Oracle GoldenGate용 Microsoft Azure EntraID 구성

권한 부여 프로파일을 생성할 때 Oracle GoldenGate는 권한 부여를 위해 Entra ID 보안 그룹을 네 개의 롤(보안, 관리자, 운영자, 사용자)로 매핑합니다. 그룹에 속한 Entra ID 사용자의 Oracle GoldenGate에서 해당 매핑된 롤이 있습니다.

Microsoft Azure EntraID 포털에서 다음 작업을 수행하여 Oracle GoldenGate와 매핑되는 사용자 그룹을 구성합니다.

  1. EntraID에서 적절한 사용자 및 보안 그룹을 만듭니다. 각 Oracle GoldenGate 사용자 롤(보안, 관리자, 운영자, 사용자)에 매핑될 네 개의 보안 그룹이 필요합니다. 필요한 경우 그룹 이름을 선택할 수 있습니다.

    Microsoft EntraID - Oracle GoldenGate 사용자 롤에 매핑되는 그룹을 생성합니다.

  2. [개요] 페이지에서 추가, 엔터프라이즈 애플리케이션을 선택합니다.

    EntraID 콘솔에서 새 엔터프라이즈 애플리케이션을 추가합니다.

  3. 고유 애플리케이션 생성을 선택합니다.

    왼쪽 탐색 창의 EntraID Overview 메뉴에서 Create your own application을 선택합니다.

  4. 애플리케이션 이름을 지정하고 Microsoft Entra ID와 통합할 애플리케이션 등록을 선택한 다음 생성을 선택합니다.

    Oracle GoldenGate 권한 부여 프로파일에 대해 Microsoft EntraID에 엔터프라이즈 애플리케이션을 등록하려면 선택합니다.

  5. 응용 프로그램을 등록하려면 이 조직 디렉토리의 계정만(... - 단일 테넌트)을 선택합니다.

    이미지/entraid_registerapp_accountdirectory.png

  6. 엔트라 ID 개요 페이지로 돌아가서 관리에서 엔터프라이즈 애플리케이션을 선택하고 이전에 생성한 애플리케이션 이름을 검색합니다.

  7. 관리에서 사용자 및 그룹을 선택합니다. 사용자/그룹 추가를 선택합니다.

    그룹을 기반으로 사용자를 추가합니다.

  8. 이 애플리케이션에 지정할 그룹을 검색하여 선택하고 선택한 그룹이 오른쪽 창에 나타나는지 확인합니다.

    권한 부여를 위해 추가할 그룹을 선택합니다.

  9. 모든 그룹을 선택하고 선택을 선택한 다음 지정을 선택합니다.

    주: 이전 단계에서 생성한 모든 Entra ID 보안 그룹을 이 애플리케이션에 지정해야 합니다.

    Oracle GoldeNGate 애플리케이션에 그룹 지정

  10. (선택 사항) 다음 단계에 따라 애플리케이션 소유자를 지정합니다.

    1. [관리]에서 소유자를 선택합니다.

    2. 추가를 선택합니다.

    3. 소유자를 검색하여 선택합니다.

    4. 선택한 소유자가 오른쪽 창에 나타나는지 확인합니다.

  11. 클라이언트 암호를 생성하여 애플리케이션 등록:

    1. Microsoft Entra ID 개요 페이지로 돌아가기

    2. 앱 등록을 선택한 다음 모든 애플리케이션을 선택합니다.

      등록된 애플리케이션에 액세스하여 세부정보를 확인합니다.

    3. 2단계에서 생성한 응용 프로그램 이름을 검색하여 선택합니다.

    4. 이제 응용 프로그램에 세부 정보가 표시됩니다. 애플리케이션(클라이언트) ID 및 디렉토리(테넌트) ID를 기록해 둡니다.

      Application Details 섹션에 표시된 등록된 응용 프로그램의 세부 정보를 기록합니다.

