Exascale Infrastructure@AWS上のExadata Database ServiceのAWS Key Management Service統合

OCIアイデンティティ・ドメインは、Oracle AI Database@AWSオンボーディング・プロセス中に自動的に構成され、アクションは必要ありません。

AWS KMS統合(2026年8月)の一般提供前にリンクされたアカウントについてのみ、次のステップを実行します。

OCIアイデンティティ・ドメインを構成して、VMクラスタのAWS統合を有効にします。これにより、AWS Identity and Access Management (IAM)サービス・ロールをAWS統合に関連付けることができます。

1. AWSコンソールから、「Oracle AI Database@AWS」を選択し、「設定」を選択します。
2. 「構成」ボタンを選択して、OCIアイデンティティ・ドメインを構成します。
3. 完了したら、「設定」ページから「ステータス」、「OCIアイデンティティ・ドメインURL」および「OCIアイデンティティ・ドメインURL」の情報を確認できます。

既存のODBネットワークを作成または活用する方法を学習します。

1. 既存のODBネットワークがない場合は、ODBネットワークのステップバイステップの手順に従ってプロビジョニングできます。既存のODBネットワークがある場合は、「変更」ボタンを選択して変更できます。手順を追った手順は、「ODBネットワークの変更」を参照してください。
2. 「サービス統合の構成」セクションから:
   1. 「セキュリティ・トークン・サービス(STS)」オプションを選択して、データベースからのAWS KMSおよびAWS STSアクセスのネットワークを設定します。
   2. AWS KMSが認証ポリシーでKMSキーを使用できるようにするには、「AWS KMS」チェック・ボックスを選択します。

Exascale VMクラスタの作成は、AWS ConsoleおよびAWS CLIを介してのみ使用できます。詳細は、Exascale VMクラスタを参照してください。

クラスタごとにスタックを作成します。CloudFormationスタックを作成するには、次のステップを使用します。これは、Exascale VMクラスタごとに実行する必要があります。

CloudFormationスタックでOIDC (OpenID Connect)プロバイダが作成されると、外部アイデンティティ・ソース(OCIなど)がAWSに対して認証できるように、信頼関係が確立されます。関連付けられたIAMロールは、信頼できるアイデンティティの実行を許可する内容を定義します。

1. 既存のExascale VMクラスタをリストから選択して、AWS管理コンソールで詳細ページを開きます。
   ノート
   
   

   既存のExascale VMクラスタがない場合は、Exascale VMクラスタのステップバイステップの手順に従ってプロビジョニングできます。

2. 「IAMサービス・ロール」タブを選択し、「CloudFormation」リンクをクリックします。
3. 「スタックのクイック作成」ページから、事前入力された情報を確認します。
   1. 「パラメータ」セクションで、パラメータはテンプレートで定義され、スタックを作成または更新するときにカスタム値を入力できます。
      1. 事前入力済のOCIIdentityDomainUrl情報を確認します。
      2. OIDCProviderArnフィールドはオプションです。CloudFormationスタックを初めて作成すると、OIDCプロバイダおよび関連付けられたIAMロールが作成されます。スタックを初めて実行する場合は、OIDCProviderArnフィールドに値を指定する必要はありません。
      3. 追加の実行時間については、既存のOIDCプロバイダのARNを指定して、OIDCProviderArnフィールドに指定する必要があります。OIDCProviderArn情報を取得するには、次のステップを実行します。
         1. AWSコンソールから、IAMに移動し、「アイデンティティ・プロバイダ」を選択します。
         2. 「アイデンティティ・プロバイダ」リストから、「タイプ」を「OpenID Connect」として選択するプロバイダをフィルタできます。
         3. CloudFormationスタックが最初に作成されたときに作成された「プロバイダ」リンクを選択します。
         4. 「サマリー」ページから、ARN情報をコピーします。
         5. ARN情報をOIDCProviderArnフィールドに貼り付けます。
   2. 「権限」セクションで、ドロップダウン・リストからIAMロール名を選択し、スタックで実行されるすべての操作に使用するCloudFormationのIAMロールを選択します。
   3. 変更を適用するには、「スタックの作成」ボタンを選択します。
4. CloudFormationスタックのデプロイメントが完了したら、スタックの「リソース」セクションに移動し、作成されたIdPおよびIAMロール・リソースを確認します。将来使用するためにIAMロールARNをコピーします。

