暗号化鍵の管理

この記事では、暗号化鍵と暗号化鍵について詳しく説明します。

Oracle Base Database Serviceは、Transparent Data Encryption (TDE)を使用して、表および表領域に格納されたデータを暗号化します。

Transparent Data Encryption:

ベース・データベース・サービスは、TDEを使用して、ユーザーが作成したすべての表領域を暗号化および復号化します。

暗号化キー:

独自の暗号化キー(顧客管理キー)を使用してデータベースを暗号化するか、Oracle管理キーを使用するかを選択できます。デフォルトでは、ベース・データベース・サービスはOracle管理キーを使用します。顧客管理キーは、データベース・ホストの外部にあるOCI Vaultに格納されます。

OCI Vaultキー:

OCI Vaultでは、暗号化キーは、暗号化および復号化に使用される1つ以上のキー・バージョンを含む論理エンティティです。これらのキー・バージョンは、OCI Vaultによって自動生成するか、外部ソース(Bring-Your-Own-Key)からインポートできます。

詳細は、Transparent Data Encryptionの概要およびOCI Vault Key Managementを参照してください。

必要なIAMポリシー

独自の暗号化キーを使用してデータベースを暗号化する場合は、動的グループを作成し、顧客管理の暗号化キーのグループに特定のポリシーを割り当てる必要があります。共通ポリシーの動的グループの管理およびセキュリティ管理者がボールト、キーおよびシークレットを管理できるようにするためののトピックを参照してください。

一般情報

新しいDBシステムの作成時に、コンテナ・データベースとプラガブル・データベースの両方にキーが割り当てられます。

キー・バージョン(指定されている場合)は、そのプラガブル・データベースではなく、コンテナ・データベースにのみ使用されます。プラガブル・データベースには、自動生成された新しいキー・バージョンが割り当てられます。作成中に特定のキー・バージョンをプラガブル・データベースに割り当てることはできません。

プラガブル・データベースは、常にコンテナ・データベースと同じキーを使用しますが、同じキー・バージョンまたは異なるキー・バージョンを使用します。

選択したキーの最新バージョンを含め、任意のキー・バージョンを指定できます。

デフォルトでは、データベースはOracle管理のキーを使用して構成されます。ただし、顧客管理キーを使用して構成することもできます。

暗号化キーのローテーション

暗号化キーのローテーション操作では、同じキーの新しいキー・バージョンが生成されます。

任意の数のキー・ローテーションを実行できます。定期的にキーをローテーションすると、1つ以上のキー・バージョンによって暗号化または署名されるデータの量を制限できます。リタイアしたキーの履歴も保持されるため、キーをローテーションでき、以前のキーによって暗号化されたデータを復号化できます。

コンテナ・データベース・レベルとプラガブル・データベース・レベルでのローテーション・キーは、相互に独立して機能します。コンテナ・データベースでのキー・ローテーション操作は、プラガブル・データベースのキーをローテーションしません。同様に、あるプラガブル・データベースのキーをローテーションしても、他のプラガブル・データベースまたはそのコンテナ・データベースのキーはローテーションされません。

最新バージョンを確実に使用するには、Vaultサービスの「コンソール」ページではなく、OCIコンソールのデータベース詳細ページからキーをローテーションします。

ノート:暗号化キーのローテーションは、Oracle管理暗号化キーを使用するデータベースでは使用できません。

OCIコンソールを使用して暗号化キーをローテーションするには、データベースの暗号化キーのローテーションおよびプラガブル・データベースの暗号化キーのローテーションを参照してください。

キー・バージョンの割当

コンテナ・データベースとプラガブル・データベースの両方に新しいキー・バージョンを作成して割り当てることができます。キー・バージョンのみ変更できます。キーは変更できません。

OCIコンソールを使用してキー・バージョンを割り当てるには、データベースへの新しいキー・バージョンの割当およびプラガブル・データベースへの新しいキー・バージョンの割当を参照してください。

キーの管理の変更

既存のデータベースでのOracle管理キーから顧客管理キーへの切り替えが可能です。ただし、顧客管理キーからOracle管理キーへの切り替えはサポートされません。

コンテナ・データベースのキーが変更されると、そのキーはプラガブル・データベースにも自動的に適用されます。プラガブル・データベースのキーは独立して変更できません。プラガブル・データベースは、常にコンテナ・データベースと同じキーを使用しますが、同じキー・バージョンまたは異なるキー・バージョンを使用できます。

顧客管理キーに切り替える場合は、コンテナ・データベースとそのプラガブル・データベースがすべてオープンしており、また、すべての表領域が読取り/ライト・モードである必要があります。

OCIコンソールを使用してキー管理タイプを変更するには、データベースのキー管理タイプの変更を参照してください。

プラガブル・データベースのクローニング、リモート・クローンおよび再配置

クローニングされたデータベースでは、顧客管理暗号化キーを使用するDBシステムをクローニングするときに、ソース・データベースと同じキー・バージョンが使用されます。

ソース・データベースとターゲット・データベースでは同じキーを使用する必要がありますが、異なるキー・バージョンを使用できます。ソース・データベースとターゲット・データベースで異なるキーが使用されている場合、リモート・クローニングまたは再配置操作は失敗します。

キーは、リモート・クローニングおよび再配置操作の後、ターゲット・キー・ボールト内でローテーションされます。そのため、ターゲット・データベース内のリモート・クローンまたは再配置されたプラガブル・データベースに対して新しいキー・バージョンが生成されます。