Usando a Criptografia do Arquivo de Trilha do Oracle Key Vault no Oracle GoldenGate

Conheça os benefícios de usar o Oracle Key Vault (OKV) com a Arquitetura de Microsserviços do Oracle GoldenGate. Determine os requisitos, processos e parâmetros do sistema disponíveis com o Oracle GoldenGate para configurar o OKV com o Oracle GoldenGate.

O diagrama a seguir explica a configuração e o workflow do Oracle Key Vault no ambiente do Oracle GoldenGate. O diagrama mostra o ciclo de vida das chaves mestras de criptografia gerenciadas no KMS. A chave mestra de criptografia de arquivo de trilha não é armazenada no disco pelo Oracle GoldenGate. O Distribution Service e o Receiver Service se conectam por meio de uma rede TLS segura usando o protocolo Web Secure Socket (wss).

Conforme mostrado no diagrama, você pode selecionar o Key Vault (OKV) como o Sistema de Gerenciamento de Chaves ao configurar o perfil de criptografia para a implantação no Oracle GoldenGate. Esse perfil de criptografia é usado pelos processos Extract e Replicat para armazenar e aplicar as chaves mestras antes de transferir arquivos de trilha usando o caminho de distribuição e receber os arquivos da outra extremidade com o processo RECVPATH. O protocolo Web Secure Socket (wss) é usado para validar a conexão entre o DISTPATH e o RECVPATH para conectar um canal de comunicação seguro.

Recursos do Oracle Key Vault

O Oracle GoldenGate 26ai e versões posteriores oferecem suporte ao Oracle Key Vault 21.8 para criptografia de arquivos de trilha. A tabela a seguir fornece o comportamento e os recursos do Oracle Key Vault (OKV).

Para obter mais informações sobre como configurar o OKV, consulte Instalando e Configurando o Oracle Key Vault.

A lista a seguir descreve os recursos do Oracle Key Vault:

Tipo de KMS: Nome de chave e atributos personalizados para controle de versão.
Tags de Suporte: Sim
Suporte à Importação de Chaves: Sim

Pré-requisitos para Configurar o Perfil de Criptografia GoldenGate Usando o Oracle Key Vault

Aprenda os pré-requisitos para configurar o OKV com o Oracle GoldenGate.

Nesta seção, as etapas para gerar a chave mestra foram executadas com a linha de comando. Como alternativa, você pode usar a interface Web do OKV para criar a chave mestra do Oracle GoldenGate. Se quiser gerar a chave mestra com base na interface Web do OKV, siga as etapas fornecidas em Create GoldenGate Master Key no Oracle Key Vault Administrator's Guide.

As seguintes etapas são executadas na configuração do OKV na máquina em que a instância do Oracle GoldenGate está sendo executada:

Faça download do okvrestclipackage.zip no servidor do OKV, no qual o Oracle GoldenGate é implantado como o mesmo usuário do sistema que a implantação.
Ative os Serviços RESTFUL usando as etapas fornecidas em Enabling RESTful Services no Oracle Key Vault Administrator's Guide.
Defina a variável de ambiente OKV_HOME.
```
OS> setenv OKV_HOME /u01/app/oracle/OKV
```
A estrutura do subdiretório contém as bibliotecas, os binários e os arquivos de configuração necessários para o ambiente OKV. Consulte Instalação e Configuração do Oracle Key Vault no Guia de Instalação e Atualização do Oracle Key Vault para obter detalhes sobre a configuração no servidor OKV.
Faça download do arquivo de ponto final okvclient.jar no servidor do OKV, no qual o Oracle GoldenGate é implantado como o mesmo usuário do sistema da implantação. Por exemplo,
```
OS> java -jar okvclient.jar -d /u01/app/oracle/OKV
```

Crie a chave. O nome da wallet é fornecido pelo administrador do OKV. O exemplo a seguir mostra como a chave é criada:

OS> okv managed-object key create
 [--activation-date activation date]
 [--algorithm algorithm]
 [--custom-attribute custom attribute]
 [--deactivation-date deactivation date]
 [-- extractable extractable]
 [--length length]
 [--mask mask]
 [--name name]
 [--wallet wallet]

ex - okv managed-object key create --algorithm AES --length 256 --mask "ENCRYPT,DECRYPT,TRANSLATE_ENCRYPT,TRANSLATE_DECRYPT,TRANSLATE_WRAP,TRANSLATE_UNWRAP" --wallet wallet1

Como alternativa, você pode registrar sua própria chave, conforme mostrado no seguinte exemplo:

OKV> okv managed-object key register
  [--activation-date activation date]
  [--algorithm algorithm]
  [--custom-attribute custom attribute]
  [--deactivation-date deactivation date]
  [--extractable extractable]
  [--length length]
  [--mask mask]
  [--name name]

  --object object
  [--wallet wallet]

ex -  bin/okv managed-object key register --length 256 --activation-date "NOW" --object symkey.txt --algorithm AES --mask "ENCRYPT,DECRYPT,TRANSLATE_ENCRYPT,TRANSLATE_DECRYPT,TRANSLATE_WRAP,TRANSLATE_UNWRAP"

   --wallet wallet1

Ative a chave conforme mostrado no exemplo a seguir:
```
OS> okv managed-object object activate --uuid UUID
```

Adicione os atributos de chave relacionados ao Oracle GoldenGate (KeyName, KeyVersion) à configuração. O nome da chave deve corresponder ao nome da chave mestra no perfil de criptografia KMS criado no Oracle GoldenGate. O valor da chave deve corresponder ao número da versão da chave mestra.

