Documentação do Oracle Cloud Infrastructure

Guias Práticos

Um conjunto de tarefas e procedimentos para gerenciar o Exadata Database Service on Dedicated Infrastructure.

Ativação do Data Guard entre Regiões

Verifique os pré-requisitos para ativar o Data Guard entre regiões quando os bancos de dados usam soluções de gerenciamento de chaves do provedor de serviços em nuvem (CSP).

Observação

No momento, a Oracle suporta os seguintes serviços de gerenciamento de chaves do provedor de serviços em nuvem para gerenciar chaves de criptografia mestras de TDE (Transparent Data Encryption) ao configurar o Data Guard entre regiões:

  • Microsoft Azure: Azure Key Vault (Padrão e Premium) e HSM Gerenciado
  • Google Cloud: Chaves de Criptografia Gerenciadas pelo Cliente (CMEK)
  • AWS: AWS Key Management Service (KMS) e CloudHSM

Tópico principal: Guias Práticos

Pré-requisitos

Certifique-se de que os requisitos a seguir sejam atendidos antes de configurar o Data Guard entre Regiões.

Requisitos de Replicação e Gerenciamento de Chaves

O recurso de chave de criptografia deve ser replicado da região de origem para a região de destino. Dependendo do serviço de gerenciamento de chaves usado, isso inclui replicar o vault, o keyring ou a chave de criptografia.

Requisitos de Configuração do Cluster de VMs

O cluster de VMs que hospeda o banco de dados stand-by deve atender aos seguintes requisitos:

  • Um conector de identidade deve ser criado (aplicável ao usar o Azure Key Vault).
  • O gerenciamento de chaves do provedor de serviços em nuvem deve ser ativado para o cluster de VMs usando um dos serviços suportados:
    • AKV (Azure Key Vault)
    • Chaves de Criptografia Gerenciadas pelo Cliente (CMEK) do Google Cloud
    • AWS Key Management Service (AWS KMS)

Para obter etapas de configuração detalhadas, consulte as seguintes seções:

Orientação Adicional para Recuperação de Desastres

Para obter informações sobre como implementar a recuperação de desastres entre regiões usando o Active Data Guard com implementações multicloud, consulte os seguintes guias de solução:

Restrições

Esteja ciente das seguintes limitações:

  • Os bancos de dados contêineres (CDBs) de origem e destino devem usar a mesma chave de criptografia mestra de TDE.
  • Não há suporte para PDBs clone atualizáveis no banco do dados stand-by

Replicar Recursos Principais entre Regiões

Antes de replicar recursos de criptografia entre regiões, certifique-se de que todos os pré-requisitos sejam atendidos.

  1. Abra o menu de navegação.
  2. Clique em Oracle AI Database, depois em Database Multicloud Integrations e, em seguida, em um dos seguintes:
    • Integração do Microsoft Azure
    • Google Cloud Integration
    • Integração da AWS

Para replicar um Azure Key Vault

  1. Clique em Chave Vaults do Azure.
  2. Selecione o vault necessário na lista.
  3. No menu Ações, selecione Replicar vault de chaves do Azure.
  4. Selecione a região de destino.
  5. Clique em Replicar.

    Após a conclusão da operação, você pode exibir os detalhes do vault de chaves replicado, incluindo a região e o status da replicação, na guia Replicação entre Regiões.

Para replicar um Keyring do GCP

  1. Clique em Anéis de Chave do GCP.
  2. Selecione o keyring necessário na lista.
  3. No menu Ações, selecione Replicar keyring do GCP.
  4. Selecione a região de destino.
  5. Clique em Replicar.

    Após a conclusão da operação, você pode exibir os detalhes do keyring replicado, incluindo a região e o status da replicação, na guia Replicação entre Regiões.

Para replicar uma chave da AWS

  1. Clique em Chaves de AWS.
  2. Selecione a chave obrigatória na lista.
  3. No menu Ações, selecione Replicar Chave da AWS.
  4. Selecione a região de destino.
  5. Clique em Replicar.

    Após a conclusão da operação, você pode exibir os detalhes da chave replicada, incluindo a região e o status da replicação, na guia Replicação entre Regiões.

Excluir Recursos de Criptografia Replicados

Exclua recursos de criptografia replicados somente após confirmar que não existem associações ou dependências ativas.

  1. Abra o menu de navegação.
  2. Clique em Oracle AI Database, depois em Database Multicloud Integrations e, em seguida, em um dos seguintes:
    • Integração do Microsoft Azure
    • Google Cloud Integration
    • Integração da AWS

Para excluir um Vault de Chaves do Azure

  1. Clique em Chave Vaults do Azure.
  2. Selecione o compartimento.

    A lista de vaults é exibida.

  3. Selecione o vault no qual você está interessado.
  4. No menu Ações, selecione Excluir.
  5. Na caixa de diálogo de confirmação, informe DELETE para confirmar a ação.
  6. Clique em Excluir.

Para excluir um Keyring do GCP

  1. Clique em Anéis de Chave do GCP.
  2. Selecione o compartimento.

    A lista de Anéis-Chave do GCP é exibida.

