Chaves Gerenciadas pelo Cliente para o Oracle Break Glass

Recomendamos que você crie um grupo distinto de administradores de segurança para limitar o acesso aos recursos de segurança dos seus ambientes Fusion Applications.

A política do grupo de administradores de segurança permite que o grupo gerencie vaults e chaves, mas isso não permite exclusão. A política é:

allow group '<identity-domain-name'/'<your-group-name>' to manage keys in <location> where request.permission not in ('KEY_DELETE')
allow group '<identity-domain-name'/'<your-group-name>' to manage vaults in <location> where request.permission not in ('VAULT_DELETE')
 

Consulte Gerenciando Usuários do Oracle Cloud com Funções Específicas do Job para ver os procedimentos para criar grupos e políticas para definir atribuições, incluindo as permissões específicas necessárias para a atribuição do administrador da segurança.

Para adicionar as permissões para o administrador do Fusion Applications:

1. Consulte Gerenciando Usuários do Oracle Cloud com Funções Específicas do Job, que descreve a criação da função de administrador do Fusion Applications.
2. Adicione as seguintes instruções à atribuição Administrador do Ambiente do Fusion Applications, se ainda não estiverem presentes:

   
   Allow group '<identity-domain-name'/'<your-group-name>' to read vaults in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to read keys in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to use key-delegate in compartment <location>
                                   

Certifique-se de substituir todas as variáveis <location> pelo nome do compartimento no qual o vault e as chaves foram criados.

Crie uma política no realm OC1 com as seguintes instruções:

define tenancy fusionapps1 as ocid1.tenancy.oc1..aaaaaaaau5s6lj67ia5vy6qjglhvquqdszjqlmvlmsetu4jrtjni4mng6hea
define tenancy fusionapps2 as ocid1.tenancy.oc1..aaaaaaaajgaoycccrtt3l3vnnlave6wkc2zbf6kkksq66begstczxrmxjlia
define dynamic-group fusionapps1_environment as ocid1.dynamicgroup.oc1..aaaaaaaa5wcbybhxa5vqcvniefoihlvnidty4fk77fitn2hjhd7skhzaadqq
define dynamic-group fusionapps2_environment as ocid1.dynamicgroup.oc1..aaaaaaaaztbusgx23a3jdpvgxqx6tkv2nedgxld6pj3w7hcvhfzvw5ei7fiq
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to manage keys in tenancy
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to use vaults in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to manage keys in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to use vaults in tenancy
allow service keymanagementservice to manage vaults in tenancy
allow any-user to read keys in tenancy where all {request.principal.type = 'fusionenvironment'}
allow any-user to read vaults in tenancy where all {request.principal.type = 'fusionenvironment'}

Siga o procedimento para Criando um Vault na documentação do Vault. Para criar um vault externo, consulte Serviço de Gerenciamento de Chaves Externas.

Recomendamos que você crie 2 vaults: um para as chaves de ambiente para produção e outro para as chaves de ambiente para não produção.

Depois de criar os vaults, replique o vault criado para o ambiente de produção. O vault replicado é usado para recuperação de desastre.

1. Verifique o emparelhamento da região de recuperação de desastre para a região onde o ambiente de produção do Fusion Applications está localizado. Consulte Suporte à Recuperação de Desastres para obter a lista de pareamentos de regiões.
2. Inscreva-se na região listada como pareamento para sua região. Para se inscrever em uma região, consulte Inscrevendo-se em uma Região de Infraestrutura.
3. Replique o vault criado para seu ambiente de produção seguindo as etapas em Replicando Vaults e Chaves. Ao selecionar a região de destino para replicação, certifique-se de selecionar a região de recuperação de desastre na qual você se inscreveu na etapa anterior.

Siga o procedimento Creating a Master Encryption Key na documentação do Vault ou, para importar suas próprias chaves, siga os procedimentos em Importing Keys and Key Versions.

Com o Modo de Proteção de Chave HSM (Hardware Security Module), suas chaves de criptografia são armazenadas e protegidas nos módulos de segurança de hardware com certificação FIPS 140-2 Nível 3.

Faça as seguintes seleções ao criar chaves para o Fusion Applications:

• Para Forma da Chave: Algoritmo, selecione AES (Chave simétrica usada para Criptografar e Decriptografar. (Você deve selecionar esta opção para chaves gerenciadas pelo cliente do Fusion Applications.)
• Para Forma da Chave: Tamanho, selecione 256 bits.

