Uso della cifratura del file trail KMS OCI in Oracle GoldenGate

Scopri i prerequisiti, i requisiti e i passi per configurare un profilo di cifratura KMS OCI in Oracle GoldenGate per consentire la cifratura dei file trail utilizzando OCI KMS con i processi Extract, Replicat o Distribution Path.

Oracle GoldenGate con OCI KMS Workflow

I diagrammi riportati di seguito spiegano il funzionamento di Oracle GoldenGate con OCI KMS per la cifratura dei file trail.

Impostazione del profilo di cifratura KMS OCI in Oracle GoldenGate e collegamento del profilo di cifratura a Extract. Incluso il parametro ENCRYPTTRAIL per specificare l'algoritmo di cifratura nel file dei parametri Extract.

Questo diagramma mostra la distribuzione di origine EAST contenente un Extract associato al profilo di cifratura KMS OCI. Per creare il profilo di cifratura in Oracle GoldenGate, l'utente OCI deve accedere alla tenancy OCI e ottenere alcuni valori dal vault OCI e generare la chiave master e la chiave API per l'utente OCI.

Il vault OCI contiene informazioni sull'OCID tenancy, sull'OCID utente e sull'URL dell'endpoint crittografico utilizzati per scaricare il certificato CA digitale. Lachiave master associata al vault viene generata anche dal vault OCI. È inoltre necessaria la coppia di chiavi API, che puoi generare dalla tenancy OCI o caricare una coppia di chiavi esistente. Per i dettagli, vedere Configurare OCI KMS per la connessione a Oracle GoldenGate.

Dopo aver salvato tutti i valori dalla tenancy OCI, è possibile creare un profilo di cifratura nel servizio di amministrazione di Oracle GoldenGate. Questo profilo di cifratura viene quindi associato a Extract e il file dei parametri Extract applica l'algoritmo di cifratura (AES 128, AES 192, AES 256) che si è deciso di applicare utilizzando il parametro ENCRYPTTRAIL. Il file trail cifrato viene trasportato da DISTPATH nella distribuzione di destinazione (WEST). Il file dei parametri Replicat nella distribuzione di destinazione (WEST) include il parametro DECRYPTTRAIL, che consente di decifrare il file trail. Vedere Configurare i processi Oracle GoldenGate per abilitare la cifratura dei file trail KMS OCI.

Prerequisiti per la connessione di Oracle GoldenGate con OCI KMS

Eseguire i task riportati in questa sezione prima di iniziare a configurare un profilo di cifratura KMS OCI in Oracle GoldenGate.

OCI KMS richiede la registrazione della chiave privata o pubblica (chiave di firma API) per l'accesso all'API REST sul server su cui è distribuito Oracle GoldenGate. Vedere Registrazione e gestione delle chiavi per OCI KMS.

La tabella riportata di seguito fornisce l'elenco dei valori necessari per configurare il profilo di cifratura KMS OCI dal servizio di amministrazione di Oracle GoldenGate. Assicurarsi di disporre di questi valori prima di iniziare a creare un profilo di cifratura con OCI KMS.


Opzioni di configurazione OCI KMS	Opzioni per impostare un KMS OCI.
URL endpoint crittografia	È possibile accedervi dalla procedura guidata OCI KMS Vault. Vedere [Riferimento riga di comando OCI](https://docs.oracle.com/en-us/iaas/tools/oci-cli/
2.21.4/oci_cli_docs/cmdref/kms/crypto.html) e Gestione delle chiavi in Documentazione OCI per ulteriori informazioni.
OCID tenancy	Quando ti iscrivi a Oracle Cloud Infrastructure, Oracle crea una tenancy per la tua azienda, che è una partizione sicura e isolata all'interno di Oracle Cloud Infrastructure in cui puoi creare, organizzare e amministrare le tue risorse cloud. Per ulteriori informazioni, vedere Concetti fondamentali nella documentazione OCI.
OCID chiave	Per i dettagli, consulta la documentazione OCI.
OCID utente	Per i dettagli, consulta la documentazione OCI.
Chiave API	Credenziale per la protezione delle richieste all'API REST di Oracle Cloud Infrastructure.
Impronta chiave API	Per i dettagli, vedere Chiavi e OCID richiesti nella documentazione OCI.

