在 Oracle GoldenGate 中实施安全性

本节与从事安全配置的 DBA 和开发人员相关。本文介绍了 Oracle GoldenGate 微服务体系结构部署和服务管理器中安全功能的实施步骤。

以下步骤介绍了在构建安全的 Oracle GoldenGate 环境时可以实施的 Oracle GoldenGate 安全功能。

1. 使用最新软件版本。

   下载最新的 Oracle GoldenGate 软件。确保您使用的是最新的发行版更新 (RU)。安装最新的软件通常可以提高安全性，因为较新的版本经常包括修复和更新，以解决以前版本中发现的漏洞。

2. 如果您使用 OGGCA 部署 Oracle GoldenGate，请确保已启用安全性。安全部署由服务器证书、其私钥和 CA 签名 (root) 证书组成。这允许使用 TLS for REST-API 进行安全通信。

   如果不适合使用服务器证书保护 Oracle GoldenGate，您可以考虑使用 Reverse Proxy for secure network communication 。在这种情况下，请确保服务器已锁定。

3. 使用符合强口令策略的口令。可以使用服务管理器的本地 Oracle GoldenGate 管理用户和外部身份提供者 (IDP) 使用 OAuth2/OIDC 进行外部验证。您可以将基于 Oracle Cloud 的 OCI-IAM、IDCS 或本地 OAM 用作 IDP 提供商。IDP 允许您利用 SSO、MFA 或基于令牌的身份验证。

4. Oracle GoldenGate 支持基于角色的验证控制 (role-based authentication control，RBAC) 来进行用户授权。为 Oracle GoldenGate 用户使用最低权限优秀实践。

5. 验证 encryption is apply to the trail files 。线索文件加密主密钥在本地管理。OCI-KMS 或 OKV 等外部密钥管理系统可提供更高程度的保护。

6. Oracle GoldenGate 使用 PKCS#12 wallet 存放 Oracle GoldenGate 和数据库身份证明。只能使用 USERIDALIAS 来建立数据库连接。您可能需要更新 Oracle GoldenGate 管理员用户的身份证明。

7. 要安全地与数据库进行网络通信，请使用提供的数据库安全网络客户机。Oracle AI Database Server 提供 TCPS 和本机网络加密 (NNE)。

8. 对于分发路径协议，请使用安全 WebSocket 协议 (Secure WebSocket Protocol，WSS)。要保护 Oracle GoldenGate DistPath，可以利用身份证明、客户端证书 (Mutual TLS) 或 OAuth/OIDC。

9. 在受防火墙保护的 DMZ 环境中，使用 Target Initiated DistPath。这使得目标接收器服务可以启动 DistPath。

10. 联邦信息处理标准 (Federal Information Processing Standards，FIPS) 合规性是 Oracle GoldenGate 的另一个功能。在部署期间，可以启用附加安全标准 (FIPS)。

除非另有说明，否则 Oracle GoldenGate 完全支持在任何平台上使用任何虚拟化软件创建的虚拟机环境。将 Oracle GoldenGate 安装到虚拟机环境中时，请选择与虚拟机的数据库和操作系统（而不是主机系统）匹配的构建。

注：在 VMware 虚拟化环境中运行受支持的 Oracle 产品版本（包括 Oracle GoldenGate）的 Oracle 客户可获得 Oracle 的帮助。如果 Oracle 发现底层问题不是由 Oracle 产品导致的，或者是在 Oracle 不支持的计算环境中运行，Oracle 将向客户推荐 VMware 以获得进一步帮助，并且 Oracle 将在解决问题时向 VMware 提供适用的帮助。此支持政策不影响 Oracle 或 VMware 许可政策。