Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Oracle Native Network Encryption Amazon RDS unterstützt Oracle Native Network Encryption (NNE). Mit der Option `NATIVE_NETWORK_ENCRYPTION` können Sie Daten für die Übertragung von und auf die DB-Instance verschlüsseln. Amazon RDS unterstützt NNE für alle Editionen von Oracle Database. Eine detaillierte Beschreibung von Oracle Native Network Encryption geht über den Rahmen dieses Handbuchs hinaus, jedoch sollten Sie die Stärken und Schwächen jedes Algorithmus und Schlüssels kennen, bevor Sie sich für eine Bereitstellungslösung entscheiden. Weitere Informationen zu den Algorithmen und Schlüsseln, die über Oracle Native Network Encryption verfügbar sind, finden Sie unter [Configuring Network Data Encryption](http://www.oracle.com/webfolder/technetwork/tutorials/obe/db/11g/r2/prod/security/network_encrypt/ntwrkencrypt.htm) in der Oracle-Dokumentation. Weitere Informationen zurAWS-Sicherheit finden Sie im[AWS-Sicherheitszentrum](https://aws.amazon.com/security). **Anmerkung** Sie können entweder Native Network Encryption oder Secure Sockets Layer verwenden, jedoch nicht beides zusammen. Weitere Informationen finden Sie unter [Oracle Secure Sockets Layer](Appendix.Oracle.Options.SSL.md). **Topics** + [ # Einstellungen der Option NATIVE\$1NETWORK\$1ENCRYPTION ](Oracle.Options.NNE.Options.md) + [ # Hinzufügen der Option NATIVE\$1NETWORK\$1ENCRYPTION ](Oracle.Options.NNE.Add.md) + [ # Einstellen von NNE-Werten in der sqlnet.ora ](Oracle.Options.NNE.Using.md) + [ # Ändern der Einstellungen der Option NATIVE\$1NETWORK\$1ENCRYPTION ](Oracle.Options.NNE.ModifySettings.md) + [ # Entfernen der Option NATIVE\$1NETWORK\$1ENCRYPTION ](Oracle.Options.NNE.Remove.md) # Einstellungen der Option NATIVE\$1NETWORK\$1ENCRYPTION Sie können Verschlüsselungsanforderungen sowohl auf dem Server als auch auf dem Client angeben. Die DB-Instance kann als Client fungieren, wenn sie beispielsweise einen Datenbanklink verwendet, um eine Verbindung mit einer anderen Datenbank herzustellen. Möglicherweise möchten Sie vermeiden, dass die Verschlüsselung auf der Serverseite erzwungen wird. Beispielsweise möchten Sie möglicherweise nicht alle Clientkommunikationen dazu zwingen, die Verschlüsselung zu verwenden, da der Server dies erfordert. In diesem Fall können Sie die Verschlüsselung auf der Clientseite mit dem`SQLNET.*CLIENT`-Optionen. Amazon RDS unterstützt die folgenden Einstellungen für die Option `NATIVE_NETWORK_ENCRYPTION`. **Anmerkung** Wenn Sie Werte für eine Optionseinstellung durch Kommas trennen, setzen Sie kein Leerzeichen nach dem Komma. **** | Optionseinstellung | Zulässige Werte | Standardwerte | Description | | --- | --- | --- | --- | | `SQLNET.ALLOW_WEAK_CRYPTO_CLIENTS` | `TRUE`, `FALSE` | `TRUE` | Das Verhalten des Servers, wenn ein Client, der eine nicht sichere Chiffre verwendet, versucht, sich mit der Datenbank zu verbinden. Wenn `TRUE`, können Clients eine Verbindung herstellen, auch wenn sie nicht mit dem Gerät vom Juli 2021 gepatcht sind. Wenn die Einstellung `FALSE` lautet, können sich Clients nur dann mit der Datenbank