Scaricare il certificato CA utilizzando l'endpoint di cifratura

Per eseguire i passi di questo argomento, è necessario disporre di un vault nella tenancy OCI in cui viene indicato l'URL dell'endpoint crittografico. Questo URL è necessario per scaricare il certificato CA digitale, al fine di stabilire una connessione sicura da Oracle GoldenGate alla tenancy OCI. Se non si dispone di un vault esistente, vedere Crea o accedi a OCI Vault e tornare a questo argomento per i passi necessari per scaricare il certificato CA utilizzando l'endpoint crittografico.

Se si dispone di un vault esistente nella tenancy OCI, attenersi alla procedura fornita in questo argomento per scaricare il certificato CA utilizzando l'endpoint crittografico.

Passare alla pagina Identità e sicurezza dal riquadro di navigazione a sinistra e selezionare Vault per aprire la pagina Informazioni sul vault.
Nella pagina Informazioni sul vault copiare il valore dell'endpoint crittografico e l'OCID.
Aprire un browser Web e incollare il valore dell'endpoint crittografico nella barra URL del browser. Il browser non visualizza alcuna pagina. Tuttavia, è possibile fare clic su Connessione sicura per visualizzare il certificato CA.

Questo certificato CA è richiesto da Oracle GoldenGate per poter considerare attendibile questa tenancy OCI quando ci si connette.
Andare alla sezione Download del browser Web. Il certificato CA è elencato qui.
Fare clic su Esporta per scaricare il certificato radice.

Suggerimento: mantenere la stessa directory per scaricare la chiave API e il certificato radice. {. :infoboxtip}

Aggiungere il certificato CA digitale come certificato CA sicuro in Oracle GoldenGate

Il certificato CA digitale scaricato in precedenza utilizzando l'URL dell'endpoint crittografico deve essere aggiunto alla distribuzione di origine Oracle GoldenGate come certificato CA sicuro. Vedere Crea certificati per distribuzioni sicure.

Nota: nel servizio GoldenGate OCI è possibile saltare questo passo poiché il certificato CA è già stato aggiunto come parte del servizio.

Da Oracle GoldenGate Service Manager, eseguire la procedura riportata di seguito per aggiungere il certificato CA digitale come certificato CA sicuro per la distribuzione di origine.

Eseguire il login a Oracle GoldenGate Service Manager.
Dal riquadro di navigazione a sinistra, selezionare l'opzione Gestione certificati.

Pagina Gestione certificati in Oracle GoldenGate Service Manager

Al momento, non è stato aggiunto alcun certificato come certificato sicuro per la connessione alla tenancy OCI specifica. Sarà necessario aggiungere il certificato radice scaricato al passo di
Aggiungere il certificato radice come certificato sicuro ai certificati CA nella distribuzione di Oracle GoldenGate. Ciò consente a Oracle GoldenGate di fidarsi di una connessione con la tenancy OCI specifica. Vedere anche Aggiungere un certificato CA.

Configurare OCI KMS per connettersi a Oracle GoldenGate

Dalla tenancy KMS OCI, sono necessari determinati valori per impostare una connessione tra Oracle GoldenGate e OCI KMS. Questi valori sono:

ID tenancy
Endpoint di crittografia
OCID utente
Chiave API

Prima di configurare Oracle GoldenGate per connettersi a OCI KMS, è necessario eseguire il login alla tenancy OCI per eseguire i task riportati di seguito.

Creare un vault, se non è già stato creato, e ottenere i valori di endpoint crittografico e OCID utente. Vedere
Creare e scaricare una coppia di chiavi private API e le informazioni associate alla chiave API, ad esempio il valore impronta digitale e chiave API.
Scaricare il certificato CA utilizzando l'endpoint crittografico. Questo passo è anche un prerequisito per la configurazione del profilo di cifratura Oracle GoldenGate. Per informazioni dettagliate, vedere Scaricare il certificato CA utilizzando l'endpoint crittografico.

Attenersi alla procedura riportata di seguito per visualizzare e salvare i valori KMS OCI, necessari durante l'impostazione dei processi Oracle GoldenGate per la connessione a OCI KMS.

Creare o accedere al vault OCI

Accedere al vault se esiste già nella tenancy OCI per determinare i valori per:

Endpoint crittografico: questo è il collegamento da cui è necessario ottenere il certificato attendibile. Copiare questo collegamento per utilizzarlo nei passi successivi.
OCID: si tratta dell'ID univoco per l'ambiente OCI. Sarà necessario durante l'impostazione del profilo di cifratura in Oracle GoldenGate.

