Exascale Infrastructure@Azure上のExadata Database Service用のAzure Key Vault統合

アイデンティティ・コネクタを作成すると、Azure ArcエージェントがExadata VMクラスタ・仮想マシンにインストールされ、Azure Arc対応仮想マシンとして登録されます。

これにより、Arcエージェントによって生成された Azure IDを使用して、Azure Key Management Service (KMS)とのセキュアな通信が可能になります。Azure Arcエージェントは、パブリック ネットワークまたはプライベート接続設定を介して Azureサービスと通信できます。Azure Arcの詳細を参照してください。

Azureリソースにアクセスするには、各VMクラスタでアイデンティティ・コネクタが有効になっている必要があります。アイデンティティ・コネクタは、割り当てられたロールに応じて、VMクラスタとAzure Key Managementリソースとの間でパブリック接続またはプライベート接続を確立します。Azure KMSリソースにアクセスするにはロールが必要です。

現在のAzureアカウントのアクセス・トークンを生成するには、az account get-access-tokenを参照してください。

アイデンティティ・コネクタは、Oracle Exadata Database Service on Exascale InfrastructureインタフェースまたはDatabase Multicloud Integrationsインタフェースを使用する2つの方法のいずれかで作成できます。

アイデンティティ・コネクタの詳細を表示するには、この手順を使用します。

1. ナビゲーション・メニューを開きます。「Oracle AI Database」をクリックし、「Oracle Exadata Database Service on Exascale Infrastructure」をクリックします。

   デフォルトでは、「VMクラスタ」ページが選択されています。

2. 選択したVMクラスタの名前をクリックします。
3. 表示される「VMクラスタ詳細」ページの「マルチクラウド情報」セクションで、「アイデンティティ・コネクタ」フィールドに、以前に作成したアイデンティティ・コネクタが表示されることを確認します。
4. アイデンティティ・コネクタの名前をクリックして、その詳細を表示します。関連付けられたExaDB-XS VMクラスタを表示することもできます。

このステップでは、Azure Key Vault統合をサポートするために必要なライブラリをVMクラスタにインストールします。Exadata VMクラスタでAzure Key Managementを有効にする前に、アイデンティティ・コネクタが作成されていることを確認します。

1. ナビゲーション・メニューを開きます。「Oracle AI Database」をクリックし、「Oracle Exadata Database Service on Exascale Infrastructure」をクリックします。

   デフォルトでは、「VMクラスタ」ページが選択されています。

2. 選択したVMクラスタの名前をクリックします。
3. 表示される「VMクラスタ詳細」ページの「マルチクラウド情報」セクションで、「Azureキーストア」の横にある「有効化」リンクをクリックします。
4. 表示される「Azureキー管理の有効化」ダイアログで、「有効化」をクリックして操作を確認します。

   アクションを確認すると、ライブラリがVMクラスタにインストールされます。

   Azureキー・ストアのステータスが「無効」から「有効」に変わります。

5. Azureキーストアを無効にするには、「無効化」リンクをクリックします。
6. 表示される「Azureキー管理の無効化」ダイアログで、「無効化」をクリックして操作を確認します。

   Azureキー管理を無効にすると、有効化中にインストールされたライブラリが削除され、使用するように構成されたデータベースの可用性に影響します。

Azure Key Vault Managed HSM、Azure Key Vault PremiumまたはAzure Key Vault Standardを作成し、権限を割り当てます。

