Oracle GoldenGate에서 OCI KMS 트레일 파일 암호화 사용

추출, 복제 또는 배포 경로 프로세스와 함께 OCI KMS를 사용하여 트레일 파일 암호화를 허용하도록 Oracle GoldenGate에서 OCI KMS 암호화 프로파일을 구성하는 필요 조건, 요구 사항 및 단계에 대해 알아봅니다.

OCI KMS 워크플로우를 사용한 Oracle GoldenGate

다음 다이어그램에서는 Oracle GoldenGate가 추적 파일 암호화를 위해 OCI KMS와 함께 작동하는 방법에 대해 설명합니다.

Oracle GoldenGate에서 OCI KMS 암호화 프로파일을 설정하고 Extract에 암호화 프로파일을 연결합니다. Extract 매개변수 파일에 암호화 알고리즘을 지정하는 ENCRYPTTRAIL 매개변수를 포함합니다.

이 다이어그램은 OCI KMS 암호화 프로파일과 연관된 Extract가 포함된 소스 배치 EAST를 보여줍니다. Oracle GoldenGate에서 암호화 프로파일을 생성하려면 OCI 사용자가 OCI 테넌시에 액세스하고 OCI 저장소에서 일부 값을 가져와서 OCI 사용자에 대한 마스터 키 및 API 키를 생성해야 합니다.

OCI 저장소에는 디지털 CA 인증서 다운로드에 사용되는 테넌시 OCID, 사용자 OCID 및 암호화 끝점 URL에 대한 정보가 포함되어 있습니다. 저장소와 연관된 마스터 키도 OCI 저장소에서 생성됩니다. 또한 OCI 테넌시에서 생성하거나 기존 키 쌍을 업로드할 수 있는 API 키 쌍도 필요합니다. 자세한 내용은 Oracle GoldenGate와 연결되도록 OCI KMS 구성을 참조하십시오.

OCI 테넌시에서 모든 값을 저장한 후 Oracle GoldenGate Administration Service에서 암호화 프로파일을 생성할 수 있습니다. 그런 다음 이 암호화 프로파일은 Extract와 연관되고 Extract 매개변수 파일은 ENCRYPTTRAIL 매개변수를 사용하여 적용하기로 결정한 암호화 알고리즘(AES 128, AES 192, AES 256)을 적용합니다. 암호화된 트레일 파일은 DISTPATH에 의해 대상 배치(WEST)로 전송됩니다. WEST(대상 배포)의 Replicat 매개변수 파일에는 추적 파일을 해독할 수 있는 DECRYPTTRAIL 매개변수가 포함됩니다. OCI KMS 추적 파일 암호화를 사용으로 설정하도록 Oracle GoldenGate 프로세스 구성을 참조하십시오.

Oracle GoldenGate와 OCI KMS를 연결하기 위한 필수 조건

Oracle GoldenGate에서 OCI KMS 암호화 프로파일 구성을 시작하기 전에 이 섹션의 작업을 수행하십시오.

OCI KMS는 Oracle GoldenGate가 배치된 서버의 REST API에 액세스하기 위해 프라이빗/퍼블릭 키(API 서명 키)를 등록해야 합니다. OCI KMS에 대한 키 등록 및 관리를 참조하십시오.

다음 표에서는 Oracle GoldenGate 관리 서비스에서 OCI KMS 암호화 프로파일을 구성하는 데 필요한 값 목록을 제공합니다. OCI KMS로 암호화 프로파일을 생성하기 전에 이러한 값을 사용할 수 있는지 확인하십시오.

