Kerberos-Authentifizierung einrichten

Um die Kerberos-Authentifizierung in Oracle GoldenGate für Oracle AI Database zu aktivieren, werden die folgenden Konfigurationen angenommen:

Kerberos-KDC ist konfiguriert, und das Kerberos-System wird lokal installiert.
Kerberos-Principals sind für extern authentifizierte Datenbankbenutzer konfiguriert.
Kerberos-Caches werden lokal für jeden Kerberos-Principal konfiguriert.
Oracle Net Services sind ordnungsgemäß konfiguriert.
Parameterdateien von Oracle Server werden mit Kerberos-Einstellungen konfiguriert.
Extern authentifizierte Datenbankbenutzer werden mit entsprechenden Berechtigungen erstellt.
Die Umgebungsvariable TNS_ADMIN ist für Oracle GoldenGate konfiguriert.

Implementierung und Verwendung eines Kerberos-Kontos für den Zugriff auf Oracle AI Database von Oracle GoldenGate

Um die Kerberos-Authentifizierung in Oracle GoldenGate Microservices Architecture zu beginnen, müssen Sie zuerst einen Datenbankbenutzeraccountalias erstellen, bevor Sie DBLOGIN verwenden.

CONNECT http://localhost:9005 as ggadmin password We1come_$

Im folgenden Beispiel wird das Deployment demo verwendet, um den Benutzer-ID-Alias für einen Kerberos-Account einzurichten:

ALTER CREDENTIALSTORE ADD USER
/@EAST nopassword alias dbeast

2020-06-22T21:08:33Z  INFO OGG-15102  Credential store created.
2020-06-22T21:08:33Z  INFO OGG-15114  Credential store altered.

INFO CREDENTIALSTORE

Default domain: OracleGoldenGate
  Alias: dbeast
  Userid: /@EAST

DBLOGIN USERIDALIAS dbeast

Successfully logged into database EAST.

Hier ist NET SERVICE der einfache Name für den Datenbankservice. Alternativ kann anstelle des Oracle Net Service-Namens eine vollständige Verbindungszeichenfolge (Deskriptor) verwendet werden.

Im Folgenden finden Sie ein Beispiel für eine vordefinierte Zuordnung von Net Service Name und Connect-Deskriptor:

EAST = (DESCRIPTION=(ADDRESS=(PROTOCOL=ipc)(KEY=db1))
(CONNECT_DATA=(SERVICE_NAME=EAST.regress.rdbms.test.us.oracle.com)))

Ein gültiger DBLOGIN-Befehl ohne USERID und Kennwort kann dann wie folgt angegeben werden:

DBLOGIN USERID /@EAST

Weitere Informationen finden Sie in den Befehlen ALTER CREDENTIALSTORE, DBLOGIN USERIDALIAS und MININGDBLOGIN. Siehe auch USERIDALIAS-Parameter.

Wenn Sie auf Oracle GoldenGate-Seite den Befehl DBLOGIN mit verschiedenen extern authentifizierten Benutzern absetzen möchten, wird die Verwendung eines Kerberos-Standardcachespeicherorts in der Datei SQLNET.ORA angegeben. Es wird dann davon ausgegangen, dass dies der extern authentifizierte Benutzer für die Anmeldung bei der Datenbank ist.

Beispiel: Beachten Sie einen Kerberos-Cache-Speicherort, der in der clientseitigen SQLNET.ORA-Datei angegeben ist:

SQLNET.KERBEROS5_CONF = /test/b/1234567890/oracle/work/krb/krb.conf
SQLNET.KERBEROS5_KEYTAB = /test/b/9876543210/oracle/work/krb/v5srvtab
SQLNET.KERBEROS5_CC_NAME = /test/b/1234506789/oracle/work/krb/krb.cc

In diesem Beispiel ist krb.cc der Kerberos-Cache, der in diesem Oracle GoldenGate-Deployment verwendet wird. Wenn Sie die Cachedatei krb.cc mit dem Utility oklist öffnen, können Sie sehen, dass der Standard-Principal als extern authentifizierter Benutzer oratst@US.ORACLE.COM verwendet wird.

[ demo_vw2 ] [demo@test02swv krb]$ oklist krb.cc

Kerberos Utilities for Linux: Version 21.0.0.0.0 - Production on 27-JUN-2025 23:59:13

Copyright (c) 1996, 2025 Oracle.  All rights reserved.

