Création de certificats de serveur et RootCA

Plusieurs certificats client et serveur peuvent être requis pour un déploiement. Pour créer une autorité de certification et un certificat de serveur racine de confiance pour un déploiement d'hôte, utilisez les commandes décrites dans les sections suivantes.

Les commandes utilisées pour générer ces certificats sont les commandes OpenSSL.

Dans l'exemple suivant, le déploiement est effectué sur l'hôte west01.dc1.example.com dans le nom de domaine qualifié complet dc1.example.com. Si vous créez plusieurs instances Oracle GoldenGate sur différents serveurs, vous pouvez remplacer server01 par votre nom d'hôte et remplacer le nom de domaine qualifié en conséquence.

Création de certificats RootCA sécurisés

Générez un certificat RootCA sécurisé à l'aide des commandes suivantes :

openssl req -subj "/CN=RootCA"
            -newkey rsa:2048
            -nodes
            -keyout rootCA_key.pem
            -new -x509 -days 365
            -out rootCA_cert.pem

Cette commande crée deux fichiers avec le certificat racine rootCA_cert.pem et la clé privée rootCA_key.pem. Les deux fichiers sont stockés au format PEM (Privacy Exhanced Mail). La clé privée est créée au format PKCS (Public-Key Cryptography Standards) #8. Le certificat racine rootCA_cert.pem est utilisé dans un déploiement Oracle GoldenGate sécurisé pour le certificat de serveur. Vous pouvez également ajouter le certificat du client de distribution (distclient) au sein du déploiement. Ici, le certificat racine est à nouveau utilisé.

Création de certificats de serveur

Avec le certificat rootCA et la clé privée, vous pouvez créer le certificat de serveur. Utilisez un fichier de configuration semblable au suivant pour west01_cert.cnf :

extendedKeyUsage = serverAuth
subjectAltName = DNS:west01,DNS:west01.dc1.example.com,DNS:localhost,IP:127.0.0.1

Une fois le fichier de configuration du certificat de serveur créé, les commandes suivantes sont utilisées pour créer le certificat de serveur et les fichiers de clés privées :

subject="/C=US/O=OGG example/CN=west01"

openssl req -subj "${subject}"
        -newkey rsa:2048 -nodes
        -keyout west01_key.pem
        -new
        -out west01.csr

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in west01.csr
        -extfile west01_cert.cnf
        -days 365
        -out west01_cert.pem

Les deux fichiers sont stockés dans le PEM (Privacy Enhanced Mail) et la clé privée est créée au format PKCS (Public-Key Cryptography Standards) #12. Le certificat de serveur et la clé privée de serveur sont utilisés dans le déploiement Oracle GoldenGate. Le nom commun (CN) au sein du sujet utilise le nom d'hôte west01 pour identifier de manière unique le serveur.