Microsoft Azure EntraID für Oracle GoldenGate konfigurieren

Beim Erstellen des Autorisierungsprofils ordnet Oracle GoldenGate die Entra-ID-Sicherheitsgruppen zur Autorisierung in vier Rollen zu: Sicherheit, Administrator, Operator, Benutzer. Der Entra-ID-Benutzer, der zur Gruppe gehört, hat die entsprechende zugeordnete Rolle in Oracle GoldenGate.

Führen Sie im Microsoft Azure EntraID-Portal die folgenden Aufgaben aus, um die Benutzergruppen zu konfigurieren, die Oracle GoldenGate zugeordnet werden:

  1. Erstellen Sie die entsprechenden Benutzer- und Sicherheitsgruppen in EntraID. Sie benötigen vier Sicherheitsgruppen, die den jeweiligen Oracle GoldenGate-Benutzerrollen (Sicherheit, Admin, Operator, Benutzer) zugeordnet werden. Sie können den Gruppennamen nach Bedarf auswählen.

    Microsoft EntraID erstellt Gruppen, die Oracle GoldenGate-Benutzerrollen zugeordnet sind.

  2. Wählen Sie auf der Seite "Überblick" die Option Hinzufügen, Unternehmensanwendung.

    Fügen Sie eine neue Unternehmensanwendung über die Konsole EntraID hinzu.

  3. Wählen Sie Eigene Anwendung erstellen aus.

    Wählen Sie im Menü EntraID Überblick im linken Navigationsbereich die Option Eigene Anwendung erstellen aus.

  4. Benennen Sie die Anwendung, wählen Sie Anwendung für die Integration mit Microsoft Entra ID registrieren aus, und wählen Sie Erstellen aus.

    Wählen Sie diese Option, um eine Unternehmensanwendung bei Microsoft EntraID für das Oracle GoldenGate-Autorisierungsprofil zu registrieren

  5. Um die Anwendung zu registrieren, wählen Sie Nur Accounts in diesem Organisationsverzeichnis (... - Einzelner Mandant) aus.

    Bild/entraid_registerapp_accountdirectory.png

  6. Gehen Sie zurück zur Seite Überblick für Entra-ID. Wählen Sie unter Verwalten die Option Unternehmensanwendungen aus, und suchen Sie nach dem Anwendungsnamen, den Sie zuvor erstellt haben.

  7. Wählen Sie unter Verknüpfen die Option Benutzer und Gruppen aus. Wählen Sie Benutzer/Gruppe hinzufügen aus.

    Benutzer basierend auf Gruppen hinzufügen.

  8. Suchen und wählen Sie die Gruppen, die dieser Anwendung zugewiesen werden sollen, und stellen Sie sicher, dass die ausgewählten Gruppen im rechten Fensterbereich angezeigt werden.

    Wählen Sie Gruppen aus, die zur Autorisierung hinzugefügt werden sollen.

  9. Wählen Sie alle Gruppen aus, und wählen Sie Auswählen, Zuweisen aus.

    Hinweis: Stellen Sie sicher, dass Sie dieser Anwendung alle Entra-ID-Sicherheitsgruppen zuweisen, die in den vorherigen Schritten erstellt wurden.

    Gruppen der Oracle GoldeNGate-Anwendung zuweisen

  10. (Optional) Weisen Sie Anwendungseigentümer wie folgt zu:

    1. Wählen Sie unter "Verwalten" die Option Eigentümer aus.

    2. Klicken Sie auf Hinzufügen.

    3. Nach Eigentümern suchen und diese auswählen

    4. Stellen Sie sicher, dass die ausgewählten Eigentümer im rechten Fensterbereich angezeigt werden.

  11. Anwendung registrieren, indem Client Secrets erstellt werden:

    1. Zurück zur Übersichtsseite für Microsoft Entra ID

    2. Wählen Sie App-Registrierungen, Alle Anwendungen aus.

      Greifen Sie auf die registrierte Anwendung zu, um deren Details zu bestimmen.

    3. Suchen Sie den in Schritt 2 erstellten Anwendungsnamen, und wählen Sie ihn aus.

    4. Nun zeigt die Anwendung die Details an. Notieren Sie sich die Anwendungs-(Client-)ID und die Verzeichnis-(Mandanten-)ID.

      Notieren Sie sich die Details der registrierten Anwendung, die im Abschnitt "Anwendungsdetails" angezeigt werden.

      Notieren Sie sich die Werte für Client-ID, Mandanten-ID und Client-Secret. Diese Werte werden beim Konfigurieren des Autorisierungsprofils in Oracle GoldenGate verwendet.

