Autonomous Exadata VMクラスタ(AVMC)のプロビジョニング中にOracle管理の自己署名証明書が自動的に生成され、そのAVMCで作成されたすべてのデータベースに適用されます。

自己署名証明書は自動的に生成され、AVMCに関連付けられます。ただし、データベースに接続する前に、Autonomous Databaseクライアント・ウォレットをダウンロードする必要があります。自己署名証明書では、ウォレットを使用しないデータベースへの接続はオプションではありません。データベースのウォレットをダウンロードする手順は、「クライアント資格証明のダウンロード」を参照してください。

組織のセキュリティ・コンプライアンスのニーズを満たすために、Oracle Cloud Infrastructure (OCI)コンソールまたはAPIを使用してOracle管理の自己署名証明書をローテーションできます。Refer to Manage Security Certificates for an Autonomous Exadata VM Cluster Resource for step-by-step instructions.これは証明書ローテーションと呼ばれます。

新しくプロビジョニングされたAutonomous Exadata VMクラスタ(AVMC)リソースの場合、Oracle管理の自己署名証明書は作成から13か月の有効性を持ちます。コンソールまたはAPIを使用してSSL証明書をローテーションすると、サーバー側証明書とクライアント側証明書の両方がローテーションされ、有効性が13か月にリセットされます。Oracle管理のサーバー側またはクライアント側の証明書が失効前にローテーションされない場合、Oracleはそれらを自動的にローテーションし、新しいウォレットを生成します。

データベースSSL証明書の場合、証明書のローテーションによって既存の証明書がすぐに無効になることはありません。

証明書のローテーションから2週間以内に、証明書のローテーションの前後にダウンロードしたAutonomous Databaseクライアント・ウォレットを使用してデータベースに接続できます。

証明書のローテーションから2週間後:

• 証明書のローテーション前にダウンロードされたデータベース・ウォレットは無効になり、データベースへの接続に使用できません。
• 証明書のローテーションから2週間以内にダウンロードされたデータベース・ウォレットはアクティブなままであり、データベースへの接続に使用できます。
• 証明書ローテーションから2週間後にダウンロードされた新しいデータベース・ウォレットは、データベースへの接続に使用できます。

これを例で説明します。

SSL証明書(C1など)が期限切れになり、この証明書が2月1日にローテーションされたとします。2月1日から2月14日まで、古い証明書(C1)は引き続き使用できます。古い証明書(C1)を引き続き使用するか、データベース接続用にローテーションされた証明書(C2)の新しいデータベース・ウォレットをダウンロードできます。2月1日から2週間後、つまり2月14日以降、古い証明書(C1)は無効になり、データベース接続に使用できません。この2週間で、証明書ローテーション後にダウンロードしたデータベース・ウォレット(C2)を引き続き使用できます。また、新しいデータベース・ウォレットをダウンロードして、ローテーションから2週間後にデータベース接続に使用を開始することもできます。

データベースSSL証明書を最新のローテーションから2週間以内にローテーションすることもできます。このシナリオでは、古い証明書(最初のローテーションによって無効化される)がすぐに無効になります。次の証明書(最初のローテーションの結果)はアクティブなままであり、3番目の証明書(2番目のローテーションの結果)は2番目のローテーションから2週間のアクティブ化を待機します。最初のローテーションの前にダウンロードされたデータベース・ウォレットは、2回目のローテーションの直後に無効化されます。最初のローテーション後にダウンロードしたデータベース・ウォレットを使用して、2番目のローテーションから2週間後までデータベースへの接続を続行できます。2回目のローテーションから2週間後、2回目のローテーション後にダウンロードされたクライアント・ウォレット(2回目のローテーション以降から2週間以内にダウンロードされたウォレット)を使用してのみデータベースに接続できます。

前述の例で、2月1日から2週間以内に同じ証明書(C1)を再度ローテーションすると、証明書は二重ローテーションを受けます。この場合、古い証明書(最初のローテーションの前の証明書、つまりC1)はただちに無効化されます。最初のローテーション(C2)の結果の証明書はアクティブなままであり、2番目のローテーションの結果の3番目の証明書(C3など)は、2番目のローテーションから2週間のアクティブ化を待機します。2回目のローテーションから2週間後、最初のローテーション(C2)の結果の証明書も無効になり、2回目のローテーションの前にダウンロードされたデータベース・ウォレットはデータベース接続に使用できなくなります。この2週間で、証明書ローテーション後にダウンロードしたデータベース・ウォレット(C3)を引き続き使用できます。また、新しいデータベース・ウォレットをダウンロードして、2回目のローテーションから2週間後にデータベース接続に使用を開始することもできます。

ORDS SSL証明書の場合、証明書のローテーションによって既存のすべてのアプリケーション接続が失われ、ORDSを再起動することをお薦めします。前述の2週間のバッファ期間は、ORDS SSL証明書をローテーションする場合には適用されません。

独自の証明書を持ち込むには、証明書の作成で示すように、まずOracle Cloud Infrastructure (OCI)証明書サービスを使用して証明書を作成する必要があります。これらの証明書は署名済で、PEM形式である必要があります。つまり、ファイル拡張子は.pem、.cerまたは.crtのみである必要があります。

CA署名付きサーバー側証明書を作成したら、AVMCとともにインストールして、その中に作成されたすべてのデータベースでセキュアな接続にこの証明書を使用できるようにする必要があります。BYOC証明書とAVMCの関連付けは、OCIコンソールの「証明書の管理」ダイアログから簡単に行えます。このダイアログで、「独自の証明書の持込み」を選択し、選択リストから以前に作成した証明書を選択します。オプションで、CA証明書に認証局およびCAバンドルを指定することもできます。Refer to Manage Security Certificates for an Autonomous Exadata VM Cluster Resource for step-by-step instructions.

組織のセキュリティ・コンプライアンスのニーズを満たすために、Oracle Cloud Infrastructure (OCI)コンソールまたはAPIを使用して、CA署名のサーバー側証明書をローテーションできます。Refer to Manage Security Certificates for an Autonomous Exadata VM Cluster Resource for step-by-step instructions.

有効期限より前にローテーションする必要があり、有効な証明書を指定するまで、このAVMC上のデータベースにTLSポートで到達できないデータベースが失敗します。ただし、1521などの非TLSポート上のデータベースには引き続きアクセスできます。