Utilisation du cryptage de fichier de trace OCI KMS dans Oracle GoldenGate

Découvrez les prérequis, les exigences et les étapes de configuration d'un profil de cryptage OCI KMS dans Oracle GoldenGate pour autoriser le cryptage de fichier trace à l'aide d'OCI KMS avec les processus Extract, Replicat ou Distribution Path.

Workflow Oracle GoldenGate avec OCI KMS

Les diagrammes suivants expliquent comment Oracle GoldenGate fonctionne avec OCI KMS pour le cryptage des fichiers trace.

Configuration du profil de cryptage OCI KMS dans Oracle GoldenGate et attachement du profil de cryptage à Extract. Inclusion du paramètre ENCRYPTTRAIL pour spécifier l'algorithme de cryptage dans le fichier de paramètres d'extraction.

Ce diagramme présente le déploiement source EAST contenant une extraction associée au profil de cryptage OCI KMS. Pour créer le profil de cryptage dans Oracle GoldenGate, l'utilisateur OCI doit accéder à la location OCI et obtenir certaines valeurs à partir du coffre OCI, et générer la clé maître et la clé d'API pour l'utilisateur OCI.

Le coffre OCI contient des informations sur l'OCID de location, l'OCID d'utilisateur et l'URL d'adresse cryptographique utilisés pour télécharger le certificat d'autorité de certification numérique. La clé principale associée au coffre est également générée à partir du coffre OCI. La paire de clés d'API est également requise, que vous pouvez générer à partir de la location OCI ou télécharger une paire de clés existante. Pour plus de détails, reportez-vous à Configuration d'OCI KMS pour la connexion à Oracle GoldenGate.

Une fois toutes les valeurs enregistrées dans la location OCI, vous pouvez créer un profil de cryptage dans le service d'administration Oracle GoldenGate. Ce profil de cryptage est ensuite associé à l'extraction et le fichier de paramètres d'extraction applique l'algorithme de cryptage (AES 128, AES 192, AES 256) que vous avez décidé d'appliquer à l'aide du paramètre ENCRYPTTRAIL. Le fichier trace crypté est transporté par DISTPATH vers le déploiement cible (WEST). Le fichier de paramètres de réplication sur le déploiement cible (WEST) inclut le paramètre DECRYPTTRAIL, qui permet de décrypter le fichier trace. Reportez-vous à Configuration des processus Oracle GoldenGate pour activer le cryptage de fichier de trace OCI KMS.

Prérequis pour la connexion d'Oracle GoldenGate à OCI KMS

Effectuez les tâches de cette section avant de commencer à configurer un profil de cryptage OCI KMS dans Oracle GoldenGate.

OCI KMS requiert l'inscription de la clé privée/publique (clé de signature d'API) pour accéder à l'API REST sur le serveur sur lequel Oracle GoldenGate est déployé. Reportez-vous à Enregistrement et gestion des clés pour OCI KMS.

Le tableau suivant répertorie les valeurs requises pour configurer le profil de cryptage OCI KMS à partir du service d'administration Oracle GoldenGate. Assurez-vous que ces valeurs sont disponibles avant de commencer à créer un profil de cryptage avec OCI KMS.


Options de configuration OCI KMS	Options pour configurer un KMS OCI.
URL endpoint cryptographique	Vous pouvez y accéder à partir de l'assistant OCI KMS Vault. Reportez-vous à [Référence de ligne de commande OCI](https://docs.oracle.com/en-us/iaas/tools/oci-cli/
2.21.4/oci_cli_docs/cmdref/kms/crypto.html) et Gestion des clés dans la documentation OCI pour en savoir plus.
OCID de location	Lorsque vous souscrivez à Oracle Cloud Infrastructure, Oracle crée une location pour votre entreprise, qui est une partition sécurisée et isolée au sein d'Oracle Cloud Infrastructure, dans laquelle vous pouvez créer, organiser et administrer vos ressources cloud. Pour en savoir plus, reportez-vous à Concepts clés dans la documentation OCI.
OCID de clé	Pour plus de détails, reportez-vous à la documentation OCI.
OCID utilisateur	Pour plus de détails, reportez-vous à la documentation OCI.
Clé d'API	Informations d'identification permettant de sécuriser les demandes envoyées à l'API REST Oracle Cloud Infrastructure.
Empreinte de clé d'API	Pour plus d'informations, reportez-vous à Clés et OCID obligatoires dans la documentation OCI.

