使用身份证明验证用户

用户身份证明（用户名、密码）组合存储在身份证明存储中，可使用身份证明别名进行访问，从而允许用户将用户 ID 和密码保存在身份证明存储中，并且仅使用别名连接到 Oracle GoldenGate 部署或其他应用程序。

实施强密码策略时，会提供具有 1 个大写、1 个小写、1 个数字和 1 个特殊字符的准则。

Oracle GoldenGate 发行版 23.4 及更高版本中的最大密码长度为 1024 字节。

管理身份证明存储中的身份

Oracle GoldenGate 使用身份证明存储维护加密的数据库密码和用户 ID，并将其与别名关联。

它是在命令或参数文件中指定的别名，而不是实际的用户 ID 或密码。Oracle GoldenGate 中嵌入的 Oracle 身份证明存储框架 (CSF) 中不需要用户输入加密密钥。

可以跨具有相同 Service Manager 用户访问权限的多个部署使用身份证明存储，同时保留对本地身份证明的控制权。

您可以将身份证明存储分区到称为域的逻辑容器中，例如，每个 Oracle GoldenGate 安装一个域。通过域，您可以开发一组别名，然后将不同的本地身份证明分配给每个域中的这些别名。例如，用户 ogg1 的凭证可以在 DOMAIN system1 下存储为 ALIAS ext，而用户 ogg2 的凭证可以在 DOMAIN system2 下存储为 ALIAS ext。

从管理客户机配置身份证明存储

  1. 从 Oracle GoldenGate 安装目录中，启动命令行。

  2. 使用 CONNECT 命令登录到部署（使用管理客户机时）后，发出以下命令以使用身份证明存储执行各种任务。

    命令 说明
    ADD CREDENTIALSTORE 添加数据库身份证明存储。
    ALTER CREDENTIALSTORE 将每组身份证明添加到身份证明存储。
    INFO CREDENTIALSTORE 检索有关 Oracle GoldenGate 身份证明存储的信息。此信息包括身份证明存储包含的别名以及与这些别名对应的用户 ID。不返回身份证明存储中的加密密码。
    DELETE CREDENTIALSTORE 从系统中删除身份证明存储。身份证明存储 wallet 及其内容将永久删除。

    您还可以从 Oracle GoldenGate Web 界面执行这些任务。请参阅添加数据库连接。要使用 REST API 服务端点来执行此任务，请参阅身份证明 REST 端点

在参数文件或命令中指定别名

以下命令和参数接受别名作为登录凭证的替代。

表 2 在参数和命令中指定身份证明别名

证明的用途 要使用的参数或命令
Oracle GoldenGate 数据库登录。 
USERIDALIAS alias
下游 Oracle 挖掘数据库的 Oracle GoldenGate 数据库登录。 
TRANLOGOPTIONS MININGUSERALIAS alias
{CREATE \| ALTER} USER name IDENTIFIED BY password 的口令替换。 
DDLOPTIONS DEFAULTUSERPASSWORDALIAS alias
从管理客户机登录 Oracle GoldenGate 数据库。 
DBLOGIN USERIDALIAS alias
从管理客户端登录到下游 Oracle 挖掘数据库的 Oracle GoldenGate 数据库。 
MININGDBLOGIN USERIDALIAS alias

加密和存储用户凭证

在设置和安装 Oracle GoldenGate 时，必须偶尔使用 DBLOGIN 命令登录到数据库，以执行使用 ADD TRANDATA 命令添加补充日志记录等任务。

建议的安全措施是加密登录密码。但是，在标准 DBLOGIN 命令中使用安全密码需要先使用 [ENCRYPT PASSWORD](/pls/topic/lookup?ctx=en/database/goldengate/core/26/coredoc&id=GCLIR-GUID-5BF9F3E6-EAE0-43D3-A238-8CA68CADFC6D) 命令对其进行加密。为了避免此步骤同时保护用户 ID 免受暴露，您可以在开始设置和配置用户身份证明之前创建 Oracle GoldenGate 身份证明存储。

使用身份证明存储时，只需在使用 DBLOGIN 登录时为登录身份证明提供别名。在配置参数文件时，身份证明存储还可以更方便、更安全地为提取和复制进程指定登录身份证明。您可以先在身份证明存储中创建基本条目，然后使用管理命令根据需要进行扩展。可以使用管理客户端创建加密配置文件来设置身份证明存储。