Oracle Cloud Infrastructureドキュメント

ハウツー・ガイド

Exadata Database Service on Dedicated Infrastructureを管理するためのタスクおよび手順のコレクション。

リージョン間のData Guardの有効化

データベースでクラウド・サービス・プロバイダ(CSP)キー管理ソリューションが使用されている場合に、リージョン間Data Guardを有効にするための前提条件を確認します。

ノート

現在、Oracleでは、クロスリージョンData Guardの構成時にTransparent Data Encryption (TDE)マスター暗号化キーを管理するために、次のクラウド・サービス・プロバイダのキー管理サービスをサポートしています。

  • Microsoft Azure: Azure Key Vault (StandardおよびPremium)および管理対象HSM
  • Google Cloud: 顧客管理暗号化キー(CMEK)
  • AWS:AWS Key Management Service(KMS)とCloudHSM

親トピック: ハウツー・ガイド

前提条件

クロスリージョンData Guardを構成する前に、次の要件が満たされていることを確認してください。

キー管理とレプリケーションの要件

暗号化キー・リソースは、ソース・リージョンから宛先リージョンにレプリケートする必要があります。使用するキー管理サービスに応じて、ボールト、キー・リングまたは暗号化キーのレプリケートが含まれます。

VMクラスタの構成要件

スタンバイ・データベースをホストするVMクラスタは、次の要件を満たす必要があります。

  • アイデンティティ・コネクタを作成する必要があります(Azure Key Vaultの使用時に適用可能)。
  • サポートされているサービスの1つを使用して、VMクラスタに対してクラウド・サービス・プロバイダのキー管理を有効にする必要があります:
    • Azure Key Vault(AKV)
    • Google Cloud Customer-Managed Encryption Keys(CMEK)
    • AWS Key Management Service(AWS KMS)

詳細な構成手順については、次のセクションを参照してください。

追加の災害復旧ガイダンス

マルチクラウド・デプロイメントでのActive Data Guardを使用したクロスリージョン・ディザスタ・リカバリの実装の詳細は、次のソリューション・ガイドを参照してください。

制限

次の制限事項に注意してください:

  • ソース・コンテナ・データベースと宛先コンテナ・データベース(CDB)は、同じTDEマスター暗号化キーを使用する必要があります。
  • リフレッシュ可能クローンPDBはスタンバイ・データベースではサポートされていません

リージョン間での主要リソースの複製

リージョン間で暗号化リソースをレプリケートする前に、すべての前提条件が満たされていることを確認してください。

  1. ナビゲーション・メニューを開きます。
  2. 「Oracle AI Database」、「Database Multicloud Integrations」、次のいずれかをクリックします:
    • Microsoft Azure統合
    • Google Cloud統合
    • AWS統合

Azure Key Vaultをレプリケートするには

  1. 「Azure Key Vaults」をクリックします。
  2. リストから必要なボールトを選択します。
  3. 「アクション」メニューから、「Azureキー・ボールトのレプリケート」を選択します。
  4. ターゲット・リージョンを選択します。
  5. 「レプリケート」をクリックします。

    操作が完了すると、レプリケートされたキー・ボールトの詳細(リージョンとレプリケーションのステータスを含む)を「リージョン間のレプリケーション」タブに表示できます。

GCPキーリングを複製するには

  1. 「GCPキー・リング」をクリックします。
  2. リストから必要な鍵リングを選択します。
  3. 「アクション」メニューから、「GCPキー・リングのレプリケート」を選択します。
  4. ターゲット・リージョンを選択します。
  5. 「レプリケート」をクリックします。

    操作が完了したら、レプリケートされたキー・リングの詳細(リージョンとレプリケーションのステータスを含む)を「クロスリージョン・レプリケーション」タブに表示できます。

AWSキーをレプリケートするには

  1. 「AWSキー」をクリックします。
  2. リストから必要なキーを選択します。
  3. 「アクション」メニューから、「AWSキーのレプリケート」を選択します。
  4. ターゲット・リージョンを選択します。
  5. 「レプリケート」をクリックします。

    操作が完了したら、「クロスリージョン・レプリケーション」タブで、リージョンおよびレプリケーション・ステータスなどのレプリケートされたキーの詳細を表示できます。

レプリケートされた暗号化リソースの削除

アクティブなアソシエーションまたは依存関係が存在しないことを確認した後にのみ、レプリケートされた暗号化リソースを削除します。

  1. ナビゲーション・メニューを開きます。
  2. 「Oracle AI Database」、「Database Multicloud Integrations」、次のいずれかをクリックします:
    • Microsoft Azure統合
    • Google Cloud統合
    • AWS統合

Azure Key Vaultを削除するには

  1. 「Azure Key Vaults」をクリックします。
  2. コンパートメントの選択

    ボールトのリストが表示されます。

  3. 関心のあるボールトを選択します。
  4. 「アクション」メニューから、「削除」を選択します。
  5. 確認ダイアログ・ボックスで、DELETEと入力してアクションを確認します。
  6. 「削除」をクリックします。

