。

暗号化の実行がスケジュールされると、ウィンドウの下部にメッセージが表示されます。暗号化は、次のメンテナンス・サイクルまたはパッチ更新で実行されます。メンテナンスが発生するまで、環境はOracle管理キーによって暗号化されたままになります。