建立 RootCA 和伺服器憑證

部署可能需要各種用戶端和伺服器憑證。若要建立主機建置的受信任根 CA 和伺服器憑證，請使用下列各節中所述的命令。

用來產生這些憑證的指令為 OpenSSL 指令。

在下列範例中，會在完整網域名稱 dc1.example.com 中的主機 west01 。dc1.example.com 上進行部署。如果您在不同的伺服器上建立多個 Oracle GoldenGate 執行處理，可以用主機名稱取代 server01，並據此取代合格的網域名稱。

建立信任的 RootCA 憑證

使用下列命令產生信任的 RootCA 憑證：

openssl req -subj "/CN=RootCA"
            -newkey rsa:2048
            -nodes
            -keyout rootCA_key.pem
            -new -x509 -days 365
            -out rootCA_cert.pem

此指令會使用根憑證 rootCA_cert.pem 和私密金鑰 rootCA_key.pem 來建立兩個檔案。這兩個檔案都是以「隱私權增強型郵件 (PEM)」格式儲存。私密金鑰是以公開金鑰加密標準 (PKCS) #8 格式建立。根憑證 rootCA_cert.pem 用於伺服器憑證的安全 Oracle GoldenGate 部署中。您也可以在部署中新增分配用戶端 (distclient) 憑證。此處會再次使用根憑證。

建立伺服器憑證

您可以使用 rootCA 憑證和私密金鑰來建立伺服器憑證。使用類似下列的 west01 _cert.cnf 組態檔：

extendedKeyUsage = serverAuth
subjectAltName = DNS:west01,DNS:west01.dc1.example.com,DNS:localhost,IP:127.0.0.1

建立伺服器憑證的組態檔之後，會使用下列命令來建立伺服器憑證和私密金鑰檔案：

subject="/C=US/O=OGG example/CN=west01"

openssl req -subj "${subject}"
        -newkey rsa:2048 -nodes
        -keyout west01_key.pem
        -new
        -out west01.csr

openssl x509 -CAcreateserial
        -CA    rootCA_cert.pem
        -CAkey rootCA_key.pem
        -req
        -in west01.csr
        -extfile west01_cert.cnf
        -days 365
        -out west01_cert.pem

這兩個檔案都儲存在私密增強型郵件 (PEM) 中，私密金鑰則是以公開金鑰加密標準 (PKCS) #12 格式建立。伺服器憑證和伺服器私密金鑰用於 Oracle GoldenGate 部署中。主體內的「一般名稱 (CN)」使用主機名稱 west01 來唯一識別伺服器。