注意：

• 本教程需要访问 Oracle Cloud。要注册免费账户，请参阅开始使用 Oracle Cloud Infrastructure 免费套餐。
• 它对 Oracle Cloud Infrastructure 身份证明、租户和区间使用示例值。完成实验室后，请使用特定于云环境的那些值替换这些值。

在 DR 钻取计划中将客户管理的密钥与 Oracle Autonomous Database Serverless 的完全克隆选项集成

简介

Oracle Cloud Infrastructure Full Stack Disaster Recovery (OCI Full Stack DR) 只需单击一下即可编排全球 Oracle Cloud Infrastructure (OCI) 区域之间的计算、数据库和应用转换。客户可以自动执行恢复一个或多个业务系统所需的步骤，而无需重新设计或重新设计现有基础设施、数据库或应用，也不需要专门的管理或转换服务器。

Oracle Autonomous Database Serverless 提供易于使用、完全自治的数据库，可弹性扩展并提供快速查询性能。作为一种服务，Oracle Autonomous Database 不需要进行传统的数据库管理。

Autonomous Database Serverless 的一些主要功能包括：

• 无需配置或管理任何硬件。
• 无需安装任何软件。
• 自动处理以下各项：
  • 预配数据库。
  • 正在备份数据库。
  • 打补丁和升级。
  • 根据使用情况向上或向下扩展数据库。
• 全面的弹性服务。

Autonomous Database Serverless 为透明数据加密 (Transparent Data Encryption，TDE) 提供两个选项来加密数据库。

• Oracle 管理的加密密钥。

• 客户管理的加密密钥 (CMK) 。

使用 OCI Full Stack DR，在创建 DR 钻取计划类型时，可以选择三种 Autonomous Database Serverless 克隆类型。这支持多种克隆类型。让我们看看细节。

• 可刷新克隆：

  • 创建只读完整克隆。
  • 可以使用源数据库中的数据进行刷新。

• Full Clone:

  • 使用源数据库数据和元数据创建新数据库
  • 完全克隆是从源数据库创建的独立数据库，这意味着您无法从源数据库刷新数据。

• 快照备用：

  • 将灾难恢复对等方转换为快照备用。
  • 以读写模式打开数据库。
  • 临时停止源数据库中的数据刷新。

默认的预选选项是为 DR 钻取创建和使用可刷新克隆。但是，如果您选择完全克隆选项来执行 DR 钻取，则现在可以通过新功能指定在创建完全克隆时要使用的客户管理的密钥。

注：此功能仅适用于使用“完全克隆”选项时的 DR 钻取计划。创建可刷新克隆时，Autonomous Database Serverless 不支持使用客户管理的密钥。

有关 Autonomous Database Serverless 及其克隆类型的更多信息，请参见 Using Oracle Autonomous Database Serverless Manage the Service 。

有关主加密密钥管理的更多信息，请参见 About Master Encryption Key Management on Autonomous Database 。

体系结构描述

本教程介绍了如何使用客户管理的加密密钥在 OCI Full Stack DR Start Drill 计划中添加 Autonomous Database Serverless 以及使用完全克隆选项。

在此设置中，Autonomous Database Serverless 使用跨区域 Oracle Autonomous Data Guard 进行设置，从主区域到备用区域。

要在 OCI Full Stack DR 中设置此项，请确保将主要 Autonomous Database Serverless 添加到主要保护组中，将备用 Autonomous Database Serverless 添加到备用保护组。

仅当在添加 Autonomous Database Serverless 成员时，在 DR 钻探成员属性的备用类型中选择完全克隆时，此功能才可用。

在启动钻取计划执行期间，OCI Full Stack DR 将在备用区域中创建具有客户管理的密钥的 Autonomous Database Serverless 数据库。

整个教程中的定义和假设

• 区域：

  • 第 1 个区域是伦敦：伦敦最初将作为主要区域。

  • 第 2 区域是法兰克福：法兰克福最初将用作备用区域。

• 区间：您可以随意将此部署和 OCI Full Stack DR 组织到符合 IT 治理标准的任何区间方案中。我们已选择将本教程的所有 OCI 资源组织在一个区间中。

