Oracle ZDM 26.1インスタント・デプロイ: Oracle Key Vault (OKV)を使用したエンドツーエンドの物理PDBクローニング

はじめに

Oracle Zero Downtime Migration (ZDM) 26.1では、即時デプロイが導入され、専用のZDMサーバーを必要とせずに、ソースまたはターゲットのデータベース・ホストから直接データベース移行が可能になります。このリリースでは、Oracle Key Vault (OKV)との統合も強化され、Transparent Data Encryption (TDE)ウォレット移行機能が改善されています。

以前のZDMリリースの制限

Oracle ZDM 26.1より前:

ZDM 26.1の新機能

ZDM 26.1では、次のウォレット移行シナリオがサポートされています。

ZDM 26.1では、ソース・データベースがOKVウォレットを使用するように構成されているかどうかが検出され、ターゲット・データベースに移行する前にTDEキーがダウンロードされます。ターゲット・データベースもOKVウォレットで構成されている場合、ZDMは移行されたTDEキーをターゲットOKVウォレットにアップロードします。ZDM_SKIP_TDE_WALLET_MIGRATIONパラメータをデフォルト値(FALSE)のままにして、移行ワークフロー中にZDMがTDEウォレットを自動的に移行できるようにします。

イメージ

目的

バージョンの互換性

このチュートリアルでは、Oracle AI Database 26aiおよびOracle Key Vault (OKV) 21.14を使用したOracle Zero Downtime Migration (ZDM) 26.1インスタント・デプロイを、エンドツーエンドの物理PDBクローニングおよびTDEウォレットの自動移行に示します。

このチュートリアルの主なワークフローは、次を使用して検証されました。

ノート:このチュートリアルの一部のセクションは、参照用として以前のOracle Databaseリリースにのみ適用可能です。これらのセクションは、12.1のみまたは18cおよび19cのみと明確にマークされており、Oracle AI Database 26aiの使用時にはスキップできます。

移行前の現在の環境

Oracle Zero Downtime Migration (ZDM)ワークフローを開始する前に、ソース環境とターゲット環境の両方が物理PDBクローニング用に正しく構成されていることを確認します。次の表に、このチュートリアルで使用する環境と、移行前の主要なコンポーネントのステータスを示します。

イメージ

前提条件

ノート:このチュートリアルを開始する前に、使用している環境がOracle Zero Downtime Migration (ZDM) 26.1のすべての前提条件を満たしていることを確認してください。前提条件の完全なリストは、Oracle ZDMドキュメントのデータベース移行の準備の項を参照してください。

https://docs.oracle.com/en/database/oracle/zero-downtime-migration/26.1/zdmug/preparing-for-database-migration.html#GUID-25B07C59-8143-41CB-B431-3D9225CCFDD6

Oracle Zero Downtime Migration (ZDM) 26.1即時デプロイの設定

対象環境

デモンストレーションの目的で、このチュートリアルでは、Oracle AI Database 26aiバージョン23.26.2.0.0のOCI Oracle Base Database Serviceを使用します。

ソース: hostname: sourcedb、DB名: ORADB、DB一意名: ORADB_src TDEは、Oracle Key Vault (OKV)によって管理されます。

イメージ イメージ

ターゲット: ホスト名: targetdb、DB名: ORADB、DB一意名: ORADB_tgt TDEでは、ファイルベースのウォレットが使用されます。

イメージ イメージ

移行ワークフロー

ステップ1: Oracle ZDM製品ページ(バージョン26.1)から最新のOracle Zero Downtime Migration (ZDM) 26.1リリースをダウンロードします。

Oracle Zero Downtime Migrationのダウンロード・ページから、最新のOracle Zero Downtime Migration (ZDM) 26.1ソフトウェアをダウンロードします。ソフトウェアは、Oracle Software Delivery Cloud (OSDC)を介して配布されます。Oracle Single Sign-On (SSO)アカウントを使用してサインインし、ライセンス契約に同意して、最新のZDMリリース・パッケージ(V1055491-01.zipなど)をダウンロードします。最新のダウンロードおよびドキュメントについては、次のリソースを参照してください。