Recomendamos que você crie uma chave no vault de produções para seu ambiente e uma chave para cada ambiente não relacionado à produção no vault não relacionado à produção.

Depois de criar o vault e as chaves, informe ao administrador do Fusion Applications o nome, o nome e a chave do compartimento de vault (e, se diferente, o nome).

Este procedimento inclui apenas as etapas para ativar a chave gerenciada pelo cliente. Consulte Tarefas de Gerenciamento de Ambientes para obter o procedimento completo para criar um ambiente.

Na página de criação do ambiente:

1. Em Opções avançadas, expanda a seção Criptografia.
2. Selecione Chave gerenciada pelo cliente (recomendado).

   Se você não vir essa opção, a inscrição não foi adicionada à família de ambientes.

3. Confirme se as políticas foram criadas.
4. Selecione o vault.

   Se o seu vault não estiver no mesmo compartimento no qual você está criando seu ambiente, selecione o compartimento apropriado.

5. Selecione a chave.

   Se sua chave não estiver no mesmo compartimento no qual você está criando seu ambiente, selecione o compartimento apropriado. Somente chaves AES de 256 bits são exibidas.

Depois que você concluir todas as etapas para configurar o ambiente, o processo de provisionamento será iniciado. A adição da chave gerenciada pelo cliente adiciona tempo ao processo de provisionamento. Enquanto a chave está sendo ativada, uma mensagem exibe um alerta de que o ambiente está indisponível.

Para ativar uma chave gerenciada pelo cliente para um ambiente existente:

1. Na página da lista Ambientes, selecione o ambiente com o qual deseja trabalhar. Se precisar de ajuda para localizar a página da lista, consulte Para listar ambientes.

2. Na página de detalhes do ambiente, selecione Segurança.
3. Em Criptografia, o Tipo é gerenciado pelo sistema Oracle, por padrão. Selecione Editar criptografia para adicionar seu vault e sua chave.

   Se você não vir a opção de edição, não adicionou as opções apropriadas ou o ambiente está sendo atualizado.

4. Selecione Chave gerenciada pelo cliente (recomendado).
5. Confirme se as políticas foram criadas.
6. Selecione o vault.

   Se o seu vault não estiver no mesmo compartimento no qual você está criando seu ambiente, selecione o compartimento apropriado.

   Se você estiver usando a recuperação de desastre (DR), deverá selecionar um vault que suporte replicação. Todos os vaults privados suportam replicação. Para vaults virtuais, consulte Replicando Vaults e Chaves para obter informações sobre como determinar se um vault virtual suporta replicação.

7. Selecione a chave.

   Se sua chave não estiver no mesmo compartimento no qual você está criando seu ambiente, selecione o compartimento apropriado. Somente chaves AES de 256 bits são exibidas.

8. Em Programação de atualização de criptografia, selecione a janela de tempo em que deseja que a atualização de gerenciamento de criptografia seja iniciada. Até três datas são exibidas.
9. Selecione Enviar para solicitar a atualização que permite chaves gerenciadas pelo cliente em seu ambiente.

Uma mensagem na parte inferior da janela será exibida quando a criptografia estiver programada para ocorrer. A criptografia é executada durante a janela de tempo especificada. Até que a atualização ocorra, o ambiente permanecerá criptografado pela chave administrada pela Oracle.

1. Na página da lista Ambientes, selecione o ambiente com o qual deseja trabalhar. Se precisar de ajuda para localizar a página da lista, consulte Para listar ambientes.

2. Na página de detalhes do ambiente, selecione Segurança.
3. Em Criptografia, localize a linha Gerenciada pelo cliente. Selecione o menu Ações (três pontos) e, em seguida, selecione Reprogramar ou Cancelar.
4. Reprogramar somente: Se você estiver reprogramando a atualização para chaves gerenciadas pelo cliente, selecione uma nova data e, em seguida, selecione Submeter.
   Observação
   
   Certifique-se de que o horário escolhido para a atualização não entre em conflito com outras atividades importantes do ambiente, como uma operação de atualização. Para operações de atualização, isso significa que nem o ambiente de origem nem o de destino podem ser atualizados para chaves gerenciadas pelo cliente enquanto a atualização estiver ocorrendo.

   Somente cancelar: Se você estiver cancelando a atualização, digite o nome do ambiente para confirmar que deseja cancelar a atualização e selecione Cancelar chave programada.