Téléchargement du certificat CA à l'aide de l'adresse cryptographique

Pour effectuer les étapes de cette rubrique, vous devez disposer d'un coffre dans votre location OCI dans lequel l'URL d'adresse cryptographique est mentionnée. Cette URL est requise pour télécharger le certificat d'autorité de certification numérique, afin d'établir une connexion sécurisée entre Oracle GoldenGate et la location OCI. Si vous ne disposez pas d'un coffre existant, reportez-vous à Création ou accès à OCI Vault et revenez à cette rubrique pour connaître les étapes de téléchargement du certificat d'autorité de certification à l'aide de l'adresse cryptographique.

Si votre location OCI comporte un coffre existant, suivez les étapes indiquées dans cette rubrique pour télécharger le certificat d'autorité de certification à l'aide de l'adresse cryptographique.

Accédez à la page Identité et sécurité à partir du panneau de navigation de gauche et sélectionnez Coffre pour ouvrir la page Informations sur le coffre.
Dans la page Vault Information, copiez la valeur d'adresse cryptographique et l'OCID.
Ouvrez un navigateur Web et collez la valeur de l'adresse cryptographique dans la barre d'URL du navigateur. Le navigateur n'affiche aucune page. Toutefois, vous pouvez cliquer sur La connexion est sécurisée pour visualiser le certificat d'autorité de certification.

Ce certificat d'autorité de certification est requis par Oracle GoldenGate pour pouvoir faire confiance à cette location OCI lors de la connexion à celle-ci.
Accédez à la section Téléchargements du navigateur Web. Le certificat CA est répertorié ici.
Cliquez sur Exporter pour télécharger le certificat racine.

A savoir : Conservez le même répertoire pour le téléchargement de la clé d'API et du certificat racine. {. :infoboxtip}

Ajout du certificat d'autorité de certification numérique en tant que certificat d'autorité de certification sécurisée dans Oracle GoldenGate

Le certificat d'autorité de certification numérique que vous avez téléchargé précédemment à l'aide de l'URL d'adresse cryptographique doit être ajouté au déploiement de source Oracle GoldenGate en tant que certificat d'autorité de certification sécurisé. Reportez-vous à Création de certificats pour des déploiements sécurisés.

Remarque : dans le service OCI GoldenGate, vous pouvez ignorer cette étape car le certificat d'autorité de certification est déjà ajouté dans le cadre du service.

Dans Oracle GoldenGate Service Manager, procédez comme suit pour ajouter le certificat d'autorité de certification numérique en tant que certificat d'autorité de certification sécurisée pour le déploiement source :

Connectez-vous au gestionnaire des services Oracle GoldenGate.
Dans le volet de navigation de gauche, sélectionnez l'option Gestion des certificats.

Page Gestion des certificats dans Oracle GoldenGate Service Manager

Aucun certificat n'a été ajouté en tant que certificat sécurisé pour la connexion à la location OCI spécifique. Vous devrez ajouter le certificat racine que vous avez téléchargé à l'étape de
Ajoutez le certificat racine en tant que certificat sécurisé aux certificats CA dans le déploiement Oracle GoldenGate. Oracle GoldenGate peut ainsi faire confiance à une connexion avec la location OCI spécifique. Voir également Ajouter un certificat d'autorité de certification.

Configurer OCI KMS pour la connexion à Oracle GoldenGate

A partir de la location OCI KMS, certaines valeurs sont nécessaires pour configurer une connexion entre Oracle GoldenGate et OCI KMS. Ces valeurs sont les suivantes :

ID de location
Adresse cryptographique
OCID utilisateur
Clé d'API

Avant de configurer Oracle GoldenGate pour la connexion à OCI KMS, vous devez vous connecter à la location OCI pour effectuer les tâches suivantes :

Créez un coffre, s'il n'est pas déjà créé, et obtenez les valeurs d'adresse cryptographique et d'OCID utilisateur. Voir
Créez et téléchargez une paire de clés privées d'API et les informations associées à la clé d'API, telles que la valeur Empreinte et clé d'API.
Téléchargez le certificat d'autorité de certification à l'aide de l'adresse cryptographique. Cette étape est également un prérequis pour la configuration du profil de cryptage Oracle GoldenGate. Pour plus de détails, reportez-vous à Téléchargement du certificat d'autorité de certification à l'aide de l'adresse cryptographique.

