Exascale Infrastructure@AWS上のExadata Database ServiceのAWS Key Management Service統合

OCIアイデンティティ・ドメインは、Oracle AI Database@AWSオンボーディング・プロセス中に自動的に構成され、アクションは必要ありません。

AWS KMS統合(2026年8月)の一般提供前にリンクされたアカウントについてのみ、次のステップを実行します。

OCIアイデンティティ・ドメインを構成して、VMクラスタのAWS統合を有効にします。これにより、AWS Identity and Access Management (IAM)サービス・ロールをAWS統合に関連付けることができます。

1. AWSコンソールから、「Oracle AI Database@AWS」を選択し、「設定」を選択します。
2. 「構成」ボタンを選択して、OCIアイデンティティ・ドメインを構成します。
3. 完了したら、「設定」ページから「ステータス」、「OCIアイデンティティ・ドメインURL」および「OCIアイデンティティ・ドメインURL」の情報を確認できます。

既存のODBネットワークを作成または活用する方法を学習します。

1. 既存のODBネットワークがない場合は、ODBネットワークのステップバイステップの手順に従ってプロビジョニングできます。既存のODBネットワークがある場合は、「変更」ボタンを選択して変更できます。手順を追った手順は、「ODBネットワークの変更」を参照してください。
2. 「サービス統合の構成」セクションから:
   1. 「セキュリティ・トークン・サービス(STS)」オプションを選択して、データベースからのAWS KMSおよびAWS STSアクセスのネットワークを設定します。
   2. AWS KMSが認証ポリシーでKMSキーを使用できるようにするには、「AWS KMS」チェック・ボックスを選択します。

Exascale VMクラスタの作成は、AWS ConsoleおよびAWS CLIを介してのみ使用できます。詳細は、Exascale VMクラスタを参照してください。

クラスタごとにスタックを作成します。CloudFormationスタックを作成するには、次のステップを使用します。これは、Exascale VMクラスタごとに実行する必要があります。

CloudFormationスタックでOIDC (OpenID Connect)プロバイダが作成されると、外部アイデンティティ・ソース(OCIなど)がAWSに対して認証できるように、信頼関係が確立されます。関連付けられたIAMロールは、信頼できるアイデンティティの実行を許可する内容を定義します。

1. 既存のExascale VMクラスタをリストから選択して、AWS管理コンソールで詳細ページを開きます。
   ノート
   
   

   既存のExascale VMクラスタがない場合は、Exascale VMクラスタのステップバイステップの手順に従ってプロビジョニングできます。

2. 「IAMサービス・ロール」タブを選択し、「CloudFormation」リンクをクリックします。
3. 「スタックのクイック作成」ページから、事前入力された情報を確認します。
   1. 「パラメータ」セクションで、パラメータはテンプレートで定義され、スタックを作成または更新するときにカスタム値を入力できます。
      1. 事前入力済のOCIIdentityDomainUrl情報を確認します。
      2. OIDCProviderArnフィールドはオプションです。CloudFormationスタックを初めて作成すると、OIDCプロバイダおよび関連付けられたIAMロールが作成されます。スタックを初めて実行する場合は、OIDCProviderArnフィールドに値を指定する必要はありません。
      3. 追加の実行時間については、既存のOIDCプロバイダのARNを指定して、OIDCProviderArnフィールドに指定する必要があります。OIDCProviderArn情報を取得するには、次のステップを実行します。
         1. AWSコンソールから、IAMに移動し、「アイデンティティ・プロバイダ」を選択します。
         2. 「アイデンティティ・プロバイダ」リストから、「タイプ」を「OpenID Connect」として選択するプロバイダをフィルタできます。
         3. CloudFormationスタックが最初に作成されたときに作成された「プロバイダ」リンクを選択します。
         4. 「サマリー」ページから、ARN情報をコピーします。
         5. ARN情報をOIDCProviderArnフィールドに貼り付けます。
   2. 「権限」セクションで、ドロップダウン・リストからIAMロール名を選択し、スタックで実行されるすべての操作に使用するCloudFormationのIAMロールを選択します。
   3. 変更を適用するには、「スタックの作成」ボタンを選択します。
4. CloudFormationスタックのデプロイメントが完了したら、スタックの「リソース」セクションに移動し、作成されたIdPおよびIAMロール・リソースを確認します。将来使用するためにIAMロールARNをコピーします。

