Distribuzione immediata di Oracle ZDM 26.1: copia del PDB fisico end-to-end con Oracle Key Vault (OKV)

Introduzione

Oracle Zero Downtime Migration (ZDM) 26.1 introduce Instant Deploy, abilitando le migrazioni del database direttamente dall'host del database di origine o di destinazione senza richiedere un server ZDM dedicato. Questa release migliora anche l'integrazione con Oracle Key Vault (OKV) e migliora le funzionalità di migrazione del wallet TDE (Transparent Data Encryption).

Limitazioni nelle release precedenti di ZDM

Prima di Oracle ZDM 26.1:

Novità di ZDM 26.1

ZDM 26.1 supporta i seguenti scenari di migrazione del wallet:

ZDM 26.1 rileva se il database di origine è configurato per utilizzare un wallet OKV e scarica le chiavi TDE prima di eseguirne la migrazione al database di destinazione. Se il database di destinazione è configurato anche con un wallet OKV, ZDM carica le chiavi TDE di cui è stata eseguita la migrazione nel wallet OKV di destinazione. Lasciare il parametro ZDM_SKIP_TDE_WALLET_MIGRATION al valore predefinito (FALSE) per consentire a ZDM di eseguire automaticamente la migrazione del wallet TDE durante il workflow di migrazione.

immagine

Obiettivi

Compatibilità delle versioni

Questa esercitazione descrive Oracle Zero Downtime Migration (ZDM) 26.1 Instant Deploy con Oracle AI Database 26ai e Oracle Key Vault (OKV) 21.14 per la clonazione di PDB fisici end-to-end e la migrazione automatica del wallet TDE.

Il flusso di lavoro principale in questa esercitazione è stato convalidato utilizzando:

Nota: alcune sezioni di questa esercitazione sono applicabili solo alle release precedenti di Oracle Database a scopo di riferimento. Queste sezioni sono chiaramente contrassegnate come solo 12.1 o solo 18c e 19c e possono essere saltate quando si utilizza Oracle AI Database 26ai.

Ambiente corrente prima della migrazione

Prima di avviare il workflow Oracle Zero Downtime Migration (ZDM), verificare che sia gli ambienti di origine che quelli di destinazione siano configurati correttamente per la duplicazione del PDB fisico. La tabella riportata di seguito riepiloga l'ambiente utilizzato in questa esercitazione e lo stato dei componenti chiave prima della migrazione.

immagine

Prerequisiti

Nota: prima di avviare questa esercitazione, assicurarsi che l'ambiente soddisfi tutti i prerequisiti di Oracle Zero Downtime Migration (ZDM) 26.1. Per la lista completa dei prerequisiti, fare riferimento alla sezione Preparazione per la migrazione del database nella documentazione di Oracle ZDM:

https://docs.oracle.com/en/database/oracle/zero-downtime-migration/26.1/zdmug/preparing-for-database-migration.html#GUID-25B07C59-8143-41CB-B431-3D9225CCFDD6

Impostazione di Oracle Zero Downtime Migration (ZDM) 26.1 Instant Deploy

Ambiente

A scopo dimostrativo, questo tutorial utilizza OCI Oracle Base Database Service con Oracle AI Database 26ai, versione 23.26.2.0.0.

Origine: nome host: sourcedb, nome DB: ORADB, nome univoco DB: ORADB_src TDE è gestito da Oracle Key Vault (OKV).

immagine immagine

Destinazione: nome host: targetdb, nome DB: ORADB, nome univoco DB: ORADB_tgt TDE utilizza un wallet basato su file.

immagine immagine

Flusso di lavoro migrazione

Passo 1: scarica la release più recente di Oracle Zero Downtime Migration (ZDM) 26.1 dalla pagina del prodotto Oracle ZDM (versione 26.1).

