Uso del cifrado del archivo de pista de OCI KMS en Oracle GoldenGate

Obtenga información sobre los requisitos, los requisitos y los pasos necesarios para configurar un perfil de cifrado de KMS de OCI en Oracle GoldenGate para permitir el cifrado de archivos de pista mediante OCI KMS con procesos de extracción, replicación o ruta de distribución.

Flujo de trabajo de Oracle GoldenGate con OCI KMS

En los siguientes diagramas se explica cómo funciona Oracle GoldenGate con OCI KMS para el cifrado de archivos de pista.

Configuración del perfil de cifrado de OCI KMS en Oracle GoldenGate y asociación del perfil de cifrado a Extract. Incluyendo el parámetro ENCRYPTTRAIL para especificar el algoritmo de cifrado en el archivo de parámetros Extract.

En este diagrama se muestra el despliegue de origen EAST que contiene un Extract asociado al perfil de cifrado de OCI KMS. Para crear el perfil de cifrado en Oracle GoldenGate, el usuario de OCI debe acceder al arrendamiento de OCI y obtener algunos valores del almacén de OCI y generar la clave maestra y la clave de API para el usuario de OCI.

El almacén de OCI contiene información sobre el OCID de arrendamiento, el OCID de usuario y la URL de punto final criptográfico que se utiliza para descargar el certificado de CA digital. La clave maestra asociada al almacén también se genera a partir del almacén de OCI. También se necesita el par de claves de API, que puede generar desde el arrendamiento de OCI o cargar un par de claves existente. Consulte Configuración de OCI KMS para conectarse a Oracle GoldenGate para obtener más información.

Después de haber guardado todos los valores del arrendamiento de OCI, puede crear un perfil de cifrado en el servicio de administración de Oracle GoldenGate. Este perfil de cifrado se asocia a continuación con Extract y el archivo de parámetros Extract aplica el algoritmo de cifrado (AES 128, AES 192, AES 256) que ha decidido aplicar mediante el parámetro ENCRYPTTRAIL. El archivo de pista cifrado lo transporta DISTPATH al despliegue de destino (WEST). El archivo de parámetros Replicat en el despliegue de destino (WEST) incluye el parámetro DECRYPTTRAIL, que permite descifrar el archivo de pista. Consulte Configuración de procesos de Oracle GoldenGate para activar el cifrado del archivo de pista de OCI KMS.

Requisitos para conectar Oracle GoldenGate con OCI KMS

Realice las tareas de esta sección antes de empezar a configurar un perfil de cifrado de KMS de OCI en Oracle GoldenGate.

OCI KMS requiere el registro de la clave privada/pública (clave de firma de API) para acceder a la API de REST en el servidor en el que se despliega Oracle GoldenGate. Consulte Registro y gestión de claves para OCI KMS.

En la siguiente tabla se proporciona la lista de valores necesarios para configurar el perfil de cifrado de KMS de OCI desde el servicio de administración de Oracle GoldenGate. Asegúrese de que tiene estos valores disponibles antes de empezar a crear un perfil de cifrado con OCI KMS.


Opciones de configuración de KMS de OCI	Opciones para configurar un KMS de OCI.
URL de punto final de cifrado	Puede acceder a esto desde el asistente de OCI KMS Vault. Consulte [Referencia de línea de comandos de OCI](https://docs.oracle.com/en-us/iaas/tools/oci-cli/
2.21.4/oci_cli_docs/cmdref/kms/crypto.html) y Gestión de claves en Documentación de OCI para obtener más información.
OCID de arrendamiento	Cuando se registra en Oracle Cloud Infrastructure, Oracle crea un arrendamiento para su compañía, que es una partición segura y aislada en Oracle Cloud Infrastructure, donde puede crear, organizar y administrar sus recursos en la nube. Consulte Conceptos clave en la documentación de OCI para obtener más información.
OCID de Clave	Consulte la documentación de OCI para obtener detalles.
OCID de usuario	Consulte la documentación de OCI para obtener detalles.
Clave de API	Credencial para proteger solicitudes en la API de REST de Oracle Cloud Infrastructure.
Huella de clave de API	Consulte Claves y OCID necesarios en la documentación de OCI para obtener más información.