以前に作成したIAMロールをExascale VMクラスタにアタッチして、AWSリソースへのアクセスを可能にするアイデンティティ・コネクタを割り当てる必要があります。

1. AWSコンソールから、「Oracle AI Database@AWS」を選択します。
2. 左側のメニューから「Exascale VMクラスタ」を選択し、リストからExascale VMクラスタを選択します。
3. 「IAMロール」タブを選択し、「関連付け」ボタンを選択します。
   1. 「AWS統合」フィールドは読取り専用です。
   2. 「ロールARN」フィールドに、VMクラスタに関連付けるIAMロールのAmazonリソース名(ARN)を入力します。ARN情報は、以前に作成したロールの「サマリー」セクションから取得できます。
   3. ロールを添付するには、「関連付け」ボタンを選択します。
      ノート
      
      

      IAMロールをVMクラスタに関連付けると、アイデンティティ・コネクタがExascale VMクラスタにアタッチされます。

前提条件のセクションを完了したら、次のアクションを続行します。

1. AWS Consoleから、AWS KMSで顧客管理キーを作成します。
2. OCIコンソールから、Exascale VMクラスタおよびデータベースを有効にして、ステップ1で作成したAWS KMSキーを利用します。

1. AWSコンソールから、「キー管理サービス(KMS)」を選択します。
2. 左側のメニューから、「顧客管理キー」を選択し、「キーの作成」ボタンを選択します。
3. 「キーの構成」セクションで、次の情報を入力します:
   1. 「キー・タイプ」として「対称」オプションを選択します。
   2. 「Key usage」として、「Encrypt and decrypt」オプションを選択します。
   3. 「詳細設定オプション」セクションを展開します。AWS KMSとAWS CloudHSMの両方がサポートされています。
      1. KMS標準キー・ストアを使用する場合は、「KMS - 推奨」オプションを「キー・マテリアル・オリジン」として選択し、「単一リージョン・キー」オプションまたは「複数リージョン・キー」オプションを「リージョン」セクションから選択します。
      2. AWS CloudHSMを使用する場合は、「AWS CloudHSMキー・ストア」オプションを「キー・マテリアル・オリジン」として選択します。
   4. 作成プロセスを続行するには、「次へ」ボタンを選択します。
4. 「ラベルの追加」セクションで、次の情報を入力します:
   1. 「別名」フィールドにわかりやすい表示名を入力します。256文字以内にする必要があります。英数字および'_-/'文字を使用します。
      ノート
      
      

      • 別名をaws/で始めることはできません。aws/接頭辞は、アカウント内のAWS管理対象キーを表すためにAWSによって予約されています。
      • 別名は、KMSキーを識別するために使用できる表示名です。保護するデータのタイプ、またはKMSキーで使用する予定のアプリケーションを示す別名を選択することをお薦めします。
      • AWSコンソールでKMSキーを作成する場合、別名は必須です。
   2. 「説明」フィールドはオプションです。
   3. 「タグ」セクションはオプションです。タグを使用して、KMSキーを分類および識別し、AWSコストを追跡するのに役立ちます。
   4. 「次へ」ボタンを選択して作成プロセスを続行するか、「前へ」ボタンを選択して前のページに戻ります。
5. 「キー管理権限の定義」セクションで、次のサブステップを実行します:
   1. 以前に作成したロールを検索し、チェック・ボックスを選択します。KMSキーを管理できるIAMユーザーおよびロールを選択します。
      ノート
      
      

      このキーポリシーは、AWSアカウントにこのKMSキーを完全に制御させます。これにより、アカウント管理者はIAMポリシーを使用して、KMSキーを管理するための他のプリンシパル権限を付与できます。

   2. 「キーの削除」セクションから、「キー管理者によるこのキーの削除を許可」チェック・ボックスがデフォルトで選択されています。選択したIAMユーザーおよびロールがKMSキーを削除しないようにするには、チェック・ボックスの選択を解除します。
   3. 「次へ」ボタンを選択して作成プロセスを続行するか、「前へ」ボタンを選択して前のページに戻ります。
6. 「キー使用権限の定義」セクションで、次のサブステップを実行します:
   1. 以前に作成したロールを検索し、チェック・ボックスを選択します。
   2. 「次へ」ボタンを選択して作成プロセスを続行するか、「前へ」ボタンを選択して前のページに戻ります。
7. 「キー・ポリシーの編集」セクションで、次のサブステップを実行します:
   1. 「プレビュー」セクションから、キー・ポリシーを確認できます。変更する場合は、「編集」タブを選択します。