Per creare e accedere al vault, effettuare le operazioni riportate di seguito.

Eseguire il login al proprio account Oracle Cloud.
Dal riquadro di navigazione a sinistra della home page di Oracle Cloud, fare clic sull'opzione Identità e sicurezza, quindi selezionare Vault.
Fare clic su Crea vault per creare un vault, se non è già stato creato. In questo caso, il vault (WSJCVAULT) è già stato creato.
Fare clic sul nome del vault, ad esempio **WSJCVAULT** visualizzato nell'immagine riportata di seguito, per accedere alle informazioni relative agli ocid del vault, all'endpoint crittografico e ai dettagli della chiave master. Nell'immagine riportata di seguito, la sezione **Informazioni generali** contiene i dettagli **OCID** e **endpoint crittografico** e la sezione **Chiavi di cifratura principali in Compartment_WH** visualizza i dettagli della chiave principale. ![Ottenere endpoint crittografico dalla sezione Informazioni generali del vault OCI.](images/ocikms_create_master_key.png " ") Da questa pagina sono disponibili i valori necessari per impostare una connessione sicura tra Oracle GoldenGate e OCI KMS.
Copiare queste informazioni in un file di blocco note per riferimento. Nei passi successivi, verrà utilizzato questo file del blocco note per aggiungere ulteriori dettagli relativi alla chiave principale e alla chiave API. Questi valori verranno utilizzati per aggiungere il profilo di cifratura nella distribuzione di Oracle GoldenGate.

Generare la chiave master e scaricare la chiave privata API

I passi seguenti presuppongono che sia già stato eseguito il login alla tenancy OCI.

Genera chiave principale

Per creare la chiave master, procedere come segue.

Passare alla pagina Informazioni sui vault.
Passare alla scheda Chiavi di cifratura principali e fare clic su Crea chiave.
Specificare il nome della chiave master e l'algoritmo di cifratura tra gli altri dettagli per creare una chiave master, come mostrato nell'immagine seguente.
Fare clic su Crea chiave. Ciò genera la chiave master che verrà utilizzata da Oracle GoldenGate. La nuova chiave master è elencata nella pagina Chiavi di cifratura master.

Genera chiave API

Per connettere l'utente a OCI KMS, creare una chiave API utilizzando i passi riportati di seguito.

Dalla pagina delle informazioni sul Vault, fare clic sull'icona Impostazioni utente nell'angolo in alto a destra.

Viene visualizzata la pagina Profilo utente con più schede.
Copiare l'OCID utente dalla sezione Informazioni utente della scheda Dettagli. Incollare questo valore nel file del blocco note creato in precedenza.\
Fare clic sulla scheda Tokens and keys per aprire la sezione API Keys.
Fare clic su Aggiungi chiave API per aprire la finestra di dialogo Aggiungi chiave API.
Selezionare l'opzione Genera coppia di chiavi API per creare una coppia di chiavi per consentire all'utente OCI di connettersi a OCI KMS. È inoltre possibile caricare un file di chiave pubblica esistente utilizzando l'opzione Scegli file di chiave pubblica o incollare il valore della chiave pubblica nella casella di testo utilizzando l'opzione Incolla chiave pubblica.
Fare clic su Scarica chiave privata e conservarla in una posizione nota. È possibile rinominare il file in un nome riconoscibile dall'utente, ad esempio API_private_key.pem.
Fare clic su Aggiungi. Viene visualizzata la finestra di dialogo Anteprima file di configurazione, che contiene tutte le informazioni associate alla chiave API, ad esempio l'impronta digitale, la tenancy, l'area e altri dettagli.
Copiare e salvare questi valori nello stesso file del blocco note creato in precedenza. Suggerimento: mantenere lo stesso file notepad per memorizzare informazioni sull'impronta digitale della chiave API, sul valore della tenancy e sulle informazioni sull'endpoint crittografico e sui valori OCID per il vault OCI. L'immagine riportata di seguito mostra un file di blocco note di esempio contenente i dettagli di configurazione per il vault, la chiave master e la chiave API, necessari durante la configurazione del profilo di cifratura in Oracle GoldenGate. ![File di blocco note contenente i valori necessari per la creazione del profilo di cifratura in Oracle GoldenGate](immagini/ocikms_configfilemasterapikey-notepad.png " ")
Fare clic su Chiudi per tornare alla sezione Chiavi API in cui è elencata la nuova chiave API.

