Autonomous Databaseでのマスター暗号化キーの管理について
Autonomous Databaseには、Transparent Data Encryption (TDE)がデータベースを暗号化するための2つのオプション(Oracle管理暗号化キーと顧客管理暗号化キー)が用意されています。
Autonomous Databaseでは、TDEマスター・キーおよびTDE表領域キーを含むTransparent Data Encryptionを使用して、データベース内のデータを暗号化します。次の図に示すように、TDEマスター・キーはTDE表領域キーを生成および暗号化/復号化し、TDE表領域キーはデータ・ファイルを暗号化します。
- Autonomous DatabaseでのOracle管理のマスター暗号化キー
デフォルトでは、Autonomous DatabaseはOracle管理の暗号化キーを使用します。 - Autonomous Databaseでの顧客管理暗号化キー
組織のセキュリティ・ポリシーで顧客管理暗号化キーを必要とする場合は、Oracle Cloud Infrastructure Vaultマスター暗号化キーを使用するようにAutonomous Databaseを構成できます。顧客管理のマスター暗号化キーでは、Autonomous Databaseはマスター暗号化キーを使用してTDEマスター・キーを生成します。 - Autonomous Databaseでの顧客管理暗号化キーのローテーションについて
Autonomous Databaseで顧客管理暗号化キーをローテーションする方法について説明します。
Oracle-Managed Master Encryption Keys on Autonomous Database
デフォルトでは、Autonomous DatabaseはOracle管理暗号化キーを使用します。
Oracle管理キーを使用して、Autonomous Databaseはデータを保護する暗号化キーを作成および管理し、OracleはTDEマスター・キーの回転を処理します。
Autonomous Databaseでの顧客管理暗号化キー
組織のセキュリティ・ポリシーで顧客管理暗号化キーを必要とする場合は、Oracle Cloud Infrastructure Vaultマスター暗号化キーを使用するようAutonomous Databaseを構成できます。顧客管理のマスター暗号化キーでは、Autonomous Databaseはマスター暗号化キーを使用してTDEマスター・キーを生成します。
警告:
顧客管理暗号化キーは、データベース・ホストの外部にあるOracle Cloud Infrastructure Vaultに格納されます。顧客管理暗号化キーが無効化または削除されると、データベースにアクセスできなくなります。顧客管理暗号化キーを使用するには、次のステップを実行します:
-
Oracle Cloud Infrastructure Vaultにマスター暗号化キーを作成します。
詳細は、Autonomous Databaseで顧客管理暗号化キーを使用するための前提条件を参照してください。
-
Oracle Cloud Infrastructureコンソールから顧客管理暗号化キーを選択します:
-
既存のデータベースの場合、「Oracle Cloud Infrastructure」コンソールで「暗号化キーの管理」を選択します。
-
プロビジョニング中に、「拡張オプション」の「暗号化キー」タブで「このテナンシ内の顧客管理キーを使用した暗号化」または「リモート・テナンシにある顧客管理キーを使用した暗号化」のいずれかを選択します。
-
クローニング中に、「拡張オプション」の「暗号化キー」タブで「このテナンシ内の顧客管理キーを使用した暗号化」または「リモート・テナンシにある顧客管理キーを使用した暗号化」のいずれかを選択します。
-
Autonomous Databaseでの顧客管理暗号化キーのローテーションについて
Autonomous Databaseで顧客管理暗号化キーを回転する方法について説明します。
顧客管理のマスター暗号化キーをローテーションすると、Autonomous Databaseは新しいTDEマスター・キーを生成し、その新しいTDEマスター・キーを使用して、データを暗号化および復号化する表領域暗号化キーを再暗号化します。この操作は高速で、データベースの停止時間は必要ありません。表領域キーは変更されず、顧客データは再暗号化されません。
Oracle Cloud Infrastructureコンソールを使用して、「キーのローテーション」コマンドでOracle Cloud Infrastructure Vaultマスター暗号化キーをローテーションできます。これは個別のアクションであり、Autonomous Databaseの新しいマスター暗号化キーは生成されません。Autonomous Databaseのマスター暗号化キーをローテーションするには、Oracle Cloud Infrastructure Vaultに新しいマスター暗号化キーを作成し、次に説明するステップに従います。
顧客管理暗号化キーをローテーションするには:
-
Oracle Cloud Infrastructure Vaultに新しいマスター暗号化キーを作成します。すでに複数のマスター暗号化キーがある場合は、Autonomous Databaseインスタンスのマスター暗号化キーとして使用しているキーとは異なるマスター暗号化キーを選択します。
詳細は、Autonomous Databaseで顧客管理暗号化キーを使用するための前提条件を参照してください。
-
Oracle Cloud Infrastructureコンソールからマスター暗号化キーをローテーションします:
詳細は、ローカル・テナンシにあるVaultでの顧客管理暗号化キーの使用を参照してください。