Usando a Criptografia de Arquivo de Trilha do OCI KMS no Oracle GoldenGate

Saiba mais sobre os pré-requisitos, os requisitos e as etapas para configurar um perfil de criptografia do OCI KMS no Oracle GoldenGate para permitir a criptografia de arquivos de trilha usando o OCI KMS com processos de Extract, Replicat ou Caminho de Distribuição.

Workflow do Oracle GoldenGate com OCI KMS

Os diagramas a seguir explicam como o Oracle GoldenGate funciona com o OCI KMS para criptografia de arquivos de trilha.

Configurando o perfil de criptografia do OCI KMS no Oracle GoldenGate e anexando o perfil de criptografia ao Extract. Incluindo o parâmetro ENCRYPTTRAIL para especificar o algoritmo de criptografia no arquivo de parâmetros Extract.

Este diagrama mostra a implantação de origem EAST que contém um Extract associado ao perfil de criptografia do OCI KMS. Para criar o perfil de criptografia no Oracle GoldenGate, o usuário do OCI precisa acessar a tenancy do OCI e obter alguns valores do OCI Vault e gerar a chave mestra e a chave de API para o usuário do OCI.

O vault do OCI contém informações sobre o OCID da tenancy, o OCID do usuário e o URL de ponto final criptográfico usados para fazer download do certificado de CA digital. Achave mestra associada ao vault também é gerada pelo vault do OCI. O par de chaves de API também é necessário, que você pode gerar com base na tenancy do OCI ou fazer upload de um par de chaves existente. Consulte Configurar o OCI KMS para Estabelecer Conexão com o Oracle GoldenGate para obter detalhes.

Depois de salvar todos os valores da tenancy do OCI, você poderá criar um perfil de criptografia no Oracle GoldenGate Administration Service. Esse perfil de criptografia é associado ao Extract e o arquivo de parâmetros Extract aplica o algoritmo de criptografia (AES 128, AES 192, AES 256) que você decidiu aplicar usando o parâmetro ENCRYPTTRAIL. O arquivo de trilha criptografado é transportado pelo DISTPATH para a implantação de destino (WEST). O arquivo de parâmetros Replicat na implantação de destino (WEST) inclui o parâmetro DECRYPTTRAIL, que permite decriptografar o arquivo de trilha. Consulte Configurar Processos do Oracle GoldenGate para Ativar a Criptografia de Arquivo de Trilha do OCI KMS.

Pré-requisitos para Conectar o Oracle GoldenGate ao OCI KMS

Execute as tarefas nesta seção antes de começar a configurar um perfil de criptografia do OCI KMS no Oracle GoldenGate.

O OCI KMS requer o registro da chave privada/pública (Chave de Assinatura de API) para acessar a API REST no Servidor no qual o Oracle GoldenGate está implantado. Consulte Registrando e Gerenciando Chaves para o OCI KMS.

A tabela a seguir fornece a lista de valores necessários para configurar o perfil de criptografia do OCI KMS no Oracle GoldenGate Administration Service. Certifique-se de ter esses valores disponíveis antes de começar a criar um perfil de criptografia com o OCI KMS.


Opções de Configuração do OCI KMS	Opções para configurar um OCI KMS.
URL de Ponto Final de Criptografia	Você pode acessá-lo no assistente do OCI KMS Vault. Consulte [OCI Command Line Reference](https://docs.oracle.com/en-us/iaas/tools/oci-cli/
2.21.4/oci_cli_docs/cmdref/kms/crypto.html) e Gerenciando Chaves na Documentação do OCI para saber mais.
OCID da Tenancy	Quando você se cadastra no Oracle Cloud Infrastructure, o Oracle cria uma tenancy para sua empresa, que é uma partição segura e isolada no Oracle Cloud Infrastructure na qual você pode criar, organizar e administrar seus recursos na nuvem. Consulte Principais Conceitos na Documentação do OCI para saber mais.
OCID da Chave	Consulte a Documentação do OCI para ver detalhes.
OCID do Usuário	Consulte a Documentação do OCI para ver detalhes.
Chave da API	Uma credencial para proteger solicitações para a API REST do Oracle Cloud Infrastructure.
Impressão Digital da Chave de API	Consulte Chaves e OCIDs Necessários na documentação do OCI para obter detalhes.