      클라이언트 ID, 테넌트 ID 및 클라이언트 암호 값을 기록해 둡니다. 해당 값은 Oracle GoldenGate에서 권한 부여 프로파일을 구성하는 동안 사용됩니다.

      테넌트 ID는 다음 예와 같이 테넌트 검색 URI를 구성하는 데 사용됩니다.

      https://login.microsoftonline.com/{tenantID}/v2.0/.well-known/openid-configuration

    5. 관리에서 인증서 및 암호를 선택합니다.

    6. 클라이언트 암호를 선택한 다음 새 클라이언트 암호를 선택합니다.

      클라이언트 암호를 추가합니다.

    7. 설명을 추가하고 만료 기간을 선택합니다.

    8. 추가를 선택합니다. 클라이언트 암호 값을 메모합니다.

    클라이언트 암호를 추가한 후 표시되는 클라이언트 암호 값을 기록해 둡니다.

  12. Oracle GoldenGate 애플리케이션에 대한 토큰 구성을 생성합니다.

    1. 탐색 창의 관리에서 토큰 구성을 선택합니다.

    2. 그룹 클레임 추가를 선택하고 애플리케이션에 지정된 그룹(...)을 선택한 다음 추가를 선택합니다.

      토큰 구성 생성

  13. GoldenGate 서비스 앱 롤 생성:

    Oracle GoldenGate 서비스에 대한 앱 롤 생성

    1. 탐색 창의 관리에서 앱 롤을 선택합니다.

    2. 앱 롤 생성을 선택하고 표시 이름을 지정합니다.

    3. 허용된 멤버 유형에서 애플리케이션을 선택합니다.

    4. 값을 urn:ogg:serviceToService로 설정하고 설명을 입력합니다.

    5. 이 앱 롤을 사용으로 설정하겠습니까?를 선택하고 적용을 선택합니다.

  14. GoldenGate 서비스 앱 롤에 API 권한을 추가하고 관리자 동의를 부여합니다.

    애플리케이션에 대한 API 권한 요청

    1. 관리에서 API 권한을 선택합니다.

    2. 권한 추가를 선택합니다.

    3. 내 조직에서 사용하는 API를 선택합니다.

    4. 2단계에서 생성한 응용 프로그램을 검색합니다.

    5. 애플리케이션 권한을 선택합니다.

    6. urn:ogg:serviceToService를 선택하고 권한 추가를 선택합니다.

      애플리케이션에 대한 API 권한을 추가합니다.

    7. 권한은 구성된 권한 아래에 나타나야 합니다.

      API 권한이 [구성된 권한] 아래에 쇼가 추가되었습니다.

    8. urn:ogg:serviceToService에서 선택합니다.

    9. 팝업에서 관리자 동의가 예로 설정되었음을 알 수 있습니다.

      urg:ogg:serviceToService에서 관리자 동의가 Yes로 설정되어 있습니다.

  15. 애플리케이션에 Microsoft Graph Application.ReadWrite.All API 권한을 추가하고 관리자 동의를 부여합니다.

    1. 권한 추가를 선택한 다음 팝업 창에서 Microsoft Graph를 선택합니다.

      응용 프로그램 사용 권한 추가를 시작하려면 사용 권한을 추가하고 Microsoft Graph에 대해 선택 옵션을 선택합니다.

    2. 애플리케이션 권한을 선택합니다.

      Application.ReadWrite.All 권한을 추가합니다.

    3. Application.ReadWrite.All을 검색하고 선택합니다.

    4. 권한 추가을 선택합니다.

    5. urn:ogg:serviceToService에 대해 동의하지만 Application.ReadWrite.All에 대해 동의를 부여하려면 동일한 단계를 수행합니다.

  16. 매니페스트에서 토큰 요청 등록 정보를 수동으로 업데이트합니다.

    다음 옵션은 다른 메뉴에서는 사용할 수 없으므로 다음 그림과 같이 수동으로 설정해야 합니다.

    매니페스트에서 토큰 요청을 수동으로 업데이트합니다.