Configuration file : /test/b/1234567890/oracle/work/krb/krb.conf
Ticket cache: FILE:krb.cc
Default principal: oratst@US.ORACLE.COM

Valid starting     Expires            Service principal
06/27/20 12:12:34  06/28/20 12:12:34  krbtst/US.ORACLE.COM@US.ORACLE.COM
06/27/20 12:12:34  06/28/20 12:12:34  oratst/demo2swv.us.oracle.com@US.ORACLE.COM

Kerberos-Authentifizierung mit MA konfigurieren

Im Folgenden werden die Schritte zum Konfigurieren der Kerberos-Authentifizierung über den Admin-Client beschrieben. Ab Oracle GoldenGate 26ai können Sie die Zugangsdaten für einen Kerberos-Account sowohl mit der Option NOPASSWORD als auch mit dem Schlüsselwort KERBEROS einrichten.

Verbindung zum Administrationsservice über den Admin-Client herstellen:

CONNECT http://localhost:9005 DEPLOYMENT oggdep as ggadmin PASSWORD We1come_$

Ändern Sie den Zugangsdatenspeicher, nachdem Sie eine Verbindung zum Administrationsservice des Deployments oggdep mit KERBEROS hergestellt haben:

ALTER CREDENTIALSTORE ADD USER /@dbwest ALIAS ggwest KERBEROS ALIAS u1alias;

Die Ausgabe zeigt:

2020-06-22T21:08:33Z  INFO OGG-15102  Credential store created.
2020-06-22T21:08:33Z  INFO OGG-15114  Credential store altered.

Wenn Sie die Option NOPASSWORD verwenden, ähnelt der Befehl dem Folgenden:

ALTER CREDENTIALSTORE ADD USER /@dbwest NOPASSWORD ALIAS u1alias;

Führen Sie den folgenden Befehl aus, um zu prüfen, ob der Zugangsdatenspeicher erfolgreich geändert wurde:

INFO CREDENTIALSTORE

Die Ausgabe zeigt folgende Informationen an:

Default domain: OracleGoldenGate
  Alias: ggeast
  Userid: /@DBEAST
  Type: Kerberos

Wenn Sie die Zugangsdaten mit der MA-Webbenutzeroberfläche erstellen und das Feld Benutzer-ID mit einem /-Zeichen beginnt, ist das Kennwort nicht erforderlich. Geben Sie also im Feld Benutzer-ID /connect_string ein, wobei connect_string Ihre Verbindungszeichenfolge ist.

Hier ist NET SERVICE der einfache Name für den Datenbankservice. Alternativ kann anstelle des Oracle Net Service-Namens eine vollständige Verbindungszeichenfolge (Deskriptor) verwendet werden.

Im Folgenden finden Sie ein Beispiel für eine vordefinierte Zuordnung von Net Service Name und Connect-Deskriptor:

DBEAST = (DESCRIPTION=(ADDRESS=(PROTOCOL=ipc)(KEY=db1))
(CONNECT_DATA=(SERVICE_NAME=DBEAST.regress.rdbms.test.example.com)))

Beispiel: USERIDALIAS in der Parameterdatei für das Kerberos-Konto verwenden

Das folgende Beispiel zeigt, wie die USERIDALIAS-Werte in der Parameterdatei festgelegt werden, nachdem der Zugangsdatenspeicher mit Kerberos-Authentifizierung erstellt wurde:

Beachten Sie, dass sowohl die alte als auch die neue Syntax funktioniert.

Kerberos-Authentifizierung mit dem Schlüsselwort KERBEROS:

ALTER CREDENTIALSTORE ADD USER /@ggadmin KERBEROS ALIAS u1alias;

Kerberos-Authentifizierung mit NOPASSWORD

ALTER CREDENTIALSTORE ADD USER /@ggadmin NOPASSWORD ALIAS ggadmin

2020-12-17T21:08:33
INFO    OGG-15102  Credential store created.2020-12-17T21:08:33
INFO    OGG-15114  Credential store altered.

ALTER CREDENTIALSTORE ADD USER /@ggadmin_mining NOPASSWORD ALIAS ggadmin_mining

2020-12-17T21:09:45
INFO    OGG-15102  Credential store created.2020-12-17T21:09:45
INFO    OGG-15114  Credential store altered.

INFO CREDENTIALSTORE

Die Ausgabe für den Befehl lautet wie folgt:

Default domain: OracleGoldenGate
Alias: ggadmin
Userid: /@ggadmin
Type: Kerberos

Default domain: OracleGoldenGate
Alias: ggadmin_mining
Userid: /@ggadmin_mining
Type: Kerberos

Nachdem Sie den Zugangsdatenspeicher geändert haben, können Sie USERIDALIAS-Optionen in der Parameterdatei angeben:

USERIDALIAS ggadmin
DOMAIN OracleGoldenGate
TRANLOGOPTIONS MININUSERIDLIAS ggadmin_mining
DOMAIN OracleGoldenGate