証跡ファイル暗号化(リストア時のデータ)

証跡ファイルなどのすべての顧客関連データに加え、バインドされたリカバリなどの依存/派生データ、ディスク上のオーバーフロー/ステージング・データは、Oracle GoldenGate環境で暗号化された形式で保持されます。

Oracle GoldenGateでは、様々な暗号化技術を使用して保存データを保護します。暗号化はマスター・キーを使用して行われ、複数のマスター・キーの使用をサポートしています。

Oracle GoldenGateには、証跡ファイル暗号化のためのAESベースの方法が用意されています。証跡ファイル暗号化の機能は次のとおりです。

ANSI X9.102は、カプセル化暗号化に使用されるキー・ラップ・アルゴリズムです。
各証跡ファイル(ローカル・キー)のデータ暗号化キー(DEK)が含まれます。
暗号化バージョンのローカル・キーが証跡ファイル・ヘッダーに含まれ、データ暗号化キーを暗号化するためにマスター・キーが使用されます。
暗号化レベルは、AES 256、AES128、AES192です。

Oracle GoldenGate暗号化キーの保管にKMSを使用する理由

証跡ファイルのOracle GoldenGate暗号化は、マスター・キーの保管にOKVまたはOCI KMS(キー管理サービス)として使用することで強化されます。

Oracle GoldenGateは、証跡ファイルを作成するたびに、新しい暗号化キーを自動的に生成します。この暗号化キーによって、証跡の内容が暗号化されます。マスター・キーは、暗号化キーを暗号化します。この暗号化キーを暗号化するプロセスはキー・ラップと呼ばれています(詳細は、米国標準委員会の標準ANS X9.102を参照してください)。

キー管理とは、企業内で暗号化キーを管理することを指します。また、必要に応じてキーの生成、交換、保管、使用および置換を処理します。KMSには、キー・サーバー、ユーザー・プロシージャおよびプロトコルも含まれます。企業のセキュリティは、キー管理の成否によって決まります。

Oracle GoldenGateでKMSを使用する利点は次のとおりです。

マスター・キーの一元的なライフサイクル管理。カスタム属性を使用することによってマスター・キーを生成してOracle Key Vaultに直接アップロードできます。また、KMS内でライフサイクル・メンテナンス・タスクを直接実行できます。
Oracle GoldenGateは、マスター・キーをローカルに保管する必要はなく、マスター・キーのライフサイクル管理には関与しません。
Oracle GoldenGateは、キー管理に複数のセキュリティ・レイヤーを提供する特別なKMS機能を利用できます。

Oracleキー管理サービス

Oracle GoldenGateには、キー管理のための次の方法があります。

ローカルWallet: 暗号化マスター・キーはローカル・ウォレット・ファイルに格納されます。
Oracle Key Vault (OKV): 暗号化マスター・キーは、Oracle Key Vaultに格納されます。このOracle Key Vaultサービスは、Oracle GoldenGateとは異なるサーバーに配置できます。

OKV方法は、オンプレミスのOracle GoldenGate証跡暗号化にお薦めします。この方法はOracle GoldenGate Microservices Architectureで使用でき、Oracle GoldenGateで暗号化プロファイルを定義する必要があります。「Oracle GoldenGateでのOracle Key Vault証跡ファイルの暗号化の使用」を参照してください。
Oracle Cloud Infrastructure Key Management Service (OCI KMS): 暗号化マスター・キーはOCI KMSに格納されます。マスター・キーはOCI KMSから離れることはありません。Oracle GoldenGateデプロイメントがOCI KMSにアクセスできる場合にこの方法をお薦めします。

この方法はOracle GoldenGate Microservices Architectureで機能し、Oracle GoldenGateで暗号化プロファイルを定義する必要があります。「OCI KMS証跡ファイルの暗号化を有効にするためのOracle GoldenGateプロセスの構成」を参照してください。
サードパーティー暗号化プロファイルプラグインサービス: サードパーティーの暗号化プロファイルプラグインサービスは、Linuxでのみ使用できます。encyrptionプロファイルのプラグイン・サービスを設定および構築するには、証跡ファイル暗号化のためのプラグイン・サービスの使用を参照してください。

キャッシュされたファイルの暗号化サポート

Oracle GoldenGate 26ai以降、キャッシュ・ファイルなどのアウトソース・ユーザー・データは、証跡ファイルに使用されるものと同じ暗号化アルゴリズムで暗号化されます。

永続BRファイルの暗号化サポート

Oracle GoldenGate 26ai以降、バインドされたリカバリ(BR)永続データ・ファイル(PCDF)などの外部ソース・ユーザー・データは、証跡ファイルに使用されるものと同じ暗号化アルゴリズムで暗号化されます。