Oracle ZDM 26.1 Instant Deploy : Clonage de base de données pluggable physique de bout en bout avec Oracle Key Vault (OKV)

Introduction

Oracle Zero Downtime Migration (ZDM) 26.1 introduit le déploiement instantané, permettant les migrations de base de données directement à partir de l'hôte de base de données source ou cible sans nécessiter de serveur ZDM dédié. Cette version améliore également l'intégration avec Oracle Key Vault (OKV) et les fonctionnalités de migration de portefeuille TDE (Transparent Data Encryption).

Limites dans les versions antérieures de ZDM

Avant Oracle ZDM 26.1 :

Nouveautés de ZDM 26.1

ZDM 26.1 prend en charge les scénarios de migration de portefeuille suivants :

ZDM 26.1 détecte si la base de données source est configurée pour utiliser un portefeuille OKV et télécharge les clés TDE avant de les migrer vers la base de données cible. Si la base de données cible est également configurée avec un portefeuille OKV, le moniteur ZDM télécharge les clés TDE migrées vers le portefeuille OKV cible. Laissez le paramètre ZDM_SKIP_TDE_WALLET_MIGRATION à sa valeur par défaut (FALSE) pour permettre au moniteur ZDM de migrer automatiquement le portefeuille TDE pendant le workflow de migration.

image

Objectifs

Compatibilité des versions

Ce tutoriel présente Oracle Zero Downtime Migration (ZDM) 26.1 Instant Deploy avec Oracle AI Database 26ai et Oracle Key Vault (OKV) 21.14 pour le clonage de base de données pluggable physique de bout en bout et la migration automatique de portefeuille TDE.

Le workflow principal de ce tutoriel a été validé à l'aide des éléments suivants :

Remarque : certaines sections de ce tutoriel ne s'appliquent qu'aux versions antérieures d'Oracle Database à titre de référence. Ces sections sont clairement marquées comme 12.1 uniquement ou 18c et 19c uniquement et peuvent être ignorées lors de l'utilisation d'Oracle AI Database 26ai.

Environnement actuel avant migration

Avant de lancer le workflow Oracle Zero Downtime Migration (ZDM), vérifiez que les environnements source et cible sont correctement configurés pour le clonage de base de données pluggable physique. Le tableau suivant récapitule l'environnement utilisé dans ce tutoriel et le statut des composants clés avant la migration.

image

Prérequis

Remarque : assurez-vous que votre environnement répond à tous les prérequis d'Oracle Zero Downtime Migration (ZDM) 26.1 avant de commencer ce tutoriel. Reportez-vous à la section Préparation pour Database Migration de la documentation Oracle ZDM pour obtenir la liste complète des prérequis :

https://docs.oracle.com/en/database/oracle/zero-downtime-migration/26.1/zdmug/preparing-for-database-migration.html#GUID-25B07C59-8143-41CB-B431-3D9225CCFDD6

Configurer le déploiement instantané d'Oracle Zero Downtime Migration (ZDM) 26.1

L'environnement

A des fins de démonstration, ce tutoriel utilise OCI Oracle Base Database Service avec Oracle AI Database 26ai, version 23.26.2.0.0.

Source : hostname : sourcedb, nom de base de données : ORADB, nom unique de base de données : ORADB_src TDE est géré par Oracle Key Vault (OKV).

image image

Cible : nom d'hôte : targetdb, nom de base de données : ORADB, nom unique de base de données : ORADB_tgt TDE utilise un portefeuille basé sur des fichiers.

image image

Workflow de migration

Etape 1 : téléchargez la dernière version d'Oracle Zero Downtime Migration (ZDM) 26.1 à partir de la page du produit Oracle ZDM (version 26.1).

