Utiliser le cryptage des fichiers de trace Oracle Key Vault dans Oracle GoldenGate

Découvrez les avantages de l'utilisation d'Oracle Key Vault (OKV) avec l'architecture de microservices Oracle GoldenGate. Déterminez la configuration système requise, les processus et les paramètres disponibles avec Oracle GoldenGate pour configurer OKV avec Oracle GoldenGate.

Le diagramme suivant décrit la configuration et le workflow d'Oracle Key Vault dans l'environnement Oracle GoldenGate. Le diagramme présente le cycle de vie des clés de cryptage maître gérées dans KMS. La clé maître de cryptage de fichier trace n'est pas stockée sur le disque par Oracle GoldenGate. Le service de distribution et le service de destinataire se connectent via un réseau TLS sécurisé à l'aide du protocole Web Secure Socket (wss).

Comme indiqué dans le diagramme, vous pouvez sélectionner Key Vault (OKV) en tant que système de gestion des clés lors de la configuration du profil de cryptage pour le déploiement dans Oracle GoldenGate. Ce profil de cryptage est utilisé par les processus Extract et Replicat pour stocker et appliquer les clés maître avant de transférer les fichiers trace à l'aide du chemin de distribution et de recevoir les fichiers de l'autre côté avec le processus RECVPATH. Le protocole Web Secure Socket (wss) est utilisé pour valider la connexion entre DISTPATH et RECVPATH afin d'établir un canal de communication sécurisé.

Fonctionnalités d'Oracle Key Vault

Oracle GoldenGate 26ai et versions ultérieures prennent en charge Oracle Key Vault 21.8 pour le cryptage des fichiers trace. Le tableau suivant présente le comportement et les fonctionnalités d'Oracle Key Vault (OKV).

Pour plus d'informations sur la configuration d'OKV, reportez-vous à Installation et configuration d'Oracle Key Vault.

La liste suivante décrit les fonctionnalités d'Oracle Key Vault :

Type KMS : nom de clé et attributs personnalisés pour la gestion des versions.
Support Tags : Oui
Prise en charge de l'importation de clés : Oui

Prérequis pour la configuration du profil de cryptage GoldenGate à l'aide d'Oracle Key Vault

Découvrez les prérequis pour configurer OKV avec Oracle GoldenGate.

Dans cette section, les étapes de génération de la clé maître ont été effectuées à l'aide de la ligne de commande. Vous pouvez également utiliser l'interface Web OKV pour créer la clé maître pour Oracle GoldenGate. Si vous souhaitez générer la clé maître à partir de l'interface Web OKV, suivez les étapes fournies dans Création de la clé maître GoldenGate dans le Guide de l'administrateur Oracle Key Vault.

Les étapes suivantes sont effectuées sur la configuration OKV sur l'ordinateur sur lequel l'instance Oracle GoldenGate est exécutée :

Téléchargez le fichier okvrestclipackage.zip à partir du serveur OKV, où Oracle GoldenGate est déployé en tant qu'utilisateur système du déploiement.
Activez les services RESTFUL en suivant les étapes fournies dans Activation des services RESTful dans le Guide de l'administrateur Oracle Key Vault.
Définissez la variable d'environnement OKV_HOME.
```
OS> setenv OKV_HOME /u01/app/oracle/OKV
```
La structure de sous-répertoire contient les bibliothèques, fichiers binaires et fichiers de configuration nécessaires pour l'environnement OKV. Pour plus d'informations sur la configuration au sein du serveur OKV, reportez-vous à la section Oracle Key Vault Installation and Configuration du Guide d'installation et de mise à niveau d'Oracle Key Vault.
Téléchargez et installez le fichier d'adresse okvclient.jar à partir du serveur OKV, sur lequel Oracle GoldenGate est déployé en tant qu'utilisateur système du déploiement. Exemple :
```
OS> java -jar okvclient.jar -d /u01/app/oracle/OKV
```

Créez la clé. Le nom du portefeuille est fourni par l'administrateur OKV. L'exemple suivant montre comment la clé est créée :

OS> okv managed-object key create
 [--activation-date activation date]
 [--algorithm algorithm]
 [--custom-attribute custom attribute]
 [--deactivation-date deactivation date]
 [-- extractable extractable]
 [--length length]
 [--mask mask]
 [--name name]
 [--wallet wallet]

ex - okv managed-object key create --algorithm AES --length 256 --mask "ENCRYPT,DECRYPT,TRANSLATE_ENCRYPT,TRANSLATE_DECRYPT,TRANSLATE_WRAP,TRANSLATE_UNWRAP" --wallet wallet1

Vous pouvez également enregistrer votre propre clé, comme indiqué dans l'exemple suivant :

OKV> okv managed-object key register
  [--activation-date activation date]
  [--algorithm algorithm]
  [--custom-attribute custom attribute]
  [--deactivation-date deactivation date]
  [--extractable extractable]
  [--length length]
  [--mask mask]
  [--name name]

  --object object
  [--wallet wallet]

ex -  bin/okv managed-object key register --length 256 --activation-date "NOW" --object symkey.txt --algorithm AES --mask "ENCRYPT,DECRYPT,TRANSLATE_ENCRYPT,TRANSLATE_DECRYPT,TRANSLATE_WRAP,TRANSLATE_UNWRAP"

