创建 RootCA 和服务器证书

部署可能需要各种客户机和服务器证书。要为主机部署创建可信的根 CA 和服务器证书，请使用以下各节中介绍的命令。

用于生成这些证书的命令是 OpenSSL 命令。

在以下示例中，部署在全限定域名 dc1.example.com 中的主机 west01 。dc1.example.com 上完成。如果在不同的服务器上创建多个 Oracle GoldenGate 实例，则可以将 server01 替换为主机名并相应地替换限定域名。

创建可信 RootCA 证书

使用以下命令生成可信 RootCA 证书：

openssl req -subj "/CN=RootCA"
            -newkey rsa:2048
            -nodes
            -keyout rootCA_key.pem
            -new -x509 -days 365
            -out rootCA_cert.pem

此命令使用根证书 rootCA_cert.pem 和私钥 rootCA_key.pem 创建两个文件。这两个文件都以隐私增强邮件 (Privacy Exhanced Mail，PEM) 格式存储。该私钥是采用公钥加密标准 (PKCS) #8 格式创建的。根证书 rootCA_cert.pem 用于服务器证书的安全 Oracle GoldenGate 部署中。您还可以在部署中添加分发客户机 (distclient) 证书。此处，再次使用根证书。

创建服务器证书

使用 rootCA 证书和私钥，可以创建服务器证书。将类似于以下内容的配置文件用于 west01 _cert.cnf：

extendedKeyUsage = serverAuth
subjectAltName = DNS:west01,DNS:west01.dc1.example.com,DNS:localhost,IP:127.0.0.1

为服务器证书创建配置文件后，使用以下命令创建服务器证书和私钥文件：

subject="/C=US/O=OGG example/CN=west01"

openssl req -subj "${subject}"
        -newkey rsa:2048 -nodes
        -keyout west01_key.pem
        -new
        -out west01.csr

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in west01.csr
        -extfile west01_cert.cnf
        -days 365
        -out west01_cert.pem

这两个文件都存储在隐私增强邮件 (Privacy Enhanced Mail，PEM) 中，私钥是以公钥加密标准 (Public-Key Cryptography Standards，PKCS) #12 格式创建的。服务器证书和服务器私钥在 Oracle GoldenGate 部署中使用。主题内的通用名称 (Common Name，CN) 使用主机名 west01 唯一标识服务器。