Téléchargez le dernier logiciel Oracle Zero Downtime Migration (ZDM) 26.1 à partir de la page de téléchargement d'Oracle Zero Downtime Migration. Le logiciel est distribué via Oracle Software Delivery Cloud (OSDC). Connectez-vous à l'aide de votre compte Oracle Single Sign-On (SSO), acceptez le contrat de licence et téléchargez le dernier package de la version ZDM (par exemple, V1055491-01.zip). Pour obtenir la documentation et le téléchargement les plus récents, reportez-vous aux ressources suivantes :

Oracle Zero Downtime Migration Download:
https://www.oracle.com/database/technologies/rac/zdm-downloads.html
Oracle Zero Downtime Migration 26.1 Documentation:
https://docs.oracle.com/en/database/oracle/zero-downtime-migration/26.1/index.html

Etape 2. Copiez le fichier V1055491-01.zip dans un répertoire disposant d'un espace de stockage suffisant.

Après avoir téléchargé le logiciel, copiez l'archive ZIP sur l'hôte de la base de données source (ou sur l'hôte cible si vous prévoyez d'utiliser le déploiement instantané à partir de la cible) et procédez à l'extraction à l'étape suivante.

image

L'extraction du fichier ZIP crée le sous-répertoire zdm26.1. Le logiciel ZDM extrait se trouve dans /opt/opc/zdm/zdm26.1.

Etape 3 : mettez à jour le fichier /etc/hosts sur chaque hôte avec le nom et l'adresse IP de l'autre hôte.

Ajoutez les informations de nom d'hôte et d'adresse IP source au fichier /etc/hosts de l'hôte cible.

image

Ajoutez les informations de nom d'hôte et d'adresse IP cible au fichier /etc/hosts de l'hôte source.

image

Étape 4 : Copiez la clé publique SSH pour votre utilisateur du système d'exploitation (dans ce cas, opc) sur l'hôte source et ajoutez-la au fichier authorized_keys pour l'utilisateur du système d'exploitation (dans ce cas, également opc) sur l'hôte cible.

Sur l'hôte source

image

Sur l'hôte cible

image

Testez la connectivité SSH de la source à l'hôte de base de données cible :

image

Vérifiez que TTY est désactivé pour l'utilisateur disposant de privilèges SSH. Si TTY est désactivé, la commande suivante renvoie la date de l'hôte distant sans erreur :

image

Etape 5 : vérifiez que TDE sur la base de données source est géré par Oracle Key Vault (OKV).

image

Etape 6 : configuration d'Oracle Key Vault (OKV) pour la base de données cible.

1 : Inscrire la base de données cible en tant qu'adresse Oracle Key Vault (OKV).

image

image

2 : Copier le jeton d'inscription Oracle Key Vault (OKV).

image

3 : Inscrire l'adresse de base de données cible et télécharger le logiciel d'adresse Oracle Key Vault (OKV).

image image

4 : Créez les répertoires nécessaires pour OKV sur l'hôte cible :

image

5 : Installez le fichier JAR d'adresse Oracle Key Vault :

image image

6 : Affectez le portefeuille virtuel source à l'adresse cible :

image image image

7 : Télécharger les portefeuilles en cours vers Oracle Key Vault (OKV) (migration d'un portefeuille basé sur des fichiers vers OKV) :

Une fois la connexion à OKV vérifiée, téléchargez les portefeuilles en cours vers OKV. Pour vérifier l'emplacement WALLET_ROOT actuel, exécutez la requête suivante :

image

Après avoir identifié l'emplacement du portefeuille, copiez les portefeuilles existants vers WALLET_ROOT/tde :

image

Une fois la copie terminée, téléchargez les portefeuilles vers OKV en utilisant WALLET_ROOT/okv/bin/okvutil avec les portefeuilles stockés dans WALLET_ROOT/tde :

image

8 : ajoutez le mot de passe OKV au keystore pour activer la connexion automatique au keystore OKV. (EXECUTEZ TOUS LES NODES) :

image

9 : Ajouter une clé secrète pour utiliser le magasin externe (EXECUTER SUR TOUS les noeuds) :

image

10 : Mettre à jour les paramètres d'initialisation de la base de données :

Mettez à jour les paramètres d'initialisation wallet_root et tde_configuration pour l'utilisation d'OKV. Le paramètre d'initialisation tde_configuration dépend du paramètre wallet_root. Le paramètre wallet_root ayant une portée SPFILE, un redémarrage de base de données est requis pour que les modifications prennent effet.

