ALTER CREDENTIALSTORE

このコマンドを使用して、接続詳細とともにユーザー名とパスワードを含むデータベース資格証明を含む資格証明ストア別名を作成します。資格証明ストアの別名は、デプロイメント内でデータベース接続を確立するために使用できます。

MA Webインタフェースからのデータベース接続を構成するには、データベース資格証明の追加と変更を参照してください。

資格証明ストアの使用は、NonStopプラットフォームではサポートされません。

構文

ALTER CREDENTIALSTORE ADD USER {userid | userid@dbhost:dbport/dbname[;connection_options]|| userid@odbc-dsn}
[DELETE USER alias]
[REPLACE USER alias]
[ALIAS alias]
[Domain domain]
[PASSWORD password | NOPASSWORD]
[KERBEROS]
[PLUGIN]

ADD USER {userid|userid@dbhost:dbport/dbname[;connection_options]|userid@odbc-dsn}

userid

指定したユーザーを資格証明ストアの別名に追加します。ALIASオプションを使用しない場合、別名はデフォルトでuseridの別名になります。DOMAINオプションが指定されていない場合、ドメインはデフォルトでOracleGoldenGateドメインになります。CDBおよびPDBの異なるユーザーを持つマルチテナントOracleデータベースでは、データベース・ユーザーを資格証明ストアに追加するときに@tns_service_nameを指定する必要があります。

userid@dbhost:dbport/dbname[;connection_options]

Oracleデータベース、MySQL、SQL Server、PostgreSQL、Db2などの接続文字列をサポートするデータベースの場合、指定したユーザーおよび接続情報を資格証明ストアの別名に追加します。接続文字列情報には、データベース・サーバー名、データベース・ポートおよびデータベース名が含まれている必要があります。接続文字列に追加できる追加の接続オプションを(データベースごとに)次に示します:

データベース接続の詳細を含む別名を作成する場合は、ALIASオプションが必要です

必要な接続フォーマットは次のとおりです:

userid@databasehost:databaseport/databasename;option1;option2;option3

たとえば:

ALTER CREDENTIALSTORE ADD USER ggadmin@server_west:1434/sourcedb
PASSWORD ***** ALIAS SourceMSSQLConnection

userid @ odbc-dsn

Db2 for i Series、Db2 LUW、Db2 z/OS、SQL ServerおよびPostgreSQLなど、ODBCを介したDSN接続をサポートするデータベースの場合、DSN接続情報を資格証明ストアに追加します。DSN接続の詳細がシステムに(たとえば、Linux用のodbc.iniファイルに、またはODBCデータ・ソースの64ビット・クライアントを使用してWindowsで作成されたシステムDSSNとして)存在している必要があります。

DSNを使用して別名を作成する場合は、ALIASオプションが必要です。

必要な接続フォーマットは次のとおりです:

userid@odbc-dsn

たとえば:

ALTER CREDENTIALSTORE ADD USER ggadmin@sourcedsn
PASSWORD ***** ALIAS SourceMSSQLConnection

DELETE USER alias

指定された別名の資格証明を削除します。ALIASオプションが指定されていない場合、別名はデフォルトで useridのものになります。DOMAINオプションが指定されていない場合、資格証明ストアはデフォルトでOracleGoldenGateドメインになります。

たとえば:

ALTER CREDENTIALSTORE DELETE USER src_alias

REPLACE USER userid

指定した別名のユーザーを置換します。既存のユーザーのパスワードの変更にも使用できます。ALIASオプションが指定されていない場合、別名はデフォルトで useridのものになります。DOMAINオプションが指定されていない場合、資格証明ストアはデフォルトでOracleGoldenGateドメインになります。

PASSWORDオプションを使用しない場合、指定したユーザーのパスワードを入力するよう求められます。データベース接続情報を含むユーザーのパスワードを変更する際には、現在のuseridの完全な値を含める必要があります。そうしないと、このコマンドにより、ユーザーは指定した新しい値に置換されます。

次の例は、既存のユーザーggadmin@sourcedsn、別名SourceMSSQLConnectionのパスワードを変更する方法を示しています。

ALTER CREDENTIALSTORE REPLACE USER ggadmin@sourcedsn PASSWORD newpassword
ALIAS SourceMSSQLConnection

