Oracle Break Glassの顧客管理キー

Fusion Applications環境のセキュリティ機能へのアクセスを制限するために、個別のセキュリティ管理者グループを作成することをお薦めします。

セキュリティ管理者グループのポリシーによって、グループはボールトおよびキーを管理できますが、削除は許可されません。ポリシーは次のとおりです:

allow group '<identity-domain-name'/'<your-group-name>' to manage keys in <location> where request.permission not in ('KEY_DELETE')
allow group '<identity-domain-name'/'<your-group-name>' to manage vaults in <location> where request.permission not in ('VAULT_DELETE')
 

セキュリティ管理者ロールに必要な特定の権限など、ロールを定義するグループおよびポリシーを作成する手順は、特定のジョブ・ファンクションを使用したOracle Cloudユーザーの管理を参照してください。

Fusion Applications管理者の権限を追加するには:

1. Fusion Applications管理者ロールの作成については、特定のジョブ・ファンクションを使用したOracle Cloudユーザーの管理の手順を参照してください。
2. 次のステートメントをFusion Applications環境管理者ロールに追加します(まだ存在しない場合):

   
   Allow group '<identity-domain-name'/'<your-group-name>' to read vaults in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to read keys in compartment <location>
   Allow group '<identity-domain-name'/'<your-group-name>' to use key-delegate in compartment <location>

すべての<location>変数を、ボールトおよびキーが作成されたコンパートメントの名前に置き換えてください。

次のステートメントを使用して、OC1レルムにポリシーを作成します:

define tenancy fusionapps1 as ocid1.tenancy.oc1..aaaaaaaau5s6lj67ia5vy6qjglhvquqdszjqlmvlmsetu4jrtjni4mng6hea
define tenancy fusionapps2 as ocid1.tenancy.oc1..aaaaaaaajgaoycccrtt3l3vnnlave6wkc2zbf6kkksq66begstczxrmxjlia
define dynamic-group fusionapps1_environment as ocid1.dynamicgroup.oc1..aaaaaaaa5wcbybhxa5vqcvniefoihlvnidty4fk77fitn2hjhd7skhzaadqq
define dynamic-group fusionapps2_environment as ocid1.dynamicgroup.oc1..aaaaaaaaztbusgx23a3jdpvgxqx6tkv2nedgxld6pj3w7hcvhfzvw5ei7fiq
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to manage keys in tenancy
admit dynamic-group fusionapps1_environment of tenancy fusionapps1 to use vaults in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to manage keys in tenancy
admit dynamic-group fusionapps2_environment of tenancy fusionapps2 to use vaults in tenancy
allow service keymanagementservice to manage vaults in tenancy
allow any-user to read keys in tenancy where all {request.principal.type = 'fusionenvironment'}
allow any-user to read vaults in tenancy where all {request.principal.type = 'fusionenvironment'}

または、権限を特定のコンパートメントに制限するには、例に示すテナンシのかわりにコンパートメントを指定します。各コンパートメントのポリシー・ステートメントがない場合は、作成する必要があります。コンパートメントのポリシー・ステートメントを追加するには、ポリシーの作成を参照してください。各コンパートメントに既存のポリシー・ステートメントがある場合は、それらを更新する必要があります。各コンパートメントのポリシー・ステートメントを更新するには、ポリシーのステートメントの更新を参照してください。

将来、キーまたはボールト・コンパートメントを変更する場合は、ポリシーも更新する必要があります。そうしないと、Fusion環境がキーにアクセスできないため、中断が発生する可能性があります。ボールトのコンパートメントを検索するには、Vaultの詳細の取得を参照してください。

VaultドキュメントのVaultの作成の手順に従います。

本番環境キー用と非本番環境キー用の2つのボールトを作成することをお薦めします。

ボールトを作成したら、本番環境に作成したボールトをレプリケートします。レプリケートされたボールトは、ディザスタ・リカバリに使用されます。

1. 本番Fusion Applications環境が配置されているリージョンのディザスタ・リカバリ・リージョンのペアリングを確認します。リージョンのペアリングのリストは、ディザスタ・リカバリのサポートを参照してください。
2. リージョンのペアリングとしてリストされたリージョンをサブスクライブします。リージョンをサブスクライブするには、インフラストラクチャ・リージョンへのサブスクライブを参照してください。
3. ボールトおよびキーのレプリケートのステップに従って、本番環境に作成したボールトをレプリケートします。レプリケーションの宛先リージョンを選択する場合は、前のステップでサブスクライブしたディザスタ・リカバリ・リージョンを必ず選択してください。

Vaultドキュメントのマスター暗号化キーの作成の手順に従うか、独自のキーをインポートするには、公開RSAラッピング・キーの取得およびキー・マテリアルをラップするためのAESを使用したRSA-OAEPの適用の手順に従います。

Fusion Applicationsのキーを作成する場合は、次の選択を行う必要があります:

• 「キー・シェイプ: アルゴリズム」で、「AES (暗号化および復号化に使用される対称キー)」を選択します(Fusion Applicationsの顧客管理キーの場合、このオプションを選択する必要があります)。
• 「キー・シェイプ: 長さ」で、「256ビット」を選択します。

