ALTER CREDENTIALSTORE

使用此命令可创建身份证明存储别名，其中包含包含用户名和口令以及连接详细信息的数据库身份证明。之后便可以使用这些身份证明存储别名在部署中建立数据库连接。

要从 MA Web 界面配置数据库连接，请参见 Add and Alter Database Credentials 。

NonStop 平台不支持使用身份证明存储。

语法

ALTER CREDENTIALSTORE ADD USER {userid | userid@dbhost:dbport/dbname[;connection_options]|| userid@odbc-dsn}
[DELETE USER alias]
[REPLACE USER alias]
[ALIAS alias]
[Domain domain]
[PASSWORD password | NOPASSWORD]
[KERBEROS]
[PLUGIN]

ADD USER {userid|userid@dbhost:dbport/dbname[;connection_options]|userid@odbc-dsn}

userid

将指定用户添加到身份证明存储别名。如果未使用 ALIAS 选项，则别名默认为 userid 的别名。如果未提供 DOMAIN 选项，则域默认为 OracleGoldenGate 域。对于 CDB 和 PDB 具有不同用户的多租户 Oracle 数据库，在向身份证明存储添加数据库用户时需要指定 @tns_service_name。

userid@dbhost:dbport/dbname[;connection_options]

对于支持连接字符串（如 Oracle 数据库、MySQL、SQL Server、PostgreSQL 和 Db2）的数据库，将指定用户和连接信息添加到身份证明存储别名。连接字符串信息应包括数据库服务器名称、数据库端口和数据库名称。下面是可添加到连接字符串的其他连接选项（每个数据库）：

创建具有数据库连接详细信息的别名时，需要使用 ALIAS 选项

要求的连接格式为：

userid@databasehost:databaseport/databasename;option1;option2;option3

例如：

ALTER CREDENTIALSTORE ADD USER ggadmin@server_west:1434/sourcedb
PASSWORD ***** ALIAS SourceMSSQLConnection

userid @ odbc-dsn

对于支持基于 ODBC 的 DSN 连接的数据库（包括 Db2 for i 系列、Db2 LUW、Db2 z/OS、SQL Server 和 PostgreSQL），将 DSN 连接信息添加到身份证明存储。系统上必须存在 DSN 连接详细信息，例如，在 Linux 上的 odbc.ini 文件中包含了这些信息；在使用 ODBC 数据源 64 位客户端的 Windows 上，是以创建的系统 DSN 形式包含这些数据。

使用 DSN 创建别名时，需要使用 ALIAS 选项。

要求的连接格式为：

userid@odbc-dsn

例如：

ALTER CREDENTIALSTORE ADD USER ggadmin@sourcedsn
PASSWORD ***** ALIAS SourceMSSQLConnection

DELETE USER alias

删除指定别名的身份证明。如果未提供 ALIAS 选项，则别名默认为 userid 的别名。如果未提供 DOMAIN 选项，则凭证存储将默认为 OracleGoldenGate 域。

例如：

ALTER CREDENTIALSTORE DELETE USER src_alias

REPLACE USER userid

替换给定别名的用户，或者可用于更改现有用户的密码。如果未提供 ALIAS 选项，则别名默认为 userid 的别名。如果未提供 DOMAIN 选项，则凭证存储将默认为 OracleGoldenGate 域。

除非使用 PASSWORD 选项，否则命令会提示输入指定用户的密码。更改用户的密码（包括数据库连接信息）时，必须包括当前 userid 的完整值，否则此命令将使用提供的新值替换用户。

以下示例说明如何更改现有用户 ggadmin@sourcedsn（别名 SourceMSSQLConnection）的密码。

ALTER CREDENTIALSTORE REPLACE USER ggadmin@sourcedsn PASSWORD newpassword
ALIAS SourceMSSQLConnection

此示例说明如何将 pdbeast 别名的用户 ggadmin 更改为新用户，然后提示用户输入口令。

ALTER CREDENTIALSTORE REPLACE USER ggadmin ALIAS pdbeast DOMAIN Production

ALIAS alias

为用户名指定别名。如果不希望用户名出现在参数文件或命令中，请使用此选项。如果未提供 ALIAS，则别名默认为 USER 名称，然后必须用于需要登录的参数文件和命令中。通过将 ADD USER 选项与 ALIAS 一起使用，可以为一个用户创建多个条目，其中每个条目均具有不同的别名。