この例では、pdbeastエイリアスのユーザーggadminを新しいユーザーに変更し、パスワードの入力を要求する方法を示します。

ALTER CREDENTIALSTORE REPLACE USER ggadmin ALIAS pdbeast DOMAIN Production

ALIAS alias

ユーザー名の別名を指定します。ユーザー名をパラメータ・ファイルまたはコマンドに含めない場合、このオプションを使用します。ALIASを指定しない場合、別名はデフォルトでUSERの名前になり、ログインが必要な場合に、これがパラメータ・ファイルおよびコマンドで使用される必要があります。1人のユーザーに対してそれぞれ異なる別名を持つ複数のエントリを作成するには、ADD USERオプションをALIAS付きで使用します。

DOMAIN domain

指定したドメイン名に資格証明別名を保存します。

デフォルト・ドメインはOracleGoldenGateです。一意のドメイン名を選択することで、同じ資格証明ストアを使用する複数のOracle GoldenGateインストールで同じ別名を使用できます。たとえば、システム1の管理者が、システム1で使用されている同じ資格証明にシステム2からアクセスさせないようにするとします。Those credentials can be stored as ALIAS pdbeast, for example, under DOMAIN system1, while a different set of credentials can be stored for ALIAS pdbeast under DOMAIN system2.

NOPASSWORD | PASSWORD password

PASSWORDオプションを使用して、ユーザーのパスワードを指定します。このオプションを使用すると、パスワードはエコー表示されます(不明瞭化されません)。このオプションを省略すると、コマンドではパスワードが求められ、入力時に不明瞭化されます(セキュリティ強化のために推奨されます)。

Oracle GoldenGate 26aiでサポートされるパスワードの最大長は1024バイトです。

Kerberos認証またはIDCSを使用するなどの外部認証ではパスワードは必要ないため、外部認証を使用する場合は、NOPASSWORDオプションがPASSWORDオプションのかわりになります。NOPASSWORDオプションを設定すると、DBLOGINコマンドを使用して、パスワードなしでデータベースにアクセスできるようになります。

26ai以降では、NOPASSWORDオプションを使用するかわりに、キーワードを使用してデータベース接続に対して様々なタイプの資格証明を示すことができます。NOPASSWORD以外で使用可能な資格証明タイプは次のとおりです。

Kerberos認証: 次の構文に示すように、KERBEROSキーワードを使用できます。

ALTER CREDENTIALSTORE ADD USER /@<tns_alias> ALIAS <alias> KERBEROS
プラグイン・ベースの認証: 次の構文に示すように、PLUGINキーワードをプラグイン・シークレットの有無にかかわらず使用できます。

ALTER CREDENTIALSTORE ADD USER <username>/@<tns_alias> ALIAS <alias> PLUGIN

ALTER CREDENTIALSTORE ADD USER <username>/@<tns_alias> ALIAS <alias> PLUGIN [SECRET <secret>]

PLUGIN SECRETを使用して作成されたプラグイン資格証明の場合、GoldenGateは格納されたプラグイン・シークレットをメタデータ・アイテムとしてプラグイン・コールバックに渡します。

プラグイン資格証明を追加するための既存の形式は引き続きサポートされています。既存の形式を使用する場合、管理クライアントは資格証明タイプを渡しません。
Microsoft EntraIDのOAuth認証: Entra ID資格証明を追加する構文では、コマンドのキーワードとしてOAUTHSECRETが使用されます。指定された文字列をMicrosoft Entra IDクライアント・シークレットとしてマークします。次の構文に示すように、Entra ID USERIDALIAS (ggwest-entraなど)の場合、資格証明ストアはクライアント・シークレットのみを永続化します。

資格証明ストアの変更ユーザーの追加/@別名 OAUTHSECRET

次の表は、これらのコマンドで使用される構文に応じて資格証明のタイプを設定する方法を示しています。

Oracle GoldenGateパラメータおよび機能リファレンスのUSERIDALIASパラメータも参照してください。

セキュリティ構成の接続値

これらは、SSL属性など、資格証明別名に追加できるオプションの接続文字列設定です。これらは、セミコロンで区切られた属性のリストとして指定する必要があります(たとえば、option1=value1;option2=value2;option3=value3)。ここで、オプションは、データベース固有のプロパティとその許可される値です。