本番環境用の本番ボールトに1つのキーを作成し、非本番ボールト内の非本番環境ごとに1つのキーを作成することをお薦めします。

ボールトとキーを作成した後、ボールト・コンパートメント名、ボールト名とキー名(および異なる場合はキー・コンパートメント名)をFusion Applications管理者に提供します。

この手順には、顧客管理キーを有効にするステップのみが含まれます。環境を作成する完全な手順については、環境管理タスクを参照してください。

環境の作成ページで:

1. 「拡張オプションの表示」を選択します。
2. 「暗号化」 タブを選択します。

3. 「顧客管理キー(推奨)」を選択します。

   

   このオプションが表示されない場合、サブスクリプションが環境ファミリに追加されていません。

4. 「Vault」を選択します。ボールトが環境の作成先と同じコンパートメントにない場合は、「コンパートメントの変更」をクリックし、適切なコンパートメントを選択する必要があります。
5. 「キー」を選択します。キーが環境の作成先と同じコンパートメントにない場合は、「コンパートメントの変更」をクリックし、適切なコンパートメントを選択する必要があります。AES-256-bitキーのみが表示されます。

環境を設定するためのすべてのステップを完了すると、プロビジョニング・プロセスが開始されます。顧客管理キーを追加すると、プロビジョニング・プロセスに時間がかかります。キーが有効になっている間、環境が使用不可であることを警告するメッセージが表示されます。

既存の環境で顧客管理キーを有効にするには:

1. 環境にナビゲートします: コンソールの「アプリケーション・ホーム」で、「Fusion Applications」を選択します。「概要」ページで、環境の環境ファミリを検索し、環境名を選択します。
2. 「リソース」で、「セキュリティ」を選択します。「暗号化」タブが表示されます。
3. デフォルトでは、「タイプ」はOracle管理です。「暗号化の編集」を選択して、ボールトおよびキーを追加します。

   編集オプションが表示されない場合は、適切なオプションを追加していないか、環境が更新中です。

4. 「顧客管理キー」を選択します。

   
5. 「Vault」を選択します。ボールトが環境の作成先と同じコンパートメントにない場合は、「コンパートメントの変更」を選択し、適切なコンパートメントを選択します。ディザスタ・リカバリ(DR)を使用している場合は、レプリケーションをサポートするボールトを選択する必要があります。すべてのプライベート・ボールトはレプリケーションをサポートしています。仮想ボールトについては、仮想ボールトがレプリケーションをサポートしているかどうかを確認する方法の詳細は、ボールトおよびキーのレプリケートを参照してください。
6. 「マスター暗号化キー」を選択します。キーが環境の作成先と同じコンパートメントにない場合は、「コンパートメントの変更」を選択し、適切なコンパートメントを選択します。AES-256-bitキーのみが表示されます。

7. 「暗号化更新スケジュール」セクションで、時間ウィンドウを選択して、暗号化管理の更新を開始する時間を指定します。環境の次のスケジュール済メンテナンス実行がいつであるかに応じて、最大3つの日付が表示されます。

   選択リスト内の日付の1つが、次回のスケジュール済メンテナンスの日付であることに注意してください。次のスケジュール済メンテナンスの日付を選択すると、ヒント・テキストに「上で選択した日付が次のスケジュール済メンテナンス日です」というメッセージが表示されます。

   

   次のイメージに示すように、次のスケジュール済メンテナンス日のヒント・テキストが表示されます:

   

   次に注意してください:

   • デフォルトでは、時間ウィンドウに、次回のスケジュール済メンテナンス更新のオプションが表示されます。このオプションを使用し、顧客管理キーを有効にするために更新を取り消すか再スケジュールする必要がある場合は、Oracle Supportに連絡する必要があります。
   • Oracleには、次回のスケジュール済メンテナンス更新の時間ではない2つの時間ウィンドウが用意されています。これら2つのウィンドウのいずれかを選択した場合は、OCIコンソールを使用して更新を取り消すか、再スケジュールして顧客管理キーを有効にできます。
8. 「送信」を選択して、環境内の顧客管理キーを有効にする更新をリクエストします。

暗号化の実行がスケジュールされると、ウィンドウの下部にメッセージが表示されます。暗号化は、指定した時間枠で実行されます。メンテナンスが発生するまで、環境はOracle管理キーによって暗号化されたままになります。

1. 環境にナビゲートします: コンソールの「アプリケーション・ホーム」で、「Fusion Applications」を選択します。「概要」ページで、環境の環境ファミリを検索し、環境名を選択します。
2. 「リソース」で、「セキュリティ」を選択します。「暗号化」タブが表示されます。
3. 暗号化オプションの表で、「顧客管理」行を見つけて「アクション」メニュー()を選択し、「再スケジュール」または「取消」を選択します。

4. 再スケジュールのみ:顧客管理キーの更新を再スケジュールする場合は、ドロップダウン・メニューを使用して新しい日付を選択し、「送信」を選択します。

   ノート
   
   定期的にスケジュールされたメンテナンス以外の顧客管理キーを有効にする場合は、更新用に選択した時間が、リフレッシュ操作などの他の重要な環境アクティビティと競合しないようにしてください。リフレッシュ操作の場合、リフレッシュの実行中は、顧客管理キーのソース環境もターゲット環境も更新できません。

   取消のみ:更新を取り消す場合は、環境名を入力して更新を取り消すことを確認し、「スケジュール済キーの取消」を選択します。