En outre, la définition de wallet_root et tde_configuration remplace le paramètre ENCRYPTION_WALLET_LOCATION dans sqlnet.ora.

Avant de mettre à jour les paramètres d'initialisation de la base de données, exécutez une sauvegarde du fichier SPFILE.

image

11 : sqlnet.ora et paramètres d'environnement de base de données RAC (12.1 SEULEMENT) :

Etant donné que les paramètres init.ora wallet_root et tde_configuration n'existent pas dans la version 12.1, nous devons apporter des modifications aux paramètres environnementaux de la base de données sqlnet.ora et RAC.

Sqlnet.ora :

Change only the method under the ENCRYPTION_WALLET_LOCATION entry to HSM:

ENCRYPTION_WALLET_LOCATION=
(SOURCE=
(METHOD=HSM)
(METHOD_DATA=(DIRECTORY=/var/opt/oracle/dbaas_acfs/DBNAME/tde_wallet)))

Paramètres de l'environnement de base de données RAC : ajoutez les variables d'environnement ORACLE_BASE et ORACLE_UNQNAME aux paramètres de l'environnement de base de données RAC :

[opc@targetdb ~]$ srvctl getenv database -d DBNAMEUNIQUE
DBNAMEUNIQUE:
TNS_ADMIN=/u02/app/oracle/product/12.1.0/dbhome_1/network/admin/DBNAME
bash-3.2$ srvctl setenv database -d DBNAMEUNIQUE -T "ORACLE_BASE=/u02/app/oracle"
bash-3.2$ srvctl setenv database -d DBNAMEUNIQUE -T "ORACLE_UNQNAME=DBNAMEUNIQUE"
bash-3.2$ srvctl getenv database -d DBNAMEUNIQUE

12 : Redémarrez la base de données,

[opc@targetdb ~]$ srvctl stop database -d DBNAMEUNIQUE
[opc@targetdb ~]$ srvctl start database -d DBNAMEUNIQUE

13 : Migrer le fichier de clés TDE vers Oracle Key Vault (OKV).

Exécutez la commande suivante sur un noeud de base de données pour migrer le fichier de clés du logiciel TDE vers Oracle Key Vault (OKV).

SQL>ADMINISTER KEY MANAGEMENT set key identified by "<OKV-pwd>" force keystore migrate using "TDE-wallet-password";

image

Une fois la commande renvoyée, redémarrez la base de données pour vérifier que la communication avec Oracle Key Vault fonctionne correctement :

[opc@targetdb ~]$ srvctl stop database -d DBNAMEUNIQUE
[opc@targetdb ~]$ srvctl start database -d DBNAMEUNIQUE

14 : Vérifier la configuration d'Oracle Key Vault (OKV)

Exécutez les requêtes suivantes pour vérifier que la configuration d'Oracle Key Vault (OKV) est correctement configurée et que la base de données peut accéder au fichier de clés externe.

image

Etape 7 : créez le fichier de réponses ZDM sur l'hôte de la base de données source. Ce fichier définit la configuration de la migration, notamment les informations sur la base de données source et cible, les paramètres Oracle Key Vault (OKV) et les paramètres de clonage de base de données pluggable physique.

L'exemple suivant illustre le fichier de réponses utilisé pour cette migration :