DOMAIN domain

在提供的域名下保存身份证明别名。

默认域为 OracleGoldenGate。通过选择唯一域名，使用相同身份证明存储的多个 Oracle GoldenGate 安装可以使用相同的别名。例如，系统 1 的管理员可能不希望系统 2 访问系统 1 上所用的相同身份证明。这些身份证明可以存储为 ALIAS pdbeast，例如，在 DOMAIN system1 下，而在 ALIAS pdbeast 下为 DOMAIN system2 下存储另一组身份证明。

NOPASSWORD | PASSWORD password

使用 PASSWORD 选项指定用户的密码。使用此选项时，将回显（而非随机化）密码。如果省略此选项，则命令将提示输入密码，在键入密码时会对其进行随机化（建议的更安全方式）。

Oracle GoldenGate 26ai 支持的密码长度最多为 1024 字节。

在使用外部身份验证时，NOPASSWORD 选项替代 PASSWORD 选项，因为外部验证（例如使用 Kerberos 验证或 IDCS）不需要密码。设置了 NOPASSWORD 选项后，可以使用 DBLOGIN 命令访问数据库，无需密码。

从 26ai 开始，您可以使用关键字为数据库连接表示不同类型的身份证明，而不是使用 NOPASSWORD 选项。NOPASSWORD 以外的可用身份证明类型包括：

Kerberos 验证：可以使用 KERBEROS 关键字，如以下语法中所示：

ALTER CREDENTIALSTORE ADD USER /@<tns_alias> ALIAS <alias> KERBEROS
基于插件的验证：可以使用带有或不带插件密钥的 PLUGIN 关键字，如以下语法中所示：

ALTER CREDENTIALSTORE ADD USER <username>/@<tns_alias> ALIAS <alias> PLUGIN

ALTER CREDENTIALSTORE ADD USER <username>/@<tns_alias> ALIAS <alias> PLUGIN [SECRET <secret>]

对于使用 PLUGIN SECRET 创建的插件身份证明，GoldenGate 还会将存储的插件密钥作为元数据项传递给插件回调。

仍支持用于添加插件身份证明的现有格式。如果使用现有格式，则管理客户机将不会传递身份证明类型。
Microsoft EntraID 的 OAuth 验证：用于添加 Entra ID 凭证的语法在命令中使用 OAUTHSECRET 作为关键字。它将提供的字符串标记为 Microsoft Entra ID 客户端密钥。对于 Entra ID USERIDALIAS（例如 ggwest-entra），身份证明存储仅保留客户机密钥，如下面的语法所示：

更改身份证明存储 - 添加用户 /@ 别名 OAUTHSECRET

下表介绍了这些命令如何根据使用的语法设置身份证明类型。

另请参见《 Parameters and Functions Reference for Oracle GoldenGate 》中的 USERIDALIAS 参数。

安全配置的连接值

这些是可添加到身份证明别名（包括 SSL 属性）的可选连接字符串设置。它们必须指定为以分号分隔的属性列表，例如 option1=value1;option2=value2;option3=value3，其中选项是特定于数据库的属性及其允许的值。

下面是可添加到身份证明别名（包括 SSL 属性）的其他连接字符串选项的列表。

注：Oracle GoldenGate 微服务体系结构通过将某些 SSL 参数配置为环境变量来支持 SSL 连接。但是，这种配置限制提取和复制进程只能对部署使用定义的 SSL 环境变量进行连接，而不能进行其他 SSL 或非 SSL 连接。但是，使用身份证明存储别名，还可以灵活地配置包含不同 SSL 或非 SSL 参数的身份证明，以便在相同的部署中进行不同的数据库连接。

sslCA：仅适用于 MySQL 和 PostgreSQL。用于验证 PEM 格式的 SSL 证书的真实性的证书。
sslCert：对于 MySQL 和 PostgreSQL。客户机的 SSL 证书文件，采用 PEM 格式。
sslCrl：对于 MySQL。PEM 格式的包含认证撤消列表的文件的名称。
sslKey：对于 MySQL 和 PostgreSQL。客户机的私钥文件，采用 PEM 格式。
sslMode：对于 MySQL 和 PostgreSQL。sslMode 参数值仅以大写形式指定。MySQL 的 sslMode 选项为 VERIFY_IDENTITY, VERIFY_CA, REQUIRED, PREFERRED。PostgreSQL 的 sslMode 选项为 VERIFY-FULL, VERIFY-CA, REQUIRE, PREFER。