      Die Mandanten-ID wird verwendet, um eine Mandanten-Discovery-URI zu erstellen, wie im folgenden Beispiel dargestellt:

      https://login.microsoftonline.com/{tenantID}/v2.0/.well-known/openid-configuration

    5. Wählen Sie unter Verwalten die Option Zertifikate und Secrets aus

    6. Wählen Sie Client Secrets und dann Neues Client Secret aus.

      Client Secret hinzufügen.

    7. Fügen Sie eine Beschreibung hinzu, und wählen Sie einen Ablaufzeitraum aus.

    8. Klicken Sie auf Hinzufügen. Notieren Sie sich den Wert des Client Secret.

    Notieren Sie sich den Client Secret-Wert, der nach dem Hinzufügen des Client Secret angezeigt wird.

  12. Erstellen Sie die Tokenkonfiguration für die Oracle GoldenGate-Anwendung:

    1. Wählen Sie unter Verwalten im Navigationsbereich die Option "Tokenkonfiguration" aus.

    2. Wählen Sie Gruppenanspruch hinzufügen aus, und wählen Sie Gruppen, die der Anwendung zugewiesen sind (...) aus, und wählen Sie Hinzufügen aus.

      Tokenkonfiguration erstellen

  13. Erstellen Sie GoldenGate-Serviceanwendungsrollen:

    Anwendungsrollen für Oracle GoldenGate-Service erstellen

    1. Wählen Sie unter Verwalten im Navigationsbereich die Option Anwendungsrollen aus.

    2. Wählen Sie Anwendungsrolle erstellen aus, und geben Sie einen Anzeigenamen an.

    3. Wählen Sie unter Zulässige Elementtypen die Option Anwendungen aus.

    4. Setzen Sie Wert auf urn:ogg:serviceToService, und geben Sie die Beschreibung ein.

    5. Wählen Sie Möchten Sie diese Anwendungsrolle aktivieren? aus, und wählen Sie Anwenden aus.

  14. Fügen Sie API-Berechtigungen zu den Anwendungsrollen des GoldenGate-Service hinzu, und erteilen Sie Admin-Zustimmung:

    API-Berechtigungen für die Anwendung anfordern

    1. Wählen Sie unter Verwalten die Option API-Berechtigungen aus.

    2. Wählen Sie Berechtigung hinzufügen aus.

    3. Wählen Sie Von meiner Organisation verwendete APIs.

    4. Suchen Sie nach der Anwendung, die in Schritt 2 erstellt wurde.

    5. Anwendungsberechtigungen auswählen.

    6. Wählen Sie urn:ogg:serviceToService, und wählen Sie Berechtigungen hinzufügen.

      Fügen Sie die API-Berechtigung für die Anwendung hinzu.

    7. Die Berechtigung sollte unter Konfigurierte Berechtigungen angezeigt werden.

      Die API-Berechtigung wird unter "Konfigurierte Berechtigungen" angezeigt.

    8. Wählen Sie urn:ogg:serviceToService aus.

    9. Beachten Sie, dass im Popup-Fenster die erforderliche Admin-Zustimmung auf Ja gesetzt ist.

      Die erforderliche Admin-Zustimmung wird in "dr:ogg:serviceToService" auf "Ja" gesetzt.

  15. Fügen Sie der Anwendung API-Berechtigungen für Microsoft Graph Application.ReadWrite.All hinzu, und erteilen Sie die Admin-Zustimmung.

    1. Wählen Sie Berechtigung hinzufügen, Microsoft Graph aus dem Popup-Fenster.

      Fügen Sie Berechtigungen hinzu, und wählen Sie die Option "Microsoft Graph", um mit dem Hinzufügen von Anwendungsberechtigungen zu beginnen.

    2. Wählen Sie Anwendungsberechtigungen aus.

      Die Berechtigungen Application.ReadWrite.All werden hinzugefügt.

    3. Suchen Sie Application.ReadWrite.All, und wählen Sie es aus.

    4. Wählen Sie Berechtigungen hinzufügen aus.

    5. Führen Sie dieselben Schritte aus, um die Zustimmung für urn:ogg:serviceToService, aber für Application.ReadWrite.All zu erteilen.

  16. Aktualisieren Sie die Eigenschaften der Tokenanforderung manuell im Manifest:

    Die folgenden Optionen sind in anderen Menüs nicht verfügbar, daher müssen sie manuell festgelegt werden, wie in der folgenden Abbildung dargestellt:

    Manuelles Aktualisieren der Tokenanforderung im Manifest.