OCI KMS 구성 옵션	옵션 - OCI KMS를 설정합니다.
암호화 끝점 URL	OCI KMS Vault 마법사에서 액세스할 수 있습니다. [OCI 명령행 참조](https://docs.oracle.com/en-us/iaas/tools/oci-cli/ 참조)
2.21.4/oci_cli_docs/cmdref/kms/crypto.html) 및 OCI Documentation의 Managing Keys에서 자세히 알아보십시오.
테넌시 OCID	Oracle Cloud Infrastructure에 등록하면 Oracle은 귀사에 사용되는 테넌시를 생성합니다. 이 테넌시는 Oracle Cloud Infrastructure 내에서 보안되고 격리된 파티션으로, 여기에서 사용자가 클라우드 리소스를 생성, 구성, 관리할 수 있습니다. 자세한 내용은 OCI 설명서의 주요 개념을 참고하세요.
키 OCID	자세한 내용은 OCI 설명서를 참조하십시오.
사용자 OCID	자세한 내용은 OCI 설명서를 참조하십시오.
API 키	Oracle Cloud Infrastructure REST API에 대한 요청을 보안하기 위한 인증서입니다.
API 키 지문	자세한 내용은 OCI 설명서의 필수 키 및 OCID를 참고하세요.

암호화 끝점을 사용하여 CA 인증서 다운로드

이 항목의 단계를 수행하려면 암호화 끝점 URL이 언급된 OCI 테넌시에 저장소가 있어야 합니다. 이 URL은 Oracle GoldenGate에서 OCI 테넌시로의 신뢰할 수 있는 연결을 설정하기 위해 디지털 CA 인증서를 다운로드하는 데 필요합니다. 기존 저장소가 없는 경우 OCI 저장소 생성 또는 액세스를 참조하고 이 항목으로 돌아가서 암호화 끝점을 사용하여 CA 인증서를 다운로드하는 단계를 수행합니다.

OCI 테넌시에 기존 저장소가 있는 경우 이 항목에 제공된 단계에 따라 암호화 끝점을 사용하여 CA 인증서를 다운로드합니다.

1. 왼쪽 탐색 창에서 ID 및 보안 페이지로 이동하고 저장소를 선택하여 [저장소 정보] 페이지를 엽니다.

2. Vault Information 페이지에서 암호화 끝점 값 및 OCID를 복사합니다.

3. 웹 브라우저를 열고 브라우저 URL 표시줄에 암호화 끝점 값을 붙여 넣습니다. 브라우저에 페이지가 표시되지 않습니다. 그러나 Connection is secure를 눌러 CA 인증서를 볼 수 있습니다.

   

   이 CA 인증서는 Oracle GoldenGate에 접속할 때 이 OCI 테넌시를 신뢰하는 데 필요합니다.

4. 웹 브라우저의 다운로드 섹션으로 이동합니다. CA 인증서가 여기에 나열됩니다.

   

5. 루트 인증서를 다운로드하려면 익스포트를 누릅니다.

   참고: API 키 및 루트 인증서를 다운로드하기 위해 동일한 디렉토리를 유지하십시오. {. :infoboxtip}

Oracle GoldenGate에서 디지털 CA 인증서를 신뢰할 수 있는 CA 인증서로 추가

이전에 암호화 끝점 URL을 사용하여 다운로드한 디지털 CA 인증서를 Oracle GoldenGate 소스 배치에 신뢰할 수 있는 CA 인증서로 추가해야 합니다. Create Certificates for Secure Deployments를 참조하십시오.

주: OCI GoldenGate 서비스에서 CA 인증서가 이미 서비스의 일부로 추가되었으므로 이 단계를 건너뛸 수 있습니다.

Oracle GoldenGate Service Manager에서 다음 단계를 수행하여 디지털 CA 인증서를 소스 배치에 대한 신뢰할 수 있는 CA 인증서로 추가합니다.

1. Oracle GoldenGate Service Manager에 로그인합니다.

2. 왼쪽 탐색 창에서 Certificate Management 옵션을 선택합니다.

   

   Oracle GoldenGate Service Manager의 인증서 관리 페이지

   현재로서는 특정 OCI 테넌시에 접속하기 위해 신뢰할 수 있는 인증서로 추가된 인증서가 없습니다. 다음 단계에서 다운로드한 루트 인증서를 추가해야 합니다.

