Crear certificados de servidor y RootCA

Es posible que se necesiten varios certificados de cliente y servidor para un despliegue. Para crear una CA raíz de confianza y un certificado de servidor para un despliegue de host, utilice los comandos que se describen en las siguientes secciones.

Los comandos que se utilizan para generar estos certificados son comandos OpenSSL.

En el siguiente ejemplo, el despliegue se realiza en el host west01.dc1.example.com dentro del nombre de dominio completo dc1.example.com. Si crea varias instancias de Oracle GoldenGate en diferentes servidores, puede sustituir server01 por su nombre de host y sustituir el nombre de dominio cualificado según corresponda.

Creación de certificados RootCA de confianza

Genere un certificado RootCA de confianza con los siguientes comandos:

openssl req -subj "/CN=RootCA"
            -newkey rsa:2048
            -nodes
            -keyout rootCA_key.pem
            -new -x509 -days 365
            -out rootCA_cert.pem

Este comando crea dos archivos con el certificado raíz rootCA_cert.pem y la clave privada rootCA_key.pem. Ambos archivos se almacenan en el formato Privacy Exhanced Mail (PEM). La clave privada se crea en un formato de estándares de criptografía de clave pública (PKCS) #8. El certificado raíz rootCA_cert.pem se utiliza en un despliegue seguro de Oracle GoldenGate para el certificado de servidor. También puede agregar el certificado de cliente de distribución (distclient) en el despliegue. Aquí, se vuelve a utilizar el certificado raíz.

Crear certificados de servidor

Con el certificado rootCA y la clave privada, puede crear el certificado de servidor. Utilice un archivo de configuración similar al siguiente para west01_cert.cnf:

extendedKeyUsage = serverAuth
subjectAltName = DNS:west01,DNS:west01.dc1.example.com,DNS:localhost,IP:127.0.0.1

Después de crear el archivo de configuración para el certificado de servidor, se utilizan los siguientes comandos para crear el certificado de servidor y los archivos de clave privada:

subject="/C=US/O=OGG example/CN=west01"

openssl req -subj "${subject}"
        -newkey rsa:2048 -nodes
        -keyout west01_key.pem
        -new
        -out west01.csr

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in west01.csr
        -extfile west01_cert.cnf
        -days 365
        -out west01_cert.pem

Ambos archivos se almacenan en el correo mejorado de privacidad (PEM) y la clave privada se crea en un formato de estándares de criptografía de clave pública (PKCS) #12. El certificado de servidor y la clave privada del servidor se utilizan en el despliegue de Oracle GoldenGate. El nombre común (CN) del asunto utiliza el nombre de host west01 para identificar de manera única el servidor.