客戶管理的加密金鑰簡介

瞭解專用環境的客戶管理加密金鑰。

客戶管理的加密金鑰概要

Oracle NoSQL Database Cloud Service (NDCS) 透過使用資料加密金鑰加密靜態資料，保護資料免於遭受安全漏洞的影響。資料加密金鑰接著會使用主加密金鑰進行加密。NDCS 預設會使用 Oracle 管理的主要加密金鑰。

NDCS 也可讓您使用自己的主要加密金鑰加密資料加密金鑰，稱為客戶管理的加密金鑰 (CMEK)。您必須先在專用環境中啟用 CMEK，才能使用此功能。建立為 CMEK 設定的專用環境時，Oracle NoSQL Database 會使用 OCI 區塊磁碟區，使用您控制的主要加密金鑰來儲存和加密資料庫資料。此外，您環境的資料備份位於 OCI 物件儲存中，也會使用主要金鑰進行加密。若要提出服務單，請參閱要求專用代管環境。

您可以建立及管理自己的主要加密金鑰。NDCS 使用 OCI 金鑰管理服務 (KMS) 將您的主要加密金鑰儲存在保存庫內，並管理其作業狀態。

術語

CMEK 如何運作？

OCI 保存庫服務可讓您在租用戶中建立保存庫，作為加密金鑰的容器。當您在 Vault 中建立 CMEK 時，系統會為其指派唯一的 Oracle Cloud ID (OCID)。

您可以透過 OCI 主控台指派 CMEK 給專屬環境。區塊磁碟區服務和物件儲存體服務使用 CMEK 來加密區塊磁碟區和物件儲存體金鑰。

NDCS 允許您指定新的 CMEK 來支援金鑰輪換。您必須先在保存庫中建立新金鑰。若要觸發循環，您必須從 OCI 主控台更新專用環境中的新金鑰。輪換至新的 CMEK 不會重新加密任何儲存在區塊磁碟區或物件儲存中的資料。它只會重新加密區塊磁碟區和物件儲存金鑰。

區塊磁碟區服務和物件儲存體服務可管理所有資料作業。

CMEK 建立

Oracle NoSQL Database Cloud Service 支援與 OCI Vault 服務的整合，可建立保存庫並使用 KMS 在保存庫中建立、儲存及管理 CMEK。如需保存庫的詳細資訊，請參閱 Oracle Cloud Infrastructure 文件中的 OCI Vault 主題。

您必須先從 OCI 主控台建立 Vault，然後在 Vault 中建立 CMEK。

如需詳細資訊，請參閱 Oracle Cloud Infrastructure 文件中的建立保存庫主題。

圖表 - OCI Vault

影像的描述如下

vault.png 圖解描述

CMEK 建立：

建立 CMEK 時，您可以指定其保護模式、演算法和長度。

請遵循這些步驟來建立 CMEK。如需詳細資訊，請參閱Oracle Cloud Infrastructure 文件中的建立主要加密金鑰主題。

先決條件

程序

  1. 登入您的 OCI 主控台。

  2. 開啟位於左上角的導覽功能表，選取識別與安全性，然後選取保存庫。

  3. 選取包含此保存庫的區間。

  4. 選取您要在其中建立 CMEK 的 Vault 名稱。

  5. 在資源下，選取主要加密金鑰，然後選取建立金鑰。請注意，可以在與保存庫不同的區間中建立金鑰。

  6. 在保護模式中，選取下列其中一個選項：HSM 或軟體。

  7. 輸入識別 CMEK 的名稱。

  8. 若為金鑰型態：演算法，請選取「進階加密標準 (AES)」演算法。KMS 支援 AES、RSA 及 ECDSA 演算法。不過，NDCS 僅允許 CMEK 的對稱金鑰造型。因此，您必須選取產生對稱金鑰的 AES 選項。