   --wallet wallet1

Activez la clé comme indiqué dans l'exemple suivant :
```
OS> okv managed-object object activate --uuid UUID
```
Ajoutez les attributs de clé associés à Oracle GoldenGate (KeyName, KeyVersion) à la configuration. Le nom de la clé doit correspondre au nom de la clé maître dans le profil de cryptage KMS créé dans Oracle GoldenGate. La valeur de clé doit correspondre au numéro de version de la clé maître.
```
OS> okv managed-object custom-attribute add --custom-attribute custom attribute --uuid uuid

ex - okv managed-object custom-attribute add --custom-attribute '[ { "name": "x-OGG-KeyName", "value" : "OGG_Masterkey", "type" : "text" },{ "name": "x-OGG-KeyVersion", "value" : "1", "type" : "text"} ] '
```

Utilisez okvutil pour répertorier le paramètre de configuration et vérifier le statut de l'adresse. Comme indiqué dans l'exemple suivant :

*OS>okvutil list -v 4*

La sortie de cette commande affiche les paramètres de configuration et le statut de l'adresse :

okvutil version 21.12.0.0.0
Endpoint type: Oracle AI Database
Configuration file: u01/app/oracle/OKV/conf/okvclient.ora
Server: 100.70.1.1:5696
Standby Servers:
Auto-login wallet found, no password needed
Trying to connect to 100.70.1.1:5696 ...
Connected to 100.70.1.1:5696.
Unique ID                               Type            Identifier
8BC11E57-5269-403D-9B69-A66641ADAFC7   Symmetric          Key   -

Les étapes suivantes sont gérées dans Oracle GoldenGate et sont présentées en tant qu'implémentation à partir du client d'administration.

Comportement du client par rapport aux différents états de clé pour Oracle Key Vault

Le tableau suivant décrit le comportement relatif des processus client Writer (Extract) ou Reader (Replicat) en fonction des différents états de clé de cryptage de trace.

Si la clé maître n'est pas extractible, cela implique que les opérations cryptographiques OKV utilisent le chiffrement à distance. Cela signifie que la clé principale ne peut pas quitter OKV ni être récupérée. Les commandes permettant de crypter et de décrypter dans Oracle GoldenGate sur la base d'une fois par fichier trace sont exécutées dans OKV.

Une clé peut présenter les états suivants :

Etat de la clé	Trace Writer (chiffrement)	Trail Reader (décryptage)
Actif	Le processus d'écriture de trace choisit le numéro de version le plus élevé avec l'état Actif pour le cryptage.	Le lecteur de traces peut utiliser cette clé et ce numéro de version pour déchiffrer la trace.
Préactif	Le rédacteur de trace ignore et ne prend pas en compte le numéro de version de clé avec ces états.	Non applicable
Désactivé	Aucun	Le lecteur de fichiers trace extrait et déchiffre la trace si la clé et le numéro de version sont désactivés ou compromis.
Compromis	Aucun	Le lecteur de fichiers trace extrait et déchiffre la trace si la clé et le numéro de version sont désactivés ou compromis.
Supprimé	Non	Le lecteur de fichier trace génère une erreur et s'interrompt si la clé et le numéro de version requis pour le décryptage sont détruits ou compromis.
Détruit/Compromis	Aucun	Le lecteur de fichier trace génère une erreur et s'interrompt si la clé et le numéro de version requis pour le déchiffrement sont détruits ou compromis.

Appliquer le profil de chiffrement OKV

Le service d'administration d'Oracle GoldenGate fournit des options permettant de configurer des profils de cryptage pour les processus Extract et Replicat.

Pour créer un profil de cryptage à l'aide d'Oracle Key Vault (OKV), procédez comme suit :

Avant de configurer OKV, vous devez effectuer une installation client. Reportez-vous à Etape 1 : configuration de l'environnement de serveur Oracle Key Vault dans le Guide de l'administrateur Oracle Key Vault.
Dans le panneau de navigation de gauche du service d'administration, cliquez sur Cryptage. La page Profils de chiffrement est affichée.

Cliquez sur le signe plus + en regard d'OKV et spécifiez les détails suivants pour la configuration OKV :

Option	Description
Nom de profil	Nom du profil du cryptage
Description	Décrivez le profil de cryptage.
Profil par défaut	Si vous souhaitez définir ce profil comme profil par défaut, activez cette option.
Type du profil de cryptage	Sélectionnez Oracle Key Vault (OKV).
Chemin de la bibliothèque KMS	Indiquez l'emplacement du répertoire dans lequel Oracle Key Vault est installé. Dans l'interface Web, il s'agit du chemin de bibliothèque KMS, mais dans le client d'administration, il s'agit du chemin Oracle Key Vault.
Oracle Key Vault - Version
Nom de clé maître	Indiquez le nom de la clé maître.
Durée de vie	Durée de vie de la clé extraite par le processus Extract à partir d'Oracle Key Vault. Lors du cryptage de la trace suivante, le processus Extract vérifie si la durée de vie a expiré. Si la clé a expiré, elle récupère la dernière version de la clé maître. La valeur par défaut est de 24 heures.

Reportez-vous également au tutoriel suivant pour référence : Gestion du cryptage dans les microservices Oracle GoldenGate avec Oracle Key Vault