3. Oracle GoldenGate 배치에서 루트 인증서를 신뢰할 수 있는 인증서로 CA 인증서에 추가합니다. 이를 통해 Oracle GoldenGate는 특정 OCI 테넌시와의 연결을 신뢰할 수 있습니다. 또한 Add a CA Certificate를 참조하십시오.

   

Oracle GoldenGate와 접속하도록 OCI KMS 구성

OCI KMS 테넌시에서 Oracle GoldenGate와 OCI KMS 간의 접속을 설정하려면 특정 값이 필요합니다. 이 값은 다음과 같습니다.

• 테넌시 ID

• 암호화 엔드포인트

• 사용자 OCID

• API 키

OCI KMS에 접속하도록 Oracle GoldenGate를 구성하기 전에 OCI 테넌시에 로그인하여 다음 작업을 수행해야 합니다.

• 저장소를 생성합니다(아직 생성되지 않은 경우). 암호화 끝점 및 사용자 OCID 값을 가져옵니다. 참조

• API 개인 키 쌍 및 API 키와 연계된 정보(예: 지문 및 API 키 값)를 생성하고 다운로드합니다.

• 암호화 끝점을 사용하여 CA 인증서를 다운로드합니다. 또한 이 단계는 Oracle GoldenGate 암호화 프로파일을 구성하기 위한 전제 조건입니다. 자세한 내용은 Download the CA Certificate using the Cryptographic Endpoint를 참조하십시오.

다음 단계를 사용하여 OCI KMS에 접속하기 위해 Oracle GoldenGate 프로세스를 설정하는 동안 필요한 OCI KMS 값을 보고 저장합니다.

1. 저장소 생성.

2. 마스터 키를 생성하고 API 개인 키를 다운로드합니다.

OCI 저장소 생성 또는 액세스

OCI 테넌시에 저장소가 이미 있는 경우 저장소에 액세스하여 다음에 대한 값을 확인합니다.

• 암호화 끝점: 신뢰할 수 있는 인증서를 가져와야 하는 링크입니다. 이 링크를 복사하여 이후 단계에서 사용합니다.

• OCID: OCI 환경의 고유 ID입니다. Oracle GoldenGate에서 암호화 프로파일을 설정하는 동안 필요합니다.

다음 단계에 따라 Vault를 작성하고 액세스합니다.

1. Oracle Cloud 계정으로 로그인합니다.

2. Oracle Cloud 홈 페이지의 왼쪽 탐색 창에서 ID 및 보안 옵션을 누른 다음 저장소를 선택합니다.

3. 저장소를 아직 생성하지 않은 경우 저장소 생성을 눌러 저장소를 생성합니다. 이 경우 저장소(WSJCVAULT)가 이미 생성되었습니다.

   

4. 저장소 OCID, 암호화 끝점 및 마스터 키 세부정보와 관련된 정보에 액세스하려면 다음 이미지에 표시된 저장소 이름(예: WSJCVAULT)을 누릅니다. 다음 이미지에서 **일반 정보** 섹션에는 **ocid** 및 **암호화 끝점** 세부정보가 포함되어 있으며, **Compartment_WH의 마스터 암호화 키** 섹션에는 마스터 키 세부정보가 표시됩니다. ![얻기 OCI 저장소의 일반 정보 섹션에서 암호화 끝점.](images/ocikms_create_master_key.png " " ") 이 페이지에서는 Oracle GoldenGate와 OCI KMS 간에 신뢰할 수 있는 접속을 설정하는 데 필요한 값을 얻을 수 있습니다.
5. 참조를 위해 이 정보를 메모장 파일에 복사합니다. 이후 단계에서는 이 메모장 파일을 사용하여 마스터 키 및 API 키에 대한 세부정보를 추가합니다. 이러한 값은 Oracle GoldenGate 배치에서 암호화 프로파일을 추가하는 데 사용됩니다.

마스터 키 생성 및 API 프라이빗 키 다운로드

다음 단계에서는 OCI 테넌시에 이미 로그인되어 있다고 가정합니다.

마스터 키 생성

마스터 키를 생성하려면 다음과 같이 하십시오.

1. 저장소 정보 페이지로 이동합니다.