Scarica il software Oracle Zero Downtime Migration (ZDM) 26.1 più recente dalla pagina di download di Oracle Zero Downtime Migration. Il software viene distribuito tramite Oracle Software Delivery Cloud (OSDC). Eseguire l'accesso utilizzando l'account Oracle Single Sign-On (SSO), accettare il contratto di licenza e scaricare il package di release ZDM più recente (ad esempio, V1055491-01.zip). Per i download e la documentazione più recenti, consultare le risorse seguenti:

Oracle Zero Downtime Migration Download:
https://www.oracle.com/database/technologies/rac/zdm-downloads.html
Oracle Zero Downtime Migration 26.1 Documentation:
https://docs.oracle.com/en/database/oracle/zero-downtime-migration/26.1/index.html

Passo 2. Copiare il file V1055491-01.zip in una directory con una memoria libera sufficiente.

Dopo aver scaricato il software, copiare l'archivio ZIP nell'host del database di origine (o nell'host di destinazione se si prevede di utilizzare Instant Deploy dalla destinazione) e procedere con l'estrazione nel passo successivo.

immagine

L'estrazione del file ZIP crea la sottodirectory zdm26.1. Il software ZDM estratto si trova in /opt/opc/zdm/zdm26.1.

Passo 3: Aggiornare il file /etc/hosts su ogni host con il nome e l'indirizzo IP dell'altro host.

Aggiungere il nome host e le informazioni IP di origine al file /etc/hosts dell'host di destinazione.

immagine

Aggiungere il nome host e le informazioni IP di destinazione al file /etc/hosts dell'host di origine.

immagine

Passo 4: Copiare la chiave pubblica SSH per l'utente del sistema operativo (in questo caso, opc) sull'host di origine e aggiungerla al file allowed_keys per l'utente del sistema operativo (in questo caso, anche opc) sull'host di destinazione.

Su host di origine

immagine

Su host di destinazione

immagine

Eseguire il test della connettività SSH dall'host del database di origine a quello di destinazione:

immagine

Verificare che TTY sia disabilitato per l'utente con privilegi SSH. Se TTY è disabilitato, il comando seguente restituisce la data dell'host remoto senza alcun errore:

immagine

Passo 5: verificare che TDE nel database di origine sia gestito da Oracle Key Vault (OKV).

immagine

Passo 6: configurare Oracle Key Vault (OKV) per il database di destinazione.

1: registrare il database di destinazione come endpoint OKV (Oracle Key Vault).

immagine

immagine

2: Copia il token di iscrizione di Oracle Key Vault (OKV).

immagine

3: iscrivere l'endpoint del database di destinazione e scaricare il software dell'endpoint Oracle Key Vault (OKV).

immagine immagine

4: Creare le directory necessarie per OKV sull'host di destinazione:

immagine

5: installare il file JAR dell'endpoint di Oracle Key Vault:

immagine immagine

6: assegnare il wallet virtuale di origine all'endpoint di destinazione:

immagine immagine immagine

7: caricare i wallet correnti in Oracle Key Vault (OKV) (migrazione da wallet basato su file a OKV):

Una volta verificata la connessione a OKV, caricare i wallet correnti in OKV. Per verificare la posizione WALLET_ROOT corrente, eseguire la seguente query:

immagine

Dopo aver identificato la posizione del wallet, copiare i wallet esistenti in WALLET_ROOT/tde:

immagine

Una volta completata la copia, caricare i wallet in OKV utilizzando WALLET_ROOT/okv/bin/okvutil con i wallet memorizzati in WALLET_ROOT/tde:

immagine

8: aggiungere la password OKV al keystore per abilitare il login automatico al keystore OKV. (Eseguire su tutti i nodi):

immagine

9: Aggiungi chiave segreta per utilizzare l'area di memorizzazione esterna (Esegui su tutti i nodi):

immagine

10: Aggiorna parametri inizializzazione database:

Aggiornare i parametri di inizializzazione wallet_root e tde_configuration per l'uso di OKV. Si noti che il parametro di inizializzazione tde_configuration dipende dal parametro wallet_root. Poiché il parametro wallet_root ha un ambito SPFILE, è necessario riavviare il database per rendere effettive le modifiche.

