資格証明を使用したユーザーの認証

ユーザー資格証明(ユーザー名、パスワード)の組合せは資格証明ストアに格納され、資格証明別名を使用してアクセスできます。これにより、ユーザーはユーザーIDとパスワードを資格証明ストアに保持し、別名のみでOracle GoldenGateデプロイメントまたは別のアプリケーションに接続できるようになります。

強力なパスワード・ポリシーは、大文字1文字、小文字1文字、数字1文字および特殊文字1文字を含めることを示すガイドラインを使用して実装されています。

Oracle GoldenGateリリース23.4以上でのパスワードの最大長は1024バイトです。

資格証明ストアでのアイデンティティ管理

Oracle GoldenGateは、資格証明ストアを使用して、暗号化されたデータベース・パスワードとユーザーIDを管理し、別名に関連付けます。

これは、コマンドまたはパラメータ・ファイルで指定される別名で、実際のユーザーIDやパスワードではありません。Oracle GoldenGateに組み込まれているOracle Credential Store Framework (CSF)内では、暗号化キーのユーザー入力は必要ありません。

資格証明ストアは、ローカル資格証明に対する制御を維持しながら、同じサービス・マネージャ・ユーザー・アクセスを備えた複数のデプロイメントで使用できます。

資格証明ストアは、ドメインと呼ばれる論理コンテナにパーティション化できます(たとえば、Oracle GoldenGateのインストール環境に1つのドメインを使用する)。ドメインを使用すると、1セットの別名を作成してから、各ドメインの別名に異なるローカル資格を割り当てることができます。たとえば、ユーザーogg1の資格証明をDOMAIN system1にALIAS extとして格納し、ユーザーogg2の資格証明をDOMAIN system2にALIAS extとして格納できます。

管理クライアントからの資格証明ストアの構成

  1. Oracle GoldenGateインストール・ディレクトリから、コマンドラインを起動します。

  2. CONNECTコマンドを使用してデプロイメントにログインした後(管理クライアントを使用する場合)、次のコマンドを発行して資格証明ストアで様々なタスクを実行します。

    コマンド 摘要
    ADD CREDENTIALSTORE データベース資格証明ストアを追加します。
    ALTER CREDENTIALSTORE 資格証明ストアに資格証明の各セットを追加します。
    INFO CREDENTIALSTORE Oracle GoldenGate資格証明ストアに関する情報を取得します。この情報には、資格証明ストアに格納されている別名と、それらに対応するユーザーIDが含まれます。資格証明ストアの暗号化されたパスワードは返されません。
    DELETE CREDENTIALSTORE 資格証明ストアをシステムから削除します。資格証明ストア・ウォレットとその内容は、完全に削除されます。

    これらのタスクは、Oracle GoldenGate Webインタフェースからも実行できます。「データベース接続の追加」を参照してください。このタスクを実行するためにREST APIサービス・エンドポイントを使用するには、資格証明のRESTエンドポイントを参照してください

パラメータ・ファイルまたはコマンドでの別名の指定

次のコマンドおよびパラメータでは、ログイン資格証明のかわりに別名を使用できます。

表2パラメータおよびコマンドへの資格証明の別名の指定

資格証明の対象 使用するパラメータまたはコマンド
Oracle GoldenGateデータベース・ログイン。 
USERIDALIAS alias
ダウンストリームOracleマイニング・データベースのOracle GoldenGateデータベース・ログイン 
TRANLOGOPTIONS MININGUSERALIAS alias
{CREATE \| ALTER} USER name IDENTIFIED BY passwordのパスワード置換 
DDLOPTIONS DEFAULTUSERPASSWORDALIAS alias
管理クライアントからのOracle GoldenGateデータベース・ログイン。 
DBLOGIN USERIDALIAS alias
管理クライアントからダウンストリームOracleマイニング・データベースへのOracle GoldenGateデータベース・ログイン。 
MININGDBLOGIN USERIDALIAS alias

ユーザー資格証明の暗号化および格納

Oracle GoldenGateの設定およびインストール時に、ADD TRANDATAコマンドによるサプリメンタル・ロギングの追加などのタスクに対して、DBLOGINコマンドを使用して、データベースにログインする必要がある場合があります。

セキュリティ対策としてログイン・パスワードの暗号化をお薦めします。ただし、標準のDBLOGINコマンドでセキュアなパスワードを使用するには、まず[ENCRYPT PASSWORD](/pls/topic/lookup?ctx=en/database/goldengate/core/26/coredoc&id=GCLIR-GUID-5BF9F3E6-EAE0-43D3-A238-8CA68CADFC6D)コマンドを使用してパスワードを暗号化する必要があります。ユーザーIDをエクスポージャから保護する際にこのステップを回避するために、ユーザー資格証明の設定および構成を開始する前にOracle GoldenGate資格証明ストアを作成できます。

資格証明ストアを使用すると、DBLOGINでログオンするときには、常にログイン資格証明の別名を指定することのみが必要になります。また、証明書ストアを使用することで、パラメータ・ファイルを構成するときに、ExtractおよびReplicatのプロセスに対するログイン資格証明の指定が簡単かつ安全になります。まず、資格証明ストアに基本エントリを作成しておいて、管理コマンドを使用して必要に応じて拡張できます。資格証明ストアを設定するために、管理クライアントを使用して暗号化プロファイルを作成できます。