2. 마스터 암호화 키 탭으로 이동하고 키 생성을 누릅니다.

   

3. 마스터 키를 생성하려면 다음 이미지와 같이 마스터 키 및 암호화 알고리즘의 이름을 지정합니다.

   

4. 키 생성을 누릅니다. 그러면 Oracle GoldenGate에서 사용할 마스터 키가 생성됩니다. 새 마스터 키는 마스터 암호화 키 페이지에 나열됩니다.

   

API 키 생성

OCI KMS로 사용자를 연결하려면 다음 단계를 사용하여 API 키를 생성합니다.

1. Vault 정보 페이지에서 오른쪽 상단 모서리에 있는 사용자 설정 아이콘을 클릭합니다.

   탭이 여러 개인 [사용자 프로파일] 페이지가 표시됩니다.

2. Details(세부정보) 탭의 User Information(사용자 정보) 섹션에서 User OCID를 복사합니다. 이 값을 이전에 만든 메모장 파일에 붙여 넣습니다.\

   

3. 토큰 및 키 탭을 눌러 API 키 섹션을 엽니다.

4. API 키 추가를 눌러 [API 키 추가] 대화상자를 엽니다.

5. OCI 사용자가 OCI KMS에 접속할 수 있도록 키 쌍을 생성하려면 API 키 쌍 생성 옵션을 선택합니다. 또한 공개 키 파일 선택 옵션을 사용하여 기존 공개 키 파일을 업로드하거나 공개 키 붙여넣기 옵션을 사용하여 텍스트 상자에 공개 키 값을 붙여넣을 수 있습니다.

6. Download Private Key(개인 키 다운로드)를 누르고 알려진 위치에 유지합니다. 파일 이름을 사용자에게 친숙한 이름(예: API_private_key.pem)으로 바꿀 수 있습니다.

7. 추가를 누릅니다. 그러면 지문, 테넌시, 영역 및 기타 세부정보와 같은 API 키와 연관된 모든 정보가 포함된 구성 파일 미리보기 대화상자가 표시됩니다.

   

8. 이 값을 복사하여 이전에 만든 메모장 파일에 저장합니다. 팁: API 키의 지문, 테넌시 값 및 OCI 저장소의 암호화 끝점 및 OCID 값에 대한 정보를 저장하기 위해 동일한 메모장 파일을 유지 관리합니다. 다음 이미지는 Oracle GoldenGate에서 암호화 프로파일을 구성하는 동안 필요한 저장소, 마스터 키 및 API 키에 대한 구성 세부정보가 포함된 샘플 메모장 파일을 보여줍니다. 

9. 새 API 키가 나열된 API 키 섹션으로 돌아가려면 닫기를 누릅니다.

   

다음 단계는 이러한 모든 세부 정보를 사용하여 Oracle GoldenGate 암호화 프로파일을 설정한 다음 필요에 따라 Extract, Replicat 프로세스에 암호화 프로파일을 적용하는 것입니다. 다음 단계는 OCI KMS 추적 파일 암호화를 사용하도록 Oracle GoldenGate 프로세스 구성을 참조하십시오.

OCI KMS 암호화 및 해독 끝점에 대해 알아보려면 Oracle Cloud Infrastructure 설명서의 암호화 및 해독 끝점 설명서를 참조하십시오.

OCI KMS 추적 파일 암호화를 사용으로 설정하도록 Oracle GoldenGate 프로세스 구성

이 섹션의 단계를 시작하기 전에 OCI KMS로 Oracle GoldenGate를 연결하기 위한 필수 조건을 완료했는지 확인하십시오.

Oracle GoldenGate 인터페이스에서 OCI KMS와의 신뢰할 수 있는 연결을 설정하도록 Oracle GoldenGate를 구성할 때 다음 작업을 수행합니다.

• OCID, 암호화 끝점, API 키, 테넌시 및 지문 값을 사용하여 암호화 프로파일을 생성합니다.

• 암호화 프로파일을 추출, 배포 경로 또는 Replicat 프로세스에 적용합니다.