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Sid": "KMSKeyMetadata",
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "<arn>"
                  },
                  "Action": [
                      "kms:DescribeKey"
                  ],
                  "Resource": "*"
              },
              {
                  "Sid": "KeyUsage",
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "<arn>"
                  },
                  "Action": [
                      "kms:Encrypt",
                      "kms:Decrypt"
                  ],
                  "Resource": "*"
              }
          ]
      }

   2. 「次へ」ボタンを選択して作成プロセスを続行するか、「前へ」ボタンを選択して前のページに戻ります。
8. 「確認」セクションで、情報を確認して「終了」ボタンを選択します。

詳細は、対称暗号化KMSキーの作成を参照してください。

Exascale VMクラスタでAWS KMSを有効にするには、まずAWS KMSキーをOCIに登録する必要があります。

1. OCIコンソールから、「Oracle AI Database」、「Database Multicloud Integrations」の順に選択します。
2. 「AWS統合」を選択し、「AWSキー」を選択します。
3. 「AWSキーの登録」ボタンを選択し、次のサブステップを完了します。
   1. ドロップダウン・リストから、VMクラスタが存在するコンパートメントを選択します。
   2. 「AWSキー」セクションで、ドロップダウン・リストからアイデンティティ・コネクタを選択します。
      ノート
      
      

      コネクタに関連付けられたロールに、キーに対するDescribeKey権限があることを確認します。検出を正常に実行するには、この権限が必要です。

   3. 「キーARN」フィールドはオプションです。
   4. 「検出」ボタンをクリックします。
4. キーが検出されたら、「登録」ボタンを選択してOCIにキーを登録します。

Allow any-user to read oracle-db-aws-keys in compartment id <your-compartment-OCID> 
where all { request.principal.type = 'exadbvmcluster'}

このポリシーにより、Oracle管理VMクラスタはコンパートメント内のoracle-db-aws-keysリソースを読み取ることができます。これは、外部キー管理との統合またはクラウド間操作の実行に必要なAWSキー・メタデータにアクセスするために必要なVMクラスタ(exadbvmclusterタイプのプリンシパル)の権限を付与します。このポリシーがない場合、VMクラスタは構成の完了に必要なキーを取得できません。

データベースでAWSキー管理を有効にすると、VMクラスタでの使用が認可され、OCIに登録されているAWSキーのみを使用できます。

1. OCIコンソールから、「Oracle AI Database」を選択し、「Oracle Exadata Database Service on Exascale Infrastructure」を選択します。
2. 左側のメニューから「VMクラスタ」を選択し、VMクラスタを選択します。
3. 「VMクラスタ情報」タブを選択し、「AWS顧客管理暗号化キー」の横にある「有効化」ボタンを選択します。

このトピックでは、データベースを作成し、キー管理ソリューションとしてAWS KMSを使用する手順のみについて説明します。

For the generic database creation procedure, see To Create a Database in an Existing Oracle Exadata Database Service on Exascale Infrastructure VM Cluster.

前提条件

「前提条件」を参照してください。

ステップ

AWS KMSキー管理がVMクラスタ・レベルで有効になっている場合、2つのキー管理オプション(Oracle WalletとAWSキー管理)があります。

1. 「暗号化」セクションで、「AWSキー管理」を選択します。
2. コンパートメントで使用可能な暗号化キーを選択します。
   ノート
   
   

   • 登録されたキーのみがリストされます。
   • 必要なキーが表示されない場合は、まだ登録されていない可能性があります。「AWSキーの登録」をクリックして検出し、登録します。

     詳細な手順は、「AWS KMSキーの登録」を参照してください。

   • ドロップダウン・リストからキー別名を選択できます。キー別名を使用できない場合は、ドロップダウンリストにキーIDが表示されます。

VMクラスタ内の既存のデータベースのキー管理をOracle WalletからAWS KMSに変更する場合は、次のステップを実行します。

1. 「VMクラスタ」から、「コンテナ・データベース」タブに移動し、使用しているデータベースを選択します。
2. 「暗号化」セクションで、「キー管理」が「Oracle Wallet」に設定されていることを確認し、「変更」リンクを選択します。
3. 「キー管理の変更」ページで、次の情報を入力します。
   1. ドロップダウン・リストから「キー管理」を「AWSキー管理」として選択します。
   2. 使用しているキー・コンパートメントを選択し、ドロップダウン・リストから目的のキーを選択します。
   3. 「保存」をクリックします。