GCPキーリングを削除するには

  1. 「GCPキー・リング」をクリックします。
  2. コンパートメントの選択

    GCPキーリングのリストが表示されます。

  3. 興味のあるキー・リングを選択します。
  4. 「アクション」メニューから、「削除」を選択します。
  5. 確認ダイアログ・ボックスで、DELETEと入力してアクションを確認します。
  6. 「削除」をクリックします。

AWSキーを削除するには

  1. 「AWSキー」をクリックします。
  2. コンパートメントの選択

    AWSキーのリストが表示されます。

  3. 興味のあるAWSキーを選択します。
  4. 「アクション」メニューから、「削除」を選択します。
  5. 確認ダイアログ・ボックスで、DELETEと入力してアクションを確認します。
  6. 「削除」をクリックします。

暗号化リソースの削除のガイドライン

関連付けおよびレプリケーション・ステータスに基づいて、複数のクラウド・サービス・プロバイダ間でレプリケートされた暗号化リソースおよびレプリケートされていない暗号化リソースを削除するためのガイドライン。

レプリケートされていない暗号化リソース

Azureキー・ボールト

アクティブなアイデンティティ・コネクタ・アソシエーションがある場合、Azure Key Vaultは削除できません。

続行するには:

  1. <REGION>のAzure Key Vault <OCID>を参照するアイデンティティ・コネクタ・アソシエーションを識別します。
  2. アソシエーションを削除するか、依存リソースを別のKey Vaultに再割当てします。
  3. 削除操作を再試行してください。

Google Cloud KMS (顧客管理暗号化キー、CMEK)

GCPキー・リングにリソースにアクティブに関連付けられているキー(CMEKを使用して作成されたデータベースなど)が含まれている場合、GCPキー・リングは削除できません。

続行するには:

  1. キー・リングからのキーを現在使用しているリソースを識別します。
  2. 別の暗号化キーを使用するようにこれらのリソースを再構成するか、依存リソースを削除します。
  3. すべての関連付けが削除されたら、削除操作を再試行してください。

AWS Key Management Service(AWS KMS)

AWS KMSキーにアクティブなアソシエーションがある場合(AWS KMSを使用して暗号化されたデータベースなど)、AWS KMSキーは削除できません。

ノート

AWS KMS鍵はすぐに削除されません。削除をスケジュールする必要があり、必須の待機期間が適用されます。

続行するには:

  1. KMS鍵で現在暗号化されているリソースを特定します。
  2. 依存リソースを再構成または削除します。
  3. すべての依存関係が削除されたら、鍵を削除するようにスケジュールします。

要点

  • 削除を試みる前に、常にアクティブな関連付けを確認してください。
  • プライマリ・リージョンとスタンバイ・リージョンにアソシエーションが存在する可能性があるため、レプリケートされたリソースには追加の注意が必要です。
  • レプリケートされていないリソースは、クラウド・プロバイダ固有のルールに従い、依存関係がクリアされるまで削除できません。

レプリケートされた暗号化リソース

レプリケートされた暗号化リソースは、プライマリ・リージョンまたはスタンバイ・リージョンから削除できます。

  • プライマリ・リージョンからの削除:

    リソースはプライマリ・リージョンから削除され、関連付けられたすべてのスタンバイ(レプリケート)リージョンから自動的に削除されます。

  • スタンバイ・リージョンからの削除:

    リソースは、選択したスタンバイ・リージョンからのみ削除されます。リソースは、プライマリ・リージョンおよび他のスタンバイ・リージョンでは変更されません。

レプリケートされた暗号化リソースのライフサイクル状態

レプリケートされた暗号化リソースは、次のいずれかのライフサイクル状態になります。

  • 作成中:レプリケートされた暗号化リソースを作成中です。
  • ACTIVE:レプリケートされた暗号化リソースが正常に作成され、操作可能です。
  • 更新:レプリケートされた暗号化リソースは変更中です。
  • 削除:レプリケートされた暗号化リソースは削除中です。
  • 削除済:レプリケートされた暗号化リソースは削除され、使用できなくなりました。
  • FAILED:レプリケートされた暗号化リソース操作に失敗しました。詳細は、関連するログまたはエラー・メッセージを確認してください。

Azure、Google CloudおよびAWS Key Management Servicesを使用したデータベースに対するData Guardの有効化

Data Guardを有効にする前に、プライマリ・データベースのキー管理構成を確認します。

  1. Data Guardを有効にする予定のプライマリ・データベースの「データベース詳細」ページにナビゲートします。
  2. 「暗号化」セクションで、「キー管理」の値を確認します。

構成したキー管理サービスに基づいて値を確認します。

  • Azure Key Vaultを使用している場合
    • キー管理: Azure Key Vault
    • Vault: Vault名
    • キー: キー値
  • Google Cloud CMEKをご利用の場合
    • Key Management: GCP Customer-Managed Encryption Key (CMEK)
    • キーリング: キーリング値
    • キー: キー値
  • AWS KMSを使用する場合
    • キー管理: AWS Customer-Managed Key (CMK)
    • キー: キー値

汎用のData Guard有効化プロシージャについては、Exadata Cloud InfrastructureシステムでData Guardを有効化するにはを参照してください。