verbinden, wenn sie mit dem Netzteil vom Juli 2021 gepatcht werden. Bevor Sie `SQLNET.ALLOW_WEAK_CRYPTO_CLIENTS` auf `FALSE` festlegen, stellen Sie sicher, dass die folgenden Bedingungen erfüllt sind: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/AmazonRDS/latest/UserGuide/Oracle.Options.NNE.Options.html) | | `SQLNET.ALLOW_WEAK_CRYPTO` | `TRUE`, `FALSE` | `TRUE` | Das Verhalten des Servers, wenn ein Client, der eine nicht sichere Chiffre verwendet, versucht, sich mit der Datenbank zu verbinden. Die folgenden Chiffren gelten als nicht sicher: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/AmazonRDS/latest/UserGuide/Oracle.Options.NNE.Options.html) Wenn die Einstellung `TRUE` lautet, können Clients eine Verbindung herstellen, wenn sie die vorhergehenden nicht sicheren Chiffren verwenden. Wenn die Einstellung `FALSE` lautet, verhindert die Datenbank, dass Clients eine Verbindung herstellen, wenn sie die vorhergehenden nicht sicheren Chiffren verwenden. Bevor Sie `SQLNET.ALLOW_WEAK_CRYPTO` auf `FALSE` festlegen, stellen Sie sicher, dass die folgenden Bedingungen erfüllt sind: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/AmazonRDS/latest/UserGuide/Oracle.Options.NNE.Options.html) | | `SQLNET.CRYPTO_CHECKSUM_CLIENT` | `Accepted`, `Rejected`, `Requested`, `Required` | `Requested` | Das Datenintegritätsverhalten, wenn eine DB-Instance eine Verbindung zum Client oder zu einem als Client fungierenden Server herstellt. Wenn eine DB-Instance einen Datenbanklink verwendet, fungiert sie als Client. `Requested` bedeutet, dass der Client von der DB-Instance keine Prüfsumme verlangt. | | `SQLNET.CRYPTO_CHECKSUM_SERVER` | `Accepted`, `Rejected`, `Requested`, `Required` | `Requested` | Das Datenintegritätsverhalten, wenn ein Client oder ein Server, der als Client agiert, sich mit der DB-Instance verbindet. Wenn eine DB-Instance einen Datenbanklink verwendet, fungiert sie als Client. `Requested` bedeutet, dass die DB-Instance vom Client keine Prüfsumme verlangt. | | `SQLNET.CRYPTO_CHECKSUM_TYPES_CLIENT` | `SHA256`, `SHA384`, `SHA512`, `SHA1`, `MD5` | `SHA256`, `SHA384`, `SHA512` | Eine Liste von Prüfsummenalgorithmen. Sie können entweder einen Wert oder eine durch Kommas getrennte Werteliste angeben. Wenn Sie ein Komma verwenden, fügen Sie kein Leerzeichen nach dem Komma ein, andernfalls wird ein `InvalidParameterValue`-Fehler angezeigt. Dieser Parameter und`SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER `muss eine gemeinsame Chiffre haben. | | `SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER` | `SHA256`, `SHA384`, `SHA512`, `SHA1`, `MD5` | `SHA256`, `SHA384`, `SHA512`, `SHA1`, `MD5` | Eine Liste von Prüfsummenalgorithmen. Sie können entweder einen Wert oder eine durch Kommas getrennte Werteliste angeben. Wenn Sie ein Komma verwenden, fügen Sie kein Leerzeichen nach dem Komma ein, andernfalls wird ein `InvalidParameterValue`-Fehler angezeigt. Dieser Parameter und `SQLNET.CRYPTO_CHECKSUM_TYPES_CLIENT` müssen eine gemeinsame Chiffre haben. | | `SQLNET.ENCRYPTION_CLIENT` | `Accepted`, `Rejected`, `Requested`, `Required` | `Requested` | Das