OCI Vault, KMS, Logging en beveiliging op STACKIT

De migratie in zeven stappen

Het antwoord vooraf: regel eerst identiteit, dan sleutels, dan secrets, dan logs, en controleer elk onderdeel voordat u de bron uitfaseert.

1. 01

   1. Inventariseer de beveiligingsomgeving

   Maak een lijst van vaults, sleutels, secrets, loggroepen, logs, IAM-policies en detectie-instellingen uit uw Terraform. De run doet dit voor de resourcetypen die de run kent en markeert de rest als onbekende brontypen.

2. 02

   2. Beoordeel en lees de eigenaren

   Voer het assessment uit en open execution/manual/actions.md. Het bestand noemt per werkpakket een eigenaarsrol en markeert de stappen die er geen hebben.

3. 03

   3. Regel eerst de identiteit

   Een OCI-policy heeft op STACKIT geen tegenhanger op documentniveau. Koppel mensen en workloads aan STACKIT-rollen en service accounts voordat iets ervan afhankelijk is.

4. 04

   4. Maak sleutels aan en versleutel opnieuw

   Maak STACKIT KMS-sleutels aan. Sleutelmateriaal van de bron verhuist niet, dus data die ermee is versleuteld, wordt opnieuw versleuteld.

5. 05

   5. Verplaats secrets

   Maak secrets aan in Secrets Manager. Waarden worden door een operator verplaatst en applicaties passen aan hoe ze die lezen.

6. 06

   6. Bouw logging en audit opnieuw op

   Maak een STACKIT Logs-instance aan, laat agents ernaar wijzen en beslis hoe auditstreams worden gerouteerd.

7. 07

   7. Controleer en faseer dan uit

   Controleer of elke consumer werkt met de nieuwe sleutel, het nieuwe secret en de nieuwe logopslag, en schakel daarna de OCI-objecten uit, in die volgorde.

Een Vault-sleutel en een secret, beoordeeld

Een kleine beveiligingsomgeving, geschreven voor deze pagina en door StackToIT beoordeeld op 4 november 2026. Links de vault, sleutel en het secret zoals geschreven, regels 16 tot en met 45 van main.tf. Rechts het resultaat voor de sleutel en het secret, een fragment van assessment.json met de waarden zoals de run ze schreef. assessment.json staat op één regel, dus het venster toont geselecteerde velden van elke eenheid, ingesprongen en genest zoals in het bestand, met ongewijzigde waarden.

resource "oci_kms_vault" "main" {
  compartment_id = var.compartment_id
  display_name   = "platform-vault"
  vault_type     = "DEFAULT"
}

resource "oci_kms_key" "data" {
  compartment_id      = var.compartment_id
  display_name        = "data-key"
  management_endpoint = oci_kms_vault.main.management_endpoint

  key_shape {
    algorithm = "AES"
    length    = 32
  }

  protection_mode = "HSM"
}

resource "oci_vault_secret" "db_password" {
  compartment_id = var.compartment_id
  vault_id       = oci_kms_vault.main.id
  key_id         = oci_kms_key.data.id
  secret_name    = "db-password"

  secret_content {
    content_type = "BASE64"
    content      = base64encode("change-me")
  }
}

[
  {
    "id": "oci_kms_key.data",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "LOW",
      "target": {
        "service": "STACKIT KMS"
      },
      "reason": "A Vault key becomes a STACKIT KMS key. Key material of the source does not move, so data encrypted with it is re-encrypted."
    }
  },
  {
    "id": "oci_vault_secret.db_password",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "LOW",
      "target": {
        "service": "STACKIT Secrets Manager"
      },
      "reason": "A Vault secret becomes a secret in STACKIT Secrets Manager. Values are moved by an operator, and applications change how they read them."
    }
  }
]

• Sleutelmateriaal blijft achter

  Oracle documenteert dat een door HSM beschermde sleutel niet uit de HSM kan worden geëxporteerd, wat past bij de run: de sleutel wordt nieuw aangemaakt en de data wordt opnieuw versleuteld. De demosleutel is een AES-sleutel met beveiligingsmodus HSM; de instellingen ervan zijn invoer voor uw sleutelontwerp.