  9. 若為金鑰型態：長度，請選取 256 位元的金鑰長度。

  10. 若要匯入外部金鑰，請選取匯入外部金鑰核取方塊，並提供下列詳細資訊：

    • 包裝演算法：選取 RSA_OAEP_AES_SHA256 。OCI 支援此演算法匯入已公開包裝的金鑰。

    • 外部金鑰資料來源：上傳包含已包裝 RSA 金鑰資料的檔案。

  11. 選取建立金鑰。

圖 - 在 Vault 中建立 CMEK

影像的描述如下

createkey.png 圖解描述

注意：Oracle NoSQL Database Cloud Service 僅支援單一版本金鑰。

CMEK 存取：

建立 CMEK 後，您可以將其指定至專屬環境。專用環境中的區塊磁碟區服務和物件儲存體服務會使用 CMEK 的 OCID 在內部存取 CMEK。

圖 - CMEK 詳細資料

影像的描述如下

key_ocid.png 圖解描述

保存庫中的 CMEK 生命週期：

保存庫支援下列作業：

備註：此等候期間已停用 CMEK 的狀態。

如需啟用、停用及刪除 CMEK 的詳細資料，請參閱 CMEK 金鑰管理工作流程。

CMEK 管理操作

Oracle NoSQL Database Cloud Service 可管理 CMEK 在專用環境中的作業。這包括 CMEK 對專用環境的分配、CMEK 旋轉、移除、停用 Vault、重新啟用和刪除。

下表說明涉及 CMEK 管理的任務。如需 CMEK 金鑰管理作業的詳細資訊，請參閱 CMEK 金鑰管理工作流程。

表格 - CMEK 管理任務

使用者工作 NDCS 工作
CMEK 指派：您可以從 OCI 主控台指派 CMEK 給專屬環境。
  • 觸發加密專用環境之區塊磁碟區和物件儲存中的金鑰。
  • 顯示 CMEK 指定起始與完成的通知。
CMEK 旋轉：您更新專用環境中的 CMEK。
  • 觸發重新加密專用環境之區塊磁碟區和物件儲存中的金鑰。
  • 顯示啟動與完成更新處理程序的通知。
CMEK 停用：您從 Vault 停用 CMEK。
  • 檢查與專用環境關聯之 CMEK 的中繼資料和目前狀態。
  • 讓專用環境無法使用。使用 CMEK 的任何資料或資源都無法使用。
  • 停用專用環境中的所有警示。
  • 顯示適當的通知，以通知已停用 Vault 中的 CMEK。
CMEK 重新啟用：您可以從 Vault 重新啟用停用的 CMEK。
  • 無法進行自動服務回復。您必須提出要求回復服務的 CAM 許可證。
  • 只有透過 CAM 票證明確要求才能進行服務還原。
刪除 CMEK：從 Vault 刪除 CMEK。
  • 支援兩個步驟的刪除程序。CMEK 會被指派待刪除狀態，這等同於已停用狀態。達到刪除日期後，CMEK 將永久刪除。
  • 讓專用環境無法使用。以刪除的 CMEK 加密的所有資料在刪除日期後將永久無法存取。
  • 顯示適當的通知，以通知 CMEK 在 Vault 中刪除。
CMEK 移除：您從專屬環境取消 CMEK 指定。
  • 將專用環境回復為 Oracle 管理的金鑰，並觸發重新加密專用環境之區塊磁碟區和物件儲存中的金鑰。
  • 顯示啟動和完成 CMEK 移除的通知。

CMEK 存取控制

Oracle NoSQL Database Cloud Service 使用 Oracle Cloud Infrastructure Identity and Access Management (IAM) 提供對 Oracle 雲端的安全存取。OCI IAM 可讓您實行存取控制以使用 KMS 功能。

您必須建立策略，以存取 Vault、Block Volumes 和 Object Storage 中的 CMEK 以進行所有必要的作業。如需有關原則的詳細資訊，請參閱 Oracle Cloud Infrastructure 文件中的原則的運作方式。

