Verschlüsselung von Oracle Key Vault-Traildateien in Oracle GoldenGate verwenden

Erfahren Sie mehr über die Vorteile von Oracle Key Vault (OKV) mit der Oracle GoldenGate-Microservices-Architektur. Bestimmen Sie die Systemanforderungen, Prozesse und Parameter, die in Oracle GoldenGate zur Konfiguration von OKV mit Oracle GoldenGate verfügbar sind.

Im folgenden Diagramm werden das Oracle Key Vault-Setup und der Workflow in der Oracle GoldenGate-Umgebung erläutert. Das Diagramm zeigt den Lebenszyklus von Masterverschlüsselungsschlüsseln, die in KMS verwaltet werden. Masterschlüssel für Traildateiverschlüsselung wird von Oracle GoldenGate nicht auf dem Datenträger gespeichert. Distribution Service und Receiver Service verbinden sich über ein sicheres TLS-Netzwerk mit dem Web Secure Socket-(wss-)Protokoll.

Wie im Diagramm dargestellt, können Sie den Key Vault (OKV) als Key Management System auswählen, während Sie das Verschlüsselungsprofil für das Deployment in Oracle GoldenGate konfigurieren. Dieses Verschlüsselungsprofil wird von den Extract-, Replicat-Prozessen verwendet, um die Masterschlüssel zu speichern und anzuwenden, bevor Traildateien mit dem Verteilungspfad übertragen und die Dateien am anderen Ende mit dem RECVPATH-Prozess empfangen werden. Mit dem Web Secure Socket-(wss-)Protokoll wird die Verbindung zwischen DISTPATH und RECVPATH validiert, um einen sicheren Kommunikationskanal zu etablieren.

Oracle Key Vault-Funktionen

Oracle GoldenGate 26ai und höher unterstützen Oracle Key Vault 21.8 für die Traildateiverschlüsselung. Die folgende Tabelle enthält das Verhalten und die Funktionen von Oracle Key Vault (OKV).

Weitere Informationen zum Konfigurieren von OKV finden Sie unter Oracle Key Vault installieren und konfigurieren.

In der folgenden Liste werden die Oracle Key Vault-Funktionen beschrieben:

KMS-Typ: Keyname und benutzerdefinierte Attribute für die Versionierung.
Supporttags: Ja
Importieren von Schlüsseln unterstützen: Ja

Voraussetzungen für die Konfiguration des GoldenGate-Verschlüsselungsprofils mit Oracle Key Vault

Lernen Sie die Voraussetzungen für das Einrichten von OKV mit Oracle GoldenGate kennen.

In diesem Abschnitt wurden die Schritte zur Generierung des Masterschlüssels über die Befehlszeile ausgeführt. Alternativ können Sie mit der OKV-Weboberfläche den Masterschlüssel für Oracle GoldenGate erstellen. Wenn Sie den Masterschlüssel über die OKV-Weboberfläche generieren möchten, führen Sie die Schritte aus, die unter GoldenGate-Masterschlüssel erstellen im Oracle Key Vault-Administratorhandbuch beschrieben sind.

Die folgenden Schritte werden für die OKV-Konfiguration auf dem Rechner ausgeführt, auf dem die Oracle GoldenGate-Instanz ausgeführt wird:

Laden Sie die okvrestclipackage.zip vom OKV-Server herunter, auf dem Oracle GoldenGate als derselbe Systembenutzer wie das Deployment bereitgestellt wird.
Aktivieren Sie die RESTFUL-Services wie unter RESTful-Services aktivieren in der Dokumentation Oracle Key Vault Administrator's Guide beschrieben.
Legen Sie die Umgebungsvariable OKV_HOME fest.
```
OS> setenv OKV_HOME /u01/app/oracle/OKV
```
Die Unterverzeichnisstruktur enthält die erforderlichen Bibliotheken, Binärdateien und Konfigurationsdateien für die OKV-Umgebung. Einzelheiten zur Konfiguration innerhalb des OKV-Servers finden Sie unter Oracle Key Vault-Installation und -Konfiguration im Oracle Key Vault-Installations- und -Upgradehandbuch.
Laden Sie die Endpunktdatei okvclient.jar vom OKV-Server herunter, und installieren Sie sie. Dabei wird Oracle GoldenGate als derselbe Systembenutzer wie das Deployment bereitgestellt. Beispiel:
```
OS> java -jar okvclient.jar -d /u01/app/oracle/OKV
```