目标

本教程包含以下任务：

• 任务 1：验证两个区域中的 Vault、加密密钥和密钥。
• 任务 2：验证 Autonomous Database Serverless Oracle Autonomous Data Guard 和数据库在这两个区域中是否使用了客户管理的加密密钥。
• 任务 3：在两个区域中创建 DR 保护组 (DR Protection Groups，DRPG)。
• 任务 4：将成员添加到 DR 保护组。
• 任务 5：在区域 2 中创建“开始钻取”计划。
• 任务 6：在区域 2 中运行预检查和开始钻取计划。
• 任务 7：在区域 2 中创建停止钻取计划。
• 任务 8：在区域 2 中运行预检查并停止钻取计划。

先决条件

我们将使用以下资源从教程开始。在本教程结束时，我们将在两个区域中创建 DR 保护组，添加成员，创建 DR 计划并运行这些计划。

资源	区域 1 - 伦敦	区域 2 - 法兰克福
对象存储存储桶	fsdr- 桶 -lon	fsdr- 桶帧
自治数据库	阑尾	appdev_FRA
Vault	fsdr-vault-santhosh-lhr	fsdr-vault-santhosh-lhr
加密密钥	suraj	suraj
密钥（数据库管理员口令）	阿姨	阿姨

在本教程中，我们将介绍如何为启动钻取 DR 计划完全克隆选项添加具有客户管理的密钥的 Autonomous Database Serverless。在继续之前，您必须继续并完成所有必需的先决条件。这些步骤为顺利、成功的 OCI Full Stack DR 设置奠定了基础。跳过其中任何一个可能会导致 DR 计划执行期间出现问题。

• 管理访问或必需的 Oracle Cloud Infrastructure Identity and Access Management (OCI IAM) 策略：确保您具有管理员权限或配置必要的 OCI IAM 策略以使用 OCI Full Stack DR。有关详细信息，请参见以下主题：

  • IAM 策略文档
  • 配置 IAM 策略（博客）

• 在两个区域中创建 OCI 对象存储存储桶：这些存储桶将存储 DR 操作期间生成的日志。有关详细信息，请参阅日志的对象存储。

• 在主区域中创建 Autonomous Database Serverless，在 DR 区域设置跨区域 Oracle Autonomous Data Guard：有关更多信息，请参见：

  • 预配或克隆 Autonomous Database 。
  • 添加跨区域备用数据库。

• 在 DR 区域中创建 Vault、密钥和复制 Vault 及其密钥：有关更多信息，请参见：

  • 创建 Vault 。
  • 复制 Vault 及其密钥。

• 在两个区域的 Vault 中创建数据库密钥：有关更多信息，请参见管理 Vault 密钥。

任务 1：验证两个区域中的 Vault、加密密钥和密钥

注：此任务仅用于验证两个区域中预先创建的 Vault、加密密钥和密钥。如果您尚未创建它们，请根据先决条件创建它。

1. 转到 OCI 控制台并导航到 Vault ，如图 1.1 所示。

   1. 确保 OCI 区域上下文设置为“Region 1（伦敦）”。
   2. 单击身份和安全。
   3. 单击 Key Management & Secret Management 。
   4. 单击 Vault 。
   5. 选择 fsdr-vault-santhosh-lhr Vault。
   6. 验证 Replication Role ，该角色应显示为 Source 。
   7. 导航到主加密密钥，您应看到密钥 suraj ，该密钥将在 Autonomous Database Serverless 数据库中用作客户管理的密钥。
   8. 导航到 Secrets ，在将自治数据库添加为 OCI Full Stack DR 保护组中的成员时，您应该看到密钥 atp-lon 。

   
   图 1.1：验证区域 1 中的 Vault

   
   图 1.2：验证区域 1 中的主加密密钥

   
   图 1.3：验证区域 1 中的密钥

   注:

   • Vault 复制将自动将主加密密钥从源区域复制到目标区域，因此您不必在区域 2 中创建主加密密钥。
   • 必须在每个区域中手动创建密钥 (atp-lon)，Vault 复制不会复制密钥。