以前に作成したIAMロールをExascale VMクラスタにアタッチして、AWSリソースへのアクセスを可能にするアイデンティティ・コネクタを割り当てる必要があります。

1. AWSコンソールから、「Oracle AI Database@AWS」を選択します。
2. 左側のメニューから「Exascale VMクラスタ」を選択し、リストからExascale VMクラスタを選択します。
3. 「IAMロール」タブを選択し、「関連付け」ボタンを選択します。
   1. 「AWS統合」フィールドは読取り専用です。
   2. 「ロールARN」フィールドに、VMクラスタに関連付けるIAMロールのAmazonリソース名(ARN)を入力します。ARN情報は、以前に作成したロールの「サマリー」セクションから取得できます。
   3. ロールを添付するには、「関連付け」ボタンを選択します。
      ノート
      
      

      IAMロールをVMクラスタに関連付けると、アイデンティティ・コネクタがExascale VMクラスタにアタッチされます。

前提条件のセクションを完了したら、次のアクションを続行します。

1. AWS Consoleから、AWS KMSで顧客管理キーを作成します。
2. OCIコンソールから、Exascale VMクラスタおよびデータベースを有効にして、ステップ1で作成したAWS KMSキーを利用します。

1. AWSコンソールから、「キー管理サービス(KMS)」を選択します。
2. 左側のメニューから、「顧客管理キー」を選択し、「キーの作成」ボタンを選択します。
3. 「キーの構成」セクションで、次の情報を入力します:
   1. 「キー・タイプ」として「対称」オプションを選択します。
   2. 「Key usage」として、「Encrypt and decrypt」オプションを選択します。
   3. 「詳細設定オプション」セクションを展開します。AWS KMSとAWS CloudHSMの両方がサポートされています。
      1. KMS標準キー・ストアを使用する場合は、「KMS - 推奨」オプションを「キー・マテリアル・オリジン」として選択し、「単一リージョン・キー」オプションまたは「複数リージョン・キー」オプションを「リージョン」セクションから選択します。
      2. AWS CloudHSMを使用する場合は、「AWS CloudHSMキー・ストア」オプションを「キー・マテリアル・オリジン」として選択します。
   4. 作成プロセスを続行するには、「次へ」ボタンを選択します。
4. 「ラベルの追加」セクションで、次の情報を入力します:
   1. 「別名」フィールドにわかりやすい表示名を入力します。256文字以内にする必要があります。英数字および'_-/'文字を使用します。
      ノート
      
      

      • 別名をaws/で始めることはできません。aws/接頭辞は、アカウント内のAWS管理対象キーを表すためにAWSによって予約されています。
      • 別名は、KMSキーを識別するために使用できる表示名です。保護するデータのタイプ、またはKMSキーで使用する予定のアプリケーションを示す別名を選択することをお薦めします。
      • AWSコンソールでKMSキーを作成する場合、別名は必須です。
   2. 「説明」フィールドはオプションです。
   3. 「タグ」セクションはオプションです。タグを使用して、KMSキーを分類および識別し、AWSコストを追跡するのに役立ちます。
   4. 「次へ」ボタンを選択して作成プロセスを続行するか、「前へ」ボタンを選択して前のページに戻ります。
5. 「キー管理権限の定義」セクションで、次のサブステップを実行します:
   1. 以前に作成したロールを検索し、チェック・ボックスを選択します。KMSキーを管理できるIAMユーザーおよびロールを選択します。
      ノート
      
      

      このキーポリシーは、AWSアカウントにこのKMSキーを完全に制御させます。これにより、アカウント管理者はIAMポリシーを使用して、KMSキーを管理するための他のプリンシパル権限を付与できます。