詳細は、Azureポータルを使用したキー・ボールトの作成を参照してください。

1. グループを作成してメンバーを追加します。

   Azureグループを使用すると、リソースに同じアクセスおよび権限を割り当ててユーザーを管理できます。

   • Azureでグループを管理するには、「ユーザー管理者」または「グループ管理者」ロールが必要です。詳細は、Microsoft Entraグループおよびグループ・メンバーシップの管理を参照してください。
   • セキュリティ・グループを作成し、Microsoft Azureポータルからメンバーを追加する必要があります。「セキュリティ」オプションを「グループ・タイプ」として選択する必要があります。詳細は、基本グループの作成およびメンバーの追加を参照してください。
   • Arc対応VMをグループに追加できます。後続のステップで説明したロールは、個々のVMにロールを割り当てるのではなく、複数のVMを含むグループに割り当てることができます。
2. Azure Key Vaultのタイプに基づいて、次のロールを割り当てます。
   • 管理対象HSMの場合:
     • IAM: リーダー
     • ローカルRBAC: マネージドHSM暗号役員+マネージドHSM暗号ユーザー
   • Key Vault PremiumおよびStandardの場合:
     • IAM: Reader + Key Vault Crypto Officer

詳細なステップは、Azureポータルを使用したAzureロールの割当てを参照してください。

これは、OCIコンソールからAzureキー・ボールトを登録する別の方法です。既存のVMクラスタでのデータベースの作成時にボールトをすでに登録している場合は、このステップをスキップできます。

1. OCIコンソールから、「Database Multicloud Integrations」に移動し、「Microsoft Azure Integration」を選択します。「Microsoft Azure統合」セクションで、「Azure Key Vaults」を選択します。
   ノート
   
   登録を成功させるには、Azureポータルのボールトに少なくとも1つのキーを作成する必要があります。
2. 「Azureキー・ボールトの登録」ボタンを選択します。
3. ドロップダウン・リストから、「コンパートメント」を選択します。
4. Azureテナンシの同じサブスクリプション内でAzure Key Vaultまたは管理対象HSMを検出し(同じサブスクリプションでアイデンティティ・コネクタおよびAzure Key Vaultまたは管理対象HSM)、キーを登録するには:
   1. 「Azureキー・ボールト」セクションで、「コネクタを使用したAzureキー・ボールトの検出」リストから「アイデンティティ・コネクタ」を選択します。
   2. 「検出」をクリックします。

      Vault名のリストが表示されます。

   3. 「Vault名」の横にあるチェック・ボックスを選択します。
5. Azureテナンシの同じサブスクリプション内で単一のAzure Key Vaultまたは管理対象HSMを検出するには、短いキー・ボールト名または完全なリソースIDのいずれかを指定できます。次のいずれかの形式で完全なリソースIDを指定します。

   Azure Key Vaultの場合:

   /subscriptions/<subscription-id>/resourceGroups/<resource-groups>/providers/Microsoft.KeyVault/vaults/<key-vault-name>

   Azure Managed HSMの場合:

   /subscriptions/<subscription-id>/resourceGroups/<resource-groups>/providers/Microsoft.KeyVault/managedHSMs/<hsm-name>

   ノート
   
   クロス・サブスクリプションでは、完全なリソースIDのみがサポートされます。
6. Azureテナンシのサブスクリプション間でAzure Key Vaultまたは管理対象HSMを検出し(異なるサブスクリプションでアイデンティティ・コネクタおよびAzure Key Vaultまたは管理対象HSM)、キーを登録するには:
   1. 「Azureキー・ボールト」セクションで、「コネクタを使用したAzureキー・ボールトの検出」リストから「アイデンティティ・コネクタ」を選択します。
   2. Azure Key Vaultの完全なリソースIDを次の形式で指定します。

      /subscriptions/<subscription-id>/resourceGroups/<resource-groups>/providers/Microsoft.KeyVault/vaults/<key-vault-name>

   3. 「検出」をクリックします。
7. リソースにタグを追加する場合は、「拡張オプション」セクションを展開し、「タグの追加」をクリックします。
8. 「登録」をクリックして、ボールトをOCIにローカルに登録します。
9. ボールトを登録すると、リスト内のボールトの「表示名」、「状態」、「タイプ」、「Azureリソース・グループ」および「作成済」の情報を表示できます。
10. 使用しているボールトを選択し、「アイデンティティ・コネクタ・アソシエーション」タブをクリックして、現在のコンパートメント内のアイデンティティ・コネクタ・アソシエーションをリストします。
    ノート
    