2. 转到 OCI 控制台并导航到 Vault ，如图 1.4 所示。

   1. 确保 OCI 区域上下文设置为区域 1（法兰克福）。
   2. 单击身份和安全。
   3. 单击 Key Management & Secret Management 。
   4. 单击 Vault 。
   5. 选择 fsdr-vault-santhosh-lhr Vault。
   6. 验证 Replication Role ，该角色应显示为 Destination 。
   7. 导航到主加密密钥，您应看到密钥 suraj ，该密钥将在 Autonomous Database Serverless 数据库中用作客户管理的密钥。
   8. 导航到 Secrets ，在将自治数据库添加为 OCI Full Stack DR 保护组中的成员时，您应该看到密钥 atp-fra 。

   
   图 1.4：验证区域 2 中的 Vault

   
   图 1.5：验证区域 2 中的主加密密钥

   
   图 1.6：验证区域 2 中的密钥

   注：必须在每个区域中手动创建密钥 (atp-fra)，Vault 复制不会复制密钥。

任务 2：验证 Autonomous Database Serverless、Oracle Autonomous Data Guard 和数据库是否在两个区域都使用客户管理的加密密钥

注：此任务仅用于根据先决条件验证预创建的具有跨区域 Oracle Autonomous Data Guard 设置的 Autonomous Database Serverless 数据库。

1. 转到 OCI 控制台并导航到自治数据库，如图 2.1 所示。

   1. 确保 OCI 区域上下文设置为“Region 1（伦敦）”。
   2. 单击 Oracle Database 。
   3. 单击 Autonomous Database 。
   4. 选择 appdev 数据库。
   5. appdev 数据库将处于 Primary 角色。
   6. 导航到 Autonomous Database 信息中的标题部分。
   7. 单击灾难恢复。
   8. 验证对等自治数据库详细信息。它应显示数据库名称、对等角色、区域、 DR 类型。Oracle Autonomous Data Guard 将在区域 2（法兰克福）中启用。

   
   图 2.1：验证区域 1 中的 ADB CMK

   
   图 2.2：验证区域 1 中的 Autonomous Data Guard

2. 转到 OCI 控制台并导航到自治数据库，如图 2.3 所示。

   1. 确保 OCI 区域上下文设置为区域 1（法兰克福）。
   2. 单击 Oracle Database 。
   3. 单击 Autonomous Database 。
   4. 选择 appdev_FRA 数据库。
   5. appdev_FRA 数据库将处于 Standby 角色。
   6. 导航到 Autonomous Database 信息中的标题部分。
   7. 单击灾难恢复。
   8. 验证对等自治数据库详细信息。它应显示数据库名称、对等角色、区域、 DR 类型。将在区域 1（伦敦）中启用 Oracle Autonomous Data Guard。

   
   图 2.3：验证区域 2 中的 ADB CMK

   
   图 2.4：验证区域 2 中的 Autonomous Data Guard

任务 3：在两个区域中创建 DR 保护组 (DR Protection Groups，DRPG)

如果此应用程序堆栈的保护组尚不存在，请在区域 1 和区域 2 中创建 DR 保护组。

任务 3.1：在区域 1 中创建保护组

1. 转到 OCI 控制台并导航到 DR 保护组，如图 3.1 所示。

   1. 确保 OCI 区域上下文设置为“Region 1（伦敦）”。
   2. 单击 Migration & Disaster Recovery 。
   3. 单击 DR 保护组。

   
   图 3.1：导航到 DR 保护组

2. 在区域 1 中创建一个基本 DR 保护组 (DRPG)，如图 3.2 所示。在后面的步骤中将分配对等节点、角色和成员。

   1. 选择要在其中创建 DRPG 的区间。
   2. 单击创建 DR 保护组。
   3. 输入 DRPG 的 Name（名称）。
   4. 为 OCI 全栈 DR 日志选择 OCI 对象存储桶。
   5. 单击创建。

   
   图 3.2：在区域 1 中创建 DR 保护组所需的参数

任务 3.2：在区域 2 中创建保护组

1. 转到 OCI 控制台并导航到 DR 保护组，如图 3.3 所示。

   1. 确保 OCI 区域上下文设置为“Region 2”（法兰克福）。
   2. 单击 Migration & Disaster Recovery 。
   3. 单击 DR 保护组。

   
   图 3.3：导航到 DR 保护组

2. 在区域 2 中创建一个基本 DR 保护组 (DRPG)，如图 3.4 所示。在后面的步骤中将分配对等节点、角色和成员。

   1. 选择要在其中创建 DRPG 的区间。
   2. 单击创建 DR 保护组。
   3. 输入 DRPG 的 Name（名称）。
   4. 为 OCI 全栈 DR 日志选择 OCI 对象存储桶。
   5. 单击创建。

