シークレットのレプリケート

シークレットを作成する場合、最大3つの他のリージョンでシークレットをレプリケートするオプションがあります。シークレットを作成した後に、シークレットを編集してレプリケーションを有効にすることもできます。シークレットのレプリカを作成する場合は、ターゲット・リージョン、そのリージョン内のターゲット・ボールト、およびシークレットに使用する暗号化キーを指定します。レプリカ・シークレットおよびシークレット・バージョンは、ソース・シークレットおよびシークレット・バージョンと同じOCIDsを使用します。レプリカ・シークレットは、シークレットに対するテナンシの地域制限を目的として、ソース・シークレットとともにカウントされます。

レプリケーションを有効にすると、OCIは次のものをレプリケートします。

• 秘密の内容
• シークレットのメタデータおよび設定
• シークレットのバージョン

このレプリカは読取り専用で、編集できません。ソース・シークレットを編集または削除すると、変更または削除操作がシークレットのレプリカにも適用されます。レプリカがあるシークレットで機能を無効にすると、レプリカが削除されます。ソース・シークレットを編集して、ソース・シークレットを保持しながらレプリカを個別に削除することもできます。

作業リクエストを使用して、シークレット・レプリケーションのステータスおよびクロス・リージョン・レプリケーション操作の進行状況をモニターできます。シークレット・サービスでの作業リクエストの使用の詳細は、シークレット作業リクエストを参照してください。

シークレット・レプリカを管理するには、次の手順を使用します:

• シークレットの作成: 新しいシークレット・レプリカとクロスリージョン・レプリカを同時に作成する場合。
• リージョン間シークレット・レプリケーションの構成: 既存のシークレットのリージョン間レプリカを作成します。
• シークレット・レプリカのリスト: ソース・シークレットのレプリカのリストを表示します。
• シークレットの詳細の表示: シークレット・レプリカの詳細を表示します。
• シークレットの編集: ソース・シークレットの詳細を編集します。シークレット・レプリカは読取り専用であり、ソース・シークレットに対して行われた更新がレプリカに渡されることに注意してください。
• シークレットのコンテンツの更新: ソース・シークレットのコンテンツを更新します。シークレット・レプリカは読取り専用であり、ソース・シークレットに対して行われた更新がレプリカに渡されることに注意してください。
• シークレット・レプリカの削除: ソース・シークレットを保持している間に1つ以上のシークレット・レプリカを削除します。
• シークレットの削除: ソース・シークレットとそのすべてのレプリカを同時に削除します。

オプションで、APIまたはCLIを使用して、レプリケートされたシークレットの書込み転送を有効にできます。レプリケートされたシークレットは読取り専用ですが、書込み転送では、レプリケートされたシークレットを書込み操作用にターゲット指定し、その操作を最初にソース・シークレットに自動的に適用してから、非同期更新を介してすべてのソース・シークレットのレプリカに適用できます。

たとえば、日本東部(東京)リージョンでレプリケートされる米国東部(アッシュバーン)リージョンにソース・シークレットがある場合、更新のために日本東部(東京)のレプリカ・シークレットをターゲットにできます。その後、更新リクエストは米国東部(アッシュバーン)のソース・シークレットに転送され、そのシークレットに対して自動的に実行されます。ソース・シークレットが更新されると、更新リクエストは、日本東部(東京)のレプリカを含むすべてのソース・シークレットのレプリカに自動的に適用されます。

制限事項

シークレットの安全性とセキュリティを確保するために、書込み転送機能には、次の制限が適用されます。

• 次の操作には書込み転送を使用できません。

  • シークレット削除のスケジューリング
  • シークレットの削除の取消し
  • ソース・シークレットのレプリケーション構成の更新
• 新しいシークレットを作成する場合、書込み転送を有効にできますが、書込み転送機能では、リモート・リージョンのボールトをソース・シークレットの宛先としてサポートしていません。
• 書込み操作は非同期に実行され、更新は最初にソース・シークレットに適用されるため、レプリカで更新を開始してからレプリカのリージョンで更新が完了するまでの遅延が予想されます。作業リクエストを使用して、更新の進行状況をモニターできます。シークレット・サービスでの作業リクエストの使用の詳細は、シークレット作業リクエストを参照してください。
• レプリカのリージョンで更新をリクエストするエンティティには、ソース・シークレットのリージョンおよびレプリカが存在するリージョンで更新を実行する権限が必要です。
• OCIコンソールで書込み転送を有効にすることはできません。書込み転送を有効にするには、これらの操作に対してCreateSecretおよびUpdateSecret APIまたはCLIコマンドを使用します。APIで、isWriteForwardEnabledをtrueに設定して機能を有効にします。

シークレットのリージョン間レプリケーションを有効にするには、次の両方のポリシー・タイプを構成します:

• レプリケーション構成の追加を許可するユーザー・プリンシパル・ポリシー。
• コールの実際のレプリケーションを許可するリソース・プリンシパル・ポリシー。

この項の権限情報を使用して、両方のポリシーを設定します。

Allow group Admins to manage secrets in compartment CompartmentName # for granting SECRET_CREATE, SECRET_UPDATE, SECRET_REPLICATE_CONFIGURE
Allow group Admins to use keys in compartment CompartmentName       # for granting KEY_ENCRYPT, KEY_DECRYPT
Allow group Admins to use vaults in compartment CompartmentName     # for granting VAULT_CREATE_SECRET

All {resource.type = 'vaultsecret', resource.compartment.id = '<compartment ID>'}

Allow dynamic-group SecretDG to use vaults in compartment CompartmentName             # for granting VAULT_CREATE_SECRET
Allow dynamic-group SecretDG to use keys in compartment CompartmentName               # for granting KEY_ENCRYPT, KEY_DECRYPT
Allow dynamic-group SecretDG to use tag-namespaces in tenancy                         # for granting USE TAG-NAMESPACES permission