    デフォルトの関連付けは、ボールト登録プロセス中に使用されるボールトとアイデンティティ・コネクタの間に自動的に作成されます。これにより、その特定のアイデンティティ・コネクタに関連付けられたVMクラスタでボールトを使用できるようになります。

    異なるアイデンティティ・コネクタに登録されている他のクラスタ(つまり、ボールトの検出時に使用されたものではない)で同じボールトを使用する場合は、ボールトとそれらの追加のアイデンティティ・コネクタ間のアソシエーションを明示的に作成する必要があります。

11. 「拡張オプション」セクションを展開すると、リソースを編成するための「タグ」を追加できます。
12. 選択内容を確認し、「作成」をクリックします。

このトピックでは、データベースを作成し、Azure Key Vaultをキー管理ソリューションとして使用するステップのみについて説明します。

For the generic database creation procedure, see To Create a Database in an Existing Oracle Exadata Database Service on Exascale Infrastructure VM Cluster.

異なる暗号化方式間で暗号化キーを変更する方法について学習します。

1. OCIコンソールで既存のVMクラスタに移動します。「コンテナ・データベース」タブを選択します。次に、使用しているデータベース・リソースを選択します。
2. 「データベース情報」タブを選択し、「キー管理」セクションまでスクロール・ダウンします。
3. 「暗号化」セクションで、「キー管理」が「Oracle Wallet」に設定されていることを確認し、「変更」リンクを選択します。
4. 「キー管理の変更」ページで次の情報を入力します:
   1. ドロップダウン・リストから「キー管理」を「Azureキー・ボールト」として選択します。
   2. 使用しているVaultコンパートメントを選択し、コンパートメントで使用可能なVaultを選択します。
   3. 使用している「キー」コンパートメントを選択し、ドロップダウン・リストから「キー」を選択します。
   4. 「変更の保存」をクリックします。

コンテナ・データベース(CDB)のAzureキー・ボールト暗号化キーをローテーションするには、この手順を使用します。

1. ナビゲーション・メニューを開きます。「Oracle AI Database」をクリックし、「Oracle Exadata Database Service on Exascale Infrastructure」をクリックします。
2. コンパートメントを選択します。

   選択したコンパートメントに対するVMクラスタのリストが表示されます。

3. VMクラスタのリストで、暗号化キーをローテーションするデータベースが含まれるVMクラスタの名前をクリックします。
4. 「コンテナ・データベース」をクリックします。
5. 暗号化キーをローテーションするデータベースの名前をクリックします。

   「データベース詳細」ページに、選択したデータベースに関する情報が表示されます。

6. 「暗号化」セクションで、「キー管理」が「Azure Key Vault」に設定されていることを確認し、「ローテーション」リンクをクリックします。
7. 表示される「キーのローテーション」ダイアログで、「ローテーション」をクリックしてアクションを確認します。

プラガブル・データベース(PDB)のAzureキー・ボールト暗号化キーをローテーションするには、この手順を使用します。

1. ナビゲーション・メニューを開きます。「Oracle AI Database」をクリックし、「Oracle Exadata Database Service on Exascale Infrastructure」をクリックします。
2. コンパートメントを選択します。

   選択したコンパートメントに対するVMクラスタのリストが表示されます。

3. VMクラスタのリストで、起動するPDBを含むVMクラスタの名前をクリックし、その名前をクリックして詳細ページを表示します。
4. 「コンテナ・データベース」で、暗号化キーをローテーションするPDBを含むデータベースを見つけます。
5. データベースの名前をクリックして、「データベース詳細」ページを表示します。
6. ページの「リソース」セクションの「プラガブル・データベース」をクリックします。

   このデータベース内の既存のPDBのリストが表示されます。

7. 暗号化キーをローテーションするPDBの名前をクリックします。

   プラガブル詳細ページが表示されます。

8. 「暗号化」セクションに、キー管理がAzure Key Vaultとして設定されていることが表示されます。
9. 「Rotate」リンクをクリックします。
10. 表示される「キーのローテーション」ダイアログで、「ローテーション」をクリックしてアクションを確認します。