暗号化キーについて

Oracle Base Database Cloud@Customerは、Transparent Data Encryption (TDE)を使用して、リストア時にデータを暗号化し、表、表領域およびデータベース・バックアップに格納されている機密データを不正アクセスから保護するのに役立ちます。TDEでは、マスター暗号化キーを使用して、列レベルまたは表領域レベルでデータを暗号化および復号化するために使用される暗号化キーを保護します。TDEマスター暗号化キーは、認可されていないアクセスを防ぐためにキーストアに格納されます。

Oracle Base Database Cloud@Customerでは、TDEマスター暗号化キーを格納および管理するための次のキー管理ソリューションをサポートしています。

• 自動ログインTDEウォレット(Oracle管理)

  TDEマスター暗号化キーは、自動ログイン・ソフトウェア・キーストアで管理されます。自動ログイン・ウォレットは、システム生成のパスワードで保護され、データベースの起動時に自動的にオープンされます。Oracleは、TDEマスター暗号化キーのライフサイクルを管理します。

• Oracle Key Vault (顧客管理)

  TDEマスター暗号化キーは、Oracle Key Vaultで管理されます。Oracle Key Vaultは、暗号化キーおよびその他のセキュリティ・オブジェクトの管理を一元化する、セキュリティが強化されたアプライアンスです。Oracle Base Database Cloud@Customerは、データベースが顧客管理TDEマスター暗号化キーを使用できるようにするキーストアを介してOracle Key Vaultと統合されます。TDEマスター暗号化キーのライフサイクルを管理します。

  詳細は、次の各トピックを参照してください:

  • Oracle Key Vaultの設定
  • キー・ストアの作成

• 外部キーストア(顧客管理)

  TDEマスター暗号化キーは、PKCS#11インタフェースを提供する、サポートされているサード・パーティの外部キーストアで管理されます。外部キーストアは、Oracle AI Databaseで使用する前に、適切なベンダー・ソフトウェア、資格証明および接続を構成する必要があります。TDEマスター暗号化キーのライフサイクルを管理します。

デフォルトの鍵管理

デフォルトでは、Oracle Base Database Cloud@Customerは、Oracle管理のTDEマスター暗号化キーを使用するようにデータベースを構成します。データベースのプロビジョニング時に顧客管理キーを使用するようにデータベースを構成するか、既存のデータベースをOracle管理キーから顧客管理キーに切り替えることができます。顧客管理キーからOracle管理キーへの切替えはサポートされていません。

顧客管理キーには、追加のOracle Key VaultおよびIAM構成が必要です。

主要バージョン

TDEマスター暗号化キーには、1つ以上のキー・バージョンを含めることができます。キー・バージョンは、同じTDEマスター暗号化キーの特定のバージョンを表します。

キーをローテーションすると、キー自体を変更せずに新しいキー・バージョンが生成されます。以前のバージョンの鍵は保持されるため、以前のバージョンの鍵で暗号化されたデータは引き続き復号化できます。

コンテナ・データベース(CDB)が作成されると、選択したTDEマスター暗号化キーは、コンテナ・データベースとそのプラガブル・データベース(PDB)の両方に関連付けられます。

データベースの作成時にキー・バージョンを指定した場合、そのキー・バージョンはコンテナ・データベースに対してのみ使用されます。各プラガブル・データベースには、新しいキー・バージョンが自動的に割り当てられます。データベースの作成時にプラガブル・データベースのキー・バージョンを指定することはできません。

コンテナ・データベースとそのプラガブル・データベースは、常に同じTDEマスター暗号化キーを使用しますが、同じキー・バージョンまたは異なるキー・バージョンを使用できます。

選択したキーの最新バージョンを含め、使用可能な任意のキー・バージョンを割り当てることができます。

キー管理操作

Oracle Base Database Cloud@Customerは、次のキー管理操作をサポートしています。

TDEマスタ暗号化キーのローテーション

キーをローテーションすると、キー自体を変更せずに新しいキー・バージョンが生成されます。以前のバージョンの鍵は保持されるため、以前のバージョンの鍵で暗号化されたデータは引き続き復号化できます。暗号化キーを定期的にローテーションすることで、単一のキー・バージョンで暗号化されるデータの量を制限することで、組織のセキュリティおよびコンプライアンス要件を満たすことができます。

コンテナ・データベースとプラガブル・データベースは、キー・バージョンを個別に管理します。コンテナ・データベースのキー・バージョンをローテーションしても、そのプラガブル・データベースのキー・バージョンはローテーションされません。同様に、プラガブル・データベースのキー・バージョンをローテーションしても、コンテナ・データベースまたは他のプラガブル・データベースには影響しません。

キー・バージョンの割当て

TDEマスター暗号化キーを変更せずに、別のキー・バージョンをコンテナ・データベースまたはプラガブル・データベースに割り当てることができます。キー・バージョンを割り当てると、データベースで使用される既存のキーのバージョンのみが変更されます。

キーの管理の変更

既存のデータベースをOracle管理キーから顧客管理キーに切り替えることができます。顧客管理キーに切り替える場合は、コンテナ・データベースとそのプラガブル・データベース(PDB)がオープンしており、また、すべての表領域が読取り/読取りモードである必要があります。

コンテナ・データベースに関連付けられたTDEマスター暗号化キーは、そのすべてのプラガブル・データベースによって自動的に使用されます。コンテナ・データベースとプラガブル・データベースは、常に同じTDEマスター暗号化キーを使用しますが、異なるキー・バージョンを使用できます。

顧客管理キーからOracle管理キーへの切替えはサポートされていません。

プラガブル・データベースのクローニング、リモート・クローンおよび再配置

顧客管理TDEマスター暗号化キーを使用するデータベースをクローニングする場合、クローニングされたデータベースは、最初にソース・データベースと同じキー・バージョンを使用します。

リモート・クローンおよび再配置操作の場合、ソース・データベースとターゲット・データベースでは同じTDEマスター暗号化キーを使用する必要がありますが、異なるキー・バージョンを使用できます。操作が完了すると、ターゲットOracle Key Vaultに対して新しいキー・バージョンが生成されます。