   2. 「キーの削除」セクションから、「キー管理者によるこのキーの削除を許可」チェック・ボックスがデフォルトで選択されています。選択したIAMユーザーおよびロールがKMSキーを削除しないようにするには、チェック・ボックスの選択を解除します。
   3. 「次へ」ボタンを選択して作成プロセスを続行するか、「前へ」ボタンを選択して前のページに戻ります。
6. 「キー使用権限の定義」セクションで、次のサブステップを実行します:
   1. 以前に作成したロールを検索し、チェック・ボックスを選択します。
   2. 「次へ」ボタンを選択して作成プロセスを続行するか、「前へ」ボタンを選択して前のページに戻ります。
7. 「キー・ポリシーの編集」セクションで、次のサブステップを実行します:
   1. 「プレビュー」セクションから、キー・ポリシーを確認できます。変更する場合は、「編集」タブを選択します。

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Sid": "KMSKeyMetadata",
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "<arn>"
                  },
                  "Action": [
                      "kms:DescribeKey"
                  ],
                  "Resource": "*"
              },
              {
                  "Sid": "KeyUsage",
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "<arn>"
                  },
                  "Action": [
                      "kms:Encrypt",
                      "kms:Decrypt"
                  ],
                  "Resource": "*"
              }
          ]
      }

   2. 「次へ」ボタンを選択して作成プロセスを続行するか、「前へ」ボタンを選択して前のページに戻ります。
8. 「確認」セクションで、情報を確認して「終了」ボタンを選択します。

詳細は、対称暗号化KMSキーの作成を参照してください。

Exascale VMクラスタでAWS KMSを有効にするには、まずAWS KMSキーをOCIに登録する必要があります。

1. OCIコンソールから、「Oracle AI Database」、「Database Multicloud Integrations」の順に選択します。
2. 「AWS統合」を選択し、「AWSキー」を選択します。
3. 「AWSキーの登録」を選択し、次のステップを実行します:
   1. 「コンパートメント」ドロップダウン・リストから、VMクラスタが存在するコンパートメントを選択します。
   2. オプションで、以前に作成した鍵プールを選択します。詳細は、Create a Key Poolを参照してください。
   3. キー・プールを選択する場合は、そのタイプがAWSキー・タイプと一致していることを確認してください:
      • 単一リージョンのAWSキーは、単一リージョンのキー・プールに追加する必要があります。
      • マルチリージョンAWSキーは、マルチリージョン・キー・プールに追加する必要があります。
   4. 「AWSキー」で、ドロップダウン・リストからアイデンティティ・コネクタを選択します。
      ノート
      
      

      コネクタに関連付けられているロールに、キーに対するDescribeKey権限があることを確認します。検出を正常に実行するには、この権限が必要です。詳細は、「アイデンティティ・プロバイダの構成」のステップ2を参照してください。

   5. オプションで、「キーARN」フィールドにキーARNを入力します。
   6. 「検出」を選択します。
4. 結果にリストされている検出されたキーを確認し、登録するキーを選択して、「登録」を選択します。

登録されたKMSリソースおよびクラウドVMクラスタを含むコンパートメントに基づいて、必要なIAMポリシーを構成します。

• KMSリソースとクラウドVMクラスタが異なるコンパートメントにある場合は、次の2つのポリシーを構成します:
  • KMSリソースを含むコンパートメントで、クラウドVMクラスタ・リソース・プリンシパルが登録済のKMSリソースの読取りを許可します:

    Allow any-user to read oracle-db-aws-keys in compartment id <key-compartment-ocid> where all { request.principal.type = 'exadbvmcluster' }

  • クラウドVMクラスタを含むコンパートメントで、PKCSデータ・オブジェクト作成フローに同じリソース・プリンシパルを認可します:

    Allow any-user to read oracle-db-aws-keys in compartment id <vm-cluster-compartment-ocid> where all { request.principal.type = 'exadbvmcluster' }

• KMSリソースとクラウドVMクラスタが同じコンパートメントにある場合は、そのコンパートメントに1つのポリシーのみを構成します:

  Allow any-user to read oracle-db-aws-keys in compartment id <vm-cluster-compartment-ocid> where all { request.principal.type = 'exadbvmcluster' }

• キー・プールを作成および管理するには、次のIAMポリシーが必要です:

  Allow any-user to manage oracle-db-aws-key-pools in tenancy

1. OCIコンソールから、「Oracle AI Database」に移動し、「データベース・マルチクラウド統合」を選択します。
2. 左側のメニューから、「AWS統合」、「キー・プール」の順に選択します。
3. 「キー・プールの作成」ボタンを選択して作成します。
   1. 「Create key pool」ページで、次の手順を実行します。
   2. ドロップダウン・リストから、コンパートメントを選択します。
   3. キー・プールのわかりやすい名前を入力します。表示名に使用できるのは、英数字、ハイフン( - )およびアンダースコア( _ )のみです。
   4. 「キーの再使用を許可」トグルはデフォルトで有効になっています。「キーの再使用を許可して、キー・プール内のキーを複数のデータベースに対して再利用できるようにします。無効にすると、1つのキーを1つのデータベースにのみ使用できます。
   5. マルチリージョン・キー・プールのトグルは、デフォルトで無効になっています。このステップは省略可能です。マルチリージョン・キー・プールを有効にして、マルチリージョン・キーのみをキー・プールに追加できるようにします。無効にすると、単一リージョン・キーのみをキー・プールに追加できます。
   6. 「タグ」セクションはオプションのステップです。リソースにタグを追加する場合は、「タグの追加」ボタンを選択します。
4. キー・プールが作成されたら、「Key Pools」ページに戻り、「State」、「Allow key reuse」、「Multi-region key pool」および「Created」情報を表示します。

1. OCIコンソールから、「Oracle AI Database」に移動し、「データベース・マルチクラウド統合」を選択します。
2. 左側のメニューから、「AWS統合」、「キー・プール」の順に選択します。
3. 「Key Pools」リストから、以前に作成した鍵プールを選択します。
4. 「キー」タブを選択します。AWSキーを登録していない場合は、[AWSキーの登録]ボタンを選択してAWSキーを登録します。
5. AWSキーの登録ページで、次のステップを実行します。
   1. AWSキーを登録するコンパートメントを選択します。
      • 検出された鍵が現在の鍵プールに追加されます。
      • 選択したキー・プールが複数リージョン・キー・プールの場合、検出された結果の複数リージョン・キーのみが有効化され、このキー・プールに追加できます。
   2. アイデンティティ・コネクタ・リストを使用してAWSキーを検出し、アイデンティティ・コネクタを選択します。
   3. 「キー名」フィールドにAWSキーARN情報を入力します。
   4. 「検出」ボタンを選択します。
   5. 「Advanced Options (詳細設定オプション)」セクションを展開します。このステップはオプションです。リソースにタグを追加する場合は、「タグの追加」ボタンを選択します。
   6. 結果にリストされている検出されたキーを確認し、キー・プールに追加するキーを選択して、「登録」を選択します。
6. AWSキーをキー・プールに追加するには、「キー・プールへのキーの追加」ボタンを選択します。
   1. 「Add keys to key pool」ページで、鍵を選択します。

      キー・プールに追加する既存のAWSキーを1つ以上選択します。リストには、現在のコンパートメントにあり、別のキー・プールに関連付けられていないキーのみが表示されます。

   2. 「追加」ボタンを選択します。

1. OCIコンソールから、「Oracle AI Database」に移動し、「データベース・マルチクラウド統合」を選択します。
2. 左側のメニューから、「AWS統合」、「キー・プール」の順に選択します。
3. 「Key Pools」リストで、レプリケートする複数リージョンの鍵プールを選択します。
4. 「アクション」メニューから、「キー・プールのレプリケート」を選択します。
5. 「Replicate Key Pool」ウィンドウで、鍵プールとその鍵をレプリケートする宛先リージョンを選択します。
6. 「レプリケート」を選択します。
7. 「クロスリージョン・レプリケーション」タブを選択して、キー・プールがレプリケートされたリージョンを表示します。

1. OCIコンソールから、「Oracle AI Database」に移動し、「データベース・マルチクラウド統合」を選択します。
2. 左側のメニューから、「AWS統合」、「キー・プール」の順に選択します。
3. 「Key Pools」リストで、前に作成した「Key Pool」を選択します。
4. 鍵プールに鍵を追加するには:
   1. 「キー」タブを選択し、「キー・プールへのキーの追加」を選択します。
   2. 「Add keys to key pool」ページで、ドロップダウンリストから鍵を選択します。
      ノート
      
