設定適用於 Oracle GoldenGate 的 Microsoft Azure EntraID

建立「授權設定檔」時，Oracle GoldenGate 會將 Entra ID 安全群組對應至四個角色，以進行授權：安全、管理員、操作員、使用者。屬於群組的 Entra ID 使用者在 Oracle GoldenGate 中具有對應的對應角色。

在 Microsoft Azure EntraID 入口網站上，執行下列工作來設定要與 Oracle GoldenGate 對應的使用者群組：

在 EntraID 中建立適當的使用者和安全性群組。您需要四個將對應至個別 Oracle GoldenGate 使用者角色 (安全、管理、操作員、使用者) 的安全群組。您可以視需要選取群組名稱。
從「總覽」頁面選取新增、企業應用程式。
選取建立您自己的應用程式。
為您的應用程式命名，選取註冊要與 Microsoft Entra ID 整合的應用程式，然後選取建立。
若要註冊應用程式，請選取僅限此組織目錄中的帳戶 (... - 單一用戶) 。
回到 Entra ID 簡介頁面，在管理底下，選取企業應用程式，然後搜尋您在之前建立的應用程式名稱。
在變更下，選取使用者與群組。選取新增使用者 / 群組。
搜尋並選取要指派給此應用程式的群組，並確定選取的群組顯示在右側窗格中。
選取所有群組，然後選取選取，再選取指派。

注意：請確定將先前步驟中建立的所有 Entra ID 安全性群組指派給此應用程式。
(選擇性) 依照下列步驟指派應用程式擁有者：
1. 在「管理」下，選取擁有者。
2. 選取新增。
3. 搜尋並選取擁有者。
4. 請確定選取的擁有者顯示在右側窗格中。
建立從屬端加密密碼以註冊應用程式：
1. 返回 Microsoft Entra ID 總覽頁面
2. 選取應用程式註冊，然後選取所有應用程式。
3. 搜尋並選取在步驟 2 中建立的應用程式名稱。
4. 現在，應用程式會顯示詳細資訊。記下應用程式 (從屬端) ID 和目錄 (租用戶) ID 。
  
  請記下「用戶端 ID」、「承租人 ID」與「用戶端密碼」值。在 Oracle GoldenGate 中設定授權設定檔時，將會使用這些值。
  
  租用戶 ID 是用來建構租用戶尋找 URI，如下列範例所示：
  
  https://login.microsoftonline.com/{tenantID}/v2.0/.well-known/openid-configuration
5. 在管理底下，選取憑證和加密密碼
6. 選取從屬端加密密碼，然後選取新從屬端加密密碼。
7. 新增描述並選取到期期間。
8. 選取新增。記下從屬端加密密碼值。
建立 Oracle GoldenGate 應用程式的權杖組態：
1. 在導覽窗格的管理下，選擇「記號」組態。
2. 選取新增群組宣告並選取指派給應用程式 (...) 的群組，然後選取新增。
建立 GoldenGate 服務應用程式角色：
1. 在導覽窗格的管理底下，選擇應用程式角色。
2. 選取建立應用程式角色，然後指定顯示名稱。
3. 在允許的成員類型下，選取應用程式。
4. 將值設為 urn:ogg:serviceToService 並填入描述。
5. 選取要啟用此 App 角色嗎？，然後選取套用。
新增 API 權限至 GoldenGate 服務應用程式角色並授予管理員權限：
1. 在管理下，選取 API 權限。
2. 選取新增權限。
3. 選取我的組織使用的 API 。
4. 搜尋在步驟 2 中建立的應用程式。
5. 選取應用程式權限。
6. 選取 urn:ogg:serviceToService ，然後選取新增權限。
7. 權限應該顯示在設定的權限底下。
8. 選取 urn:ogg:serviceToService 。
9. 在快顯視窗中，請注意「需要管理員」同意設為是。
將 Microsoft Graph Application.ReadWrite.All API 權限新增至應用程式，並授予管理員同意。
1. 選取新增權限，然後從快顯視窗中選取 Microsoft Graph 。
2. 選取應用程式權限。
3. 搜尋並選取 Application.ReadWrite.All 。
4. 選取新增權限。
5. 執行相同的步驟來授予 urn:ogg:serviceToService 的同意，但授予 Application.ReadWrite.All 的同意。
手動更新清單中的記號要求特性：

下列選項不適用於其他功能表，因此必須手動設定這些選項，如下圖所示：

手動更新資訊清單中的權杖要求。

在管理下，選取清單。
1. 在 JSON /optionalClaims/accessToken/additionalProperties 底下新增值 cloud_displayname 。
2. 在 JSON /optionalClaims/idToken/additionalProperties 下，新增值 cloud_displayname 。
3. 在 JSON /optionalClaims/saml2Token/additionalProperties 底下新增值 cloud_displayname 。
4. 在 JSON /api/requestedAccessTokenVersion 下將值設為 2。
5. 儲存安裝資訊檔。
(選擇性) 建立「應用程式認證」的重新導向 URL。
1. 在 Microsoft Entra ID 的企業應用程式底下，選擇您在步驟 2 中建立的應用程式。
2. 在管理下，選取特性，然後選取應用程式登錄連結。
3. 在管理下，選取驗證，然後選取新增平台。
4. 選取 Web 。
在「設定 Web」對話方塊中，輸入重新導向 URI 。

對於 Service Manager 部署，您應該為 Service Manager 新增路徑 /services/v2/authorization。

對於每個 Microservices 部署，您應該為「管理服務」新增路徑 /services/v2/authorization。
選取設定。

下一步是下載 Microsoft Azure EntraID 的 RootCA 憑證，並將其新增至「Service Manager 共用 RootCA」憑證底下。

設定「根憑證授權機構」之後，您可以使用本主題中建立的值來設定「Oracle GoldenGate 授權設定檔」。請參閱建立授權設定檔。

新增 Microsoft EntraID Azure 的根 CA 憑證

在 Oracle GoldenGate 中開始建立授權設定檔之前，您必須先新增適用於 Azure 的根憑證授權機構。將根 CA 憑證新增為 Oracle GoldenGate 部署的信任憑證：

從下列位置下載 Azure 根 CA 憑證：

https://learn.microsoft.com/en-us/azure/security/fundamentals/azure-ca-details?tabs=root-and-subordinate-cas-list#root-certificate-authorities

您只需要根憑證授權單位。
使用任何 Linux 作業系統或 Mac 作業系統中的 openssl 指令，將從 crt 下載的憑證轉換為 pem 格式。

openssl x509 -in <crt_file> -out <pem_file_name> -outform pem

舉例而言：

openssl x509 -in DigicertRootGlobalCA.crt -out DigicertRootGlobalCA.pem -outform pem

假設您使用 Oracle GoldenGate 內部部署或 OCI 市集 GoldenGate 映像檔，您必須透過「服務管理程式」Web 介面將這些根 CA 憑證上傳為信任憑證。
在憑證管理功能表下尋找「服務管理程式」，選取 CA 憑證 + 。
選取檔案上傳按鈕以上傳轉換的 .pem 檔案。
指定唯一的名稱並確定憑證為共用，然後選取提交。