Traildateiverschlüsselung (Daten im Ruhezustand)

Alle kundenbezogenen Daten wie Traildateien sowie alle abhängigen/abgeleiteten Daten wie Bounded Recovery, ausgelagerte/ausgelagerte Daten auf dem Datenträger werden in einem verschlüsselten Format in der Oracle GoldenGate-Umgebung verwaltet.

Oracle GoldenGate verwendet verschiedene Verschlüsselungstechniken, um Daten im Ruhezustand zu sichern. Die Verschlüsselung erfolgt mit einem Masterschlüssel und unterstützt die Verwendung mehrerer Masterschlüssel.

Oracle GoldenGate stellt AES-basierte Methoden für die Traildateiverschlüsselung bereit. Zu den Features für die Traildateiverschlüsselung gehören:

• ANSI X9.102 ist der Schlüssel-Wrap-Algorithmus, der für die Kapselungsverschlüsselung verwendet wird.

• Der Datenverschlüsselungsschlüssel (DEK) für jede Traildatei (lokaler Schlüssel) ist enthalten.

• Eine verschlüsselte Version des lokalen Schlüssels ist im Header der Traildatei enthalten, und ein Masterschlüssel wird zur Verschlüsselung des Datenverschlüsselungsschlüssels verwendet.

• Verschlüsselungsebenen sind AES128, AES192, AES 256.

Warum sollten Sie Oracle GoldenGate-Verschlüsselungsschlüssel mit KMS speichern?

Die Oracle GoldenGate-Verschlüsselung von Traildateien wird verbessert, indem OKV oder OCI KMS als Key Management Service (KMS) zum Speichern von Masterschlüsseln verwendet werden.

Jedes Mal, wenn Oracle GoldenGate eine Traildatei erstellt, wird automatisch ein neuer Verschlüsselungsschlüssel generiert. Dieser Verschlüsselungsschlüssel verschlüsselt den Trailinhalt. Der Masterschlüssel verschlüsselt den Verschlüsselungsschlüssel. Dieser Prozess zur Verschlüsselung von Verschlüsselungsschlüsseln wird als Schlüssel-Wrap bezeichnet und wird im Standard-ANS X9.102 des American Standards Committee beschrieben.

Die Schlüsselverwaltung bezieht sich auf die Verwaltung kryptografischer Schlüssel in einem Unternehmen. Es geht darum, Schlüssel nach Bedarf zu generieren, auszutauschen, zu speichern, zu verwenden und zu ersetzen. Ein KMS umfasst auch Schlüsselserver, Benutzerprozeduren und Protokolle. Die Sicherheit des Unternehmens hängt von einer erfolgreichen Schlüsselverwaltung ab.

Die Verwendung von KMS mit Oracle GoldenGate bietet folgende Vorteile:

• Zentrales Lebenszyklusmanagement von Masterschlüsseln. Sie können Masterschlüssel direkt mit benutzerdefinierten Attributen generieren und in Oracle Key Vault hochladen und Lebenszykluswartungsaufgaben innerhalb des KMS direkt ausführen.

• Oracle GoldenGate muss die Masterschlüssel nicht lokal speichern und ist nicht am Lebenszyklusmanagement der Masterschlüssel beteiligt.

• Oracle GoldenGate kann von den spezialisierten KMS-Features profitieren, die eine Schlüsselverwaltung mit mehreren Sicherheitsebenen bieten.

Oracle Key Management-Services

Oracle GoldenGate bietet die folgenden Methoden für die Schlüsselverwaltung:

• Lokales Wallet: Der Verschlüsselungs-Masterschlüssel wird in der lokalen Wallet-Datei gespeichert.

• Oracle Key Vault (OKV): Der Verschlüsselungs-Masterschlüssel wird in Oracle Key Vault gespeichert. Dieser Oracle Key Vault-Service kann sich auf einem anderen Server als Oracle GoldenGate befinden.

  Die OKV-Methode wird für die On-Premise-Oracle GoldenGate-Trailverschlüsselung dringend empfohlen. Diese Methode ist mit Oracle GoldenGate Microservices Architecture verfügbar und erfordert die Definition eines Verschlüsselungsprofils in Oracle GoldenGate. Siehe Oracle Key Vault-Traildateiverschlüsselung in Oracle GoldenGate verwenden.

• Oracle Cloud Infrastructure Key Management Service (OCI KMS): Der Verschlüsselungsmasterschlüssel wird in OCI KMS gespeichert. Der Masterschlüssel verlässt OCI KMS nie. Diese Methode wird empfohlen, wenn Ihr Oracle GoldenGate-Deployment auf OCI KMS zugreifen kann.

  Diese Methode funktioniert mit Oracle GoldenGate Microservices Architecture und erfordert die Definition eines Verschlüsselungsprofils in Oracle GoldenGate. Siehe Oracle GoldenGate-Prozesse zum Aktivieren der Verschlüsselung von OCI-KMS-Traildateien konfigurieren.

• Plug-in-Service für Verschlüsselungsprofile von Drittanbietern: Der Plug-in-Service für Verschlüsselungsprofile von Drittanbietern ist nur mit Linux verfügbar. Informationen zum Einrichten und Erstellen des Plug-in-Service für das Encyrptionsprofil finden Sie unter Plug-in-Service für Traildateiverschlüsselung verwenden.

Verschlüsselungsunterstützung für gecachte Dateien

Ab Oracle GoldenGate 26ai werden ausgelagerte Benutzerdaten wie Cachedateien mit demselben Verschlüsselungsalgorithmus verschlüsselt, der für die Traildateien verwendet wird.

Verschlüsselungsunterstützung für persistente BR-Dateien

Ab Oracle GoldenGate 26ai werden ausgelagerte Benutzerdaten wie Bounded Recovery (BR) persistente Datendateien (PCDFs) mit demselben Verschlüsselungsalgorithmus verschlüsselt, der für die Traildateien verwendet wird.