为 Oracle GoldenGate 配置 Microsoft Azure EntraID

创建授权配置文件时，Oracle GoldenGate 将实体 ID 安全组映射到四个角色进行授权：安全性、管理员、操作员、用户。属于该组的 Entra ID 用户在 Oracle GoldenGate 中具有对应的映射角色。

在 Microsoft Azure EntraID 门户上，执行以下任务来配置将与 Oracle GoldenGate 映射的用户组：

在 EntraID 中创建相应的用户和安全组。您将需要四个安全组，这些安全组将映射到相应的 Oracle GoldenGate 用户角色（安全、管理员、操作员、用户）。可以根据需要选择组名称。
从“概览”页中选择添加和企业应用程序。
选择 Create your own application（创建自己的应用程序）。
为应用程序命名，选择注册应用程序以与 Microsoft Entra ID 集成，然后选择创建。
要注册应用程序，请选择仅此组织目录中的帐户（... - 单租户）。
返回到“实体 ID”概览页，在管理下，选择企业应用程序并搜索以前创建的应用程序名称。
在“管理”下，选择“用户”和“组”。选择添加用户/组。
搜索并选择要分配给此应用程序的组，并确保所选组显示在右侧窗格中。
选择所有组，然后选择选择，然后选择分配。

注：请确保将先前步骤中创建的所有 Entra ID 安全组分配给此应用程序。
（可选）按照以下步骤分配应用程序所有者：
1. 在“Manage（管理）”下，选择 Owners（所有者）。
2. 选择添加。
3. 搜索并选择所有者。
4. 确保所选所有者显示在右侧窗格中。
通过创建客户端密钥来注册应用程序：
1. 返回到 Microsoft Entra ID 概览页
2. 选择应用程序注册，然后选择所有应用程序。
3. 搜索并选择在步骤 2 中创建的应用程序名称。
4. 现在，应用程序显示详细信息。请记下应用程序（客户端）ID 和目录（租户）ID 。
  
  请记下客户端 ID、租户 ID 和客户端密钥值。在 Oracle GoldenGate 中配置授权概要文件时将使用这些值。
  
  租户 ID 用于构造租户搜索 URI，如以下示例所示：
  
  https://login.microsoftonline.com/{tenantID}/v2.0/.well-known/openid-configuration
5. 在管理下，选择证书和密钥
6. 选择 Client secrets（客户端密钥），然后选择 New client secret（新建客户端密钥）。
7. 添加说明并选择到期期间。
8. 选择添加。记下客户端密钥值。
为 Oracle GoldenGate 应用程序创建令牌配置：
1. 在导航窗格中的管理下，选择“标记配置”。
2. 选择添加组声明，然后选择分配给应用程序的组 (...) ，然后选择添加。
创建 GoldenGate 服务应用程序角色：
1. 在导航窗格的管理下，选择应用程序角色。
2. 选择创建应用程序角色并指定显示名称。
3. 在允许的成员类型下，选择应用程序。
4. 将 Value（值）设置为 urn:ogg:serviceToService 并填写说明。
5. 选择是否要启用此应用程序角色？，然后选择应用。
向 GoldenGate 服务应用程序角色添加 API 权限并授予管理员同意：
1. 在管理下，选择 API 权限。
2. 选择添加权限。
3. 选择我的组织使用的 API 。
4. 搜索在步骤 2 中创建的应用程序。
5. 选择应用程序权限。
6. 选择 urn:ogg:serviceToService 并选择添加权限。
7. 权限应显示在配置权限下。
8. 在 urn:ogg:serviceToService 上选择。
9. 在弹出窗口中，请注意“需要管理员同意”设置为是。
向应用程序添加 Microsoft Graph Application.ReadWrite.All API 权限并授予管理员同意。
1. 选择添加权限，然后从弹出窗口中选择 Microsoft Graph 。
2. 选择应用程序权限。
3. 搜索并选择 Application.ReadWrite.All 。
4. 选择添加权限。
5. 执行相同的步骤来授予对 urn:ogg:serviceToService 但对 Application.ReadWrite.All 的同意。
手动更新 Manifest 中的令牌请求属性：

以下选项在其他菜单下不可用，因此必须手动设置这些选项，如下图所示：

手动更新清单中的令牌请求。

在 Manage 下，选择 Manifest 。
1. 在 JSON /optionalClaims/accessToken/additionalProperties 下，添加值 cloud_displayname 。
2. 在 JSON /optionalClaims/idToken/additionalProperties 下，添加值 cloud_displayname 。
3. 在 JSON /optionalClaims/saml2Token/additionalProperties 下，添加值 cloud_displayname 。
4. 在 JSON /api/requestedAccessTokenVersion 下，将值设置为 2。
5. 保存该清单。
（可选）创建应用程序验证的重定向 URL。
1. 在 Microsoft Entra ID 的企业应用程序下，选择在步骤 2 中创建的应用程序。
2. 在管理下，选择属性，然后选择应用程序注册链接。
3. 在管理下，选择验证，然后选择添加平台。
4. 选择 Web 。
在 "Configure Web" 对话框中，输入重定向 URI 。

对于 Service Manager 部署，应添加 Service Manager 的路径 /services/v2/authorization。

对于每个微服务部署，应添加管理服务的路径 /services/v2/authorization。
选择 Configure 。

下一步是下载 Microsoft Azure EntraID 的 RootCA 证书，并将其添加到服务管理器共享 RootCA 证书下。

设置根证书颁发机构后，可以使用在此主题中创建的值配置 Oracle GoldenGate 授权概要信息。请参阅创建授权配置文件。

为 Microsoft EntraID Azure 添加根 CA 证书

在 Oracle GoldenGate 中开始创建授权概要文件之前，需要添加 Azure 的根证书颁发机构。将根 CA 证书作为可信证书添加到 Oracle GoldenGate 部署：

从以下位置下载 Azure 根 CA 证书：

https://learn.microsoft.com/en-us/azure/security/fundamentals/azure-ca-details?tabs=root-and-subordinate-cas-list#root-certificate-authorities

您只需要根证书颁发机构。
通过在任何 Linux 操作系统或 Mac OS 中使用 openssl 命令将从 crt 下载的证书转换为 pem 格式。

openssl x509 -in <crt_file> -out <pem_file_name> -outform pem

例如：

openssl x509 -in DigicertRootGlobalCA.crt -out DigicertRootGlobalCA.pem -outform pem

假设您使用的是 Oracle GoldenGate 本地或 OCI Marketplace GoldenGate 映像，则必须通过 Service Manager Web 界面将这些根 CA 证书作为可信证书上载。
在 Certificate Management（证书管理）菜单下找到 Service Manager，选择 CA Certificates + 。
选择文件上载按钮以上载转换后的 .pem 文件。
指定唯一名称并确保证书为共享，然后选择提交。