SSL属性など、資格証明別名に追加できる追加の接続文字列オプションのリストを次に示します。

ノート: Oracle GoldenGate Microservices Architectureでは、特定のSSLパラメータを環境変数として構成することでSSL接続がサポートされます。ただし、この構成により、ExtractおよびReplicatプロセスがデプロイメントに定義されたSSL環境変数のみを使用して接続するように制限され、他のSSL接続や非SSL接続は不可能になります。しかし、資格証明ストアの別名を使用することで、同じデプロイメント内で様々なデータベース接続用に様々なSSLパラメータや非SSLパラメータで資格証明を構成できる柔軟性も得られます。

sslCA: MySQLおよびPostgreSQLの場合のみ。SSL証明書の信頼性をPEM形式で検証するために使用される証明書。
sslCert: MySQLおよびPostgreSQLの場合。クライアントの PEM形式のSSL証明書ファイル。
sslCrl: MySQLの場合。PEM形式の証明失効リストを含むファイルの名前。
sslKey: MySQLおよびPostgreSQLの場合。PEM形式のクライアントの非公開鍵ファイル。
sslMode: MySQLおよびPostgreSQLの場合。sslModeパラメータ値は、大文字のみで指定されます。MySQLの sslModeオプションは VERIFY_IDENTITY, VERIFY_CA, REQUIRED, PREFERREDです。PostgreSQLの sslModeオプションは VERIFY-FULL, VERIFY-CA, REQUIRE, PREFERです。

sslMode=VERIFY_IDENTITYの場合、sslPath、sslCa、sslCertおよびsslKeyの指定は必須です。sslMode=VERIFY_CAの場合、sslPathおよびsslCaの指定は必須です。
sslPath: MySQLの場合のみ。PEM形式の信頼できるSSL認証局(CA)証明書ファイルが格納されるディレクトリのパスの。

例

Oracle

この例では、ggadminという名前のユーザーを追加しますが、PASSWORD指定を省略しているので、コマンドでプラガブル・データベースのパスワードを要求しますpdbeast。

ALTER CREDENTIALSTORE ADD USER ggadmin
Password: ********

この例では、ユーザーggadminがパスワードtigerを指定して追加され、別名をpdbeastとして指定します。

ALTER CREDENTIALSTORE ADD USER ggadmin PASSWORD tiger ALIAS pdbeast

この例では、ユーザーggadminをOracleGoldenGateのドメインに追加します。

ALTER CREDENTIALSTORE ADD USER ggadmin@dbnorth ALIAS pdbeast DOMAIN OracleGoldenGate
Password: ********

この例では、簡易接続ネーミング・メソッドを使用してユーザーggadminを追加します。

ALTER CREDENTIALSTORE ADD USER ggadmin@dbnorth:1521/dbservice_north
ALIAS pdbnorth

この例では、2つのALTER CREDENTIALSTOREコマンドを発行し、それぞれがggadminエントリを追加しますが別名は異なります。

ALTER CREDENTIALSTORE ADD USER ggadmin@dbeast ALIAS pdbeast
Password: ********
ALTER CREDENTIALSTORE ADD USER ggadmin@dbwest ALIAS pdbwest
Password: ********

この例は、KERBEROSキーワードを使用したKerberos認証用のALTER CREDENTIALSTOREコマンドを示しています。

ALTER CREDENTIALSTORE ADD USER /@dbwest KERBEROS ALIAS ggwest;

この例は、PLUGINキーワードを使用したプラグイン・ベース認証のALTER CREDENTIALSTOREコマンドを示しています。

ALTER CREDENTIALSTORE ADD USER ggadmin@dbwest PLUGIN ALIAS ggwest;

この例では、PLUGIN SECRETキーワードを使用します。

ALTER CREDENTIALSTORE ADD USER ggadmin@dbwest PLUGIN SECRET abc ALIAS ggwest;

次の例は、OAUTHキーワードを使用して、Microsoft EntraIDで資格証明を追加する方法を示しています。

ALTER CREDENTIALSTORE ADD USER /@dbwest ALIAS ggwest OAUTHSECRET XkE8Q~rWlDiIl4bKAsWoER8m7hNrX_KBvG_bgdhT

次に、DELETE USERオプションの、ALIASオプションがある場合とない場合の動作を示します。

次のコマンドは、ALIASがユーザー名と同じuser1エントリを削除します。

ALTER CREDENTIALSTORE DELETE USER ggadmin
Alias: pdbeast
Userid: ggadmin

次のコマンドは、別名pdbeastに関連付けられているユーザーggadminのエントリを削除します。

ALTER CREDENTIALSTORE DELETE USER ggadmin ALIAS pdbeast
Alias: pdbeast
Userid: ggadmin

この例では、ユーザー値としてSQL*Net接続文字列を使用します。この場合、PASSWORDオプションは省略されます。コマンドを発行するユーザーは、パスワード(非表示)の入力を求められます。

ALTER CREDENTIALSTORE ADD USER ggadmin@pdbeast ALIAS pdbeast

この例では、ドメイン名Oracle GoldenGateをユーザーID ggadminおよび別名pdbeastでAdmin Clientに作成します。

ALTER CREDENTIALSTORE ADD USER ggadmin ALIAS pdbeast
Password:

この例では、BEQ-Bequeath Protocolアダプタを使用している場合に接続修飾子を使用して、接続します。BEQ-Bequeath Protocolアダプタを使用したセキュアな接続の確立の詳細は、セキュアなデータベース接続の構成を参照してください

ALTER CREDENTIALSTORE ADD USER ggadmin@inst1_beq

次の例(Admin Client)では、ggadminという名前のユーザーを外部認証を使用して追加するため、NOPASSWORDオプションを使用します。

ALTER CREDENTIALSTORE ADD USER ggadmin@dbeast nopassword alias pdbeast

INFO CREDENTIALSTOREコマンドを実行すると、資格証明ストアへのユーザーの追加を確認できます:

INFO CREDENTIALSTORE
Default domain: OracleGoldenGate
  Alias: pdbeast
  Userid: @ggadmin

NOPASSWORDオプションを使用するようにクレデンシャル・ストアを更新すると、データベースのKerberos認証でDBLOGINコマンドを使用できます。

DBLOGIN USERIDALIAS pdbeast

MySQL

次に、MySQLの管理クライアントで資格証明を作成する例を示します。

この例では、接続文字列にSSL属性のないデータベース資格証明を追加します。

ALTER CREDENTIALSTORE ADD USER ggadmin@mysqlsrvr.myorg.com/my_db
PASSWORD:******  ALIAS pdbeast

この例では、接続文字列にSSL属性が追加された資格証明ストアにデータベース接続の詳細を追加します。

ALTER CREDENTIALSTORE ADD USER ggadmin1@192.168.254.2:3306/atssrc;
sslMode=VERIFY_IDENTITY;sslPath=/var/lib/mysql/data;
sslCert=client-cert.pem;sslCa=ca.pem;sslKey=client-key.pem
PASSWORD ****** ALIAS pdbeast

SQLサーバー

次の例では、DSNを使用して資格証明ストアにデータベース接続の詳細を追加します。

ALTER CREDENTIALSTORE ADD USER ggadmin@mydsn PASSWORD *****
ALIAS pdbeast

次の例では、DSNlessベースの接続を使用して、資格証明ストアにデータベース接続の詳細を追加します。

ALTER CREDENTIALSTORE ADD USER ggadmin@100.70.96.45:10043/qadb;Encrypt=NO;
TrustServerCertificate=YES PASSWORD***** ALIAS pdbwest

PostgreSQL

次の例では、接続文字列にSSL属性が追加された資格証明ストアにデータベース接続の詳細を追加します。

ALTER CREDENTIALSTORE ADD USER ggadmin@abc.com:7432/mydb;sslmode=disable;
sslCa=/u01/ogg/certs/root.pem  PASSWORD ***** ALIAS pdbeast

次の例では、DSNを使用して資格証明ストアにデータベース接続の詳細を追加します。

ALTER CREDENTIALSTORE ADD USER ggadmin@mydsn PASSWORD *****
ALIAS pdbeast

次の例では、DSNlessベースの接続を使用して、資格証明ストアにデータベース接続の詳細を追加します。

ALTER CREDENTIALSTORE ADD USER ggadmin@100.70.96.45:10043/qadb PASSWORD***** ALIAS pdbwest

Sybase

次に、Sybaseの管理クライアントで資格証明を作成する例を示します。

次の例では、Sybaseデータベースに追加の属性を持たないホストおよびポート・ベースの接続を表示します。

ALTER CREDENTIALSTORE ADD USER ggadmin@sybdb.myorg.com:5055/qadb PASSWORD****
ALIAS pdbeast

次の例では、追加の属性およびSSLを有効にして、Sybaseデータベースへのホストおよびポート・ベースの接続を表示します。

ALTER CREDENTIALSTORE ADD USER ggadmin@sybdb.myorg.com:5055/qadb;OGG_USE_SSL;
CS_OPT_CHARSET=UTF-8;CS_LOGIN_TIMEOUT=10 PASSWORD**** ALIAS pdbeast

z/OS上のDB2およびDB2

次の例では、DSNを使用して資格証明ストアにデータベース接続の詳細を追加します。

ALTER CREDENTIALSTORE ADD USER ggadmin@mydsn PASSWORD *****
ALIAS pdbeast

次の例では、DSNlessベースの接続を使用して、資格証明ストアにデータベース接続の詳細を追加します。

ALTER CREDENTIALSTORE ADD USER ggadmin@100.70.96.45:10043/qadb PASSWORD***** ALIAS pdbwest