Crea RootCA e certificati server

Per una distribuzione possono essere necessari vari certificati client e server. Per creare un certificato root CA e server sicuro per una distribuzione host, utilizzare i comandi descritti nelle sezioni seguenti.

I comandi utilizzati per generare questi certificati sono i comandi OpenSSL.

Nell'esempio seguente, la distribuzione viene eseguita sull'host west01.dc1.example.com all'interno del nome di dominio completamente qualificato dc1.example.com. Se si creano più istanze di Oracle GoldenGate su server diversi, è possibile sostituire server01 con il nome host e sostituire il nome dominio qualificato di conseguenza.

Crea certificati RootCA protetti

Generare un certificato RootCA attendibile utilizzando i comandi seguenti:

openssl req -subj "/CN=RootCA"
            -newkey rsa:2048
            -nodes
            -keyout rootCA_key.pem
            -new -x509 -days 365
            -out rootCA_cert.pem

Questo comando crea due file con il certificato root rootCA_cert.pem e la chiave privata rootCA_key.pem. Entrambi i file sono memorizzati nel formato Privacy Exhanced Mail (PEM). La chiave privata viene creata in un formato PKCS (Public-Key Cryptography Standards) #8. Il certificato radice rootCA_cert.pem viene utilizzato all'interno di una distribuzione sicura di Oracle GoldenGate per il certificato server. È inoltre possibile aggiungere il certificato del client di distribuzione (distclient) all'interno della distribuzione. Qui, il certificato radice viene nuovamente utilizzato.

Crea certificati server

Con il certificato e la chiave privata rootCA è possibile creare il certificato del server. Utilizzare un file di configurazione simile al seguente per west01_cert.cnf:

extendedKeyUsage = serverAuth
subjectAltName = DNS:west01,DNS:west01.dc1.example.com,DNS:localhost,IP:127.0.0.1

Dopo aver creato il file di configurazione per il certificato del server, per creare il certificato del server e i file delle chiavi private vengono utilizzati i comandi seguenti:

subject="/C=US/O=OGG example/CN=west01"

openssl req -subj "${subject}"
        -newkey rsa:2048 -nodes
        -keyout west01_key.pem
        -new
        -out west01.csr

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in west01.csr
        -extfile west01_cert.cnf
        -days 365
        -out west01_cert.pem

Entrambi i file sono memorizzati nel PEM (Privacy Enhanced Mail) e la chiave privata viene creata in un formato PKCS (Public-Key Cryptography Standards) #12. Il certificato server e la chiave privata del server vengono utilizzati nella distribuzione di Oracle GoldenGate. Il nome comune (CN) nell'oggetto utilizza il nome host west01 per identificare il server in modo univoco.