Criar RootCA e Certificados do Servidor

Vários certificados de cliente e servidor podem ser necessários para uma implantação. Para criar uma CA raiz confiável e um certificado de Servidor para uma implantação de host, use os comandos descritos nas seções a seguir.

Os comandos usados para gerar esses certificados são comandos OpenSSL.

No exemplo a seguir, a implantação é feita no host west01.dc1.example.com dentro do nome de domínio totalmente qualificado dc1.example.com. Se você criar várias instâncias do Oracle GoldenGate em diferentes servidores, poderá substituir o server01 pelo seu nome de host e substituir o nome de domínio qualificado adequadamente.

Criar Certificados RootCA Confiáveis

Gere um Certificado RootCA Confiável usando os seguintes comandos:

openssl req -subj "/CN=RootCA"
            -newkey rsa:2048
            -nodes
            -keyout rootCA_key.pem
            -new -x509 -days 365
            -out rootCA_cert.pem

Esse comando cria dois arquivos com o certificado raiz rootCA_cert.pem e a chave privada rootCA_key.pem. Ambos os arquivos são armazenados no formato Privacy Exhanced Mail (PEM). A chave privada é criada em um formato PKCS (Public-Key Cryptography Standards) #8. O certificado raiz rootCA_cert.pem é usado em uma implantação segura do Oracle GoldenGate para o certificado do servidor. Você também pode adicionar o certificado do cliente de distribuição (distclient) dentro da implantação. Aqui, o certificado raiz é usado novamente.

Criar Certificados do Servidor

Com o certificado rootCA e a chave privada, você pode criar o certificado do servidor. Utilize um arquivo de configuração semelhante ao seguinte para west01_cert.cnf:

extendedKeyUsage = serverAuth
subjectAltName = DNS:west01,DNS:west01.dc1.example.com,DNS:localhost,IP:127.0.0.1

Depois de criar o arquivo de configuração para o certificado do Servidor, os seguintes comandos são usados para criar o certificado do servidor e os arquivos de chave privada:

subject="/C=US/O=OGG example/CN=west01"

openssl req -subj "${subject}"
        -newkey rsa:2048 -nodes
        -keyout west01_key.pem
        -new
        -out west01.csr

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in west01.csr
        -extfile west01_cert.cnf
        -days 365
        -out west01_cert.pem

Ambos os arquivos são armazenados no PEM (Privacy Enhanced Mail) e a chave privada é criada em um formato PKCS (Public-Key Cryptography Standards) #12. O certificado do servidor e a chave privada do servidor são usados na implantação do Oracle GoldenGate. O Nome Comum (CN) dentro do assunto está usando o nome do host west01 para identificar exclusivamente o servidor.