Erstellen Sie den Schlüssel. Der Name des Wallets wird vom OKV-Administrator angegeben. Das folgende Beispiel zeigt, wie der Schlüssel erstellt wird:

OS> okv managed-object key create
 [--activation-date activation date]
 [--algorithm algorithm]
 [--custom-attribute custom attribute]
 [--deactivation-date deactivation date]
 [-- extractable extractable]
 [--length length]
 [--mask mask]
 [--name name]
 [--wallet wallet]

ex - okv managed-object key create --algorithm AES --length 256 --mask "ENCRYPT,DECRYPT,TRANSLATE_ENCRYPT,TRANSLATE_DECRYPT,TRANSLATE_WRAP,TRANSLATE_UNWRAP" --wallet wallet1

Alternativ können Sie Ihren eigenen Schlüssel registrieren, wie im folgenden Beispiel dargestellt:

OKV> okv managed-object key register
  [--activation-date activation date]
  [--algorithm algorithm]
  [--custom-attribute custom attribute]
  [--deactivation-date deactivation date]
  [--extractable extractable]
  [--length length]
  [--mask mask]
  [--name name]

  --object object
  [--wallet wallet]

ex -  bin/okv managed-object key register --length 256 --activation-date "NOW" --object symkey.txt --algorithm AES --mask "ENCRYPT,DECRYPT,TRANSLATE_ENCRYPT,TRANSLATE_DECRYPT,TRANSLATE_WRAP,TRANSLATE_UNWRAP"

   --wallet wallet1

Aktivieren Sie den Schlüssel wie im folgenden Beispiel gezeigt:
```
OS> okv managed-object object activate --uuid UUID
```
Fügen Sie die Oracle GoldenGate-bezogenen Schlüsselattribute (KeyName, KeyVersion) zur Konfiguration hinzu. Der Schlüsselname muss mit dem Master-Keyname im KMS-Verschlüsselungsprofil übereinstimmen, das in Oracle GoldenGate erstellt wurde. Der Schlüsselwert muss mit der Versionsnummer des Masterschlüssels übereinstimmen.
```
OS> okv managed-object custom-attribute add --custom-attribute custom attribute --uuid uuid

ex - okv managed-object custom-attribute add --custom-attribute '[ { "name": "x-OGG-KeyName", "value" : "OGG_Masterkey", "type" : "text" },{ "name": "x-OGG-KeyVersion", "value" : "1", "type" : "text"} ] '
```

Verwenden Sie okvutil, um die Konfigurationseinstellung aufzulisten und den Endpunktstatus zu prüfen. Wie im folgenden Beispiel gezeigt:

*OS>okvutil list -v 4*

In der Ausgabe dieses Befehls werden die Konfigurationseinstellungen und der Endpunktstatus angezeigt:

okvutil version 21.12.0.0.0
Endpoint type: Oracle AI Database
Configuration file: u01/app/oracle/OKV/conf/okvclient.ora
Server: 100.70.1.1:5696
Standby Servers:
Auto-login wallet found, no password needed
Trying to connect to 100.70.1.1:5696 ...
Connected to 100.70.1.1:5696.
Unique ID                               Type            Identifier
8BC11E57-5269-403D-9B69-A66641ADAFC7   Symmetric          Key   -

Die nächsten Schritte werden in Oracle GoldenGate verwaltet und vom Admin-Client als Implementierung angezeigt.

Clientverhalten für verschiedene Schlüsselstatus für Oracle Key Vault

In der folgenden Tabelle wird das relative Verhalten der Writer-(Extract-) oder Reader-(Replicat-)Clientprozesse in Abhängigkeit von den verschiedenen Trailverschlüsselungsschlüsselstatus beschrieben.

