Oracle Base Database Cloud@CustomerのためのOracle Key Vaultの設定

Oracle Key Vaultは、暗号化キーやその他のセキュリティ・オブジェクトの管理を一元化する、セキュリティが強化されたアプライアンスです。Oracle Base Database Cloud@Customerを使用すると、Oracle Key Vaultは、Transparent Data Encryption (TDE)マスター暗号化キーを作成、格納および管理するための顧客管理ソリューションを提供します。

Oracle Base Database Cloud@Customerを使用すると、Oracle AI Database Transparent Data Encryption (TDE)マスター暗号化キーの顧客管理キー管理ソリューションとしてOracle Key Vaultを使用できます。

顧客管理キーは、TDEマスター暗号化キーの集中管理、ストレージ、監視およびライフサイクル管理を可能にすることで、セキュリティ、ガバナンスおよび規制コンプライアンスの要件を満たすのに役立ちます。Oracle Key Vaultでは、複数のOracle AI DatabaseデプロイメントにわたってTDEマスター暗号化キーを一元的に管理することもできます。

キーストアは、データベースをOracle Key Vaultに関連付けるOracleベース・データベースのCloud@Customerリソースです。キーストアにより、データベースは、Oracle Key Vaultによって管理される顧客管理TDEマスター暗号化キーに安全にアクセスできます。

Oracle Base Database Cloud@Customerで顧客管理TDEマスター暗号化キーを使用するには、Oracle Key Vault環境を準備し、Oracle Key Vaultと通信するようにOracle Base Database Cloud@Customerを構成し、Oracle Key Vaultに関連付けられたキーストアを作成します。

Oracle Key Vaultでは、次のことができます。

• 複数のOracle AI Databaseデプロイメント間でTDEマスター暗号化キーを一元的に管理します。
• 既存のデータベースをOracle管理キーから顧客管理キーに切り替えます。
• CDBおよびPDB TDEマスター暗号化鍵をローテーションします。
• Oracle Data Guardの有無にかかわらず構成されたデータベースで、顧客管理キーを使用します。

Oracle Key Vaultは、お客様がプロビジョニングし、お客様が管理します。OCIマネージド・サービスの一部ではありません。

前提条件

Oracle Key VaultをOracle Base Database Cloud@Customerで使用するように構成する前に、次の前提条件を満たしていることを確認してください。

• プラガブル・データベース(PDB)では、統一モードを使用する必要があります。

  統一モードの詳細は、「統一モードでのキーストアおよびTDEマスター暗号化キー管理」を参照してください。

Oracle Key Vaultの準備

Oracle Key VaultをOracle Base Database Cloud@Customerと統合する前に、次のタスクを実行します。

• Oracle Key Vaultがデプロイされ、Oracle Base Database Cloud@Customerクライアント・ネットワークからアクセスできることを確認します。ポート443、5695および5696でアウトバウンド・ネットワーク・アクセスを構成して、Oracle Base Database Cloud@CustomerとOracle Key Vault間の通信を有効にします。
• Oracle Key Vault RESTインタフェースを有効にします。
• エンドポイントの作成権限を持つOracle Key Vault REST管理者ユーザーを作成します。okv_rest_userなど、任意の有効なユーザー名を使用できます。
• Oracle Key Vault REST管理者のユーザー名、パスワードおよびOracle Key Vault IPアドレスを記録します。この情報は、Oracle Key Vaultと通信するようにOracle Base Database Cloud@Customerを構成するときに使用します。

詳細は、次の各トピックを参照してください:

• Oracle Key Vaultネットワーク・ポートの要件
• Oracle Key Vaultユーザーの管理
• 管理ロールおよびユーザー権限の管理

Oracle Key Vault REST管理者パスワードの格納

Oracle Base Database Cloud@Customerでは、Oracle Key Vault REST管理者資格証明を使用して、データベース・プロビジョニングおよびその他のOracle Key Vault操作中にOracle Key Vaultと通信します。

Oracle Key Vault REST管理者パスワードをシークレットとしてOCI Vaultに格納します。Oracle Base Database Cloud@Customerは、Oracle Key Vaultと通信する必要がある場合にのみ、OCI Vaultからパスワードを取得します。

Oracle Key Vault REST管理者パスワードを格納するには、ボールトを作成し、ボールトにシークレットを作成します。

詳細は、次の各トピックを参照してください:

• ボールトの管理
• シークレット管理サービスの概要

IAMポリシーの作成

OCI Vaultに格納されているOracle Key Vault REST管理者パスワードを含むシークレット・バンドルを読み取るための必要なユーザー・グループ権限を付与するIAMポリシーを作成します。

次のポリシー・ステートメントを使用します:

Allow group <group-name> to read secret-bundles in compartment <compartment-name> where target.secret.id='<secret_ocid>'

次のプレースホルダを、ご使用の環境に固有の値に置き換えてください。

• <group-name>: シークレットへのアクセスを必要とするIAMグループの名前。
• <compartment-name>: シークレットを含むコンパートメント。
• <secret_ocid>: Oracle Key Vault REST管理者パスワードを含むシークレットのOCID。

詳細は、次の各トピックを参照してください:

• シークレットのコンテンツの取得
• Vault、キー管理およびシークレット管理サービスの詳細

キーストアの作成

Oracle Base Database Cloud@Customerデータベースで、Oracle Key Vaultによって管理される顧客管理TDEマスター暗号化キーを使用できるようにするには、キーストアが必要です。Oracle Key Vault接続の詳細を格納し、データベースが顧客管理のTDEマスター暗号化キーにアクセスできるようにします。

手順については、Create a Keystoreを参照してください。