Verschlüsselungsverhalten des Clients, wenn ein Client oder ein Server, der als Client fungiert, eine Verbindung zur DB-Instance herstellt. Wenn eine DB-Instance einen Datenbanklink verwendet, fungiert sie als Client. `Requested` bedeutet, dass der Client keine Verschlüsselung des Datenverkehrs mit dem Server benötigt. | | `SQLNET.ENCRYPTION_SERVER` | `Accepted`, `Rejected`, `Requested`, `Required` | `Requested` | Das Verschlüsselungsverhalten des Servers, wenn ein Client oder ein Server, der als Client fungiert, eine Verbindung zur DB-Instance herstellt. Wenn eine DB-Instance einen Datenbanklink verwendet, fungiert sie als Client. `Requested` gibt an, dass für die DB-Instance der Datenverkehr vom Client nicht verschlüsselt sein muss. | | `SQLNET.ENCRYPTION_TYPES_CLIENT` | `RC4_256`, `AES256`, `AES192`, `3DES168`, `RC4_128`, `AES128`, `3DES112`, `RC4_56`, `DES`, `RC4_40`, `DES40` | `RC4_256`, `AES256`, `AES192`, `3DES168`, `RC4_128`, `AES128`, `3DES112`, `RC4_56`, `DES`, `RC4_40`, `DES40` | Eine Liste der vom Client verwendeten Verschlüsselungsalgorithmen. Der Client verwendet jeden Algorithmus der Reihe nach, um zu versuchen, die Servereingabe zu entschlüsseln, bis ein Algorithmus erfolgreich oder das Ende der Liste erreicht ist. Amazon RDS verwendet die folgende Standardliste von Oracle. RDS beginnt mit `RC4_256` und geht der Reihe nach in der Liste nach unten. Sie können die Reihenfolge ändern oder die Anzahl der Algorithmen verringern, die von DB-Instance verwendet werden sollen. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/AmazonRDS/latest/UserGuide/Oracle.Options.NNE.Options.html) Sie können entweder einen Wert oder eine durch Kommas getrennte Werteliste angeben. Wenn Sie ein Komma verwenden, fügen Sie kein Leerzeichen nach dem Komma ein, andernfalls wird ein `InvalidParameterValue`-Fehler angezeigt. Dieser Parameter und`SQLNET.SQLNET.ENCRYPTION_TYPES_SERVER`muss eine gemeinsame Chiffre haben. | | `SQLNET.ENCRYPTION_TYPES_SERVER` | `RC4_256`, `AES256`, `AES192`, `3DES168`, `RC4_128`, `AES128`, `3DES112`, `RC4_56`, `DES`, `RC4_40`, `DES40` | `RC4_256`, `AES256`, `AES192`, `3DES168`, `RC4_128`, `AES128`, `3DES112`, `RC4_56`, `DES`, `RC4_40`, `DES40` | Eine Liste der von der DB-Instance verwendeten Verschlüsselungsalgorithmen. Die DB-Instance nutzt die einzelnen Algorithmen (der Reihe nach), um die vom Client stammenden Daten zu entschlüsseln, bis ein Algorithmus zum Erfolg führt oder das Ende der Liste erreicht ist. Amazon RDS verwendet die folgende Standardliste von Oracle. Sie können die Reihenfolge ändern oder die Algorithmen einschränken, die der Kunde akzeptieren wird. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/AmazonRDS/latest/UserGuide/Oracle.Options.NNE.Options.html) Sie können entweder einen Wert oder eine durch Kommas getrennte Werteliste angeben. Wenn Sie ein Komma verwenden, fügen Sie kein Leerzeichen nach dem Komma ein, andernfalls wird ein `InvalidParameterValue`-Fehler angezeigt. Dieser Parameter und`SQLNET.SQLNET.ENCRYPTION_TYPES_SERVER`muss eine gemeinsame Chiffre haben. | # Hinzufügen der Option NATIVE\$1NETWORK\$1ENCRYPTION Es folgt der allgemeine Vorgang für das Hinzufügen der Option `NATIVE_NETWORK_ENCRYPTION` zu einer DB-Instance: 1. Erstellen Sie eine neue Optionsgruppe oder kopieren oder ändern Sie eine bestehende Optionsgruppe. 