Descarga del certificado de CA mediante el punto final criptográfico

Para realizar los pasos de este tema, debe tener un almacén en su arrendamiento de OCI en el que se mencione la URL de punto final criptográfico. Esta URL es necesaria para descargar el certificado de CA digital, para establecer una conexión de confianza de Oracle GoldenGate al arrendamiento de OCI. Si no tiene un almacén existente, consulte Crear o acceder a OCI Vault y vuelva a este tema para ver los pasos para descargar el certificado de CA mediante el punto final criptográfico.

Si tiene un almacén existente en su arrendamiento de OCI, siga los pasos que se proporcionan en este tema para descargar el certificado de CA mediante el punto final criptográfico.

Vaya a la página Identity & Security desde el panel de navegación de la izquierda y seleccione Vault para abrir la página Vault Information.
En la página Vault Information, copie el valor de punto final criptográfico y el OCID.
Abra un explorador web y pegue el valor de punto final criptográfico en la barra de URL del explorador. El explorador no muestra ninguna página. Sin embargo, puede hacer clic en La conexión es segura para ver el certificado de CA.

Oracle GoldenGate necesita este certificado de CA para poder confiar en este arrendamiento de OCI al conectarse a él.
Vaya a la sección Descargas del explorador web. El certificado de CA se muestra aquí.
Haga clic en Export (Exportar) para descargar el certificado raíz.

Consejo: mantenga el mismo directorio para descargar la clave de API y el certificado raíz. {. :infoboxtip}

Adición del certificado de CA digital como certificado de CA de confianza en Oracle GoldenGate

El certificado de CA digital que ha descargado anteriormente mediante la URL de punto final criptográfico se debe agregar al despliegue de origen de Oracle GoldenGate como certificado de CA de confianza. Consulte Creación de certificados para despliegues seguros.

Nota: En el servicio GoldenGate de OCI, puede omitir este paso, ya que el certificado de CA ya se ha agregado como parte del servicio.

Desde Oracle GoldenGate Service Manager, realice los siguientes pasos para agregar el certificado de CA digital como certificado de CA de confianza para el despliegue de origen:

Conéctese a Oracle GoldenGate Service Manager.
En el panel de navegación de la izquierda, seleccione la opción Certificate Management.

Página Gestión de certificados en Oracle GoldenGate Service Manager

A partir de ahora, no se ha agregado ningún certificado como certificado de confianza para conectarse al arrendamiento de OCI específico. Tendrá que agregar el certificado raíz que ha descargado en el paso de
Agregue el certificado raíz como certificado protegido a los certificados de CA en el despliegue de Oracle GoldenGate. Esto permite a Oracle GoldenGate confiar en una conexión con el arrendamiento de OCI específico. Consulte también Agregar un certificado de CA.

Configuración de OCI KMS para conectarse a Oracle GoldenGate

Desde el arrendamiento de OCI KMS, se necesitan determinados valores para configurar una conexión entre Oracle GoldenGate y OCI KMS. Estos valores son:

ID de arrendamiento
Punto final criptográfico
OCID de usuario
Clave de API

Antes de configurar Oracle GoldenGate para conectarse a OCI KMS, debe conectarse al arrendamiento de OCI para realizar las siguientes tareas:

Cree un almacén, si aún no se ha creado, y obtenga los valores de punto final criptográfico y OCID de usuario. Ver
Cree y descargue un par de claves privadas de API e información asociada a la clave de API, como el valor de huella y clave de API.
Descargue el certificado de CA mediante el punto final criptográfico. Este paso también es un requisito para configurar el perfil de cifrado de Oracle GoldenGate. Consulte Descarga del certificado de CA mediante el punto final criptográfico para obtener más información.

Utilice los siguientes pasos para ver y guardar los valores de OCI KMS, que serían necesarios al configurar los procesos de Oracle GoldenGate para conectarse a OCI KMS:

Creación o acceso a OCI Vault

Acceda al almacén si ya existe en su arrendamiento de OCI para determinar los valores de:

Punto final criptográfico: es el enlace desde el que necesita obtener el certificado de confianza. Copie este enlace para utilizarlo en los pasos posteriores.
OCID: ID único para el entorno de OCI. Será necesario al configurar el perfil de cifrado en Oracle GoldenGate.