Il passo successivo consiste nell'impostare il profilo di cifratura Oracle GoldenGate utilizzando tutti questi dettagli, quindi applicare il profilo di cifratura ai processi Extract e Replicat in base alle esigenze. Per informazioni sui passi successivi, vedere Configurare i processi Oracle GoldenGate per abilitare la cifratura dei file trail KMS OCI.

Per ulteriori informazioni sulla cifratura e la decifrazione degli endpoint di OCI KMS, vedere la documentazione relativa agli endpoint encrypt e decrypt nella documentazione di Oracle Cloud Infrastructure.

Configurare i processi Oracle GoldenGate per abilitare la cifratura dei file trail KMS OCI

Prima di iniziare i passi di questa sezione, assicurarsi di aver completato i Prerequisiti per la connessione di Oracle GoldenGate a OCI KMS.

Nell'interfaccia di Oracle GoldenGate, eseguire i task riportati di seguito durante la configurazione di Oracle GoldenGate per impostare una connessione sicura con OCI KMS.

Creare un profilo di cifratura utilizzando i valori di OCID, endpoint crittografico, chiave API, tenancy e impronta digitale.
Applicare il profilo di cifratura ai processi Extract, Distribution Path o Replicat.

Attenersi alla procedura fornita nelle sezioni riportate di seguito per applicare la cifratura trail basata su KMS OCI all'architettura dei microservizi Oracle GoldenGate.

Creare un profilo di cifratura nei processi Oracle GoldenGate

Per applicare la cifratura dei file trail basata su KMS OCI all'interfaccia Web dell'architettura dei microservizi Oracle GoldenGate, effettuare le operazioni riportate di seguito.

Aprire il file del blocco note in cui sono stati salvati i dettagli per la chiave API KMS OCI e i dettagli dell'endpoint crittografico. Vedere il passo 8 per riferimento da Configura OCI KMS per la connessione a Oracle GoldenGate.

Le informazioni includono i seguenti valori:
- URL endpoint crittografico: questo valore viene visualizzato nella pagina Vault di OCI KMS.
- OCID tenancy: questo valore può essere ottenuto dai valori API copiati nel file del blocco note.
- OCID chiave: per ottenere questo valore:
  1. Andare alla pagina Vault OCI e fare clic sulla chiave master per aprire la pagina dei dettagli della chiave in cui viene fornito l'OCID per la chiave master.
  2. Copiare l'OCID della chiave master dalla pagina Dettagli chiave.
- OCID utente: ottenere questo valore dai dettagli di configurazione dell'API.
- Chiave privata API: caricare la chiave privata API dalla posizione in cui è stata salvata durante l'esecuzione dei task in Configure OCI KMS to Connect with Oracle GoldenGate.
- Impronta chiave API: ottenere questo valore dai dettagli di configurazione API.
Eseguire il login al servizio di amministrazione, quindi selezionare Cifratura, quindi selezionare Profili dal riquadro di navigazione a sinistra.
Fare clic sul segno più accanto a Oracle Cloud Infrastructure per aprire la finestra di dialogo Crea profilo di cifratura.

Aggiungere i valori al profilo di cifratura e Submit. Dopo aver fatto clic su Sottometti, il profilo di cifratura viene convalidato e, se la convalida riesce, il profilo di cifratura KMS OCI viene visualizzato nella pagina Profili di cifratura, come mostrato nell'immagine riportata di seguito.
È possibile modificare i valori del profilo di cifratura facendo clic sull'icona a forma di matita, che apre la finestra di dialogo Modifica profilo di cifratura.

Applica il profilo di cifratura KMS OCI per l'estrazione

Per implementare il profilo di cifratura KMS OCI per Extract, effettuare le operazioni riportate di seguito.