• Importeren is het andere pad

  STACKIT KMS laat u kiezen om een sleutel te genereren of te importeren. Importeren kan; het exporteren van gegenereerde sleutels is niet de bedoeling. Of u importeren kunt gebruiken, hangt af van het sleutelmateriaal dat u hebt, en dat geeft een door HSM beschermde Oracle-sleutel u niet.

• Secrets zijn waarden

  De run spreekt van het verplaatsen van waarden door een operator. Doe dat vanuit een gecontroleerde shell en niet vanuit een bestand dat in versiebeheer terechtkomt; het voorbeeldsecret in de invoer is een plaatsaanduiding.

Een loggroep en een log, beoordeeld

Een loggroep met één servicelog die events van object storage schrijft met 90 dagen retentie. Regels 47 tot en met 68 van main.tf, en het resultaat voor beide resources, een fragment van assessment.json met de waarden zoals de run ze schreef; de redentekst van de loggroep wordt hieronder samengevat en niet geciteerd. assessment.json staat op één regel, dus het venster toont geselecteerde velden van elke eenheid, ingesprongen en genest zoals in het bestand, met ongewijzigde waarden.

resource "oci_logging_log_group" "platform" {
  compartment_id = var.compartment_id
  display_name   = "platform-logs"
}

resource "oci_logging_log" "audit" {
  display_name = "app-service-log"
  log_group_id = oci_logging_log_group.platform.id
  log_type     = "SERVICE"

  configuration {
    source {
      category    = "write"
      resource    = "shop-bucket"
      service     = "objectstorage"
      source_type = "OCISERVICE"
    }
  }

  is_enabled         = true
  retention_duration = 90
}

[
  {
    "id": "oci_logging_log_group.platform",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "LOW",
      "target": {
        "service": "STACKIT Logs"
      }
    }
  },
  {
    "id": "oci_logging_log.audit",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "oci_logging_log is not in the knowledge base catalogue; an architect has to decide the target. Nothing of this resource is assessed or drafted (unknown source type)."
    }
  }
]

• De groep wordt gekoppeld, het log niet

  De loggroep wordt een STACKIT Logs-instance; volgens de reden van de run worden verzamelagents, queries en de opgeslagen weergaven daarbovenop herschreven. Het logobject zelf staat niet in de catalogus van de run en is gemarkeerd als MANUAL_REVIEW.

• De agent verandert

  Oracle neemt custom logs op met zijn Unified Monitoring Agent, die op fluentd is gebaseerd. STACKIT Logs accepteert Grafana Alloy, de OpenTelemetry Collector, Vector en Fluent Bit, dus de agentconfiguratie wordt herschreven.

• Retentie is een instelling om te bevestigen

  De demo vraagt om 90 dagen. De STACKIT Logs-pagina noemt aangepaste retentieperioden onder de functies, nu ook in de regio eu02. Stel de retentie in op de instance en bevestig die voordat u erop vertrouwt.

De policy, de vault en Cloud Guard

Een IAM-policy voor de operators, de vaultcontainer waarin de sleutel en het secret staan, en de Cloud Guard-configuratie. Regel 70 tot en met 84 van main.tf; de run markeert alle drie voor een architect. assessment.json staat op één regel, dus het venster toont geselecteerde velden van elke eenheid, ingesprongen en genest zoals in het bestand, met ongewijzigde waarden.

resource "oci_identity_policy" "vault_use" {
  compartment_id = var.compartment_id
  name           = "vault-use"
  description    = "Let the app group read secrets and use the data key"
  statements = [
    "Allow group app-operators to read secret-family in compartment platform",
    "Allow group app-operators to use keys in compartment platform"
  ]
}

resource "oci_cloud_guard_cloud_guard_configuration" "main" {
  compartment_id   = var.compartment_id
  reporting_region = "eu-frankfurt-1"
  status           = "ENABLED"
}