다음 섹션에 제공된 단계를 사용하여 Oracle GoldenGate Microservices Architecture에서 OCI KMS 기반 추적 암호화를 적용합니다.

Oracle GoldenGate 프로세스에서 암호화 프로파일 생성

다음 단계에 따라 Oracle GoldenGate Microservices Architecture 웹 인터페이스에서 OCI KMS 기반 추적 파일 암호화를 적용할 수 있습니다.

1. OCI KMS API 키 및 암호화 끝점 세부정보에 대한 세부정보를 저장한 메모장 파일을 엽니다. Oracle GoldenGate와 연결되도록 OCI KMS 구성에서 참조하려면 8단계를 참조하십시오.

   이 정보에는 다음 값이 포함됩니다.

   • 암호화 끝점 URL: 이 값은 OCI KMS의 저장소 페이지에 표시됩니다.

   • 테넌시 OCID: 이 값은 메모장 파일에 복사된 API 값에서 가져올 수 있습니다.

   • 키 OCID: 이 값을 얻으려면 다음을 수행합니다.

     1. OCI 저장소 페이지로 이동하고 마스터 키를 눌러 마스터 키에 대한 OCID가 제공된 키 세부정보 페이지를 엽니다.

        

     2. Key Details 페이지에서 마스터 키 OCID를 복사합니다.

        

   • 사용자 OCID: API 구성 세부정보에서 이 값을 가져옵니다.

   • API 프라이빗 키: OCI KMS를 Oracle GoldenGate와 접속하도록 구성에서 태스크를 수행하는 동안 API 프라이빗 키를 저장한 위치에서 업로드합니다.

   • API 키 지문: API 구성 세부정보에서 이 값을 가져옵니다.

2. 관리 서비스에 로그인하고 암호화를 선택한 다음 왼쪽 탐색 창에서 프로파일을 선택합니다.

3. Oracle Cloud Infrastructure 옆에 있는 더하기 기호를 눌러 [암호화 프로파일 생성] 대화상자를 엽니다.

   

   암호화 프로파일에 값을 추가하고 제출합니다. Submit(제출)을 누르면 암호화 프로파일이 검증되고 검증이 성공하면 OCI KMS 암호화 프로파일이 다음 이미지에 표시된 대로 Encryption Profiles 페이지에 표시됩니다.

   

4. Edit Encryption Profile(암호화 프로파일 편집) 대화 상자를 여는 연필 아이콘을 눌러 암호화 프로파일의 값을 변경할 수 있습니다.

추출할 OCI KMS 암호화 프로파일 적용

다음 단계에 따라 Extract에 대한 OCI KMS 암호화 프로파일을 구현합니다.

1. 관리 서비스 홈 페이지에서 추출 옆에 있는 더하기 기호를 눌러 추출 추가 대화상자를 엽니다.

2. 추출에 대한 다른 세부정보를 제공한 후 아래로 스크롤하여 암호화 프로파일 섹션을 확장하고 OCIKMS 프로파일 이름을 선택합니다.

   

3. Extract 매개변수 파일에 ENCRYPTTRAIL AES256 옵션을 포함합니다. Extract 매개변수 파일은 다음과 유사합니다.

   EXTRACT exte
   USERIDALIAS ggwest DOMAIN OracleGoldenGate
   
   ENCRYPTTRAIL AES256
   EXTTRAIL ea
   TABLE WPDB.U1.*;

4. 생성을 눌러 추출을 추가한 다음 추출을 시작합니다.

5. 대상 호스트의 [관리 서비스 개요] 페이지에서 복제 추가를 선택하여 Replicat를 추가합니다.

6. Replicat 유형을 선택하고 Replicat 세부정보를 채웁니다.

7. 암호화 프로파일 섹션으로 스크롤하고 동일한 OCIKMS 암호화 프로파일(이 경우 OCIKMS)을 선택합니다. 다음을 누릅니다.

