线索文件加密（静态数据）

在 Oracle GoldenGate 环境中，所有与客户相关的数据（例如线索文件）以及任何相关/派生的数据（例如 Bounded Recovery、spilled/staged out data on disk）都以加密格式维护。

Oracle GoldenGate 使用不同的加密技术来保护静态数据。加密是使用主密钥完成的，并支持使用多个主密钥。

Oracle GoldenGate 提供了基于 AES 的线索文件加密方法。线索文件加密功能包括：

• ANSI X9.102 是用于封装加密的密钥封装算法。

• 包括每个线索文件（本地密钥）的数据加密密钥 (DEK)。

• 线索文件标头中包含本地密钥的加密版本，并且使用主密钥对数据加密密钥进行加密。

• 加密级别为 AES128、AES192、AES 256。

为什么要使用 KMS 来存储 Oracle GoldenGate 加密密钥？

通过使用 OKV 或 OCI KMS 作为密钥管理服务 (Key Management Service，KMS) 来存储主密钥，可以增强对线索文件的 Oracle GoldenGate 加密。

每次 Oracle GoldenGate 创建线索文件时，都会自动生成新的加密密钥。此加密密钥对线索内容进行加密。主密钥对加密密钥进行加密。加密密钥的此过程称为密钥包，美国标准委员会的标准 ANS X9.102 中对此进行了介绍。

密钥管理是指管理企业内的加密密钥。它涉及根据需要生成、交换、存储、使用和替换密钥。KMS 还包括密钥服务器、用户过程和协议。企业的安全性取决于成功的密钥管理。

将 KMS 与 Oracle GoldenGate 结合使用的优势包括：

• 主密钥的集中生命周期管理。您可以直接使用定制属性生成主密钥并将其上载到 Oracle Key Vault，并直接在 KMS 中执行生命周期维护任务。

• Oracle GoldenGate 不需要在本地存储主密钥，也不参与主密钥的生命周期管理。

• Oracle GoldenGate 可以利用专门的 KMS 功能，为密钥管理提供多层安全保护。

Oracle 密钥管理服务

Oracle GoldenGate 提供了以下密钥管理方法：

• 本地 Wallet ：加密主密钥存储在本地 Wallet 文件中。

• Oracle Key Vault (OKV) ：加密主密钥存储在 Oracle Key Vault 中。此 Oracle Key Vault 服务可以位于与 Oracle GoldenGate 不同的服务器上。

  对于内部部署 Oracle GoldenGate 线索加密，强烈建议使用 OKV 方法。此方法适用于 Oracle GoldenGate 微服务体系结构，需要在 Oracle GoldenGate 中定义加密概要信息。请参见 Using Oracle Key Vault Trail File Encryption in Oracle GoldenGate 。

• Oracle Cloud Infrastructure Key Management Service (OCI KMS) ：加密主密钥存储在 OCI KMS 中。主密钥永远不会离开 OCI KMS。如果您的 Oracle GoldenGate 部署可以访问 OCI KMS，则建议使用此方法。

  此方法适用于 Oracle GoldenGate 微服务体系结构，需要在 Oracle GoldenGate 中定义加密概要信息。请参阅配置 Oracle GoldenGate 流程以启用 OCI KMS 线索文件加密。

• 第三方加密配置文件插件服务：第三方加密配置文件插件服务仅适用于 Linux。要设置和构建加密配置文件的插件服务，请参见 Using the Plugin Service for Trail File Encryption 。

缓存文件的加密支持

从 Oracle GoldenGate 26ai 开始，高速缓存文件等外包用户数据使用用于线索文件的相同加密算法进行加密。

对持久 BR 文件的加密支持

从 Oracle GoldenGate 26ai 开始，Bounded Recovery (BR) 持久性数据文件 (PCDF) 等外包用户数据使用与线索文件相同的加密算法进行加密。