保護資料串流

生產安全基準

• 使用 wss 並驗證完整的伺服器憑證鏈。

• 請視需要使用專用 CA 信任組合；請勿設定不安全或不驗證 TLS 模式。

• 將密碼、從屬端私密金鑰以及記號儲存在核准的加密密碼管理程式中。在程式實際執行時插入它們。

• 請勿將證明資料放在 WebSocket URL、日誌、Shell 歷史記錄、組態儲存區域或 AsyncAPI 檔案中。

• 儘可能授予每個管理作業所需的最低 GoldenGate 角色，並讓管理證明資料與程式實際執行用戶證明資料分開。

• 將網路存取限制在已核准的用戶端子網路、服務及代理路由。

• 輪換證明資料和憑證，不會失去持久的用戶檢查點。

反向代理人考量

反向代理主機可以變更公用主機、路徑前置碼、認證模式、TLS 終止點、閒置逾時、訊息大小上限，以及 WebSocket 升級行為。驗證下列所有項目：

• 系統會轉送 WebSocket 交握式確認的 HTTP Upgrade 和 Connection 標頭。

• 閒置和讀取逾時超過預期的靜音期間，或 ping/pong 流量讓連線保持在作用中狀態。

• 最大框架和訊息大小超過設定的資料流記錄和批次大小。

• 產生的 AsyncAPI YAML 會公開外部可連線的主機和通道位址。

• 系統會根據安全設計，傳送或終止認證標頭和從屬端憑證。

機密有效負載資料

「資料串流」可以顯示完整資料列影像、DDL、記號、主機詳細資訊、資料庫名稱以及來源 URI。將資料分類、欄位最小化、遮罩或權杖化、傳輸中和靜態加密、存取記錄和保留控制套用至用戶和每個下游複製。除非已複查每個發出的值，否則請避免啟用 env、sys 或所有記號。