Procédez comme suit pour visualiser et enregistrer les valeurs OCI KMS, qui sont requises lors de la configuration des processus Oracle GoldenGate pour la connexion à OCI KMS :

Création ou accès à OCI Vault

Accédez au coffre s'il existe déjà dans votre location OCI afin de déterminer les valeurs pour :

Adresse cryptographique : lien à partir duquel vous devez obtenir le certificat sécurisé. Copiez ce lien pour l'utiliser dans les étapes suivantes.
OCID : ID unique de l'environnement OCI. Elle sera requise lors de la configuration du profil de cryptage dans Oracle GoldenGate.

Pour créer le coffre et y accéder, procédez comme suit :

Identifiez-vous dans votre compte Oracle Cloud.
Dans le panneau de navigation de gauche de la page d'accueil Oracle Cloud, cliquez sur l'option Identité et sécurité, puis sélectionnez Coffre.
Cliquez sur Créer un coffre pour créer un coffre, si vous n'avez pas encore créé de coffre. Dans ce cas, le coffre (WSJCVAULT) est déjà créé.
Cliquez sur le nom du coffre (par exemple, **WSJCVAULT** affiché dans l'image suivante) pour accéder aux informations relatives à l'ocid du coffre, à l'adresse cryptographique et aux détails de la clé maître. Dans l'image suivante, la section **Informations générales** contient les détails **ocid** et **adresse cryptographique**, et les **clés de cryptage maître dans la section Compartment_WH** affichent les détails de la clé maître. ![Obtenir] l'adresse cryptographique de la section Informations générales du coffre OCI.](images/ocikms_create_master_key.png ") A partir de cette page, vous obtenez les valeurs requises pour configurer une connexion sécurisée entre Oracle GoldenGate et OCI KMS.
Copiez ces informations dans un fichier bloc-notes pour référence. Dans les étapes suivantes, vous utiliserez ce fichier bloc-notes pour ajouter plus de détails sur la clé maître et la clé d'API. Ces valeurs sont utilisées pour ajouter le profil de cryptage dans le déploiement Oracle GoldenGate.

Génération de la clé maître et téléchargement de la clé privée d'API

Les étapes suivantes supposent que vous êtes déjà connecté à votre location OCI.

Générer une clé maître

Pour créer la clé maître, procédez comme suit :

Accédez à la page Informations sur le coffre.
Accédez à l'onglet Clés de cryptage maître et cliquez sur Créer une clé.
Indiquez le nom de la clé maître et de l'algorithme de cryptage, entre autres détails, pour créer une clé maître, comme indiqué dans l'image suivante.
Cliquez sur Create Key (Créer une clé). Cela génère la clé maître qui sera utilisée par Oracle GoldenGate. La nouvelle clé maître est répertoriée sur la page des clés de cryptage maître.

Générer une clé d'API

Pour connecter l'utilisateur à OCI KMS, créez une clé d'API en procédant comme suit :

Dans la page d'informations du coffre, cliquez sur l'icône Paramètres utilisateur dans l'angle supérieur droit.

La page Profil utilisateur s'affiche avec plusieurs onglets.
Copiez l'OCID utilisateur à partir de la section Informations utilisateur de l'onglet Détails. Collez cette valeur dans le fichier bloc-notes créé précédemment.\
Cliquez sur l'onglet Jetons et clés pour ouvrir la section Clés d'API.
Cliquez sur Ajouter une clé API pour ouvrir la boîte de dialogue Ajouter une clé API.
Sélectionnez l'option Générer la paire de clés d'API afin de créer une paire de clés pour que l'utilisateur OCI se connecte à OCI KMS. Vous pouvez également télécharger un fichier de clés publiques existant à l'aide de l'option Choisir un fichier de clés publiques ou coller la valeur de la clé publique dans la zone de texte à l'aide de l'option Coller la clé publique.
Cliquez sur Download Private Key (Télécharger la clé privée) pour la conserver à un emplacement connu. Vous pouvez renommer le fichier en un nom convivial tel que API_private_key.pem.
Cliquez sur Ajouter. La boîte de dialogue Aperçu du fichier de configuration apparaît. Elle contient toutes les informations associées à la clé d'API, telles que l'empreinte, la location, la région et d'autres détails.
Copiez et enregistrez ces valeurs dans le même fichier bloc-notes créé précédemment. Conseil : conservez le même fichier de bloc-notes pour stocker des informations sur l'empreinte de la clé d'API, la valeur de location et les informations sur l'adresse cryptographique et les valeurs d'OCID pour le coffre OCI. L'image suivante présente un exemple de fichier bloc-notes contenant les détails de configuration du coffre, de la clé maître et de la clé d'API, qui sont requis lors de la configuration du profil de cryptage dans Oracle GoldenGate. ![Fichier bloc-notes contenant les valeurs requises pour la création du profil de cryptage dans Oracle GoldenGate](images/ocikms_configfilemasterapikey-notepad.png ")
Cliquez sur Fermer pour revenir à la section Clés d'API dans laquelle la nouvelle clé d'API est répertoriée.

