Chaves Gerenciadas pelo Cliente para o Oracle Break Glass

É recomendável criar um grupo de administradores de segurança distinto para limitar o acesso aos recursos de segurança dos seus ambientes do Fusion Applications.

A política do grupo de administradores de segurança permite que o grupo gerencie vaults e chaves, mas não permite exclusão. A política é:

allow group '<identity-domain-name'/'<your-group-name>' to manage keys in <location> where request.permission not in ('KEY_DELETE')
allow group '<identity-domain-name'/'<your-group-name>' to manage vaults in <location> where request.permission not in ('VAULT_DELETE')
 

Consulte Gerenciando Usuários do Oracle Cloud com Funções Específicas para obter os procedimentos de criação de grupos e políticas para definir atribuições, incluindo as permissões exigidas específicas para a atribuição de administrador de segurança.

Para adicionar as permissões para o Administrador do Fusion Applications:

1. Consulte o procedimento Gerenciando Usuários do Oracle Cloud com Funções Específicas, que descreve a criação da atribuição de administrador do Fusion Applications.
2. Adicione as seguintes instruções à atribuição Administrador do Ambiente do Fusion Applications, se ainda não estiverem presentes:

   
   Allow group '<identity-domain-name'/'<your-group-name>' to read vaults in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to read keys in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to use key-delegate in compartment <location>

Certifique-se de substituir todas as variáveis <location> pelo nome do compartimento no qual o vault e as chaves foram criados.

Crie uma política no realm OC1 com as seguintes instruções:

define tenancy fusionapps1 as ocid1.tenancy.oc1..aaaaaaaau5s6lj67ia5vy6qjglhvquqdszjqlmvlmsetu4jrtjni4mng6hea
define tenancy fusionapps2 as ocid1.tenancy.oc1..aaaaaaaajgaoycccrtt3l3vnnlave6wkc2zbf6kkksq66begstczxrmxjlia
define dynamic-group fusionapps1_environment as ocid1.dynamicgroup.oc1..aaaaaaaa5wcbybhxa5vqcvniefoihlvnidty4fk77fitn2hjhd7skhzaadqq
define dynamic-group fusionapps2_environment as ocid1.dynamicgroup.oc1..aaaaaaaaztbusgx23a3jdpvgxqx6tkv2nedgxld6pj3w7hcvhfzvw5ei7fiq
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to manage keys in tenancy
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to use vaults in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to manage keys in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to use vaults in tenancy
allow service keymanagementservice to manage vaults in tenancy
allow any-user to read keys in tenancy where all {request.principal.type = 'fusionenvironment'}
allow any-user to read vaults in tenancy where all {request.principal.type = 'fusionenvironment'}

Como alternativa, para restringir permissões a compartimentos específicos, especifique o compartimento em vez da tenancy mostrada no exemplo. Se você não tiver instruções de política para cada compartimento, precisará criá-las. Para adicionar instruções de política para seus compartimentos, consulte Criando uma Política. Se você tiver instruções de política existentes para cada compartimento, precisará atualizá-las. Para atualizar instruções de política para cada compartimento, consulte Atualizando Instruções de uma Política.

Observe que, se você alterar os compartimentos de chave ou vault no futuro, também deverá atualizar as políticas. Caso contrário, seu Ambiente Fusion não poderá acessar suas chaves, o que poderá causar interrupção. Para localizar o compartimento do vault, consulte Obtendo Detalhes de um Vault.

Siga o procedimento Creating a Vault na documentação do Vault.

É recomendável criar 2 vaults: um para suas chaves de ambiente de produção e outro para suas chaves de ambiente que não é de produção.

Depois de criar os vaults, replique o vault criado para seu ambiente de produção. O vault replicado é usado para recuperação de desastre.

1. Verifique o pareamento da região de recuperação de desastres para a região em que seu ambiente de produção do Fusion Applications está localizado. Consulte Suporte de Recuperação de Desastres para obter a lista de pareamentos de regiões.
2. Inscreva-se na região listada como pareamento para sua região. Para se inscrever em uma região, consulte Inscrevendo-se em uma Região de Infraestrutura.
3. Replique o vault criado para seu ambiente de produção seguindo as etapas em Replicando Vaults e Chaves. Ao selecionar a região de destino para replicação, certifique-se de escolher a região de recuperação de desastre na qual você se inscreveu na etapa anterior.

Siga o procedimento Criando uma Chave de Criptografia Principal na documentação do Vault ou, para importar suas próprias chaves, siga os procedimentos em Obtendo Chave de Encapsulamento RSA Pública e Aplicando RSA-OAEP com AES para Quebrar Material da Chave.

Faça as seguintes seleções ao criar chaves para o Fusion Applications:

• Para Forma da Chave: Algoritmo, selecione AES (Chave simétrica usada para Criptografia e Decriptografia (selecione essa opção para chaves gerenciadas pelo cliente do Fusion Applications).
• Para Forma da Chave: Tamanho, selecione 256 bits.

É recomendável criar uma chave no vault de produção para seu ambiente de produção e uma chave para cada ambiente não de produção no vault não de produção.

Depois de criar o vault e as chaves, forneça o nome do compartimento do vault, o nome do vault e o nome da chave (e o nome do compartimento da chave, se for diferente) para o administrador do Fusion Applications.