   
   图 3.4：在区域 2 中创建 DR 保护组所需的参数

任务 3.3：关联区域 1 和区域 2 中的保护组

将每个区域中的 DRPG 相互关联，并为主数据库和备用数据库分配对等角色。在执行任何 DR 操作/DR 计划过程中，OCI 全栈 DR 会自动更改主数据库和备用数据库角色；无需随时手动管理角色。

1. 转到 DR 保护组详细信息页。

   1. 确保 OCI 区域上下文设置为区域 1（伦敦）。
   2. 单击关联以开始该过程。

   
   图 3.5 开始 DRPG 关联

2. 输入参数，如下图中所示。

   1. 角色：选择主要角色。OCI Full Stack DR 将自动将备用角色分配给区域 2。
   2. 对等区域：选择创建其他 DRPG 的区域 2（法兰克福）。
   3. 对等 DR 保护组：选择已创建的对等 DRPG。
   4. 单击关联。

   
   图 3.6：关联 DRPG 所需的参数

完成关联后，OCI Full Stack DR 将显示如下图中所示的内容。

• 目前的主要同行 DRPG 是伦敦（区域 1）。

• 当前备用对等设备 DRPG 是法兰克福（区域 2）。

图 3.7：从单个 DRPG 角度显示对等关系

每当从全局角度显示所有 DR 保护组时，都可以找到相同的信息，如下图中所示。

• 目前的主要同行 DRPG 是伦敦（区域 1）。

• 当前备用对等设备 DRPG 是法兰克福（区域 2）。

图 3.8：从全局 DRPG 角度显示对等关系

任务 4：将成员添加到 DR 保护组

注：您应该已经创建了 Autonomous Database Serverless，并且跨区域 Oracle Autonomous Data Guard 已启用客户管理的密钥，从区域 1 到区域 2。如果没有，请根据先决条件创建它。

任务 4.1：在区域 1 中向 DRPG 添加成员

1. 选择区域 1 中的 DRPG，如下图中所示。

   1. 确保 OCI 区域上下文为区域 1（伦敦）。
   2. 在“Region 1（区域 1）”中选择 DRPG。
   3. 选择成员。
   4. 单击添加成员可开始该过程。

   
   图 4.1：如何开始向区域 1 中的 DR 保护组添加成员

2. 添加自治数据库作为成员。

   1. 确认有关 DR 计划的警告。
   2. 输入计算作为成员自治数据库。
   3. 选择 appdev 作为自治数据库。这是主数据库。
   4. 在 Standby type for DR Drill 中选择 Full clone 。这一点非常重要，因为 Autonomous Database Serverless 客户管理的密钥的新功能仅在您选择完全克隆时才适用。对于两个克隆选项，选择客户管理的密钥不可取。
   5. 选择 atp-lon 作为数据库密码密钥。此管理员密码将用于在开始钻取期间创建克隆数据库。
   6. 选择 fsdr-vault-santhosh-lhr 作为 Destination vault 。
   7. 选择 suraj 作为目标加密密钥。
   8. 验证所有详细信息，然后单击添加。

   
   图 4.2：已将 ADB-S 添加到区域 1 中的 DRPG

因此，我们已成功将所需成员添加到区域 1 中的 DR 保护组。

任务 4.2：在区域 2 中向 DRPG 添加成员

1. 选择区域 2 中的 DRPG，如下图中所示。

   1. 确保 OCI 区域上下文为“区域 1”（法兰克福）。
   2. 在“Region 2（区域 2）”中选择 DRPG。
   3. 选择成员。
   4. 单击添加成员可开始该过程。

   
   图 4.3：如何开始向区域 2 中的 DR 保护组添加成员

2. 将自治数据库添加为成员。

   1. 确认有关 DR 计划的警告。
   2. 输入计算作为成员自治数据库。
   3. 选择 appdev_FRA 作为自治数据库。这是备用数据库。
   4. 在 Standby type for DR Drill 中选择 Full clone 。注：这很重要，因为 Autonomous Database Serverless 客户管理的密钥的新功能仅在选择完全克隆时才适用。选择客户管理的密钥不可用于两个克隆选项。
   5. 选择 atp-fra 作为数据库密码密钥。此管理员密码将用于在开始钻取期间创建克隆数据库。
   6. 选择 fsdr-vault-santhosh-lhr 作为 Destination vault 。
   7. 选择 suraj 作为目标加密密钥。
   8. 验证所有详细信息，然后单击添加。