8. Replicat 매개변수 파일에 DECRYPTTRAIL 옵션을 포함합니다. Replicat 매개변수 파일은 다음과 유사합니다.

   REPLICAT renct
   USERIDALIAS ggeast DOMAIN OracleGoldenGate
   
   DECRYPTTRAIL
   MAP WPDB.U1.*, TARGET U2.*;

9. Replicat 프로세스를 생성한 다음 시작합니다.

10. 분배 경로(DISTPATH)에 암호화 프로파일을 적용하려면 다음 단계를 수행해야 합니다.

    1. 대상 호스트에서 OCI KMS 암호화 프로파일을 생성합니다.

    2. DISTPATH를 생성하고 OCI KMS 암호화 프로파일을 적용합니다. 배포 경로 추가를 참조하십시오.

    3. 동일한 암호화 프로파일을 사용하여 대상의 추적을 해독합니다. 즉, Replicat를 추가하는 동안 대상 호스트에서 만든 암호화 프로파일을 사용합니다.

다음 섹션에서는 암호화 프로파일을 사용할 때 커밋된 트랜잭션이 캡처 및 적용되는지 테스트하는 단계에 대해 설명합니다.

관리 클라이언트를 사용하여 암호화 프로파일을 설정하려면 ADD ENCRYPTIONPROFILE, ALTER ENCRYPTIONPROFILE를 참조하십시오.

OCI KMS를 사용하여 추적 파일 암호화로 데이터 복제 테스트

이 항목에 제공된 단계를 사용하여 소스측의 추적 파일 암호화 및 대상측의 추적 파일 암호 해독을 테스트합니다.

소스 배치에서 테스트 추적 파일 암호화

OCI KMS 추적 파일 암호화를 사용하도록 Oracle GoldenGate 프로세스 구성에서 Extract는 OCI KMS 암호화 프로파일을 사용하여 설정됩니다.

이 예에서는 추출 보고서 파일을 보고 추출에서 암호화 프로파일이 사용되고 있는지 확인할 수 있습니다.

Extract가 OCI KMS 암호화 프로파일을 사용하고 있는지 확인하려면 다음을 수행합니다.

1. 관리 서비스에서 추출을 누른 다음 암호화 프로파일이 적용되는 추출을 선택합니다. [추출] 페이지의 [암호화] 섹션 아래에 나열된 OCI KMS 암호화 프로파일이 표시됩니다.

2. 문제 해결을 위해 Logdump 명령을 사용하여 소스에서 추적 파일이 암호화되었는지 확인할 수 있습니다. Oracle GoldenGate에 대한 로그 덤프 참조에서 추적 파일을 스캔하여 추적 파일 암호화 확인을 참조하십시오.

대상 배치에서 트레일 파일 암호 해독 테스트

대상 측면에서 다음 예제에서는 Replicat가 소스에서 캡처된 3000개의 트랜잭션을 적용하는지 테스트합니다. Replicat가 OCI KMS 암호화 프로파일을 사용하여 추적 파일을 해독하고 있는지 확인하려면 Replicat 보고서 파일을 확인하십시오.

1. 관리 서비스 홈 페이지에서 복제를 누르고 Replicat 이름을 선택합니다.

2. 통계를 누릅니다. Statistics 페이지에 적용된 트랜잭션이 표시됩니다.

3. Replicat 기본 페이지에서 Replicat에서 암호화 프로파일이 구현되고 사용되는지 확인합니다.

   참고:

   추적 데이터가 대상에서 암호화된 형식으로 수신되는지 확인하려면 DECRYPTTRAIL 매개변수 없이 Replicat를 실행할 수 있습니다. 이 경우 Replicat 보고서 파일에 추적 데이터가 암호화되어 적절한 키 설정 없이는 해독할 수 없음을 표시합니다.

이러한 사용 사례를 통해 Extract 측의 추적 파일이 OCI KMS 암호화 프로파일을 사용하여 추적 데이터를 암호화하는지 테스트할 수 있습니다. Replicat측에서 OCI KMS 암호화 프로파일은 추적 데이터를 해독하고 대상에서 트랜잭션을 적용하는 데 사용됩니다.