Exascale Infrastructure@Google Cloud上のExadata Database ServiceのGoogle Cloud Key Management統合

VMクラスタにアタッチされたアイデンティティ・コネクタの詳細を表示するには、この手順を使用します。

1. ナビゲーション・メニューを開きます。「Oracle AI Database」をクリックし、「Oracle Exadata Database Service on Exascale Infrastructure」をクリックします。

   デフォルトでは、「VMクラスタ」ページが選択されています。

2. 「VMクラスタ」のリストから、選択したクラスタを選択します。
3. 表示される「VMクラスタの詳細」ページの「マルチクラウド情報」セクションで、「アイデンティティ・コネクタ」フィールドにこのVMクラスタにアタッチされているアイデンティティ・コネクタが表示されることを確認します。
4. アイデンティティ・コネクタの名前をクリックして、その詳細を表示します。

   Database Multicloud Integrationsポータルにリダイレクトされます。

鍵リングを作成するには、この手順を使用します。

1. Google Cloud Consoleを開き、「キー管理」ページにナビゲートします。
2. 「キー・リングの作成」をクリックします。
3. 次の詳細を入力します。
   • 名前: キー・リングのわかりやすい名前を入力します。
   • 位置: キー・リングの場所を選択します。
     重要:

     • 同じ名前のキー・リングが異なる場所に存在する場合があるため、常に場所を指定する必要があります。
     • 保護するリソースに近い場所を選択します。
     • お客様が管理する暗号化キーの場合、キー・リングを使用するリソースと同じ場所にあることを確認します。

     あなたのキーリングのための場所を選択:

     Google Cloud Key Management Service(KMS)でキーリングを作成する場合は、適切な場所を選択することが重要です。選択内容は、暗号化キーの格納場所およびレプリケート方法に影響します。詳細は、クラウドKMSの場所を参照してください。

     • リージョン:
       • データは特定の地域に格納されます。
       • キーは、この単一領域の境界内に残ります。
       • 次の作業に最適:
         • 低レイテンシのアプリケーション
         • データ・レジデンシー要件への準拠
         • リージョン固有のワークロード
     • マルチリージョン:
       • データは、より大きな地理的領域内の複数のリージョンにレプリケートされます。
       • Googleは、ディストリビューションとレプリケーションを自動的に管理します。
       • 個々のデータ・センターまたはリージョンは選択できません。
       • 次の作業に最適:
         • 高可用性
         • 耐障害性に優れた耐障害性アプリケーション
         • 幅広い地域に対応するサービス
     • グローバル:
       • 特別なタイプの複数リージョン。
       • キーは世界中のGoogleデータセンターに配布されています。
       • ロケーションの選択およびコントロールは使用できません。
       • 次の作業に最適:
         • グローバル・ユーザーを持つアプリケーション
         • 最大限の冗長性とリーチを必要とするユースケース
4. 「作成」をクリックします。

キー・リングが作成されると、その中の暗号化キーの作成と管理を開始できます。

指定された鍵リングと場所にraw対称暗号化鍵を作成するには、この手順を使用します。

1. Google Cloud Consoleを開き、「キー管理」ページにナビゲートします。
2. キーを作成するキー・リングの名前をクリックします。
3. 「キーの作成」をクリックします。
4. 次の詳細を入力します。
   • キー名: キーのわかりやすい名前を入力します。
   • 保護レベル: 「ソフトウェア」または「HSM」(ハードウェア・セキュリティ・モジュール)を選択します。

     キーの作成後は、キーの保護レベルを変更できません。詳細は、Protection levelsを参照してください。

   • キー・マテリアル: 「キーの生成」または「キーのインポート」を選択します。

     Cloud KMSでキー マテリアルを生成するか、Google Cloudの外部で管理されているキー マテリアルをインポートします。詳細は、顧客管理暗号化キー(CMEK)を参照してください。

   • 目的およびアルゴリズム:

     詳細は、主な目的とアルゴリズムを参照してください

     • 「目的」を「Raw encryption/decryption」に設定します。
     • 「アルゴリズム」で、「AES-256-CBC」を選択します。
5. 「作成」をクリックします。