OS> okv managed-object custom-attribute add --custom-attribute custom attribute --uuid uuid

ex - okv managed-object custom-attribute add --custom-attribute '[ { "name": "x-OGG-KeyName", "value" : "OGG_Masterkey", "type" : "text" },{ "name": "x-OGG-KeyVersion", "value" : "1", "type" : "text"} ] '

Use okvutil para listar a definição de configuração e verificar o status do ponto final. Conforme mostrado no seguinte exemplo:

*OS>okvutil list -v 4*

A saída deste comando mostra as definições de configuração e o status do ponto final:

okvutil version 21.12.0.0.0
Endpoint type: Oracle AI Database
Configuration file: u01/app/oracle/OKV/conf/okvclient.ora
Server: 100.70.1.1:5696
Standby Servers:
Auto-login wallet found, no password needed
Trying to connect to 100.70.1.1:5696 ...
Connected to 100.70.1.1:5696.
Unique ID                               Type            Identifier
8BC11E57-5269-403D-9B69-A66641ADAFC7   Symmetric          Key   -

As próximas etapas são gerenciadas no Oracle GoldenGate e mostradas como uma implementação do Admin Client.

Comportamento do Cliente em Diferentes Estados-Chave do Oracle Key Vault

A tabela a seguir descreve o comportamento relativo dos processos do cliente do gravador (Extração) ou leitor (Replicat), dependendo dos diferentes estados da chave de criptografia de trilha.

Se a chave mestra não for extraível, isso implicará que as operações criptográficas do OKV estejam usando criptografia remota. Isso significa que a chave mestra não pode sair ou ser recuperada do OKV. Os comandos para criptografar e decriptografar no Oracle GoldenGate com base em uma vez por arquivo de trilha são executados no OKV.

Uma chave pode estar nos seguintes estados:

Estado-chave	Escritor de Trilhas (criptografia)	Leitor de Trilhas (descriptografia)
Ativo	O gravador de trilhas escolhe o número de versão mais alto com o estado Ativo para criptografia.	O leitor de trilhas pode usar esta chave e o número da versão para decriptografar a trilha.
Pré-ativo	O roteirista de trilhas ignora e não considera o número da versão chave com esses estados.	Não Aplicável
Desativado	Nenhum	O leitor de arquivos de trilha recupera e decriptografa a trilha se a chave e o número da versão estiverem desativados ou comprometidos.
Comprometido	Nenhum	O leitor de arquivos de trilha recupera e decriptografa a trilha se a chave e o número da versão estiverem desativados ou comprometidos.
Destruído	Não	O leitor de arquivos de trilha gera um erro e é interrompido se a chave e o número de versão necessários para descriptografar estiverem no estado destruído ou comprometido destruído.
Destruído/Comprometido	Nenhum	O leitor de arquivos de trilha gera um erro e é interrompido se a chave e o número de versão necessários para descriptografar estiverem no estado destruído ou comprometido destruído.

Aplicar o Perfil de Criptografia do OKV

O Oracle GoldenGate Administration Service fornece opções para configurar perfis de criptografia para processos de Extract e Replicat.

Use as seguintes etapas para criar um perfil de criptografia usando o Oracle Key Vault (OKV):

Antes de configurar o OKV, é necessário efetuar uma instalação do cliente. Consulte a Etapa 1: Configurar o Ambiente do Servidor Oracle Key Vault no Oracle Key Vault Administrator's Guide.
No painel de navegação esquerda do Administration Service, clique em Criptografia. A página Perfis de Criptografia é exibida.

Clique no sinal de mais + ao lado do OKV e especifique os seguintes detalhes para a configuração do OKV:

Opção	Descrição
Nome do Perfil	Nome do perfil da criptografia
Descrição	Descreva o perfil de criptografia.
Perfil Padrão	Se você quiser tornar esse perfil o padrão, ative essa opção.
Tipo de Perfil de Criptografia	Selecione OKV (Oracle Key Vault).
Caminho da Biblioteca de KMS	Especifique o local do diretório em que o Oracle Key Vault está instalado. Na interface Web, esse caminho é chamado de caminho da Biblioteca KMS, mas no Admin Client, esse é o caminho do Oracle Key Vault.
Versão de Oracle Key Vault
Nome da Chave Mestra	Especifique o nome da chave mestra.
Tempo de Vida Útil	Tempo de vida (TTL) da chave recuperada pela Extração do Oracle Key Vault. Ao criptografar a próxima trilha, o Extract verifica se o TTL expirou. Caso a chave tenha expirado, ela recupera a versão mais recente da chave mestra. O default é 24 horas.

Consulte também o seguinte tutorial para referência: Manage Encryption in Oracle GoldenGate Microservices with Oracle Key Vault