L'étape suivante consiste à configurer le profil de cryptage Oracle GoldenGate à l'aide de tous ces détails, puis à appliquer le profil de cryptage aux processus Extract et Replicat, si nécessaire. Pour les étapes suivantes, reportez-vous à Configuration des processus Oracle GoldenGate pour activer le cryptage de fichier de trace OCI KMS.

Pour en savoir plus sur les adresses de cryptage et de décryptage OCI KMS, reportez-vous à la documentation sur les adresses de cryptage et de décryptage dans la documentation Oracle Cloud Infrastructure.

Configurer les processus Oracle GoldenGate pour activer le cryptage de fichier de trace OCI KMS

Avant de commencer les étapes de cette section, assurez-vous d'avoir terminé les prérequis pour la connexion d'Oracle GoldenGate à OCI KMS.

Dans l'interface Oracle GoldenGate, effectuez les tâches suivantes lors de la configuration d'Oracle GoldenGate pour configurer une connexion sécurisée avec OCI KMS :

Créez un profil de cryptage à l'aide des valeurs d'OCID, d'adresse cryptographique, de clé d'API, de location et d'empreinte.
Appliquez le profil de cryptage aux processus Extract, Distribution Path ou Replicat.

Suivez les étapes indiquées dans les sections suivantes pour appliquer le cryptage de trace basé sur OCI KMS à partir de l'architecture de microservices Oracle GoldenGate :

Créer un profil de cryptage dans les processus Oracle GoldenGate

Pour appliquer le cryptage de fichier trace basé sur OCI KMS à partir de l'interface Web d'Oracle GoldenGate Microservices Architecture, procédez comme suit :

Ouvrez le fichier bloc-notes dans lequel vous avez enregistré les détails de la clé d'API OCI KMS et de l'adresse cryptographique. Reportez-vous à l'étape 8 pour obtenir des références à partir de Configurer OCI KMS pour se connecter à Oracle GoldenGate.

Les informations incluent les valeurs suivantes :
- URL d'adresse cryptographique : cette valeur est affichée dans la page Vault d'OCI KMS.
- OCID de location : cette valeur peut être obtenue à partir des valeurs d'API qui ont été copiées dans le fichier bloc-notes.
- OCID de clé : pour obtenir cette valeur :
  1. Accédez à la page OCI Vault et cliquez sur la clé maître pour ouvrir la page de détails de la clé sur laquelle l'OCID de la clé maître est fourni.
  2. Copiez l'OCID de clé maître à partir de la page Détails de la clé.
- OCID utilisateur : obtenez cette valeur à partir des détails de configuration d'API.
- Clé privée d'API : téléchargez la clé privée d'API à partir de l'emplacement où vous l'avez enregistrée lors de l'exécution des tâches dans Configurer OCI KMS pour se connecter à Oracle GoldenGate.
- Empreinte de clé d'API : obtenez cette valeur à partir des détails de configuration d'API.
Connectez-vous au service d'administration, sélectionnez Cryptage, puis Profils dans le panneau de navigation de gauche.
Cliquez sur le signe plus en regard d'Oracle Cloud Infrastructure pour ouvrir la boîte de dialogue Créer un profil de cryptage.

Ajoutez les valeurs au profil de cryptage et Soumettre. Une fois que vous avez cliqué sur Soumettre, le profil de cryptage est validé et, si la validation réussit, le profil de cryptage OCI KMS s'affiche sur la page Profils de cryptage, comme illustré dans l'image suivante :
Vous pouvez modifier les valeurs du profil de chiffrement en cliquant sur l'icône en forme de crayon, ce qui ouvre la boîte de dialogue Modifier le profil de chiffrement.