      

      • 別のキー・プールに割り当てられていない現在のコンパートメント内のキーのみが表示されます。
      • 単一リージョン・キー・プールの場合、単一リージョン・キーのみが表示されます。
      • 複数リージョン・キー・プールの場合、複数リージョン・キーのみが表示されます。
   3. 「保存」を選択します。
5. 鍵プールから鍵を削除するには:
   1. 削除するキーを選択します。
   2. 「詳細」ページで、「キー・プール」フィールドにスクロールし、「削除」を選択します。
   3. 確認フィールドにDELETEと入力し、「削除」を選択します。

      鍵が鍵プールから削除されます。

1. OCIコンソールから、「Oracle AI Database」に移動し、「データベース・マルチクラウド統合」を選択します。
2. 左側のメニューから、「AWS統合」、「キー・プール」の順に選択します。
3. 「Key Pools」リストで、前に作成した鍵プールを選択します。
4. 鍵プールのタイプに基づいて鍵の使用回数を表示します。
   • 単一リージョン・キー・プール: 「詳細」ページで、「キー使用数」フィールドにスクロールします。
   • マルチリージョン・キー・プール: 「キー」タブを選択し、確認するAWS KMSキーを選択して、「詳細」ページの「キー使用数」フィールドにスクロールします。

しきい値未満の使用可能キー

「キー使用率数」フィールドには、現在AWSキーを使用しているアクティブなデータベース・リソースの数が表示されます。このカウントは鍵の使用状況を反映し、鍵プール内の使用可能な鍵の数は示しません。

キーの再利用がfalseで、キープール内のキーの25%未満が使用可能な場合、Available Keys Below Thresholdの警告が表示されます。警告が表示された場合は、鍵プールに鍵を追加するか、鍵プールポリシーで鍵の再利用を有効にして、鍵をデータベース操作に使用できるようにしてください。

データベースでAWSキー管理を有効にすると、VMクラスタでの使用が認可され、OCIに登録されているAWSキーのみを使用できます。

1. OCIコンソールから、「Oracle AI Database」を選択し、「Oracle Exadata Database Service on Exascale Infrastructure」を選択します。
2. 左側のメニューから「VMクラスタ」を選択し、VMクラスタを選択します。
3. 「VMクラスタ情報」タブを選択し、「AWS顧客管理暗号化キー」の横にある「有効化」ボタンを選択します。

このトピックでは、データベースを作成し、キー管理ソリューションとしてAWS KMSを使用する手順のみについて説明します。

汎用データベース作成手順については、既存のVMクラスタにデータベースを作成するにはを参照してください。

前提条件

「前提条件」を参照してください。

ステップ

AWS KMSキー管理がVMクラスタ・レベルで有効になっている場合、2つのキー管理オプション(Oracle WalletとAWSキー管理)があります。

1. 「暗号化」セクションで、「AWSキー管理」を選択します。
2. ドロップダウン・リストから「コンパートメント」および「キー・プール」を選択します。
3. ドロップダウン・リストから「コンパートメント」および「キー」を選択します。
   ノート
   
   

   • 登録されたキーのみがリストされます。
   • 必要なキーが表示されない場合は、まだ登録されていない可能性があります。「AWSキーの登録」をクリックして検出し、登録します。

     詳細な手順は、「AWS KMSキーの登録」を参照してください。

   • ドロップダウン・リストからキー別名を選択できます。キー別名を使用できない場合は、ドロップダウンリストにキーIDが表示されます。

VMクラスタ内の既存のデータベースのキー管理をOracle WalletからAWS KMSに変更する場合は、次のステップを実行します。

1. 「VMクラスタ」から、「コンテナ・データベース」タブに移動し、使用しているデータベースを選択します。
2. 「暗号化」セクションで、「キー管理」が「Oracle Wallet」に設定されていることを確認し、「変更」リンクを選択します。
3. 「キー管理の変更」ページで、次の情報を入力します。
   1. ドロップダウン・リストから「キー管理」を「AWSキー管理」として選択します。
   2. 使用している鍵プールコンパートメントを選択し、ドロップダウンリストから目的の鍵プールを選択します。
   3. 「Save changes」ボタンを選択します。

