Implementazione della sicurezza in Oracle GoldenGate

Questa sezione è pertinente per i DBA e gli sviluppatori impegnati nelle configurazioni di sicurezza. Vengono descritti i passi di implementazione delle funzioni di sicurezza nella distribuzione e nel Service Manager dell'architettura dei microservizi Oracle GoldenGate.

I passi riportati di seguito descrivono le funzioni di sicurezza di Oracle GoldenGate che è possibile implementare durante la creazione di un ambiente Oracle GoldenGate sicuro.

  1. Utilizzare l'ultima versione del software.

    Scaricare il software Oracle GoldenGate più recente. Assicurarsi di utilizzare l'aggiornamento release più recente (RU). L'installazione del software più recente può spesso migliorare la sicurezza poiché le versioni più recenti includono frequentemente correzioni e aggiornamenti che risolvono le vulnerabilità rilevate nelle versioni precedenti.

  2. Se si utilizza OGGCA per distribuire Oracle GoldenGate, assicurarsi che la sicurezza sia abilitata. Una distribuzione sicura è costituita dal certificato del server, dalla relativa chiave privata e dal certificato (root) firmato dalla CA. Ciò consente la comunicazione sicura mediante TLS per l'API REST.

    Quando non è possibile proteggere Oracle GoldenGate con il certificato server, è possibile utilizzare Reverse Proxy per una comunicazione di rete sicura. In questo scenario, assicurarsi che il server sia bloccato.

  3. Utilizzare password conformi ai criteri per le password sicure. È possibile utilizzare un utente di amministrazione Oracle GoldenGate locale per Service Manager e un provider di identità esterno (IDP) per l'autenticazione esterna utilizzando OAuth2/OIDC. Puoi utilizzare OCI-IAM, IDCS o OAM on-premise basato su Oracle Cloud come provider di provider di identità. IDP consente di sfruttare l'autenticazione SSO, MFA o basata su token.

  4. Oracle GoldenGate supporta il controllo dell'autenticazione basato sui ruoli (RBAC) per l'autorizzazione dell'utente. Utilizzare le procedure ottimali relative ai privilegi minimi per gli utenti di Oracle GoldenGate.

  5. Verificare che la cifratura sia applicata ai file trail. La chiave master di cifratura del file trail viene gestita localmente. I sistemi di gestione chiave come OCI-KMS o OKV, esterni, offrono un livello di protezione ancora più elevato.

  6. Oracle GoldenGate utilizza un wallet PKCS#12 per contenere le credenziali di Oracle GoldenGate e del database. È possibile utilizzare solo un valore USERIDALIAS per stabilire le connessioni al database. È possibile aggiornare le credenziali dell'utente Amministratore Oracle GoldenGate.

  7. Per una comunicazione di rete sicura con il database, utilizzare il client di rete protetto dal database fornito. Oracle AI Database Server fornisce TCPS e NNE (Network Encryption) nativi.

  8. Per il protocollo del percorso di distribuzione, utilizzare il protocollo WSS (Secure WebSocket Protocol). Per proteggere Oracle GoldenGate DistPath, è possibile utilizzare le credenziali, i certificati client (TLS reciproco) o OAuth/OIDC.

  9. Negli ambienti DMZ protetti da firewall, utilizzare la destinazione avviata DistPath. Ciò consente al servizio ricevente di destinazione di avviare DistPath.

  10. La conformità agli standard FIPS (Federal Information Processing Standards) è un'altra funzione di Oracle GoldenGate. Durante la distribuzione, è possibile abilitare lo standard di sicurezza aggiuntivo (FIPS).

Oracle GoldenGate supporta completamente gli ambienti di virtual machine creati con qualsiasi software di virtualizzazione su qualsiasi piattaforma, a meno che non sia indicato diversamente. Durante l'installazione di Oracle GoldenGate in un ambiente di virtual machine, selezionare una build corrispondente al database e al sistema operativo della virtual machine, non al sistema host.

Nota: i clienti Oracle con un contratto di supporto attivo e con l'esecuzione delle versioni supportate dei prodotti Oracle (incluso Oracle GoldenGate) ricevono assistenza da Oracle quando eseguono tali prodotti in ambienti virtualizzati VMware. Se Oracle identifica il problema sottostante non è causato dai prodotti di Oracle o è in esecuzione in un ambiente informatico non supportato da Oracle, Oracle invierà i clienti all'indirizzo VMware per ulteriore assistenza e Oracle fornirà assistenza a VMware come applicabile per la risoluzione del problema. Questo criterio di supporto non influisce sulle policy di licenza Oracle o VMware.