Appliquer le profil de cryptage OCI KMS pour l'extraction

Pour implémenter le profil de cryptage OCI KMS pour l'extraction, procédez comme suit :

Sur la page d'accueil du service d'administration, cliquez sur le signe plus en regard des extractions pour ouvrir la boîte de dialogue Ajouter une extraction.
Après avoir fourni d'autres détails pour l'extraction, faites défiler la page vers le bas et développez la section Profil de cryptage, puis sélectionnez le nom du profil OCIKMS.
Dans le fichier de paramètres Extract, incluez l'option ENCRYPTTRAIL AES256. Le fichier de paramètres Extract se présente comme suit :
```
EXTRACT exte
USERIDALIAS ggwest DOMAIN OracleGoldenGate

ENCRYPTTRAIL AES256
EXTTRAIL ea
TABLE WPDB.U1.*;
```
Cliquez sur Créer pour ajouter une extraction, puis démarrez-la.
Sur l'hôte cible, sélectionnez Ajouter une réplication sur la page Aperçu du service d'administration pour ajouter une réplication.
Sélectionnez le type de réplication et renseignez les détails correspondants.
Faites défiler la page jusqu'à la section Profil de cryptage et sélectionnez le même profil de cryptage OCIKMS (dans ce cas, OCIKMS). Cliquez sur Suivant.
Dans le fichier de paramètres de réplication, incluez l'option DECRYPTTRAIL. Le fichier de paramètres Replicat se présente comme suit :
```
REPLICAT renct
USERIDALIAS ggeast DOMAIN OracleGoldenGate

DECRYPTTRAIL
MAP WPDB.U1.*, TARGET U2.*;
```
Créez puis lancez le processus Replicat.
Si vous souhaitez appliquer le profil de chiffrement sur un chemin de distribution (DISTPATH), procédez comme suit :
1. Créez le profil de cryptage OCI KMS sur l'hôte cible.
2. Créez la variable DISTPATH et appliquez-lui le profil de cryptage OCI KMS. Reportez-vous à Ajout d'un chemin de distribution.
3. Utilisez le même profil de cryptage pour décrypter la trace sur la cible. Cela implique que vous utilisiez le profil de cryptage créé sur l'hôte cible, lors de l'ajout d'une réplication.

La section suivante décrit les étapes à suivre pour vérifier que les transactions validées sont capturées et appliquées lors de l'utilisation d'un profil de cryptage

Reportez-vous à ADD ENCRYPTIONPROFILE, ALTER ENCRYPTIONPROFILE si vous souhaitez configurer le profil de cryptage à l'aide du client d'administration.

Tester la réplication de données avec le cryptage de fichier trace à l'aide d'OCI KMS

Testez le cryptage du fichier trace côté source et le décryptage du fichier trace côté cible en suivant les étapes indiquées dans cette rubrique.

Cryptage du fichier de trace de test dans le déploiement source

Dans Configurer les processus Oracle GoldenGate pour activer le cryptage de fichier de trace OCI KMS, le processus d'extraction est configuré avec le profil de cryptage OCI KMS.

Dans cet exemple, vous pouvez vérifier que le profil de cryptage est utilisé par le processus Extract en consultant le fichier d'état Extract.

Pour vérifier si le processus Extract utilise le profil de cryptage OCI KMS, procédez comme suit :

Dans le service d'administration, cliquez sur Extraire, puis sélectionnez l'extraction à laquelle le profil de cryptage est appliqué. Le profil de cryptage OCI KMS apparaît dans la section Cryptage de la page Extract.
A des fins de dépannage, vous pouvez vérifier si le fichier trace est chiffré à la source à l'aide des commandes Logdump. Reportez-vous à Analyse d'un fichier de trace pour rechercher le cryptage de fichier de trace dans la référence Logdump pour Oracle GoldenGate.

Tester le décryptage du fichier de trace sur le déploiement cible

Côté cible, l'exemple suivant teste que le processus Replicat applique les 3000 transactions capturées à partir de la source. Pour vous assurer que le processus Replicat utilise le profil de cryptage OCI KMS pour décrypter le fichier trace, consultez le fichier de rapport Replicat.

Sur la page d'accueil du service d'administration, cliquez sur Réplication, puis sélectionnez le nom de la réplication.
Cliquez sur Statistiques. Dans la page Statistics, les transactions appliquées sont affichées.
Consultez la page principale du processus Replicat pour vérifier si le profil de cryptage est implémenté et utilisé par le processus Replicat.

Conseil :

Pour vérifier si les données de trace sont reçues au format crypté sur la cible, vous pouvez exécuter le processus Replicat sans le paramètre DECRYPTTRAIL. Dans ce cas, le fichier de rapport Replicat indique que les données de trace sont cryptées et qu'elles n'ont pas pu être décryptées sans le paramètre de clé approprié.

Dans ces cas d'utilisation, vous pouvez vérifier que le fichier trace côté extraction utilise le profil de cryptage OCI KMS pour crypter les données de trace. Du côté de la réplication, le profil de cryptage KMS OCI est utilisé pour décrypter les données de trace et appliquer les transactions sur la cible.