    Manuelles Aktualisieren der Tokenanforderung im Manifest.

    Wählen Sie unter Manage die Option Manifest aus.

    1. Fügen Sie unter der JSON-Datei /optionalClaims/accessToken/additionalProperties den Wert cloud_displayname hinzu.

    2. Fügen Sie unter der JSON-Datei /optionalClaims/idToken/additionalProperties den Wert cloud_displayname hinzu.

    3. Fügen Sie unter der JSON-Datei /optionalClaims/saml2Token/additionalProperties den Wert cloud_displayname hinzu.

    4. Setzen Sie unter der JSON-Datei /api/requestedAccessTokenVersion den Wert auf 2.

      Versionswert der Tokenanforderung auf 2 setzen

    5. Speichern Sie das Manifest.

      Speichern Sie das Manifest, nachdem Sie JSON-Eigenschaften manuell aktualisiert haben.

  17. (Optional) Erstellen Sie die Umleitungs-URL für die Anwendungsauthentifizierung.

    1. Wählen Sie unter Microsoft Entra ID, Unternehmensanwendungen, die Anwendung aus, die Sie in Schritt 2 erstellt haben.

    2. Wählen Sie unter Verwalten die Option Eigenschaften und dann den Link Anwendungsregistrierung aus.

      Bild für entraID-Umleitungs-URL-Eigenschaften folgt

    3. Wählen Sie unter Verwalten die Option Authentifizierung und dann Plattform hinzufügen aus.

    4. Wählen Sie Web aus.

      Konfigurieren Sie die Umleitungs-URI.

  18. Geben Sie im Dialogfeld "Web konfigurieren" Umleitungs-URIs ein.

    Für das Service Manager-Deployment müssen Sie den Pfad /services/v2/authorization für den Service Manager hinzufügen.

    Fügen Sie für jedes Microservices-Deployment den Pfad /services/v2/authorization für den Administrationsservice hinzu.

    Geben Sie die Umleitungs-URIs für Service Manager und Microservices ein.

  19. Wählen Sie Konfigurieren aus.

Im nächsten Schritt laden Sie das RootCA-Zertifikat für Microsoft Azure EntraID herunter und fügen es unter den Service Manager Shared RootCA-Zertifikaten hinzu.

Nachdem Sie die Root Certificate Authority eingerichtet haben, können Sie das Oracle GoldenGate-Autorisierungsprofil mit den in diesem Thema erstellten Werten konfigurieren. Siehe Autorisierungsprofil erstellen.

Root-CA-Zertifikat für Microsoft EntraID Azure hinzufügen

Bevor Sie mit dem Erstellen eines Autorisierungsprofils in Oracle GoldenGate beginnen, müssen Sie eine Root Certificate Authority für Azure hinzufügen. Fügen Sie dem Oracle GoldenGate-Deployment ein Root-CA-Zertifikat als vertrauenswürdige Zertifikate hinzu:

  1. Laden Sie die Azure Root CA-Zertifikate von folgendem Speicherort herunter:

    https://learn.microsoft.com/en-us/azure/security/fundamentals/azure-ca-details?tabs=root-and-subordinate-cas-list#root-certificate-authorities

    Sie benötigen nur die Root Certificate Authoritys.

  2. Konvertieren Sie die von crt heruntergeladenen Zertifikate in das Format pem, indem Sie den Befehl openssl in einem beliebigen Linux-Betriebssystem oder Mac OS verwenden.

    openssl x509 -in <crt_file> -out <pem_file_name> -outform pem

    Beispiel:

    openssl x509 -in DigicertRootGlobalCA.crt -out DigicertRootGlobalCA.pem -outform pem

    Wenn Sie Oracle GoldenGate-On-Premise- oder OCI Marketplace-Images GoldenGate verwenden, müssen Sie diese Root-CA-Zertifikate über die Service Manager-Weboberfläche als vertrauenswürdige Zertifikate hochladen.

  3. Suchen Sie den Service Manager im Menü Zertifikatsverwaltung, und wählen Sie CA-Zertifikate +.

  4. Klicken Sie auf die Schaltfläche "Datei hochladen", um die konvertierte Datei .pem hochzuladen.

    PEM-Datei des Microsoft Azure Root CA-Zertifikats hochladen

  5. Geben Sie einen eindeutigen Namen an, und stellen Sie sicher, dass das Zertifikat Freigegeben ist, und wählen Sie Weiterleiten aus.