下列是您租用戶中 CMEK 使用量的基本 IAM 原則需求：

  1. 若要授予區塊磁碟區存取權，以在必要區間中使用 CMEK：

    allow service blockstorage to use keys in compartment <name_of_compartment> where target.key.id = <key-ocid>

    其中,

    name_of_compartment: 專用環境中的區間名稱。

    key-ocid: 您 CMEK 的 OCID。

  2. 若要授予區域和區間中的物件儲存，可使用 CMEK：

    allow service objectstorage-<region> to use keys in compartment <name_of_compartment> where target.key.id = <key-ocid>

    其中,

    物件儲存所在的 region: 區域。

    name_of_compartment: 專用環境中的區間名稱。

    key-ocid: 您 CMEK 的 OCID。

  3. 若要授予 Oracle NoSQL Database Cloud Service 對金鑰委派 CMEK 的存取權，請執行下列動作：

    若要允許整合式服務 (例如 NDCS) 在特定區間中使用金鑰，請新增金鑰委派權限。

    allow service nosql-database-cloud to use key-delegate in compartment <name_of_compartment> where target.key.id = <key-ocid>

    其中,

    name_of_compartment: 專用環境中的區間名稱。

    key-ocid: 您 CMEK 的 OCID。

  4. 若要授予 Oracle NoSQL Database Cloud Service 讀取 CMEK 的存取權，請執行下列動作：

    allow service nosql-database-cloud to read keys in compartment <name_of_compartment> where target.key.id = <keyocid>

    其中,

    name_of_compartment: 專用環境中的區間名稱。

    key-ocid: 您 CMEK 的 OCID。圖 - 中小企業政策

影像的描述如下

cmek_policy.png 圖解描述

CMEK 監控與記錄

Oracle NoSQL Database Cloud Service 支援在專用環境中記錄所有 CMEK 相關事件，並提供適當的通知警示。

OCI 稽核日誌

Oracle NoSQL Database Cloud Service 使用 OCI 稽核服務記錄所有金鑰狀態變更。稽核日誌資訊包括：

OCI 警示

Oracle NoSQL Database Cloud Service 使用 OCI Monitoring 服務，透過度量和警示功能，主動和被動監控您的雲端資源。您可以根據下列指標設定 OCI 警示：

表格 - CMEK 度量與警示

度量 顯示名稱 Unit - 單位 描述
加密金鑰狀態 加密金鑰狀態 整數

Oracle NoSQL Database Cloud Service 所見加密金鑰的狀態。

如果值為 0，則會停用加密金鑰。

如果值為 1，則會啟用加密金鑰，並能夠執行加密 / 解密。

Oracle 管理的金鑰一律會傳回 1。
加密金鑰類型 加密金鑰類型 整數

目前指派給 Oracle NoSQL Database Cloud Service 的加密金鑰類型。

如果值為 0，則會使用 Oracle 管理的金鑰。

如果值為 1，則會改用 CMEK。

OCI 主控台

Oracle NoSQL Database Cloud Service 使用 OCI 通知服務，在 OCI 主控台上顯示受影響專用環境的嚴重警示。

您將會收到下列 CMEK 相關事件的通知：

警示包含下列項目：

CMEK 服務可用性

Oracle NoSQL Database Cloud Service 會監控 Vault 中的 CMEK 服務可用性，並在停用或刪除 CMEK 時強制執行適當的動作。當您的專用環境因 CMEK 問題而無法使用或無法復原時，NDCS 會提供清楚的錯誤訊息和記錄檔。

如果停用 CMEK，Oracle NoSQL Database Cloud Service 會觸發下列動作：

如需停用 CMEK 的詳細資料，請參閱停用 CMEK 。

如果刪除 CMEK，Oracle NoSQL Database Cloud Service 會觸發下列動作：

如需有關刪除 CMEK 的詳細資訊，請參閱 CMEK 刪除。

如果已重新啟用 CMEK，Oracle NoSQL Database Cloud Service 會建議下列動作：

如需重新啟用 CMEK 的詳細資訊，請參閱 CMEK Restore 。

相關主題