Oracle Zero Downtime Migration Download:
https://www.oracle.com/database/technologies/rac/zdm-downloads.html
Oracle Zero Downtime Migration 26.1 Documentation:
https://docs.oracle.com/en/database/oracle/zero-downtime-migration/26.1/index.html

ステップ2. 十分な空きストレージがあるディレクトリにV1055491-01.zipファイルをコピーします。

ソフトウェアのダウンロード後、ソース・データベース・ホスト(ターゲットからインスタント・デプロイを使用する予定の場合はターゲット・ホスト)にZIPアーカイブをコピーし、次のステップで抽出を続行します。

イメージ

ZIPファイルを抽出すると、zdm26.1サブディレクトリが作成されます。抽出されたZDMソフトウェアは、/opt/opc/zdm/zdm26.1にあります。

ステップ3: 各ホストの/etc/hostsファイルを、他のホストの名前とIPアドレスで更新します。

ソース・ホスト名およびIP情報をターゲット・ホストの/etc/hostsファイルに追加します。

イメージ

ターゲットのホスト名とIP情報をソース・ホストの/etc/hostsファイルに追加します。

イメージ

ステップ4: ソース・ホスト上のOSユーザー(この場合はopc)のSSH公開キーをコピーし、ターゲット・ホスト上のOSユーザー(この場合はopc)のauthorized_keysファイルに追加します。

ソース・ホスト

イメージ

ターゲット・ホスト上

イメージ

ソースからターゲット・データベース・ホストへのSSH接続をテストします。

イメージ

SSH特権ユーザーに対してTTYが無効になっていることを確認します。TTYが無効になっている場合、次のコマンドでは、エラーなしでリモート・ホストから日付が返されます。

イメージ

ステップ5: ソース・データベース上のTDEがOracle Key Vault (OKV)によって管理されていることを確認します。

イメージ

ステップ6: ターゲット・データベースのOracle Key Vault (OKV)を構成します。

1: ターゲット・データベースをOracle Key Vault (OKV)エンドポイントとして登録します。

イメージ

イメージ

2: Oracle Key Vault (OKV)登録トークンをコピーします。

イメージ

3: ターゲット・データベース・エンドポイントをエンロールし、Oracle Key Vault (OKV)エンドポイント・ソフトウェアをダウンロードします。

イメージ イメージ

4: OKVに必要なディレクトリをターゲット・ホストに作成します。

イメージ

5: Oracle Key VaultエンドポイントJARファイルのインストール:

イメージ イメージ

6: ターゲット・エンドポイントにソース仮想ウォレットを割り当てます。

イメージ イメージ イメージ

7: 現在のウォレットをOracle Key Vault (OKV)にアップロードします(ファイルベースのWalletからOKVへの移行):

OKVへの接続が検証されたら、現在のウォレットをOKVにアップロードします。現在のWALLET_ROOTの場所を確認するには、次の問合せを実行します。

イメージ

ウォレットの場所を特定した後、既存のウォレットをWALLET_ROOT/tdeにコピーします。

イメージ

コピーが完了したら、WALLET_ROOT/tdeに格納されているウォレットとともにWALLET_ROOT/okv/bin/okvutilを使用して、ウォレットをOKVにアップロードします。

イメージ

8: OKVキーストアへの自動ログインを有効にするには、キーストアにOKVパスワードを追加します。(RUN ON ALL NODES):

イメージ

9: 外部ストア(すべてのノードでRUN)を使用するための秘密キーの追加:

イメージ

10: データベース初期化パラメータの更新:

OKVを使用するためのwallet_rootおよびtde_configuration初期化パラメータを更新します。tde_configuration初期化パラメータは、wallet_rootパラメータに依存することに注意してください。wallet_rootパラメータにはSPFILEスコープがあるため、変更を有効にするにはデータベースの再起動が必要です。