Inoltre, l'impostazione di wallet_root e tde_configuration sostituisce l'impostazione ENCRYPTION_WALLET_LOCATION in sqlnet.ora.

Prima di aggiornare i parametri di inizializzazione del database, eseguire un backup dello spfile.

immagine

11: Impostazioni dell'ambiente del database sqlnet.ora e RAC (SOLO 12.1):

Poiché i parametri init.ora wallet_root e tde_configuration non esistono nella versione 12.1, è necessario apportare modifiche alle impostazioni ambientali di sqlnet.ora e del database RAC.

Sqlnet.ora:

Change only the method under the ENCRYPTION_WALLET_LOCATION entry to HSM:

ENCRYPTION_WALLET_LOCATION=
(SOURCE=
(METHOD=HSM)
(METHOD_DATA=(DIRECTORY=/var/opt/oracle/dbaas_acfs/DBNAME/tde_wallet)))

Impostazioni dell'ambiente di database RAC: aggiungere le variabili di ambiente ORACLE_BASE e ORACLE_UNQNAME alle impostazioni dell'ambiente di database RAC:

[opc@targetdb ~]$ srvctl getenv database -d DBNAMEUNIQUE
DBNAMEUNIQUE:
TNS_ADMIN=/u02/app/oracle/product/12.1.0/dbhome_1/network/admin/DBNAME
bash-3.2$ srvctl setenv database -d DBNAMEUNIQUE -T "ORACLE_BASE=/u02/app/oracle"
bash-3.2$ srvctl setenv database -d DBNAMEUNIQUE -T "ORACLE_UNQNAME=DBNAMEUNIQUE"
bash-3.2$ srvctl getenv database -d DBNAMEUNIQUE

12: Riavvio del database.

[opc@targetdb ~]$ srvctl stop database -d DBNAMEUNIQUE
[opc@targetdb ~]$ srvctl start database -d DBNAMEUNIQUE

13: eseguire la migrazione del keystore TDE in Oracle Key Vault (OKV).

Eseguire il comando seguente su un nodo di database per eseguire la migrazione del keystore software TDE in Oracle Key Vault (OKV).

SQL>ADMINISTER KEY MANAGEMENT set key identified by "<OKV-pwd>" force keystore migrate using "TDE-wallet-password";

immagine

Una volta eseguito correttamente il comando, riavviare il database per verificare che la comunicazione con Oracle Key Vault funzioni correttamente:

[opc@targetdb ~]$ srvctl stop database -d DBNAMEUNIQUE
[opc@targetdb ~]$ srvctl start database -d DBNAMEUNIQUE

14: verifica della configurazione di Oracle Key Vault (OKV)

Eseguire le query riportate di seguito per verificare che la configurazione di Oracle Key Vault (OKV) sia configurata in modo corretto e che il database possa accedere al keystore esterno.

immagine

Passo 7: Creare il file di risposta ZDM sull'host del database di origine. Questo file definisce la configurazione della migrazione, incluse le informazioni sul database di origine e di destinazione, i parametri OKV (Oracle Key Vault) e le impostazioni di copia del PDB fisico.

L'esempio seguente mostra il file di risposta utilizzato per questa migrazione:

[opc@sourcedb ~]$ more /opt/opc/zdm/zdm26.1/template/26.1.0/zdm_physical_PDB_Cloning.rsp
ZDM_SRC_DB_OKV_HOME=/u01/app/oracle/admin/ORADB_src/okv_home/okv
ZDM_TGT_DB_OKV_HOME=/u01/app/oracle/admin/ORADB_tgt/okv_home/okv
ZDM_SRC_DB_OKV_VIRTUAL_WALLET_NAME=sourcedbwallet
ZDM_TGT_DB_OKV_VIRTUAL_WALLET_NAME=sourcedbwallet
ZDM_SKIP_TDE_WALLET_MIGRATION=FALSE
PLATFORM_TYPE=VMDB
TGT_DB_UNIQUE_NAME=ORADB_tgt
MIGRATION_METHOD=ONLINE_PHYSICAL
DATA_TRANSFER_MEDIUM=DBLINK
ZDM_PDB_CLONE_METHOD=REFRESHABLE
ZDM_SRC_PDB_NAME=ORADB_PDB1
ZDM_TGT_PDB_NAME=ORADB_PDB1
ZDM_TGT_DBLINK_NAME=clonedblink
ZDM_TGT_DBLINK_USERNAME=
ZDM_TGT_DBLINK_PASSWORD_WALLET=
ZDM_PDB_REFRESH_INTERVAL=60
ZDM_SWITCHOVER=FALSE
ZDM_SRC_DB_RESTORE_SERVICE_NAME=ORADB_PDB1

Passo 8: eseguire il comando seguente sull'host del database di origine per valutare la migrazione e verificare che gli ambienti di origine e di destinazione siano pronti per la migrazione.

[opc@sourcedb ~]$ /opt/opc/zdm/zdm26.1/zdmcli migrate database \
> -rsp /opt/opc/zdm/zdm26.1/template/26.1.0/zdm_physical_PDB_Cloning.rsp \
> -sourcedb ORADB_src \
> -sourcenode sourcedb \
> -targethome /u01/app/oracle/product/23.0.0.0/dbhome_1 \
> -tdekeystorepasswd \
> -tgttdekeystorepasswd \
> -targetnode targetdb \
> -schedule NOW \
> -eval
Enter source database ORADB_src SYS password:
Enter source database ORADB_src TDE keystore password:
Enter target container database TDE keystore password:
Migration evaluation job started
Result file path: /opt/opc/zdm/zdm26.1/zdmbase/chkbase/scheduled/job-6-2026-06-27-09:08:10.log
======================JOB_EXECUTION_DETAILS_START======================
User: opc
Client: dbSysyabixhpq
 ...............................................
 .........................

Nota:

Se la password dell'endpoint di Oracle Key Vault (OKV) è uguale alla password del keystore TDE, le opzioni -tdekeystorepasswd e -tgttdekeystorepasswd sono sufficienti.

Se la password dell'endpoint OKV è diversa dalla password del keystore TDE, specificare anche le opzioni riportate di seguito.

Queste opzioni consentono a ZDM di eseguire l'autenticazione con gli endpoint di Oracle Key Vault indipendentemente dalle password del keystore TDE durante la migrazione del wallet.

Verificare lo stato del job di migrazione, come mostrato di seguito.

immagine

Passo 9: avviare la migrazione e utilizzare l'opzione -pauseafter per interrompere la migrazione dopo la fase ZDM_CLONE_PDB_TGT. Durante questa fase, le modifiche apportate al PDB di origine vengono sincronizzate con il PDB di destinazione nell'intervallo specificato da ZDM_PDB_REFRESH_INTERVAL.

immagine

Passo 10: verificare lo stato del job di migrazione.

immagine

Verificare lo stato del PDB di destinazione.

immagine

Passo 11: riprendere il job di migrazione quando si è pronti per eseguire lo switchover finale dell'applicazione.

[opc@sourcedb ~]$ /opt/opc/zdm/zdm26.1/zdmcli resume job -jobid 6

immagine

Verificare lo stato del PDB di destinazione al termine della migrazione:

immagine

Verifica migrazione automatica wallet TDE

Il log seguente mostra che ZDM scarica automaticamente il wallet TDE da Oracle Key Vault (OKV) sull'host del database di origine:

immagine

Riferimenti

Conferme

Autore: Amresh Kumar Singh (consulente principale)

Altre risorse di apprendimento

Esplora altri laboratori su docs.oracle.com/learn o accedi a più contenuti di formazione gratuiti sul canale YouTube di Oracle Learning. Inoltre, visitare education.oracle.com/learning-explorer per diventare Oracle Learning Explorer.

Per la documentazione del prodotto, visitare Oracle Help Center.