Oracle Base Database Cloud@Customerでの外部キーストアの使用

このトピックでは、Oracle Base Database Cloud@Customerでの外部キーストアの使用の概要を示します。ここでは、Transparent Data Encryption (TDE)マスター暗号化キーに外部キーストアを使用するようにOracle AI Databaseを構成する前に理解しておく必要がある計画要件、概要レベルのワークフローおよびOracle AI Databaseの概念について説明します。

外部キーストアについて

Oracle Transparent Data Encryption (TDE)は、リストア時にデータを暗号化することで、Oracle AI Databaseに格納されている機密データを保護します。TDEでは、マスター暗号化キーを使用して、データベースで使用される暗号化キーを保護します。

デフォルトでは、TDEはマスター暗号化キーをソフトウェア・キーストアに格納します。または、PKCS#11標準をサポートする外部ハードウェア・セキュリティ・モジュール(HSM)にマスター暗号化キーを格納できます。

外部キーストアを使用すると、一元化されたキー管理が可能になり、組織がセキュリティ、コンプライアンスおよび職務分離の要件を満たすのに役立ちます。また、組織は既存のHSMインフラストラクチャを引き続き使用して、Oracle AI Database暗号化キーを管理することもできます。

配置の計画

外部キーストアを使用するには、外部HSMとOracle AI Databaseの両方の構成が必要です。始める前に次を確認します。

外部HSMを構成および管理する手順は、HSMベンダーに固有です。詳細な手順は、HSMベンダーのドキュメントを参照してください。

高レベルのワークフロー

Oracle Base Database Cloud@Customerで外部キーストアを使用するには、通常、次のアクティビティが必要です。

  1. 外部HSMを構成および初期化します。
  2. HSMに必要なパスワード・フォーマットおよびセキュリティ・オブジェクトを構成します。
  3. Oracle AI Databaseと外部HSM間のネットワーク接続を構成します。
  4. PKCS#11クライアントライブラリをインストールして構成します。
  5. 外部キーストアを使用するようにOracle AI Databaseを構成します。
  6. 新しいTDEマスター暗号化キーを作成するか、既存のキーを外部キーストアに移行します。
  7. Oracle AI Databaseが外部キーストアに正常にアクセスできることを確認します。

外部HSMの構成、PKCS#11クライアント・ライブラリのインストールおよびOracle AI Databaseの構成の詳細な手順は、HSMベンダーおよびOracle AI Databaseの構成によって異なります。実装の詳細は、HSMベンダーのドキュメントを参照してください。

キー管理オプション

データベースをプロビジョニングするときに、次のいずれかのキー管理ソリューションを選択できます。

選択したキー管理ソリューションは、CDB全体のコンテナ・データベース(CDB)およびCDB内のすべてのプラガブル・データベース(PDB)に適用されます。CDBが外部キーストアを使用する場合、関連するすべてのPDBが同じ外部キーストアを使用します。ただし、個々のPDBでは異なる暗号化キーを使用できます。

その他の要件

外部キーストアを使用する場合は、次の要件に留意してください。