1. Hinzufügen der Option zur Optionsgruppe. 1. Ordnen Sie die Optionsgruppe der DB-Instance zu. Wenn die Optionsgruppe aktiv ist, ist NNE aktiv. **Um die Option NATIVE\$1NETWORK\$1ENCRYPTION zu einer DB-Instance hinzuzufügen, verwenden Sie AWS-Managementkonsole** 1. Wählen Sie im Feld **Engine** die Oracle-Edition aus, die Sie verwenden möchten. NNE wird in allen Editionen unterstützt. 1. Wählen Sie für **Major Engine Version (Engine-Hauptversion)** die Version Ihrer DB-Instance aus. Weitere Informationen finden Sie unter [Erstellen einer Optionsgruppe](USER_WorkingWithOptionGroups.md#USER_WorkingWithOptionGroups.Create). 1. Fügen Sie der Optionsgruppe die Option **NATIVE\$1NETWORK\$1ENCRYPTION** hinzu. Weitere Informationen über das Hinzufügen von Optionen finden Sie unter [Hinzufügen einer Option zu einer Optionsgruppe](USER_WorkingWithOptionGroups.md#USER_WorkingWithOptionGroups.AddOption). **Anmerkung** Nachdem Sie die Option **NATIVE\$1NETWORK\$1ENCRYPTION** hinzugefügt haben, müssen Sie Ihre DB-Instances nicht neu starten. Sobald die Optionsgruppe aktiv ist, ist auch NNE aktiv. 1. Ordnen Sie die Optionsgruppe einer neuen oder bestehenden DB-Instance zu: + Einer neuen DB-Instance wird die Optionsgruppe beim Starten der Instance zugewiesen. Weitere Informationen finden Sie unter [Erstellen einer Amazon-RDS-DB-Instance](USER_CreateDBInstance.md). + Bei einer bestehenden DB-Instance weisen Sie die Optionsgruppe zu, indem Sie die Instance ändern und die neue Optionsgruppe anhängen. Nachdem Sie die Option **NATIVE\$1NETWORK\$1ENCRYPTION** hinzugefügt haben, müssen Sie Ihre DB-Instance nicht neu starten. Sobald die Optionsgruppe aktiv ist, ist auch NNE aktiv. Weitere Informationen finden Sie unter [Ändern einer Amazon-RDS-DB-Instance](Overview.DBInstance.Modifying.md). # Einstellen von NNE-Werten in der sqlnet.ora Mit der nativen Netzwerkverschlüsselung von Oracle können Sie die Netzwerkverschlüsselung sowohl auf der Server- als auch auf der Client-Seite einstellen. Der Client ist der Computer, mit dem eine Verbindung zur DB-Instance hergestellt wird. Sie können die folgenden Client-Einstellungen in slqnet.ora festlegen: + `SQLNET.ALLOW_WEAK_CRYPTO` + `SQLNET.ALLOW_WEAK_CRYPTO_CLIENTS` + `SQLNET.CRYPTO_CHECKSUM_CLIENT` + `SQLNET.CRYPTO_CHECKSUM_TYPES_CLIENT` + `SQLNET.ENCRYPTION_CLIENT` + `SQLNET.ENCRYPTION_TYPES_CLIENT` Weitere Informationen finden Sie unter [Configuring Network Data Encryption and Integrity for Oracle Servers and Clients](http://docs.oracle.com/cd/E11882_01/network.112/e40393/asoconfg.htm) in der Oracle-Dokumentation. Manchmal lehnt die DB-Instance eine Verbindungsanfrage von einer Anwendung ab. Beispielsweise kann eine Ablehnung auftreten, wenn die Verschlüsselungsalgorithmen auf dem Client und auf dem Server nicht übereinstimmen. Um die Oracle-eigene Netzwerkverschlüsselung zu testen, fügen Sie die folgenden Zeilen in die