[
  {
    "id": "oci_identity_policy.vault_use",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "OCI policies have no document-level counterpart on STACKIT. Map people and workloads to STACKIT roles and service accounts."
    }
  },
  {
    "id": "oci_kms_vault.main",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "oci_kms_vault is not in the knowledge base catalogue; an architect has to decide the target. Nothing of this resource is assessed or drafted (unknown source type)."
    }
  },
  {
    "id": "oci_cloud_guard_cloud_guard_configuration.main",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "oci_cloud_guard_cloud_guard_configuration is not in the knowledge base catalogue; an architect has to decide the target. Nothing of this resource is assessed or drafted (unknown source type)."
    }
  }
]

• Van policy naar rollen

  De twee statements laten een groep secrets lezen en sleutels gebruiken. Op STACKIT drukt u dezelfde bedoeling uit met rollen en service accounts, die uw identiteitsarchitect ontwerpt.

• De vaultcontainer

  Het vaulttype staat niet in de catalogus van de run. De taak ervan, het bevatten van sleutels en secrets, is verdeeld over KMS-keyrings en een Secrets Manager-instance; beslis die verdeling eenmalig.

• Cloud Guard heeft hier geen koppeling

  De Cloud Guard-configuratie is voor de run een onbekend brontype. Beslis welke detecties u nog nodig hebt en waar ze draaien; er wordt niets voor u voorgesteld.

Hoe de beveiligingsomgeving wordt gekoppeld

Zeven resources, zeven eenheden: drie RECONFIGURE en vier MANUAL_REVIEW. Alle zeven hebben in deze run zekerheidsniveau LOW. StackToIT schrijft een STACKIT-Terraform-concept voor uw architecten om te beoordelen.

Wie wat doet: de eigenarenlijst

Het bestand met handmatige stappen opent met de stappen die geen eigenaarsrol hebben. Vijf van de zeven stappen hebben er in deze run geen, en dat is het eerste wat u toewijst.

## Assign an owner

5 manual steps have no owner role: no role follows from the plan for it, so nobody is named to carry it out. Assign an owner to each; until then the migration is not ready (each shows "Owner assignment required" under Who below).

- the owner table has no role for the category "security" of the unit (2 manual steps): the manual migration of oci_kms_key.data, the manual migration of oci_vault_secret.db_password
- the assessment gives the unit no category, so no owner role follows from it (3 manual steps): the manual migration of oci_cloud_guard_cloud_guard_configuration.main, the manual migration of oci_kms_vault.main, the manual migration of oci_logging_log.audit

• Beveiliging heeft geen standaardeigenaar

  De eigenarentabel heeft geen rol voor de categorie security, dus de sleutel en het secret wachten op een naam. Geef ze aan degene die eigenaar is van versleuteling en secrets.

• Eenheden zonder categorie

  De vault, het log en de Cloud Guard-configuratie dragen in het assessment geen categorie, dus er volgt ook geen rol uit. Wijs ze handmatig toe.

• De policy heeft een eigenaar

  De IAM-policy gaat naar een Identity Architect, in een werkpakket dat een persoon direct kan oppakken.

De volgorde die de run voorstelt

Golven volgen afhankelijkheden. Een eenheid migreert nadat alles waarvan die afhangt, is gemigreerd.

1. 01

   Golf 1

   De Cloud Guard-configuratie, de IAM-policy, de vault en de loggroep.

2. 02

   Golf 2

   De sleutel en het log, die van de vault en de loggroep afhangen.

3. 03

   Golf 3

   Het secret, dat van de vault en de sleutel afhangt.

Vragen van beveiligingsteams

Bronnen

• Oracle Cloud Infrastructure: concepten van Key Management
• Oracle Cloud Infrastructure: overzicht van Logging
• STACKIT: KMS
• STACKIT: Secrets Manager
• STACKIT: Logs
• STACKIT: Telemetry Router