Este procedimento inclui apenas as etapas para ativar a chave gerenciada pelo cliente. Consulte Tarefas de Gerenciamento de Ambientes para obter o procedimento completo para criar um ambiente.

Na página de criação do ambiente:

1. Selecione Mostrar opções avançadas.
2. Selecione a tab Criptografia .

3. Selecione Chave gerenciada pelo cliente (recomendado).

   

   Se você não vir essa opção, a assinatura não foi adicionada à família de ambientes.

4. Selecione o Vault. Se o seu vault não estiver no mesmo compartimento no qual você está criando seu ambiente, clique em Alterar Compartimento e escolha o compartimento apropriado.
5. Selecione a Chave. Se a sua chave não estiver no mesmo compartimento no qual você está criando seu ambiente, clique em Alterar Compartimento e escolha o compartimento apropriado. Somente chaves AES de 256 bits são exibidas.

Depois que você concluir todas as etapas para configurar o ambiente, o processo de provisionamento será iniciado. A adição da chave gerenciada pelo cliente adiciona tempo ao processo de provisionamento. Enquanto a chave estiver sendo ativada, você verá uma mensagem alertando que o ambiente está indisponível.

Para ativar uma chave gerenciada pelo cliente para um ambiente existente:

1. Navegue até o ambiente: Na Home de Aplicativos da Console, selecione Fusion Applications. Na página Visão Geral, localize a família do ambiente e selecione o nome do ambiente.
2. Em Resources, selecione Security. A guia Criptografia é exibida.
3. Por padrão, o Tipo é gerenciado pela Oracle. Selecione Editar criptografia para adicionar seu vault e sua chave.

   Se você não vir a opção de edição, não adicionou as opções apropriadas ou o ambiente está sendo atualizado.

4. Selecione chave gerenciada pelo cliente.

   
5. Selecione o Vault. Se o seu vault não estiver no mesmo compartimento no qual você está criando seu ambiente, selecione Alterar Compartimento e selecione o compartimento apropriado. Se você estiver usando DR (recuperação de desastre), selecione um vault que suporte replicação. Todos os vaults privados suportam replicação. Para vaults virtuais, consulte Replicando Vaults e Chaves para obter informações sobre como determinar se um vault virtual suporta replicação.
6. Selecione a Chave principal de criptografia. Se sua chave não estiver no mesmo compartimento no qual você está criando seu ambiente, selecione Alterar Compartimento e selecione o compartimento apropriado. Somente chaves AES de 256 bits são exibidas.

7. Na seção Programação de atualização de criptografia, selecione a janela de tempo para especificar o horário em que deseja que a atualização do gerenciamento de criptografia comece. Até três datas são exibidas, dependendo de quando é a próxima execução de manutenção programada para o ambiente.

   Observe que uma das datas na lista de opções é a data da próxima manutenção programada. Se você selecionar a data da próxima manutenção programada, o texto de dica exibirá a mensagem "A data selecionada acima é a próxima data de manutenção programada".

   

   O texto de dica da próxima data de manutenção programada é exibido conforme mostrado na seguinte imagem:

   

   Observe o seguinte:

   • Por padrão, a janela de tempo mostra a opção da próxima atualização de manutenção programada. Se você usar essa opção e precisar cancelar ou reprogramar a atualização para ativar chaves gerenciadas pelo cliente, entre em contato com o Suporte Técnico da Oracle.
   • A Oracle fornece dois intervalos de tempo que não são o horário da próxima atualização de manutenção programada. Se você selecionar uma dessas duas janelas, poderá usar a Console do OCI para cancelar ou reprogramar a atualização para ativar chaves gerenciadas pelo cliente.
8. Selecione Enviar para solicitar a atualização que permite chaves gerenciadas pelo cliente em seu ambiente.

A mensagem na parte inferior da janela é exibida quando a criptografia está programada para ocorrer. A criptografia é executada durante o período especificado. Até que a manutenção ocorra, o ambiente permanecerá criptografado pela chave gerenciada pela Oracle.

1. Navegue até o ambiente: Na Home de Aplicativos da Console, selecione Fusion Applications. Na página Visão Geral, localize a família do ambiente e selecione o nome do ambiente.
2. Em Resources, selecione Security. A guia Criptografia é exibida.
3. Na tabela de opções de criptografia, localize a linha "Gerenciada pelo cliente" e selecione o menu Ações e, em seguida, selecione Reprogramar ou Cancelar.

4. Somente reprogramar: Se você estiver reprogramando a atualização para Chaves Gerenciadas pelo Cliente, selecione uma nova data usando o menu drop-down e, em seguida, selecione Submeter.

   Observação
   
   Se você estiver ativando chaves gerenciadas pelo cliente fora de uma manutenção programada regularmente, certifique-se de que o tempo escolhido para a atualização não entre em conflito com outras atividades de ambiente importantes, como uma operação de atualização. Para operações de atualização, isso significa que nem o ambiente de origem nem o de destino podem ser atualizados para chaves gerenciadas pelo cliente enquanto a atualização está ocorrendo.

   Somente cancelar: Se você estiver cancelando a atualização, digite o nome do ambiente para confirmar que deseja cancelar a atualização e selecione Cancelar chave programada.