作成後、AES-CBCの暗号化および復号化を必要とする暗号化操作にこの鍵を使用できます。

Oracle Cloud Infrastructure (OCI)でキーを検出できるようにするには、この手順を使用します。

1. 「Google Cloud KMS」で、検出可能にするキーを選択します。
2. 「権限」タブに移動して、「プリンシパルの追加」をクリックします。
3. 「新規プリンシパル」フィールドに、「ワークロード・リソース・サービス・エージェント」に関連付けられているサービス・アカウントを入力します。
   ノート
   
   

   このサービス・アカウントは、「アイデンティティ・コネクタの詳細」ページの「GCP情報」セクションにあります。ワークロード・リソース・サービス・エージェントを探して、そのIDに注意してください。これは必須のサービス・アカウントです。

4. 「ロールの割当て」で、選択したロールを追加します。
   ノート
   
   

   次の最小限の権限でカスタム・ロールを作成し、選択したキー・リングに割り当てます。

   これらの権限を一緒に使用すると、OCIは次のことが可能になります。

   • 鍵リングや鍵などのKMSリソースを検出します。
   • キーとそのバージョンに関するメタデータにアクセスします。
   • 暗号化操作(暗号化/復号化)にキーを使用します。
   • キー・バージョンを作成します。

   必要な最小権限:

   • cloudkms.cryptoKeyVersions.get

     特定のキー・バージョンのメタデータの取得を許可します。

   • cloudkms.cryptoKeyVersions.manageRawAesCbcKeys

     生のAES-CBCキーマテリアル(インポート、回転など)の管理を有効にします。

   • cloudkms.cryptoKeyVersions.create

     キー内に新しいキー・バージョンを作成できます。

   • cloudkms.cryptoKeyVersions.list

     指定されたキーのすべてのバージョンをリストします。

   • cloudkms.cryptoKeyVersions.useToDecrypt

     データの復号化にキー・バージョンを使用する権限を付与します。

   • cloudkms.cryptoKeyVersions.useToEncrypt

     データの暗号化にキー・バージョンを使用する権限を付与します。

   • cloudkms.cryptoKeys.get

     キーのメタデータの取得を許可します。

   • cloudkms.cryptoKeys.list

     キーリング内のすべてのキーを一覧表示します。

   • cloudkms.keyRings.get

     キー・リングのメタデータの取得を許可します。

   • cloudkms.locations.get

     サポートされているキーの場所に関する情報を取得します。

5. 「保存」をクリックして変更を適用します。
6. 「リフレッシュ」をクリックして、更新された権限が有効であることを確認します。

VMクラスタでGoogle Cloud Customer Managed Encryption Keys (CMEK)を有効にするには、まずGCP Key RingをOCIに登録する必要があります。

1. 「Database Multicloud Integrations」ポータルで、「Google Cloud Integration」→「GCP Key Rings」に移動します。
2. 「GCP Key Ring」をクリックします。
3. 「GCPキー・リングの登録」をクリックします。
4. 表示される「GCPキー・リングの登録」ページで、次の詳細を指定します:
   • コンパートメント: VMクラスタが存在するコンパートメントを選択します。
   • アイデンティティ・コネクタ: VMクラスタにアタッチされているアイデンティティ・コネクタを選択します。
   • キー・リング: 登録するGCPキー・リングの名前を入力します。

     単一のアイデンティティ・コネクタを介して使用可能なすべてのキー・リングを検出するには、そのアイデンティティ・コネクタに次の権限を付与する必要があります。これらの権限は、コネクタが目的の範囲内のすべてのキー・リングにアクセスできるように、適切なプロジェクトまたはフォルダ・レベルで割り当てる必要があります。

     • cloudkms.keyRings.list

       プロジェクト内のすべてのキー・リングのリストを許可します。

     • cloudkms.locations.get

       特定のキー・リングのメタデータの取得を許可します。

5. 「検出」をクリックして、キー・リングがGCPに存在するかどうかを確認します。

   成功すると、キーリングの詳細が表示されます。

   ノート
   
   