また、wallet_rootおよびtde_configurationを設定すると、sqlnet.oraのENCRYPTION_WALLET_LOCATION設定がオーバーライドされます。

データベース初期化パラメータを更新する前に、spfileのバックアップを実行してください。

イメージ

11: sqlnet.oraおよび RACデータベース環境設定(12.1のみ):

wallet_rootおよびtde_configuration init.oraパラメータは12.1に存在しないため、sqlnet.oraおよびRACデータベースの環境設定を変更する必要があります。

Sqlnet.ora:

Change only the method under the ENCRYPTION_WALLET_LOCATION entry to HSM:

ENCRYPTION_WALLET_LOCATION=
(SOURCE=
(METHOD=HSM)
(METHOD_DATA=(DIRECTORY=/var/opt/oracle/dbaas_acfs/DBNAME/tde_wallet)))

RACデータベース環境設定: ORACLE_BASEおよびORACLE_UNQNAME環境変数をRACデータベース環境設定に追加します。

[opc@targetdb ~]$ srvctl getenv database -d DBNAMEUNIQUE
DBNAMEUNIQUE:
TNS_ADMIN=/u02/app/oracle/product/12.1.0/dbhome_1/network/admin/DBNAME
bash-3.2$ srvctl setenv database -d DBNAMEUNIQUE -T "ORACLE_BASE=/u02/app/oracle"
bash-3.2$ srvctl setenv database -d DBNAMEUNIQUE -T "ORACLE_UNQNAME=DBNAMEUNIQUE"
bash-3.2$ srvctl getenv database -d DBNAMEUNIQUE

12: データベースを再起動します。

[opc@targetdb ~]$ srvctl stop database -d DBNAMEUNIQUE
[opc@targetdb ~]$ srvctl start database -d DBNAMEUNIQUE

13: TDEキーストアをOracle Key Vault (OKV)に移行します。

1つのデータベース・ノードで次のコマンドを実行して、TDEソフトウェア・キーストアをOracle Key Vault (OKV)に移行します。

SQL>ADMINISTER KEY MANAGEMENT set key identified by "<OKV-pwd>" force keystore migrate using "TDE-wallet-password";

イメージ

コマンドが正常に戻ったら、データベースを再起動して、Oracle Key Vaultとの通信が正しく機能していることを確認します。

[opc@targetdb ~]$ srvctl stop database -d DBNAMEUNIQUE
[opc@targetdb ~]$ srvctl start database -d DBNAMEUNIQUE

14: Oracle Key Vault (OKV)構成の確認

次の問合せを実行して、Oracle Key Vault (OKV)構成が正しく構成されており、データベースが外部キーストアにアクセスできることを確認します。

イメージ

ステップ7: ソース・データベース・ホストにZDMレスポンス・ファイルを作成します。このファイルは、移行構成(ソースおよびターゲットのデータベース情報、Oracle Key Vault (OKV)パラメータ、物理PDBクローニング設定など)を定義します。