对于 sslMode=VERIFY_IDENTITY，必须提供 sslPath、sslCa、sslCert 和 sslKey。对于 sslMode=VERIFY_CA，必须提供 sslPath 和 sslCa。
sslPath：仅适用于 MySQL。包含 PEM 格式的可信 SSL 证书颁发机构 (Certificate Authority，CA) 证书文件的目录的路径。

示例

Oracle

此示例添加一个名为 ggadmin 的用户，但忽略了 PASSWORD 规范，因此该命令提示输入可插入数据库 pdbeast 的密码。

ALTER CREDENTIALSTORE ADD USER ggadmin
Password: ********

此示例添加用户 ggadmin 及其密码 tiger，并将别名指定为 pdbeast。

ALTER CREDENTIALSTORE ADD USER ggadmin PASSWORD tiger ALIAS pdbeast

此示例在 OracleGoldenGate 域下增加用户 ggadmin。

ALTER CREDENTIALSTORE ADD USER ggadmin@dbnorth ALIAS pdbeast DOMAIN OracleGoldenGate
Password: ********

此示例使用轻松连接命名方法添加用户 ggadmin。

ALTER CREDENTIALSTORE ADD USER ggadmin@dbnorth:1521/dbservice_north
ALIAS pdbnorth

此示例发出两个 ALTER CREDENTIALSTORE 命令，它们分别添加一个具有不同别名的 ggadmin 条目。

ALTER CREDENTIALSTORE ADD USER ggadmin@dbeast ALIAS pdbeast
Password: ********
ALTER CREDENTIALSTORE ADD USER ggadmin@dbwest ALIAS pdbwest
Password: ********

本示例显示了使用 KERBEROS 关键字进行 Kerberos 验证的 ALTER CREDENTIALSTORE 命令。

ALTER CREDENTIALSTORE ADD USER /@dbwest KERBEROS ALIAS ggwest;

此示例显示了使用 PLUGIN 关键字进行基于插件的验证的 ALTER CREDENTIALSTORE 命令。

ALTER CREDENTIALSTORE ADD USER ggadmin@dbwest PLUGIN ALIAS ggwest;

此示例使用 PLUGIN SECRET 关键字：

ALTER CREDENTIALSTORE ADD USER ggadmin@dbwest PLUGIN SECRET abc ALIAS ggwest;

以下示例显示了如何使用 OAUTH 关键字向 Microsoft EntraID 添加身份证明。

ALTER CREDENTIALSTORE ADD USER /@dbwest ALIAS ggwest OAUTHSECRET XkE8Q~rWlDiIl4bKAsWoER8m7hNrX_KBvG_bgdhT

下面显示 DELETE USER 选项在使用和不使用 ALIAS 选项的情况下如何工作。

以下命令删除 ALIAS 与用户名相同的 user1 条目。

ALTER CREDENTIALSTORE DELETE USER ggadmin
Alias: pdbeast
Userid: ggadmin

以下命令删除用户 ggadmin 的与别名 pdbeast 关联的条目。

ALTER CREDENTIALSTORE DELETE USER ggadmin ALIAS pdbeast
Alias: pdbeast
Userid: ggadmin

此示例使用 SQL*Net 连接字符串作为用户值。在这种情况下，将省略 PASSWORD 选项。将提示发出命令的人员输入隐藏的密码。

ALTER CREDENTIALSTORE ADD USER ggadmin@pdbeast ALIAS pdbeast

此示例将在管理客户端中创建一个名为 Oracle GoldenGate 的域名，指定用户 ID ggadmin，别名设为 pdbeast。

ALTER CREDENTIALSTORE ADD USER ggadmin ALIAS pdbeast
Password:

如果使用 BEQ-Bequeath Protocol 适配器，则以下示例使用连接限定符进行连接。有关使用 BEQ-Bequeath Protocol 适配器建立安全连接的更多信息，请参见 Configure Secure Database Connection