Wenn der Masterschlüssel nicht extrahierbar ist, bedeutet dies, dass für kryptografische OKV-Vorgänge die Remoteverschlüsselung verwendet wird. Dies bedeutet, dass der Masterschlüssel nicht verlassen oder von OKV abgerufen werden kann. Befehle zum Verschlüsseln und Entschlüsseln in Oracle GoldenGate auf der Basis von einmal pro Traildatei werden in OKV ausgeführt.

Ein Schlüssel kann den folgenden Status aufweisen:

Schlüsselstatus	Trail Writer (Verschlüsselung)	Trail Reader (Entschlüsselung)
Aktiv	Trail Writer wählt für die Verschlüsselung die höchste Versionsnummer mit dem Status "Aktiv".	Trail Reader kann diesen Schlüssel und diese Versionsnummer verwenden, um den Trail zu entschlüsseln.
Vorab aktiv	Trail Writer ignoriert die Schlüsselversionsnummer mit diesen Statuswerten und berücksichtigt sie nicht.	Nicht anwendbar
Deaktiviert	Keine	Traildateilesegerät ruft den Trail ab und entschlüsselt ihn, wenn der Schlüssel und die Versionsnummer deaktiviert oder gefährdet sind.
Kompromittiert	Keine	Traildateilesegerät ruft den Trail ab und entschlüsselt ihn, wenn der Schlüssel und die Versionsnummer deaktiviert oder gefährdet sind.
Zerstört	Nicht	Der Traildateireader generiert einen Fehler und wird abgebrochen, wenn der zum Entschlüsseln erforderliche Schlüssel und die Versionsnummer den Status "Zerstört" oder "Zerstört" aufweisen.
Zerstört/kompromittiert	Keine	Der Trail-Dateireader löst einen Fehler aus und wird abgebrochen, wenn der zum Entschlüsseln erforderliche Schlüssel und die Versionsnummer den Zustand "Zerstört" oder "Zerstört" aufweisen.

OKV-Verschlüsselungsprofil anwenden

Oracle GoldenGate Administration Service bietet Optionen zum Einrichten von Verschlüsselungsprofilen für Extract- und Replicat-Prozesse.

Gehen Sie wie folgt vor, um ein Verschlüsselungsprofil mit Oracle Key Vault (OKV) zu erstellen:

Bevor Sie OKV einrichten, müssen Sie eine Clientinstallation durchführen. Siehe Schritt 1: Oracle Key Vault Server-Umgebung konfigurieren im Oracle Key Vault Administrator's Guide.
Klicken Sie im linken Navigationsbereich des Administrationsservice auf Verschlüsselung. Die Seite "Verschlüsselungsprofile" wird ausgegeben.

Klicken Sie auf das Pluszeichen + neben OKV, und geben Sie die folgenden Details für die OKV-Konfiguration an:

Option	Beschreibung
Profilname	Name des Verschlüsselungsprofils
Beschreibung	Beschreiben Sie das Verschlüsselungsprofil.
Standardprofil	Wenn Sie dieses Profil zum Standardprofil machen möchten, aktivieren Sie diese Option.
Verschlüsselungsprofiltyp	Wählen Sie Oracle Key Vault (OKV) aus.
KMS-Library-Pfad	Geben Sie das Verzeichnis an, in dem Oracle Key Vault installiert ist. In der Weboberfläche wird dies als KMS-Bibliothekspfad bezeichnet. Im Admin-Client ist dies jedoch der Oracle Key Vault-Pfad.
Oracle Key Vault-Version
Masterschlüsselname	Geben Sie den Namen des Masterschlüssels an.
Gültigkeitsdauer	Gültigkeitsdauer (TTL) für den von Extract aus Oracle Key Vault abgerufenen Schlüssel. Beim Verschlüsseln des nächsten Trails prüft Extract, ob die TTL abgelaufen ist. Wenn der Schlüssel abgelaufen ist, ruft er die neueste Version des Masterschlüssels ab. Der Standardwert beträgt 24 Stunden.

Siehe auch das folgende Tutorial als Referenz: Verschlüsselung in Oracle GoldenGate-Microservices mit Oracle Key Vault verwalten