次の例は、この移行に使用されるレスポンス・ファイルを示しています。

[opc@sourcedb ~]$ more /opt/opc/zdm/zdm26.1/template/26.1.0/zdm_physical_PDB_Cloning.rsp
ZDM_SRC_DB_OKV_HOME=/u01/app/oracle/admin/ORADB_src/okv_home/okv
ZDM_TGT_DB_OKV_HOME=/u01/app/oracle/admin/ORADB_tgt/okv_home/okv
ZDM_SRC_DB_OKV_VIRTUAL_WALLET_NAME=sourcedbwallet
ZDM_TGT_DB_OKV_VIRTUAL_WALLET_NAME=sourcedbwallet
ZDM_SKIP_TDE_WALLET_MIGRATION=FALSE
PLATFORM_TYPE=VMDB
TGT_DB_UNIQUE_NAME=ORADB_tgt
MIGRATION_METHOD=ONLINE_PHYSICAL
DATA_TRANSFER_MEDIUM=DBLINK
ZDM_PDB_CLONE_METHOD=REFRESHABLE
ZDM_SRC_PDB_NAME=ORADB_PDB1
ZDM_TGT_PDB_NAME=ORADB_PDB1
ZDM_TGT_DBLINK_NAME=clonedblink
ZDM_TGT_DBLINK_USERNAME=
ZDM_TGT_DBLINK_PASSWORD_WALLET=
ZDM_PDB_REFRESH_INTERVAL=60
ZDM_SWITCHOVER=FALSE
ZDM_SRC_DB_RESTORE_SERVICE_NAME=ORADB_PDB1

ステップ8: ソース・データベース・ホストで次のコマンドを実行して、移行を評価し、ソース環境とターゲット環境が移行の準備ができていることを確認します。

[opc@sourcedb ~]$ /opt/opc/zdm/zdm26.1/zdmcli migrate database \
> -rsp /opt/opc/zdm/zdm26.1/template/26.1.0/zdm_physical_PDB_Cloning.rsp \
> -sourcedb ORADB_src \
> -sourcenode sourcedb \
> -targethome /u01/app/oracle/product/23.0.0.0/dbhome_1 \
> -tdekeystorepasswd \
> -tgttdekeystorepasswd \
> -targetnode targetdb \
> -schedule NOW \
> -eval
Enter source database ORADB_src SYS password:
Enter source database ORADB_src TDE keystore password:
Enter target container database TDE keystore password:
Migration evaluation job started
Result file path: /opt/opc/zdm/zdm26.1/zdmbase/chkbase/scheduled/job-6-2026-06-27-09:08:10.log
======================JOB_EXECUTION_DETAILS_START======================
User: opc
Client: dbSysyabixhpq
 ...............................................
 .........................

ノート:

Oracle Key Vault (OKV)エンドポイント・パスワードがTDEキーストア・パスワードと同じ場合、-tdekeystorepasswdおよび-tgttdekeystorepasswdオプションで十分です。

OKVエンドポイント・パスワードがTDEキーストア・パスワードと異なる場合は、次のオプションも指定します:

これらのオプションにより、ZDMはウォレットの移行中にTDEキーストア・パスワードとは関係なく、Oracle Key Vaultエンドポイントで認証できます。

次に示すように、移行ジョブのステータスを確認します。

イメージ

ステップ9: 移行を開始し、-pauseafterオプションを使用してZDM_CLONE_PDB_TGTフェーズ後に移行を停止します。このフェーズでは、ソースPDBに加えられた変更は、ZDM_PDB_REFRESH_INTERVALで指定された間隔でターゲットPDBに同期されます。

イメージ

ステップ10: 移行ジョブのステータスを確認します。

イメージ

ターゲットPDBのステータスを検証します。

イメージ

ステップ11: 最終的なアプリケーション・スイッチオーバーを実行する準備ができたら、移行ジョブを再開します。

[opc@sourcedb ~]$ /opt/opc/zdm/zdm26.1/zdmcli resume job -jobid 6

イメージ

移行の完了後にターゲットPDBのステータスを確認します。

イメージ

TDE Walletの自動移行の検証

次のログは、ZDMがソース・データベース・ホスト上のOracle Key Vault (OKV)からTDEウォレットを自動的にダウンロードすることを示しています。

イメージ

参考資料

確認

作成者: Amresh Kumar Singh (プリンシパル・コンサルタント)

その他の学習リソース

docs.oracle.com/learnの他のラボを調べるか、Oracle Learning YouTubeチャンネルで無料のラーニングコンテンツにアクセスしてください。また、Oracle Learning Explorerになるには、education.oracle.com/learning-explorerにアクセスしてください。

製品ドキュメントについては、Oracle Help Centerを参照してください。