Nella home page del servizio di amministrazione, fare clic sul segno più accanto a Estrazioni per aprire la finestra di dialogo Aggiungi estrazione.
Dopo aver fornito altri dettagli per Extract, scorrere verso il basso ed espandere la sezione Profilo cifratura e selezionare il nome del profilo OCIKMS.
Nel file dei parametri Extract includere l'opzione ENCRYPTTRAIL AES256. Il file dei parametri Extract avrà un aspetto simile al seguente:
```
EXTRACT exte
USERIDALIAS ggwest DOMAIN OracleGoldenGate

ENCRYPTTRAIL AES256
EXTTRAIL ea
TABLE WPDB.U1.*;
```
Fare clic su Crea per aggiungere Extract, quindi avviare Extract.
Nell'host di destinazione, selezionare Aggiungi Replicat dalla pagina Panoramica del servizio di amministrazione per aggiungere un Replicat.
Selezionare il tipo di Replicat e popolare i dettagli Replicat.
Scorrere fino alla sezione Profilo di cifratura e selezionare lo stesso profilo di cifratura OCIKMS (in questo caso OCIKMS). Fare clic su Avanti.
Nel file dei parametri Replicat includere l'opzione DECRYPTTRAIL. Il file dei parametri Replicat ha un aspetto simile al seguente:
```
REPLICAT renct
USERIDALIAS ggeast DOMAIN OracleGoldenGate

DECRYPTTRAIL
MAP WPDB.U1.*, TARGET U2.*;
```
Creare e quindi avviare il processo Replicat.
Se si desidera applicare il profilo di cifratura a un percorso di distribuzione (DISTPATH), è necessario effettuare le operazioni riportate di seguito.
1. Creare il profilo di cifratura KMS OCI sull'host di destinazione.
2. Creare il percorso DISTPATH e applicarvi il profilo di cifratura KMS OCI. Vedere Aggiungere un percorso di distribuzione.
3. Utilizzare lo stesso profilo di cifratura per decifrare il trail nella destinazione. Ciò significa che si utilizza il profilo di cifratura creato sull'host di destinazione, durante l'aggiunta di un Replicat.

Nella sezione successiva vengono descritti i passi per verificare che le transazioni sottoposte a commit vengano acquisite e applicate quando si utilizza un profilo di cifratura.

Per configurare il profilo di cifratura utilizzando il client di amministrazione, vedere ADD ENCRYPTIONPROFILE, ALTER ENCRYPTIONPROFILE.

Test della replica dei dati con cifratura dei file trail mediante OCI KMS

Eseguire il test della cifratura del file trail sul lato di origine e della decifrazione del file trail sul lato di destinazione utilizzando i passi indicati in questo argomento.

Test della cifratura dei file trail nella distribuzione di origine

In Configurare i processi Oracle GoldenGate per abilitare la cifratura dei file trail KMS OCI, Extract viene impostato con il profilo di cifratura KMS OCI.

In questo esempio, sarà possibile confermare che il profilo di cifratura viene utilizzato da Extract visualizzando il file del report Extract.

Per verificare se Extract utilizza il profilo di cifratura KMS OCI, effettuare le operazioni riportate di seguito.

Dal servizio di amministrazione, fare clic su Estrai, quindi selezionare Estrai in cui viene applicato il profilo di cifratura. Sarà possibile visualizzare il profilo di cifratura KMS OCI elencato nella sezione Cifratura della pagina Estrazione.
Per la risoluzione dei problemi, è possibile verificare se il file trail è crittografato all'origine, utilizzando i comandi Logdump. Vedere Scansione di un file trail per il controllo della cifratura dei file trail in Logdump Reference for Oracle GoldenGate.

Eseguire il test della decifrazione del file trail nella distribuzione di destinazione

Sul lato target, l'esempio seguente verifica che Replicat applichi le 3000 transazioni acquisite dall'origine. Per assicurarsi che Replicat utilizzi il profilo di cifratura KMS OCI per decifrare il file trail, controllare il file del report Replicat.

Nella home page del servizio di amministrazione, fare clic su Replicat e selezionare il nome Replicat.
Fare clic su Statistiche. Nella pagina Statistiche vengono visualizzate le transazioni applicate.
Controllare la pagina principale Replicat per verificare se il profilo di cifratura è implementato e utilizzato da Replicat.

Suggerimento:

Per verificare se i dati trail vengono ricevuti in formato cifrato sulla destinazione, è possibile eseguire Replicat senza il parametro DECRYPTTRAIL. In questo caso, il file di report Replicat mostra che i dati trail sono cifrati e non possono essere decifrati senza l'impostazione della chiave appropriata.

Con questi casi d'uso, è possibile testare che il file trail sul lato Extract utilizzi il profilo di cifratura KMS OCI per cifrare i dati trail. Sul lato Replicat, il profilo di cifratura KMS OCI viene utilizzato per decifrare i dati trail e applicare le transazioni sulla destinazione.