ALTER CREDENTIALSTORE ADD USER ggadmin@inst1_beq

以下示例（管理客户端）添加一个名为 ggadmin 的用户，但使用了外部验证，因此使用 NOPASSWORD 选项。

ALTER CREDENTIALSTORE ADD USER ggadmin@dbeast nopassword alias pdbeast

通过运行 INFO CREDENTIALSTORE 命令，可以检查向凭证存储添加用户的情况。

INFO CREDENTIALSTORE
Default domain: OracleGoldenGate
  Alias: pdbeast
  Userid: @ggadmin

更新身份证明存储库以使用 NOPASSWORD 选项后，您就可以对您的数据库配合使用 DBLOGIN 命令与 Kerberos 验证。

DBLOGIN USERIDALIAS pdbeast

MySQL

下面是一些在 Admin Client 中为 MySQL 创建身份证明的示例。

此示例将添加连接字符串中没有 SSL 属性的数据库身份证明。

ALTER CREDENTIALSTORE ADD USER ggadmin@mysqlsrvr.myorg.com/my_db
PASSWORD:******  ALIAS pdbeast

此示例在身份证明存储中添加数据库连接详细信息，并在连接字符串中添加 SSL 属性。

ALTER CREDENTIALSTORE ADD USER ggadmin1@192.168.254.2:3306/atssrc;
sslMode=VERIFY_IDENTITY;sslPath=/var/lib/mysql/data;
sslCert=client-cert.pem;sslCa=ca.pem;sslKey=client-key.pem
PASSWORD ****** ALIAS pdbeast

SQL Server

以下示例使用 DSN 在身份证明存储中添加数据库连接详细信息。

ALTER CREDENTIALSTORE ADD USER ggadmin@mydsn PASSWORD *****
ALIAS pdbeast

以下示例使用基于 DSNless 的连接在身份证明存储中添加数据库连接详细信息。

ALTER CREDENTIALSTORE ADD USER ggadmin@100.70.96.45:10043/qadb;Encrypt=NO;
TrustServerCertificate=YES PASSWORD***** ALIAS pdbwest

PostgreSQL

以下示例在身份证明存储中添加数据库连接详细信息，并在连接字符串中添加 SSL 属性。

ALTER CREDENTIALSTORE ADD USER ggadmin@abc.com:7432/mydb;sslmode=disable;
sslCa=/u01/ogg/certs/root.pem  PASSWORD ***** ALIAS pdbeast

以下示例使用 DSN 在身份证明存储中添加数据库连接详细信息。

ALTER CREDENTIALSTORE ADD USER ggadmin@mydsn PASSWORD *****
ALIAS pdbeast

以下示例使用基于 DSNless 的连接在身份证明存储中添加数据库连接详细信息。

ALTER CREDENTIALSTORE ADD USER ggadmin@100.70.96.45:10043/qadb PASSWORD***** ALIAS pdbwest

Sybase

下面是一些在 Sybase 的 Admin Client 中创建身份证明的示例。

以下示例显示了与 Sybase 数据库没有其他属性的基于主机和端口的连接。

ALTER CREDENTIALSTORE ADD USER ggadmin@sybdb.myorg.com:5055/qadb PASSWORD****
ALIAS pdbeast

以下示例显示与 Sybase 数据库的基于主机和端口的连接，并启用了其他属性和 SSL。

ALTER CREDENTIALSTORE ADD USER ggadmin@sybdb.myorg.com:5055/qadb;OGG_USE_SSL;
CS_OPT_CHARSET=UTF-8;CS_LOGIN_TIMEOUT=10 PASSWORD**** ALIAS pdbeast

DB2 表示 i，DB2 表示 z/OS

以下示例使用 DSN 在身份证明存储中添加数据库连接详细信息。

ALTER CREDENTIALSTORE ADD USER ggadmin@mydsn PASSWORD *****
ALIAS pdbeast

以下示例使用基于 DSNless 的连接在身份证明存储中添加数据库连接详细信息。

ALTER CREDENTIALSTORE ADD USER ggadmin@100.70.96.45:10043/qadb PASSWORD***** ALIAS pdbwest