[opc@sourcedb ~]$ more /opt/opc/zdm/zdm26.1/template/26.1.0/zdm_physical_PDB_Cloning.rsp
ZDM_SRC_DB_OKV_HOME=/u01/app/oracle/admin/ORADB_src/okv_home/okv
ZDM_TGT_DB_OKV_HOME=/u01/app/oracle/admin/ORADB_tgt/okv_home/okv
ZDM_SRC_DB_OKV_VIRTUAL_WALLET_NAME=sourcedbwallet
ZDM_TGT_DB_OKV_VIRTUAL_WALLET_NAME=sourcedbwallet
ZDM_SKIP_TDE_WALLET_MIGRATION=FALSE
PLATFORM_TYPE=VMDB
TGT_DB_UNIQUE_NAME=ORADB_tgt
MIGRATION_METHOD=ONLINE_PHYSICAL
DATA_TRANSFER_MEDIUM=DBLINK
ZDM_PDB_CLONE_METHOD=REFRESHABLE
ZDM_SRC_PDB_NAME=ORADB_PDB1
ZDM_TGT_PDB_NAME=ORADB_PDB1
ZDM_TGT_DBLINK_NAME=clonedblink
ZDM_TGT_DBLINK_USERNAME=
ZDM_TGT_DBLINK_PASSWORD_WALLET=
ZDM_PDB_REFRESH_INTERVAL=60
ZDM_SWITCHOVER=FALSE
ZDM_SRC_DB_RESTORE_SERVICE_NAME=ORADB_PDB1

Etape 8 : exécutez la commande suivante sur l'hôte de la base de données source pour évaluer la migration et vérifier que les environnements source et cible sont prêts pour la migration.

[opc@sourcedb ~]$ /opt/opc/zdm/zdm26.1/zdmcli migrate database \
> -rsp /opt/opc/zdm/zdm26.1/template/26.1.0/zdm_physical_PDB_Cloning.rsp \
> -sourcedb ORADB_src \
> -sourcenode sourcedb \
> -targethome /u01/app/oracle/product/23.0.0.0/dbhome_1 \
> -tdekeystorepasswd \
> -tgttdekeystorepasswd \
> -targetnode targetdb \
> -schedule NOW \
> -eval
Enter source database ORADB_src SYS password:
Enter source database ORADB_src TDE keystore password:
Enter target container database TDE keystore password:
Migration evaluation job started
Result file path: /opt/opc/zdm/zdm26.1/zdmbase/chkbase/scheduled/job-6-2026-06-27-09:08:10.log
======================JOB_EXECUTION_DETAILS_START======================
User: opc
Client: dbSysyabixhpq
 ...............................................
 .........................

Remarque :

Si le mot de passe de l'adresse Oracle Key Vault (OKV) est identique au mot de passe du fichier de clés TDE, les options -tdekeystorepasswd et -tgttdekeystorepasswd sont suffisantes.

Si le mot de passe de l'adresse OKV est différent du mot de passe du fichier de clés TDE, indiquez également les options suivantes :

Ces options permettent au moniteur ZDM de s'authentifier auprès des adresses Oracle Key Vault indépendamment des mots de passe du fichier de clés TDE lors de la migration du portefeuille.

Vérifiez le statut du travail de migration, comme indiqué ci-dessous.

image

Etape 9 : lancez la migration et utilisez l'option -pauseafter pour arrêter la migration après la phase ZDM_CLONE_PDB_TGT. Au cours de cette phase, les modifications apportées à la base de données pluggable source sont synchronisées avec la base de données pluggable cible à l'intervalle indiqué par ZDM_PDB_REFRESH_INTERVAL.

image

Etape 10 : vérifiez le statut du travail de migration.

image

Vérifiez le statut de la base de données pluggable cible.

image

Etape 11 : Reprenez le travail de migration lorsque vous êtes prêt à effectuer la permutation finale de l'application.

[opc@sourcedb ~]$ /opt/opc/zdm/zdm26.1/zdmcli resume job -jobid 6

image

Vérifiez le statut de la base de données pluggable cible une fois la migration terminée :

image

Vérifier la migration automatique du portefeuille TDE

Le journal suivant indique que le moniteur ZDM télécharge automatiquement le portefeuille TDE à partir d'Oracle Key Vault (OKV) sur l'hôte de la base de données source :

image

Références

Accusés de réception

Auteur : Amresh Kumar Singh (consultant principal)

Ressources de formation supplémentaires

Explorez d'autres ateliers sur docs.oracle.com/learn ou accédez à d'autres contenus d'apprentissage gratuits sur la chaîne YouTube Oracle Learning. En outre, visitez le site education.oracle.com/learning-explorer pour devenir un explorateur Oracle Learning.

Pour obtenir de la documentation sur le produit, consultez Oracle Help Center.