Fazer Download do Certificado da CA usando o Ponto Final Criptográfico

Para executar as etapas deste tópico, você precisa ter um Vault na sua tenancy do OCI em que o URL do ponto final criptográfico seja mencionado. Esse URL é necessário para fazer download do certificado de CA digital, para estabelecer uma conexão confiável do Oracle GoldenGate com a tenancy do OCI. Se você não tiver um vault existente, consulte Criar ou Acessar o Vault do OCI e retorne a este tópico para ver as etapas para fazer download do certificado da CA usando o ponto final criptográfico.

Se você tiver um Vault existente na sua tenancy do OCI, siga as etapas fornecidas neste tópico para fazer download do certificado da CA usando o ponto final criptográfico.

Navegue até a página Identidade e Segurança no painel de navegação esquerdo e selecione Vault para abrir a página Informações do Vault.
Na página Informações do Vault, copie o valor do ponto final criptográfico e o OCID.
Abra um Web browser e cole o valor do ponto final criptográfico na barra de URL do browser. O navegador não exibe nenhuma página. No entanto, você pode clicar em A conexão é segura para exibir o certificado da CA.

Este certificado de CA é exigido pelo Oracle GoldenGate para poder confiar nesta tenancy do OCI ao estabelecer conexão com ele.
Vá para a seção Downloads do Web browser. O certificado da CA está listado aqui.
Clique em Exportar para fazer download do certificado-raiz.

Dica: Mantenha o mesmo diretório para fazer download da chave de API e do certificado-raiz. {. :infoboxtip}

Adicionar o Certificado de CA Digital como um Certificado de CA Confiável no Oracle GoldenGate

O certificado de CA digital que você baixou anteriormente usando o URL do ponto final criptográfico precisa ser adicionado à implantação de origem do Oracle GoldenGate como um certificado de CA confiável. Consulte Criar Certificados para Implantações Seguras.

Observação: No Serviço GoldenGate do OCI, você pode ignorar esta etapa porque o certificado da CA já foi adicionado como parte do serviço.

No Oracle GoldenGate Service Manager, execute as seguintes etapas para adicionar o certificado de CA digital como um certificado de CA Confiável para a implantação de origem:

Efetue log-in no Oracle GoldenGate Service Manager.
No painel de navegação esquerdo, selecione a opção Gerenciamento de certificados.

Página Gerenciamento de Certificados no Oracle GoldenGate Service Manager

A partir de agora, não há certificado adicionado como certificado confiável para conexão com a tenancy específica do OCI. Será necessário adicionar o certificado raiz que você baixou na etapa de
Adicione o certificado raiz como um certificado confiável aos Certificados de CA na implantação do Oracle GoldenGate. Isso permite que o Oracle GoldenGate confie em uma conexão com a tenancy específica do OCI. Consulte também Adicionar um Certificado de CA.

Configurar o OCI KMS para Estabelecer Conexão com o Oracle GoldenGate

Na tenancy do OCI KMS, determinados valores são necessários para configurar uma conexão entre o Oracle GoldenGate e o OCI KMS. Esses valores são:

ID da Tenancy
Ponto Final Criptográfico
OCID do Usuário
Chave da API

Antes de configurar o Oracle GoldenGate para estabelecer conexão com o OCI KMS, você precisa fazer log-in na tenancy do OCI para executar as seguintes tarefas:

Crie um vault, caso ainda não tenha sido criado, e obtenha os valores de ponto final criptográfico e OCID do Usuário. Consulte
Crie e faça download de um par de chaves privadas de API e das informações associadas à chave de API, como o valor de impressão digital e chave de API.
Faça download do certificado da CA usando o ponto final criptográfico. Esta etapa também é um pré-requisito para configurar o perfil de criptografia do Oracle GoldenGate. Consulte Fazer Download do Certificado da CA usando o Ponto Final Criptográfico para obter detalhes.

Use as seguintes etapas para exibir e salvar os valores do OCI KMS, que seriam necessários ao configurar os processos do Oracle GoldenGate para estabelecer conexão com o OCI KMS:

Criar ou Acessar o OCI Vault

Acesse o vault se ele já existir na sua tenancy do OCI para determinar os valores para:

Ponto Final Criptográfico: Este é o link de onde você precisa obter o certificado confiável. Copie este link para uso nas etapas posteriores.
OCID: Este é o ID exclusivo do seu ambiente do OCI. Será necessário ao configurar o perfil de criptografia no Oracle GoldenGate.