Datei sqlnet.ora auf dem Client ein: ``` DIAG_ADR_ENABLED=off TRACE_DIRECTORY_CLIENT=/tmp TRACE_FILE_CLIENT=nettrace TRACE_LEVEL_CLIENT=16 ``` Wenn eine Verbindung versucht wird, erzeugen die vorangehenden Zeilen eine Trace-Datei auf dem Client mit der Bezeichnung `/tmp/nettrace*`. Die Trace-Datei enthält Informationen zur Verbindung. Weitere Informationen zu verbindungsbezogenen Problemen bei der Verwendung von Oracle Native Network Encryption finden Sie unter [About Negotiating Encryption and Integrity](http://docs.oracle.com/cd/E11882_01/network.112/e40393/asoconfg.htm#autoId12) in der Oracle-Database-Dokumentation. # Ändern der Einstellungen der Option NATIVE\$1NETWORK\$1ENCRYPTION Nachdem Sie die Option `NATIVE_NETWORK_ENCRYPTION` aktiviert haben, können Sie ihre Einstellungen ändern. Derzeit können Sie `NATIVE_NETWORK_ENCRYPTION` Optionseinstellungen nur mit der AWS CLI oder der RDS-API ändern. Die Konsole können Sie nicht verwenden. Im folgenden Beispiel werden zwei Einstellungen in der Option geändert. ``` aws rds add-option-to-option-group \ --option-group-name my-option-group \ --options "OptionName=NATIVE_NETWORK_ENCRYPTION,OptionSettings=[{Name=SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER,Value=SHA256},{Name=SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER,Value=SHA256}]" \ --apply-immediately ``` Weitere Informationen über das Ändern von Optionseinstellungen über die CLI finden Sie unter [AWS CLI](USER_WorkingWithOptionGroups.md#USER_WorkingWithOptionGroups.ModifyOption.CLI). Weitere Informationen zu den einzelnen Einstellungen finden Sie unter [Einstellungen der Option NATIVE\$1NETWORK\$1ENCRYPTION](Oracle.Options.NNE.Options.md). **Topics** + [ ## Ändern von CRYPTO\$1CHECKSUM\$1\$1-Werten ](#Oracle.Options.NNE.ModifySettings.checksum) + [ ## Ändern der Einstellungen von ALLOW\$1WEAK\$1CRYPTO\$1 ](#Oracle.Options.NNE.ModifySettings.encryption) ## Ändern von CRYPTO\$1CHECKSUM\$1\$1-Werten Wenn Sie die Einstellungen der Option **NATIVE\$1NETWORK\$1ENCRYPTION** ändern, vergewissern Sie sich, dass die folgenden Optionseinstellungen mindestens eine gemeinsame Verschlüsselung aufweisen: + `SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER` + `SQLNET.CRYPTO_CHECKSUM_TYPES_CLIENT` Das folgende Beispiel zeigt ein Szenario, in dem Sie `SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER` ändern. Die Konfiguration ist gültig, da `CRYPTO_CHECKSUM_TYPES_CLIENT` und `CRYPTO_CHECKSUM_TYPES_SERVER` beide `SHA256` verwenden. | Optionseinstellung | Werte vor Änderung | Werte nach Änderung | | --- | --- | --- | | `SQLNET.CRYPTO_CHECKSUM_TYPES_CLIENT` | `SHA256`, `SHA384`, `SHA512` | Keine Änderung | | `SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER` | `SHA256`, `SHA384`, `SHA512`, `SHA1`, `MD5` | SHA1,MD5,SHA256 | Nehmen Sie für ein anderes Beispiel an, dass Sie`SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER`von der Standardeinstellung auf`SHA1,MD5`aus. Stellen Sie in diesem Fall sicher, dass Sie`SQLNET.CRYPTO_CHECKSUM_TYPES_CLIENT`auf`SHA1`oder`MD5`aus. Diese Algorithmen sind nicht in den Standardwerten