Utilice los siguientes pasos para crear y acceder al almacén:

Inicie sesión en su cuenta de | Oracle Cloud.
En el panel de navegación de la izquierda de la página inicial de Oracle Cloud, haga clic en la opción Identidad y seguridad y, a continuación, seleccione Almacén.
Haga clic en Crear almacén para crear un almacén, si aún no ha creado un almacén. En este caso, el almacén (WSJCVAULT) ya se ha creado.
Haga clic en el nombre del almacén, por ejemplo **WSJCVAULT** que se muestra en la siguiente imagen, para acceder a la información relacionada con el OCID del almacén, el punto final criptográfico y los detalles de la clave maestra. En la siguiente imagen, la sección **Información general** contiene los detalles **ocid** y **punto final criptográfico**, y la sección **Claves de cifrado maestras de Compartment_WH** muestra los detalles de la clave maestra. ![Obtener. el punto final criptográfico de la sección Información general del almacén de OCI.](images/ocikms_create_master_key.png " ") Desde esta página, obtiene los valores necesarios para configurar una conexión de confianza entre Oracle GoldenGate y OCI KMS.
Copie esta información en un archivo del bloc de notas como referencia. En pasos posteriores, utilizará este archivo del bloc de notas para agregar más detalles sobre la clave maestra y la clave de API. Estos valores se utilizarían para agregar el perfil de cifrado en el despliegue de Oracle GoldenGate.

Generación de la clave maestra y descarga de la clave privada de API

En los siguientes pasos se asume que ya está conectado a su arrendamiento de OCI.

Generar clave maestra

Para crear la clave maestra:

Vaya a la página Vault Information (Información del almacén).
Vaya al separador Claves de cifrado maestras y haga clic en Crear clave.
Especifique el nombre de la clave maestra y el algoritmo de cifrado, entre otros detalles, para crear una clave maestra, como se muestra en la siguiente imagen.
Haga clic en Create Key. Esto genera la clave maestra que utilizaría Oracle GoldenGate. La nueva clave maestra se muestra en la página Master encryption keys.

Generar clave de API

Para conectar al usuario con OCI KMS, cree una clave de API mediante los siguientes pasos:

En la página de información del almacén, haga clic en el icono User Settings (Configuración de usuario) en la esquina superior derecha.

Se muestra la página Perfil de Usuario con varias fichas.
Copie el OCID de usuario de la sección User Information del separador Details. Pegue este valor en el archivo del bloc de notas creado anteriormente.\
Haga clic en el separador Tokens and keys para abrir la sección API Keys.
Haga clic en Agregar clave de API para abrir el cuadro de diálogo Agregar clave de API.
Seleccione la opción Generar el par de claves de API para crear un par de claves para que el usuario de OCI se conecte a OCI KMS. También tiene la opción de cargar un archivo de clave pública existente mediante la opción Seleccionar archivo de clave pública o pegar el valor de clave pública en el cuadro de texto mediante la opción Pegar clave pública.
Haga clic en Descargar clave privada y guárdela en una ubicación conocida. Puede cambiar el nombre del archivo a un nombre fácil de recordar, como API_private_key.pem.
Haga clic en Agregar. Se muestra el cuadro de diálogo Vista previa de archivo de configuración, que contiene toda la información asociada a la clave de API, como la huella, el arrendamiento, la región y otros detalles.
Copie y guarde estos valores en el mismo archivo del bloc de notas creado anteriormente. Consejo: mantenga el mismo archivo de bloc de notas para almacenar información sobre la huella de la clave de API, el valor de arrendamiento y la información sobre el punto final criptográfico y los valores de OCID para el almacén de OCI. En la siguiente imagen se muestra un archivo de bloc de notas de ejemplo que contiene los detalles de configuración para el almacén, la clave maestra y la clave de API, que serían necesarios al configurar el perfil de cifrado en Oracle GoldenGate. ![Archivo del bloc de notas que contiene los valores necesarios para crear el perfil de cifrado en Oracle GoldenGate](images/ocikms_configfilemasterapikey-notepad.png " ")
Haga clic en Cerrar para volver a la sección Claves de API donde se muestra la nueva clave de API.