Use as seguintes etapas para criar e acessar o vault:

Acesse sua conta no Oracle Cloud.
No painel de navegação esquerdo da home page do Oracle Cloud, clique na opção Identidade e Segurança e selecione Vault.
Clique em Criar Vault para criar um vault, se você ainda não tiver criado um vault. Nesse caso, o vault (WSJCVAULT) já foi criado.
Clique no nome do vault, por exemplo, **WSJCVAULT** mostrado na imagem a seguir, para acessar as informações sobre ocid do vault, ponto final criptográfico e detalhes da chave principal. Na imagem a seguir, a seção **Informações Gerais** contém os detalhes do **ocid** e do **ponto final criptográfico**, e a seção **Chaves de Criptografia Principais no Compartment_WH** exibe os detalhes da chave principal. ![Obter o ponto final criptográfico da seção Informações Gerais do vault do OCI.](images/ocikms_create_master_key.png " ") Nesta página, você obtém os valores necessários para configurar uma conexão confiável entre o Oracle GoldenGate e o OCI KMS.
Copie essas informações para um arquivo de bloco de notas para referência. Nas etapas posteriores, você usará esse arquivo de bloco de notas para adicionar mais detalhes sobre a Chave Mestra e a Chave de API. Esses valores seriam usados para adicionar o perfil de criptografia na implantação do Oracle GoldenGate.

Gerar a Chave Mestra e Fazer Download da Chave Privada da API

As etapas a seguir pressupõem que você já esteja conectado à sua tenancy do OCI.

Gerar Chave Principal

Para criar a chave mestra:

Navegue até a página Informações do Vault.
Vá para a guia Chaves de criptografia mestras e clique em Criar Chave.
Especifique o nome da Chave mestra e o algoritmo de criptografia entre outros detalhes para criar uma chave mestra, conforme mostrado na imagem a seguir.
Clique em Create Key. Isso gera a chave mestra que seria usada pelo Oracle GoldenGate. A nova Chave Mestra é listada na página Chaves de criptografia principais.

Gerar Chave da API

Para conectar o usuário ao OCI KMS, crie uma chave de API usando as seguintes etapas:

Na página de informações do vault, clique no ícone Configurações do Usuário no canto superior direito.

Isso exibe a página Perfil do Usuário com várias guias.
Copie o OCID do Usuário na seção Informações do Usuário da guia Detalhes. Cole esse valor no arquivo do bloco de notas criado anteriormente.\
Clique na guia Tokens e chaves para abrir a seção Chaves de API.
Clique em Adicionar Chave de API para abrir a caixa de diálogo Adicionar Chave de API.
Selecione a opção Gerar o Par de chaves de API para criar um par de chaves para que o usuário do OCI se conecte ao OCI KMS. Você também tem a opção de fazer upload de um arquivo de chave pública existente usando a opção Escolher Arquivo de Chave Pública ou colar o valor da chave pública na caixa de texto usando a opção Colar Chave Pública.
Clique em Fazer Download da Chave Privada e mantenha-a em um local conhecido. Você pode renomear o arquivo para um nome amigável, como API_private_key.pem.
Clique em Adicionar. Isso exibe a caixa de diálogo Visualização do Arquivo de Configuração, que contém todas as informações associadas à chave de API, como impressão digital, tenancy, região e outros detalhes.
Copie e salve esses valores no mesmo arquivo de bloco de notas criado anteriormente. Dica: Mantenha o mesmo arquivo de bloco de notas para armazenar informações sobre a impressão digital da chave de API, o valor da tenancy e as informações sobre o ponto final criptográfico e os valores de OCID do vault do OCI. A imagem a seguir mostra um arquivo de bloco de notas de amostra contendo os detalhes de configuração do vault, da chave mestra e da chave de API, que seriam necessários ao configurar o perfil de criptografia no Oracle GoldenGate. Arquivo ![Notepad contendo os valores necessários para criar o perfil de criptografia no Oracle GoldenGate](images/ocikms_configfilemasterapikey-notepad.png " ")
Clique em Fechar para retornar à seção Chaves de API na qual a nova chave de API está listada.