   個々のキーではなく、キーリングのみを登録できます。必要な権限が設定されていれば、登録されたキー・リングに関連付けられたサポートされているすべてのキーを使用できます。

6. 「登録」をクリックします。

VMクラスタでGCP CMEKを有効にするには、この手順を使用します。

1. ナビゲーション・メニューを開きます。「Oracle AI Database」をクリックし、「Oracle Exadata Database Service on Exascale Infrastructure」をクリックします。

   デフォルトでは、「VMクラスタ」ページが選択されています。

2. VMクラスタのリストから、構成するクラスタを選択します。
3. 「VMクラスタ詳細」ページで、「マルチクラウド情報」セクションまでスクロールし、GCP CMEKの横にある「有効化」をクリックします。
4. GCP CMEKを無効にするには、「無効化」をクリックします。

このトピックでは、データベースを作成し、GCP顧客管理暗号化キー(CMEK)をキー管理ソリューションとして使用するステップのみについて説明します。

For the generic database creation procedure, see To Create a Database in an Existing Oracle Exadata Database Service on Exascale Infrastructure VM Cluster.

異なる暗号化方式間で暗号化鍵を変更するには、この手順を使用します。

1. OCIコンソールでデータベースの詳細ページに移動します。
2. 「暗号化」セクションで、「キー管理」が「Oracle Wallet」に設定されていることを確認し、「変更」リンクをクリックします。
3. 「キー管理の変更」ページで次の情報を入力します。
   1. ドロップダウン・リストから「キー管理」を「GCP顧客管理暗号化キー」として選択します。
   2. 使用しているコンパートメントを選択し、そのコンパートメントで使用可能なキー・リングを選択します。
   3. 次に、使用しているキー・コンパートメントを選択し、ドロップダウン・リストから目的のキーを選択します。
   4. 「変更の保存」をクリックします。

コンテナ・データベース(CDB)のGCP Customer Managed Encryption Keyをローテーションするには、この手順を使用します。

1. ナビゲーション・メニューを開きます。「Oracle AI Database」をクリックし、「Oracle Exadata Database Service on Exascale Infrastructure」をクリックします。
2. コンパートメントを選択します。

   選択したコンパートメントに対するVMクラスタのリストが表示されます。

3. VMクラスタのリストで、暗号化キーをローテーションするデータベースを含むVMクラスタの名前をクリックします。
4. 「コンテナ・データベース」をクリックします。
5. 暗号化キーをローテーションするデータベースの名前をクリックします。

   「データベース詳細」ページに、選択したデータベースに関する情報が表示されます。

6. 「暗号化」セクションで、「キー管理」が「GCP顧客管理暗号化キー」に設定されていることを確認し、「ローテーション」リンクをクリックします。
7. 表示される「キーのローテーション」ダイアログで、「ローテーション」をクリックしてアクションを確認します。

プラガブル・データベース(PDB)のGCP Customer Managed Encryption Keyをローテーションするには、この手順を使用します。

1. ナビゲーション・メニューを開きます。「Oracle AI Database」をクリックし、「Oracle Exadata Database Service on Exascale Infrastructure」をクリックします。
2. コンパートメントを選択します。

   選択したコンパートメントに対するVMクラスタのリストが表示されます。

3. VMクラスタのリストで、起動するPDBを含むVMクラスタの名前をクリックし、その名前をクリックして詳細ページを表示します。
4. 「コンテナ・データベース」で、暗号化キーをローテーションするPDBを含むデータベースを見つけます。
5. データベースの名前をクリックして、「データベース詳細」ページを表示します。
6. ページの「リソース」セクションの「プラガブル・データベース」をクリックします。

   このデータベース内の既存のPDBのリストが表示されます。

7. 暗号化キーをローテーションするPDBの名前をクリックします。

   プラガブル詳細ページが表示されます。

8. 「暗号化」セクションに、キー管理がGCP Customer Managed Encryption Keyとして設定されていることが表示されます。
9. 「Rotate」リンクをクリックします。
10. 表示される「キーのローテーション」ダイアログで、「ローテーション」をクリックしてアクションを確認します。