コンテナ・データベース(CDB)のAWS KMSキーをローテーションするには、この手順を使用します。

1. ナビゲーション・メニューを開きます。「Oracle AI Database」をクリックし、「Oracle Exadata Database Service on Exascale Infrastructure」をクリックします。
2. コンパートメントを選択します。

   選択したコンパートメントに対するVMクラスタのリストが表示されます。

3. VMクラスタのリストで、暗号化キーをローテーションするデータベースを含むVMクラスタの名前をクリックします。
4. 「コンテナ・データベース」をクリックします。
5. 暗号化キーをローテーションするデータベースの名前をクリックします。

   「データベース詳細」ページに、選択したデータベースに関する情報が表示されます。

6. 「暗号化」セクションで、「キー管理」が「AWSキー管理」に設定されていることを確認し、「ローテーション」リンクをクリックします。
7. 表示される「キーのローテーション」ダイアログで、「ローテーション」をクリックしてアクションを確認します。
   ノート
   
   

   AWS KMSキーをローテーションすると、同じキーの新しい暗号化コンテキストが生成されます。

プラガブル・データベース(PDB)のAWS KMSキーをローテーションするには、この手順を使用します。

1. ナビゲーション・メニューを開きます。「Oracle AI Database」をクリックし、「Oracle Exadata Database Service on Exascale Infrastructure」をクリックします。
2. コンパートメントを選択します。

   選択したコンパートメントに対するVMクラスタのリストが表示されます。

3. VMクラスタのリストで、起動するPDBを含むVMクラスタの名前をクリックし、その名前をクリックして詳細ページを表示します。
4. 「コンテナ・データベース」で、暗号化キーをローテーションするPDBを含むデータベースを見つけます。
5. データベースの名前をクリックして、「データベース詳細」ページを表示します。
6. ページの「リソース」セクションの「プラガブル・データベース」をクリックします。

   このデータベース内の既存のPDBのリストが表示されます。

7. 暗号化キーをローテーションするPDBの名前をクリックします。

   プラガブル詳細ページが表示されます。

8. 「暗号化」セクションに、キー管理がAWSキー管理として設定されていることが表示されます。
9. 「Rotate」リンクをクリックします。
10. 表示される「キーのローテーション」ダイアログで、「ローテーション」をクリックしてアクションを確認します。
    ノート
    
    

    AWS KMSキーをローテーションすると、同じキーの新しい暗号化コンテキストが生成されます。

オプションで、次のステップを実行して、特定のCDBまたはPDBキーを無効にします。

1. AWSコンソールに移動し、「Key Management Service (KMS)」を選択します。
2. 左側のメニューから、「顧客管理キー」を選択し、編集するキーの「キーID」を選択します。
3. 「ポリシーの編集」ボタンを選択します。
4. 次の問合せを実行して、キーのEncryptionContext MKIDを取得します。

   操作を有効または無効にするための現在のマスター・キーID (MKID)を表示するには、次のコマンドを使用します。

   dbaascli tde getHSMKeys --dbname <DB-Name>

   次のSQL問合せを実行して、すべてのキー・バージョンをリストすることもできます。

   SELECT key_id, con_id, creation_time, key_use FROM v$encryption_keys;

5. 次に示すように、取得したEncryptionContext MKIDを使用して拒否ポリシーを追加します:

   {
     "Effect": "Deny",
     "Principal": "*",
     "Action": [
       "kms:Encrypt",
       "kms:Decrypt"
     ],
     "Resource": "arn:aws:kms:us-east-1:867344470629:key/7139075d-a006-4302-92d5-48ecca31d48e",
     "Condition": {
       "StringEquals": {
         "kms:EncryptionContext:MKID": "ORACLE.TDE.HSM.MK.06AE5EFB528D9D4F21BFEDA63C6C8738D9"
       }
     }
   }

6. ポリシー更新を適用するには、「保存」を選択します。

• keypoolのサポート。
• 様々なバグ修正および安定性の向上。

• 様々なバグ修正および安定性の向上。

• 様々なバグ修正および安定性の向上。

• 様々なバグ修正および安定性の向上。