A próxima etapa é configurar o perfil de criptografia do Oracle GoldenGate usando todos esses detalhes e, em seguida, aplicar o perfil de criptografia aos processos Extract, Replicat, conforme necessário. Consulte Configurar Processos do Oracle GoldenGate para Ativar a Criptografia de Arquivo de Trilha do OCI KMS para saber as próximas etapas.

Para saber mais sobre os pontos finais de criptografia e decriptografia do OCI KMS, consulte a documentação dos pontos finais criptografar e decriptografar na Documentação do Oracle Cloud Infrastructure.

Configurar Processos do Oracle GoldenGate para Ativar a Criptografia do Arquivo de Trilha do OCI KMS

Antes de iniciar as etapas nesta seção, certifique-se de ter concluído os Pré-requisitos para Conectar o Oracle GoldenGate com o OCI KMS.

Na interface do Oracle GoldenGate, execute as seguintes tarefas ao configurar o Oracle GoldenGate para configurar uma conexão confiável com o OCI KMS:

Crie um perfil de criptografia usando os valores de OCID, ponto final criptográfico, chave de API, tenancy e impressão digital.
Aplicar o perfil de criptografia aos processos Extract, Distribution Path ou Replicat.

Use as etapas fornecidas nas seguintes seções para aplicar a criptografia de trilha baseada no OCI KMS na Arquitetura de Microsserviços do Oracle GoldenGate:

Criar Perfil de Criptografia nos Processos do Oracle GoldenGate

Use as seguintes etapas para aplicar a criptografia de arquivo de trilha baseada no OCI KMS na interface da Web da Arquitetura de Microsserviços do Oracle GoldenGate:

Abra o arquivo do bloco de notas no qual você salvou os detalhes da chave da API do OCI KMS e dos detalhes do ponto final de criptografia. Consulte a etapa 8 para obter referência em Configurar OCI KMS para Estabelecer Conexão com o Oracle GoldenGate.

As informações incluem os seguintes valores:
- URL do Ponto Final de Criptografia: Esse valor é exibido na página Vault do OCI KMS.
- OCID da Tenancy: Esse valor pode ser obtido dos valores da API que foram copiados no arquivo do bloco de notas.
- OCID da Chave: Para obter este valor:
  1. Vá para a página do OCI Vault e clique na chave mestra para abrir a página de detalhes da chave na qual o OCID da chave mestra é fornecido.
  2. Copie o OCID da chave Mestra na página Detalhes da Chave.
- OCID do Usuário: Obtenha esse valor nos detalhes da configuração da API.
- Chave Privada da API: Faça upload da Chave Privada da API do local em que você a salvou ao executar tarefas em Configurar o OCI KMS para Conexão com o Oracle GoldenGate.
- Impressão Digital da Chave de API: Obtenha esse valor nos detalhes de configuração da API.
Faça log-in no Serviço de Administração e selecione a Criptografia e, em seguida, selecione Perfis no painel de navegação esquerdo.
Clique no sinal de mais ao lado do Oracle Cloud Infrastructure para abrir a caixa de diálogo Criar Perfil de Criptografia.

Adicione os valores ao perfil de criptografia e Enviar. Depois que você clicar em Enviar, o perfil de criptografia será validado e, se a validação for bem-sucedida, o perfil de criptografia do OCI KMS será exibido na página Perfis de Criptografia, conforme mostrado na seguinte imagem:
Você pode alterar os valores do perfil de criptografia clicando no ícone de lápis, que abre a caixa de diálogo Editar Perfil de Criptografia.

Aplicar o Perfil de Criptografia do OCI KMS para Extração

Use as seguintes etapas para implementar o perfil de criptografia do OCI KMS para Extract:

Na home page Serviço de Administração, clique no sinal de mais ao lado de Extrações para abrir a caixa de diálogo Adicionar Extração.
Depois de fornecer outros detalhes para a Extração, role para baixo e expanda a seção Perfil de Criptografia e selecione o nome do perfil do OCIKMS.
No arquivo de parâmetros Extract, inclua a opção ENCRYPTTRAIL AES256. O arquivo de parâmetros Extract teria a seguinte aparência:
```
EXTRACT exte
USERIDALIAS ggwest DOMAIN OracleGoldenGate

ENCRYPTTRAIL AES256
EXTTRAIL ea
TABLE WPDB.U1.*;
```
Clique em Criar para adicionar o Extract e, em seguida, inicie o Extract.
No host de destino, selecione Adicionar Replicat na página Visão Geral do Serviço de Administração para adicionar um Replicat.
Selecione o tipo de Replicat e preencha os detalhes do Replicat.
Role até a seção Perfil de Criptografia e selecione o mesmo perfil de criptografia do OCIKMS (neste caso, o OCIKMS). Clique em Próximo.
No arquivo de parâmetros Replicat, inclua a opção DECRYPTTRAIL. O arquivo de parâmetros Replicat tem a seguinte aparência:
```
REPLICAT renct
USERIDALIAS ggeast DOMAIN OracleGoldenGate

DECRYPTTRAIL
MAP WPDB.U1.*, TARGET U2.*;
```
Criar e iniciar o processo Replicat.
Se quiser aplicar o perfil de criptografia em um caminho de distribuição (DISTPATH), execute as seguintes etapas:
1. Crie o perfil de criptografia do OCI KMS no host de destino.
2. Crie o DISTPATH e aplique o perfil de criptografia do OCI KMS a ele. Consulte Adicionar um Caminho de Distribuição.
3. Use o mesmo perfil de criptografia para decriptografar a trilha no destino. Isso significa que você usa o perfil de criptografia criado no host de destino ao adicionar um Replicat.

A próxima seção descreve as etapas para testar se as transações submetidas a commit são capturadas e aplicadas ao usar um perfil de criptografia

Consulte ADD ENCRYPTIONPROFILE, ALTER ENCRYPTIONPROFILE se quiser configurar o perfil de criptografia usando o Admin Client.

Testar Replicação de Dados com Criptografia de Arquivo de Trilha Usando o OCI KMS

Teste a criptografia do arquivo de trilha no lado de origem e a decriptografia do arquivo de trilha no lado de destino usando as etapas fornecidas neste tópico.

Testar Criptografia do Arquivo de Trilha na Implantação de Origem

Em Configurar Processos do Oracle GoldenGate para Ativar a Criptografia de Arquivo de Trilha do OCI KMS, o processo Extract é configurado com o perfil de criptografia do OCI KMS.

Neste exemplo, você poderá confirmar se o perfil de criptografia está sendo usado pelo Extract visualizando o arquivo de relatório do Extract.

Para verificar se o Extract está usando o perfil de criptografia do OCI KMS:

No Serviço de Administração, clique em Extrair e selecione o Extract no qual o perfil de criptografia é aplicado. Você poderá ver o perfil de criptografia do OCI KMS listado na seção Encryption da página Extract.
Para fins de solução de problemas, você pode verificar se o arquivo de trilha está criptografado na origem, usando comandos de Logdump. Consulte Verificando um Arquivo de Trilha para Verificar a Criptografia do Arquivo de Trilha na Referência de Logdump do Oracle GoldenGate.

Testar a Decriptografia do Arquivo de Trilha na Implantação de Destino

No lado de destino, o exemplo a seguir testa se o Replicat aplica as 3000 transações que foram capturadas da origem. Para garantir que o Replicat esteja usando o perfil de criptografia do OCI KMS para decriptografar o arquivo de trilha, verifique o arquivo de relatório do Replicat.

Na home page do Serviço de Administração, clique em Replicat e selecione o nome do Replicat.
Clique em Estatísticas. Na página Estatísticas, as transações aplicadas são exibidas.
Verificar a página principal do Replicat para ver se o perfil de criptografia é implementado e usado pelo Replicat.

Dica:

Para verificar se os dados da trilha são recebidos em formato criptografado no destino, você pode executar o processo Replicat sem o parâmetro DECRYPTTRAIL. Nesse caso, o arquivo de relatório Replicat exibe que os dados da trilha são criptografados e não podem ser decriptografados sem a definição de chave adequada.

Com esses casos de uso, você pode testar se o arquivo de trilha no lado do Extract está usando o perfil de criptografia do OCI KMS para criptografar os dados da trilha. No lado do Replicat, o perfil de criptografia do OCI KMS é usado para decriptografar os dados de trilha e aplicar as transações no destino.