   
   图 4.4：已将 ADB-S 添加到区域 2 中的 DRPG

因此，我们已成功将所需成员添加到区域 2 中的 DR 保护组。

任务 5：在区域 2 中创建开始钻取计划

在此任务中，由于该功能仅与钻探计划相关，因此我们将仅创建开始钻探和停止钻探计划。

OCI Full Stack DR 将使用从前面的任务中添加的成员资源派生的内置步骤预填充这些计划。DR 计划始终在具有备用角色的保护组中创建。由于区域 2（法兰克福）目前是备用保护组，因此我们将在那里开始创建计划。

任务 5.1：创建开始追溯 DR 计划

1. 通过选择区域 2（法兰克福）中的 DRPG 创建开始钻取计划。

   1. 确保 OCI 区域上下文为“区域 2”（法兰克福）。
   2. 在区域 2 中选择备用 DRPG。
   3. 选择计划。
   4. 单击创建计划以开始该过程。

   
   图 5.1：如何在区域 2 中开始创建开始钻取计划

2. 创建开始钻取计划。

   1. 为开始钻取输入简单且有意义的名称。这个名字应该尽可能短，但很容易一眼就能理解，以帮助减少危机期间的混乱和人为错误。
   2. 选择计划类型作为开始钻取。
   3. 单击创建。

   
   图 5.2：创建 DR 启动钻取计划所需的参数

3. 区域 2 中的备用 DR 保护组现在应该具有启动钻取计划，如下图中所示。这有助于从在区域 1 中运行的主 Autonomous Database Serverless 创建区域 2 中 Autonomous Database Serverless 的完整克隆。

   
   图 5.3：显示必须存在于区域 2 中的启动 DR 计划，然后再继续操作

任务 6：在区域 2 中运行预检查和开始钻取计划

在任务 5 中创建的开始钻取计划包含内置到 OCI Full Stack DR 中的恢复任务的预填充步骤。

验证“开始钻取”计划。

图 6.1：开始钻取计划的计划组

任务 6.1：为开始钻取计划运行预检查

1. 确保区域上下文设置为备用区域 2。
2. 确保在区域 2 中选择了正确的 DR 保护组，它应该是备用角色。
3. 单击“开始钻取”计划名称。
4. 单击运行预检查。

图 6.2：显示如何运行开始钻取计划的预检查

图 6.2：显示“开始钻取”计划的已完成预检查

任务 6.2：在区域 2 中运行开始追溯

运行启动钻取 DR 计划，这将在区域 2 中使用客户管理的密钥创建新的 Autonomous Database Serverless。

1. 确保区域上下文设置为备用区域 2。

2. 确保在区域 2 中选择了正确的 DR 保护组，它应该是备用角色。

3. 单击“开始钻取”计划名称。

4. 单击执行计划。

5. 取消选择启用预检查，因为它们已在任务 6.1 中执行。

6. 单击执行 DR 计划以开始。

   
   图 6.3：显示如何运行“开始钻取”计划

   监视“开始钻取”计划。在大约 10 分钟内成功完成启动钻取计划的执行。

   
   图 6.4：显示已完成的开始钻取计划执行。

7. 让我们验证区域 2 中使用的 Autonomous Database Serverless 数据库 (appdev_DRDrillClone)。从 Oracle Database 部分导航到 Autonomous Database 。您可以看到，完整的克隆数据库已创建并可供使用。您还可以验证 OCI Full Stack DR 成员属性中提供的客户管理的密钥是否已被使用。

   
   图 6.5：已创建显示克隆 ADB。

8. 验证 DR 保护组状态。由于已执行“开始钻取”计划，DR 保护组状态将显示为无效（正在钻取），要使其处于活动状态，您必须运行停止钻取计划，我们将在下一个任务中执行该计划。