El siguiente paso consiste en configurar el perfil de cifrado de Oracle GoldenGate mediante todos estos detalles y, a continuación, aplicar el perfil de cifrado a los procesos de Extract y Replicat, según sea necesario. Consulte Configuración de procesos de Oracle GoldenGate para activar el cifrado del archivo de pista de OCI KMS para conocer los siguientes pasos.

Para obtener más información sobre los puntos finales de cifrado y descifrado de KMS de OCI, consulte la documentación del punto final cifrar y descifrar en la documentación de Oracle Cloud Infrastructure.

Configuración de procesos de Oracle GoldenGate para activar el cifrado del archivo de pista de OCI KMS

Antes de comenzar los pasos de esta sección, asegúrese de que ha completado los requisitos para conectar Oracle GoldenGate con OCI KMS.

En la interfaz de Oracle GoldenGate, realice las siguientes tareas al configurar Oracle GoldenGate para configurar una conexión de confianza con OCI KMS:

Cree un perfil de cifrado mediante los valores de OCID, punto final criptográfico, clave de API, arrendamiento y huella digital.
Aplique el perfil de cifrado a los procesos de Extract, Distribution Path o Replicat.

Utilice los pasos proporcionados en las siguientes secciones para aplicar el cifrado de pista basado en KMS de OCI desde la arquitectura de microservicios de Oracle GoldenGate:

Crear Perfil de Cifrado en Procesos de Oracle GoldenGate

Utilice los siguientes pasos para aplicar el cifrado de archivos de pista basado en KMS de OCI desde la interfaz web de la arquitectura de microservicios de Oracle GoldenGate:

Abra el archivo del bloc de notas donde guardó los detalles de la clave de API de KMS de OCI y los detalles del punto final criptográfico. Consulte el paso 8 para obtener una referencia de Configuración de OCI KMS para conectarse a Oracle GoldenGate.

La información incluiría los siguientes valores:
- URL de punto final criptográfico: este valor se muestra en la página Vault de OCI KMS.
- OCID de arrendamiento: este valor se puede obtener de los valores de API que se copiaron en el archivo del bloc de notas.
- OCID de clave: para obtener este valor:
  1. Vaya a la página OCI Vault y haga clic en la clave maestra para abrir la página de detalles de la clave donde se proporciona el OCID para la clave maestra.
  2. Copie el OCID de clave maestra de la página Key Details.
- OCID de usuario: obtenga este valor de los detalles de configuración de API.
- Clave privada de API: cargue la clave privada de API desde la ubicación en la que la haya guardado al realizar tareas en Configuración de OCI KMS para conectarse a Oracle GoldenGate.
- Huella de clave de API: obtenga este valor de los detalles de configuración de API.
Inicie sesión en el servicio de administración, seleccione el cifrado y, a continuación, seleccione perfiles en el panel de navegación de la izquierda.
Haga clic en el signo más situado junto a Oracle Cloud Infrastructure para abrir el cuadro de diálogo Crear perfil de cifrado.

Agregue los valores al perfil de cifrado y Enviar. Después de hacer clic en Enviar, el perfil de cifrado se valida y, si la validación se realiza correctamente, el perfil de cifrado de OCI KMS se muestra en la página Perfiles de cifrado, como se muestra en la siguiente imagen:
Puede cambiar los valores del perfil de cifrado haciendo clic en el icono de lápiz, que abre el cuadro de diálogo Editar perfil de cifrado.

Aplicación del perfil de cifrado de KMS de OCI para extracción

Utilice los siguientes pasos para implantar el perfil de cifrado de KMS de OCI para Extract:

En la página inicial del servicio de administración, haga clic en el signo más situado junto a Extracts para abrir el cuadro de diálogo Agregar extracción.
Después de proporcionar otros detalles para Extract, desplácese hacia abajo y amplíe la sección Perfil de cifrado y seleccione el nombre de perfil de OCIKMS.
En el archivo de parámetros Extract, incluya la opción ENCRYPTTRAIL AES256. El archivo de parámetros Extract tendría un aspecto similar al siguiente:
```
EXTRACT exte
USERIDALIAS ggwest DOMAIN OracleGoldenGate

ENCRYPTTRAIL AES256
EXTTRAIL ea
TABLE WPDB.U1.*;
```
Haga clic en Crear para agregar Extract y, a continuación, inicie Extract.
En el host de destino, seleccione Agregar Replicat en la página Visión general del servicio de administración para agregar un Replicat.
Seleccione el tipo de Replicat y rellene los detalles de Replicat.
Desplácese a la sección Perfil de cifrado y seleccione el mismo perfil de cifrado de OCIKMS (en este caso, OCIKMS). Haga clic en Siguiente.
En el archivo de parámetros Replicat, incluya la opción DECRYPTTRAIL. El archivo de parámetros Replicat tiene un aspecto similar al siguiente:
```
REPLICAT renct
USERIDALIAS ggeast DOMAIN OracleGoldenGate

DECRYPTTRAIL
MAP WPDB.U1.*, TARGET U2.*;
```
Cree y, a continuación, inicie el proceso Replicat.
Si desea aplicar el perfil de cifrado en una ruta de distribución (DISTPATH), debe realizar los siguientes pasos:
1. Cree el perfil de cifrado de KMS de OCI en el host de destino.
2. Cree DISTPATH y aplique el perfil de cifrado de KMS de OCI a él. Consulte Adición de una ruta de distribución.
3. Utilice el mismo perfil de cifrado para descifrar la pista en el destino. Esto implica que se utiliza el perfil de cifrado creado en el host de destino al agregar un Replicat.

En la siguiente sección se describen los pasos para probar que las transacciones confirmadas se capturan y se aplican al utilizar un perfil de cifrado

Consulte ADD ENCRYPTIONPROFILE, ALTER ENCRYPTIONPROFILE si desea configurar el perfil de cifrado mediante el cliente de administración.

Prueba de replicación de datos con cifrado de archivo de pista mediante OCI KMS

Pruebe el cifrado del archivo de pista en el lado de origen y el descifrado del archivo de pista en el lado de destino mediante los pasos indicados en este tema.

Cifrado de Archivo de Pista de Prueba en el Despliegue de Origen

En Configuración de procesos de Oracle GoldenGate para activar el cifrado del archivo de pista de OCI KMS, Extract se configura con el perfil de cifrado de OCI KMS.

En este ejemplo, podrá confirmar que Extract está utilizando el perfil de cifrado visualizando el archivo de informe Extract.

Para comprobar si Extract utiliza el perfil de cifrado de KMS de OCI:

En el servicio de administración, haga clic en Extraer y, a continuación, seleccione el Extract donde se aplica el perfil de cifrado. Podrá ver el perfil de cifrado de KMS de OCI en la sección Encryption de la página Extract.
Para la resolución de problemas, puede comprobar si el archivo de pista está cifrado en el origen mediante los comandos Logdump. Consulte Scanning a Trail File to Check for Trail File Encryption desde Logdump Reference for Oracle GoldenGate.

Prueba del descifrado del archivo de pista en el despliegue de destino

En el lado de destino, el siguiente ejemplo prueba que Replicat aplica las 3000 transacciones capturadas del origen. Para asegurarse de que Replicat utiliza el perfil de cifrado de KMS de OCI para descifrar el archivo de pista, compruebe el archivo de informe de Replicat.

En la página inicial del servicio de administración, haga clic en Replicat y seleccione el nombre de Replicat.
Haga clic en Estadísticas. En la página Estadísticas, se muestran las transacciones aplicadas.
Compruebe la página principal de Replicat para ver si el perfil de cifrado está implantado y utilizado por Replicat.

Consejo:

Para comprobar si los datos de pista se reciben en formato cifrado en el destino, puede ejecutar Replicat sin el parámetro DECRYPTTRAIL. En este caso, el archivo de informe Replicat muestra que los datos de pista están cifrados y no se han podido descifrar sin la configuración de clave adecuada.

Con estos casos de uso, puede probar que el archivo de pista del lado de Extract utiliza el perfil de cifrado de KMS de OCI para cifrar los datos de pista. En el lado de Replicat, el perfil de cifrado de KMS de OCI se utiliza para descifrar los datos de pista y aplicar las transacciones en el destino.