  3. Selecione o Keyring no qual você está interessado.
  4. No menu Ações, selecione Excluir.
  5. Na caixa de diálogo de confirmação, informe DELETE para confirmar a ação.
  6. Clique em Excluir.

Para excluir uma chave da AWS

  1. Clique em Chaves de AWS.
  2. Selecione o compartimento.

    A lista de Chaves AWS é exibida.

  3. Selecione a chave da AWS na qual você está interessado.
  4. No menu Ações, selecione Excluir.
  5. Na caixa de diálogo de confirmação, informe DELETE para confirmar a ação.
  6. Clique em Excluir.

Diretrizes de Exclusão de Recursos de Criptografia

Diretrizes para excluir recursos de criptografia replicados e não replicados em vários provedores de serviços de nuvem, com base em sua associação e status de replicação.

Recurso de Criptografia Não Replicada

Vault de Chaves do Azure

Um Azure Key Vault não poderá ser excluído se tiver associações ativas do Identity Connector.

Para continuar:

  1. Identifique as associações do Conector de Identidade que fazem referência ao Azure Key Vault <OCID> em <REGION>.
  2. Remova a(s) associação(ões) ou reatribua recursos dependentes a outro Key Vault.
  3. Repita a operação de exclusão.

Google Cloud KMS (Chave de Criptografia Gerenciada pelo Cliente, CMEK)

Um Keyring do GCP não pode ser excluído se contiver chaves ativamente associadas a recursos (por exemplo, bancos de dados criados usando o CMEK).

Para continuar:

  1. Identifique os recursos que estão usando chaves no Keyring.
  2. Reconfigure esses recursos para usar outra chave de criptografia ou exclua os recursos dependentes.
  3. Repita a operação de exclusão quando todas as associações forem removidas.

AWS Key Management Service (AWS KMS)

Uma chave do AWS KMS não poderá ser excluída se tiver associações ativas (por exemplo, bancos de dados criptografados usando o AWS KMS).

Observação

As chaves do AWS KMS não são excluídas imediatamente; elas devem ser programadas para exclusão e estão sujeitas a um período de espera obrigatório.

Para continuar:

  1. Identifique recursos atualmente criptografados com a chave KMS.
  2. Reconfigurar ou excluir os recursos dependentes.
  3. Programe a chave para exclusão depois que todas as dependências forem removidas.

Principais Conclusões

  • Sempre verifique associações ativas antes de tentar excluir.
  • Os recursos replicados exigem atendimento adicional, pois podem existir associações entre regiões principal e stand-by.
  • Recursos não replicados seguem regras específicas do provedor de nuvem e não podem ser excluídos até que as dependências sejam removidas.

Recurso de Criptografia Replicado

Você pode excluir um recurso de criptografia replicado da região principal ou de uma região stand-by.

  • Exclusão da região principal:

    O recurso é excluído da região principal e removido automaticamente de todas as regiões stand-by (replicadas) associadas.

  • Exclusão de uma região stand-by:

    O recurso só é excluído da região stand-by selecionada. O recurso permanece inalterado na região principal e em quaisquer outras regiões stand-by.

Estados do Ciclo de Vida de Recursos de Criptografia Replicados

Um recurso de criptografia replicado pode estar em um dos seguintes estados do ciclo de vida.

  • CREATING: O recurso de criptografia replicado está sendo criado.
  • ATIVO: O recurso de criptografia replicado foi criado com sucesso e está operacional.
  • ATUALIZAÇÃO: O recurso de criptografia replicado está sendo modificado.
  • DELETING: O recurso de criptografia replicado está em processo de exclusão.
  • DELETED: O recurso de criptografia replicado foi excluído e não está mais disponível.
  • FAILED: Falha na operação de recurso de criptografia replicada. Revise os logs associados ou as mensagens de erro para obter mais informações.

Ative o Data Guard para Bancos de Dados usando os Serviços de Gerenciamento de Chaves do Azure, Google Cloud e AWS

Antes de ativar o Data Guard, verifique a configuração do gerenciamento de chaves no banco de dados principal.

  1. Navegue até a página Detalhes do Banco de Dados do banco de dados principal, na qual você planeja ativar o Data Guard.
  2. Na seção Criptografia, revise os valores em Gerenciamento de Chaves.

Confirme os valores com base no seu serviço de gerenciamento de chaves configurado:

  • Se estiver usando o Azure Key Vault
    • Gerenciamento de Chaves: Azure Key Vault
    • Vault: nome do Vault
    • Chave: Valor da chave
  • Se estiver usando o Google Cloud CMEK
    • Key Management: CMEK (Chave de Criptografia Gerenciada pelo Cliente) do GCP
    • Anel chave: Valor do anel chave
    • Chave: Valor da chave
  • Se estiver usando o AWS KMS
    • Key Management: Chave Gerenciada pelo Cliente (CMK) da AWS
    • Chave: Valor da chave

Para obter o procedimento genérico de ativação do Data Guard, consulte Para Ativar o Data Guard em um Sistema Exadata Cloud Infrastructure.