コンテナ・データベース(CDB)のAWS KMSキーをローテーションするには、この手順を使用します。

1. ナビゲーション・メニューを開きます。「Oracle AI Database」をクリックし、「Oracle Exadata Database Service on Exascale Infrastructure」をクリックします。
2. コンパートメントを選択します。

   選択したコンパートメントに対するVMクラスタのリストが表示されます。

3. VMクラスタのリストで、暗号化キーをローテーションするデータベースを含むVMクラスタの名前をクリックします。
4. 「コンテナ・データベース」をクリックします。
5. 暗号化キーをローテーションするデータベースの名前をクリックします。

   「データベース詳細」ページに、選択したデータベースに関する情報が表示されます。

6. 「暗号化」セクションで、「キー管理」が「AWSキー管理」に設定されていることを確認し、「ローテーション」リンクをクリックします。
7. 表示される「キーのローテーション」ダイアログで、「ローテーション」をクリックしてアクションを確認します。
   ノート
   
   

   AWS KMSキーをローテーションすると、同じキーの新しい暗号化コンテキストが生成されます。

プラガブル・データベース(PDB)のAWS KMSキーをローテーションするには、この手順を使用します。

1. ナビゲーション・メニューを開きます。「Oracle AI Database」をクリックし、「Oracle Exadata Database Service on Exascale Infrastructure」をクリックします。
2. コンパートメントを選択します。

   選択したコンパートメントに対するVMクラスタのリストが表示されます。

3. VMクラスタのリストで、起動するPDBを含むVMクラスタの名前をクリックし、その名前をクリックして詳細ページを表示します。
4. 「コンテナ・データベース」で、暗号化キーをローテーションするPDBを含むデータベースを見つけます。
5. データベースの名前をクリックして、「データベース詳細」ページを表示します。
6. ページの「リソース」セクションの「プラガブル・データベース」をクリックします。

   このデータベース内の既存のPDBのリストが表示されます。

7. 暗号化キーをローテーションするPDBの名前をクリックします。

   プラガブル詳細ページが表示されます。

8. 「暗号化」セクションに、キー管理がAWSキー管理として設定されていることが表示されます。
9. 「Rotate」リンクをクリックします。
10. 表示される「キーのローテーション」ダイアログで、「ローテーション」をクリックしてアクションを確認します。
    ノート
    
    

    AWS KMSキーをローテーションすると、同じキーの新しい暗号化コンテキストが生成されます。

オプションで、次のステップを実行して、特定のCDBまたはPDBキーを無効にします。

1. AWSコンソールに移動し、「Key Management Service (KMS)」を選択します。
2. 左側のメニューから、「顧客管理キー」を選択し、編集するキーの「キーID」を選択します。
3. 「ポリシーの編集」ボタンを選択します。
4. 次の問合せを実行して、キーのEncryptionContext MKIDを取得します。

   操作を有効または無効にするための現在のマスター・キーID (MKID)を表示するには、次のコマンドを使用します。

   dbaascli tde getHSMKeys --dbname <DB-Name>

   次のSQL問合せを実行して、すべてのキー・バージョンをリストすることもできます。

   SELECT key_id, con_id, creation_time, key_use FROM v$encryption_keys;

5. 次に示すように、取得したEncryptionContext MKIDを使用して拒否ポリシーを追加します:

   {
     "Effect": "Deny",
     "Principal": "*",
     "Action": [
       "kms:Encrypt",
       "kms:Decrypt"
     ],
     "Resource": "arn:aws:kms:us-east-1:867344470629:key/7139075d-a006-4302-92d5-48ecca31d48e",
     "Condition": {
       "StringEquals": {
         "kms:EncryptionContext:MKID": "ORACLE.TDE.HSM.MK.06AE5EFB528D9D4F21BFEDA63C6C8738D9"
       }
     }
   }

6. ポリシー更新を適用するには、「保存」を選択します。