   
   图 6.6：区域 2 中的正在钻取

   
   图 6.7：区域 1 中的正在钻取

   注：只有成功执行切换和故障转移 DR 计划时，保护组的角色才会更改。

任务 7：在区域 2 中创建停止钻取计划

停止钻取计划将终止在开始钻取执行过程中创建的 Autonomous Database Serverless 数据库。

1. 通过选择区域 2（法兰克福）中的 DRPG 创建停止钻取计划。

   1. 确保 OCI 区域上下文为“区域 2”（法兰克福）。
   2. 在区域 2 中选择备用 DRPG。
   3. 选择计划。
   4. 单击创建计划以开始该过程。

   
   图 7.1：如何在区域 2 中开始创建停止钻取计划

2. 创建停止钻取计划。

   1. 为停止钻取输入简单且有意义的名称。
   2. 选择计划类型作为停止钻取。
   3. 单击创建。

   
   图 7.2：创建 DR 停止钻取计划所需的参数

3. 区域 2 中的备用 DR 保护组现在应该具有停止钻取计划，如下图中所示。这将有助于终止在开始钻取计划执行期间创建的完整克隆。

   
   图 5.3： 显示在继续之前必须存在于区域 2 中的停止钻取计划

任务 8：在区域 2 中运行预检查和停止追溯计划

在任务 7 中创建的停止钻取计划包含内置到 OCI Full Stack DR 中的恢复任务的预填充步骤。

验证停止钻取计划。

图 8.1：开始钻取计划的计划组

任务 8.1：运行停止钻取计划的预检查

1. 确保区域上下文设置为备用区域 2。
2. 确保在区域 2 中选择了正确的 DR 保护组，它应该是备用角色。
3. 单击停止钻取计划名称。
4. 单击运行预检查。

图 8.2：显示如何运行停止钻取计划的预检查

图 8.3 显示停止钻取计划的已完成预检查

任务 8.2：在区域 2 中运行停止钻取

运行停止钻取 DR 计划，这将终止在启动钻取计划执行中创建的 Autonomous Database Serverless。

1. 确保区域上下文设置为备用区域 2。

2. 确保在区域 2 中选择了正确的 DR 保护组，它应该是备用角色。

3. 单击停止钻取计划名称。

4. 单击执行计划。

5. 取消选择启用预检查，因为它们已在任务 8.1 中执行。

6. 单击执行 DR 计划以开始。

   
   图 8.3：显示如何运行停止钻取计划

   监视停止钻取计划。停止钻取计划的执行大约在 3 分钟内成功完成。

   
   图 8.4：显示已完成的停止钻取计划执行。

7. 让我们验证在区域 2 中终止的 Autonomous Database Serverless 数据库 appdev_DRDrillClone 。从 Oracle Database 部分导航到 Autonomous Database 。您可以看到完整的克隆数据库已终止。

   
   图 8.5：显示克隆 ADB 已终止。

8. 验证 DR 保护组状态。由于停止钻取计划已执行，因此 DR 保护组状态将显示为活动。现在，您可以创建其他计划，运行属于区域 2 中保护组的其他 DR 计划。

   
   图 8.6：在区域 2 中处于活动状态

   
   图 8.7：区域 1 中的正在钻取

   注：只有成功执行切换和故障转移 DR 计划时，保护组的角色才会更改。

相关链接

• 在 DR 钻取计划中将客户管理的密钥与 Oracle Autonomous Database Serverless 的完全克隆选项结合使用

• Oracle Cloud Infrastructure Full Stack Disaster Recovery

• OCI Full Stack Disaster Recovery 文档

• 预配或克隆 Autonomous Database

• 创建 Vault

• 加入 #full-stack-dr 闲置通道

确认

• 作者 — Suraj Ramesh（OCI 全栈 DR 产品经理）

更多学习资源

浏览 docs.oracle.com/learn 上的其他实验室，或者访问 Oracle Learning YouTube 渠道上的更多免费学习内容。此外，请访问 education.oracle.com/learning-explorer 成为 Oracle Learning Explorer。

有关产品文档，请访问 Oracle 帮助中心。

---

标题和版权信息

Integrate Customer-Managed Keys with Full Clone Option for Oracle Autonomous Database Serverless in DR Drill Plans

G33411-01

Copyright ©2025, Oracle and/or its affiliates.