für`SQLNET.CRYPTO_CHECKSUM_TYPES_CLIENT`aus. ## Ändern der Einstellungen von ALLOW\$1WEAK\$1CRYPTO\$1 Um die `SQLNET.ALLOW_WEAK_CRYPTO*`-Optionen vom Standardwert auf `FALSE` festzulegen, stellen Sie sicher, dass die folgenden Bedingungen erfüllt sind: + `SQLNET.ENCRYPTION_TYPES_SERVER` und `SQLNET.ENCRYPTION_TYPES_CLIENT` haben eine passende sichere Verschlüsselungsmethode. Eine Methode gilt als sicher, wenn sie nicht `DES`, `3DES`, oder `RC4` (alle Schlüssellängen) ist. + `SQLNET.CHECKSUM_TYPES_SERVER` und `SQLNET.CHECKSUM_TYPES_CLIENT` haben eine passende sichere Prüfsummierungs-Methode. Eine Methode gilt als sicher, wenn sie nicht `MD5` ist. + Der Kunde wird mit dem Netzteil vom Juli 2021 gepatcht. Wenn der Client nicht gepatcht ist, verliert der Client die Verbindung und erhält den `ORA-12269`-Fehler. Das folgende Beispiel zeigt Beispiel-NNE-Einstellungen. Angenommen, Sie möchten `SQLNET.ENCRYPTION_TYPES_SERVER` und `SQLNET.ENCRYPTION_TYPES_CLIENT` auf FALSE festlegen und dadurch unsichere Verbindungen blockieren. Die Einstellungen der Prüfsummenoption erfüllen die Voraussetzungen, da beide `SHA256` haben. Allerdings. benutzen `SQLNET.ENCRYPTION_TYPES_CLIENT` und `SQLNET.ENCRYPTION_TYPES_SERVER` die `DES`-, `3DES`-, und `RC4`-Verschlüsselungsmethoden, die nicht sicher sind. Um die `SQLNET.ALLOW_WEAK_CRYPTO*`-Optionen auf `FALSE` festzulegen, setzen Sie daher zuerst `SQLNET.ENCRYPTION_TYPES_SERVER` und `SQLNET.ENCRYPTION_TYPES_CLIENT` auf eine sichere Verschlüsselungsmethode wie `AES256`. | Optionseinstellung | Werte | | --- | --- | | `SQLNET.CRYPTO_CHECKSUM_TYPES_CLIENT` | `SHA256`, `SHA384`, `SHA512` | | `SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER` | SHA1,MD5,SHA256 | | `SQLNET.ENCRYPTION_TYPES_CLIENT` | `RC4_256`, `3DES168`, `DES40` | | `SQLNET.ENCRYPTION_TYPES_SERVER` | `RC4_256`, `3DES168`, `DES40` | # Entfernen der Option NATIVE\$1NETWORK\$1ENCRYPTION Sie können NNE aus einer DB-Instance entfernen. Führen Sie eine der folgenden Maßnahmen durch, um die `NATIVE_NETWORK_ENCRYPTION`-Option aus einer DB-Instance zu entfernen: + Um die Option `NATIVE_NETWORK_ENCRYPTION` von mehreren DB-Instances zu entfernen, löschen Sie sie aus der zugehörigen Optionsgruppe. Diese Änderung wirkt sich auf alle DB-Instances aus, welche die betreffende Optionsgruppe verwenden. Nachdem Sie die Option `NATIVE_NETWORK_ENCRYPTION` entfernt haben, müssen Sie Ihre DB-Instances nicht neu starten. Weitere Informationen finden Sie unter [Entfernen einer Option aus einer Optionsgruppe](USER_WorkingWithOptionGroups.md#USER_WorkingWithOptionGroups.RemoveOption). + Um die Option von einer einzelnen DB-Instance zu entfernen, ändern Sie die DB-Instance und geben Sie eine andere Optionsgruppe an, in der die Option `NATIVE_NETWORK_ENCRYPTION` nicht enthalten ist. Sie können die (leere) Standardoptionsgruppe oder eine andere benutzerdefinierte Optionsgruppe angeben. Nachdem Sie die `NATIVE_NETWORK_ENCRYPTION`-Option entfernt haben, müssen Sie Ihre DB-Instance nicht neu starten. Weitere Informationen finden Sie unter [Ändern einer Amazon-RDS-DB-Instance](Overview.DBInstance.Modifying.md).