    매니페스트에서 토큰 요청을 수동으로 업데이트합니다.

    관리에서 매니페스트를 선택합니다.

    1. JSON /optionalClaims/accessToken/additionalProperties에서 cloud_displayname 값을 추가합니다.

    2. JSON /optionalClaims/idToken/additionalProperties에서 cloud_displayname 값을 추가합니다.

    3. JSON /optionalClaims/saml2Token/additionalProperties에서 cloud_displayname 값을 추가합니다.

    4. JSON /api/requestedAccessTokenVersion에서 값을 2로 설정합니다.

      토큰 요청 버전 값을 2로 설정합니다.

    5. 매니페스트를 저장합니다.

      JSON 속성을 수동으로 업데이트한 후 매니페스트를 저장합니다.

  17. (선택 사항) 응용 프로그램 인증에 대한 재지정 URL을 만듭니다.

    1. Microsoft Entra ID의 엔터프라이즈 애플리케이션에서 2단계에서 생성한 애플리케이션을 선택합니다.

    2. 관리에서 속성을 선택한 다음 애플리케이션 등록 링크를 선택합니다.

      다음은 entraID 재지정 URL 속성에 대한 이미지입니다.

    3. 관리에서 인증을 선택한 다음 플랫폼 추가를 선택합니다.

    4. 웹을 선택합니다.

      재지정 URI를 구성합니다.

  18. Configure Web 대화 상자에서 Redirect URIs를 입력합니다.

    Service Manager 배치의 경우 Service Manager에 대한 경로 /services/v2/authorization를 추가해야 합니다.

    각 마이크로서비스 배포에 대해 관리 서비스에 대한 경로 /services/v2/authorization를 추가해야 합니다.

    서비스 관리자 및 마이크로서비스에 대한 재지정 URI를 입력합니다.

  19. Configure를 선택합니다.

다음 단계는 Microsoft Azure EntraID용 RootCA 인증서를 다운로드하여 서비스 관리자 공유 RootCA 인증서 아래에 추가하는 것입니다.

루트 인증 기관을 설정한 후에는 이 항목에서 생성된 값을 사용하여 Oracle GoldenGate 권한 부여 프로파일을 구성할 수 있습니다. Create an Authorization Profile를 참조하십시오.

Microsoft EntraID Azure용 루트 CA 인증서 추가

Oracle GoldenGate에서 권한 부여 프로파일 생성을 시작하기 전에 Azure용 루트 인증 기관을 추가해야 합니다. 루트 CA 인증서를 신뢰할 수 있는 인증서로 Oracle GoldenGate 배치에 추가합니다.

  1. 다음 위치에서 Azure 루트 CA 인증서를 다운로드합니다.

    https://learn.microsoft.com/en-us/azure/security/fundamentals/azure-ca-details?tabs=root-and-subordinate-cas-list#root-certificate-authorities

    루트 인증 기관만 필요합니다.

  2. Linux 운영 체제 또는 Mac OS에서 openssl 명령을 사용하여 crt에서 다운로드한 인증서를 pem 형식으로 변환합니다.

    openssl x509 -in <crt_file> -out <pem_file_name> -outform pem

    예:

    openssl x509 -in DigicertRootGlobalCA.crt -out DigicertRootGlobalCA.pem -outform pem

    Oracle GoldenGate 온프레미스 또는 OCI Marketplace GoldenGate 이미지를 사용 중인 경우 Service Manager 웹 인터페이스를 통해 해당 루트 CA 인증서를 신뢰할 수 있는 인증서로 업로드해야 합니다.

  3. Certificate Management(인증서 관리) 메뉴에서 서비스 관리자를 찾고 CA Certificates(CA 인증서) +를 선택합니다.

  4. 변환된 .pem 파일을 업로드하려면 파일 업로드 단추를 선택합니다.

    Microsoft Azure Root CA 인증서 .pem 파일 업로드 중

  5. 고유한 이름을 지정하고 인증서가 공유인지 확인하고 제출을 선택합니다.