RootCA- und Serverzertifikate erstellen

Für ein Deployment können verschiedene Client- und Serverzertifikate erforderlich sein. Um eine vertrauenswürdige Root-CA und ein Serverzertifikat für ein Host-Deployment zu erstellen, verwenden Sie die in den folgenden Abschnitten beschriebenen Befehle.

Die zum Generieren dieser Zertifikate verwendeten Befehle sind OpenSSL-Befehle.

Im folgenden Beispiel wird das Deployment auf dem Host west01.dc1.example.com im vollqualifizierten Domainnamen dc1.example.com ausgeführt. Wenn Sie mehrere Oracle GoldenGate-Instanzen auf verschiedenen Servern erstellen, können Sie die server01 durch Ihren Hostnamen ersetzen und den qualifizierten Domainnamen entsprechend ersetzen.

VertrauenswürdigeRootCA-Zertifikate erstellen

Generieren Sie ein vertrauenswürdiges RootCA-Zertifikat mit den folgenden Befehlen:

openssl req -subj "/CN=RootCA"
            -newkey rsa:2048
            -nodes
            -keyout rootCA_key.pem
            -new -x509 -days 365
            -out rootCA_cert.pem

Mit diesem Befehl werden zwei Dateien mit dem Root-Zertifikat rootCA_cert.pem und dem Private Key rootCA_key.pem erstellt. Beide Dateien werden im Privacy Exhanced Mail (PEM)-Format gespeichert. Der Private Key wird im PKCS-(Public-Key Cryptography Standards-)#8-Format erstellt. Das Root-Zertifikat rootCA_cert.pem wird in einem sicheren Oracle GoldenGate-Deployment für das Serverzertifikat verwendet. Sie können das Zertifikat des Verteilungsclients (distclient) auch innerhalb des Deployments hinzufügen. Hier wird das Root-Zertifikat erneut verwendet.

Serverzertifikate erstellen

Mit dem Zertifikat rootCA und dem Private Key können Sie das Serverzertifikat erstellen. Verwenden Sie eine Konfigurationsdatei wie die folgende für west01_cert.cnf:

extendedKeyUsage = serverAuth
subjectAltName = DNS:west01,DNS:west01.dc1.example.com,DNS:localhost,IP:127.0.0.1

Nach dem Erstellen der Konfigurationsdatei für das Serverzertifikat werden die folgenden Befehle verwendet, um das Serverzertifikat und die Private-Key-Dateien zu erstellen:

subject="/C=US/O=OGG example/CN=west01"

openssl req -subj "${subject}"
        -newkey rsa:2048 -nodes
        -keyout west01_key.pem
        -new
        -out west01.csr

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in west01.csr
        -extfile west01_cert.cnf
        -days 365
        -out west01_cert.pem

Beide Dateien werden im Privacy Enhanced Mail (PEM) gespeichert, und der Private Key wird im Public-Key Cryptography Standards (PKCS) #12-Format erstellt. Das Serverzertifikat und der private Serverschlüssel werden im Oracle GoldenGate-Deployment verwendet. Der Common Name (CN) innerhalb des Subjects verwendet den Hostnamen west01, um den Server eindeutig zu identifizieren.