歷程檔加密 (靜態資料)

所有客戶相關資料 (例如歷程檔) 以及任何相依 / 衍生資料 (例如「限制的復原」)，都會以加密格式在 Oracle GoldenGate 環境中維護磁碟上的溢滿 / 暫存資料。

Oracle GoldenGate 使用不同的加密技術來保護靜態資料。加密是使用主金鑰來完成，並支援使用多個主金鑰。

Oracle GoldenGate 提供以 AES 為基礎的方法來加密歷程檔。歷程檔加密功能包括：

• ANSI X9.102 是用於封裝加密的金鑰包裝演算法。

• 包含每個歷程檔 (本機金鑰) 的資料加密金鑰 (DEK)。

• 本機金鑰的加密版本包含在歷程檔標頭中，主要金鑰則用於加密資料加密金鑰。

• 加密層級為 AES128、AES192、AES 256。

為什麼要使用 KMS 來儲存 Oracle GoldenGate 加密金鑰？

使用 OKV 或 OCI KMS 作為金鑰管理服務 (KMS) 來儲存主要金鑰，以增強歷程檔的 Oracle GoldenGate 加密。

每次 Oracle GoldenGate 建立歷程檔時，都會自動產生新的加密金鑰。此加密金鑰可加密歷程檔內容。主金鑰會加密加密金鑰。加密加密金鑰的這個過程稱為密鑰包裝，並詳述於美國標準委員會的標準 ANS X9.102。

金鑰管理是指管理企業內的加密金鑰。它會視需要處理產生、交換、儲存、使用及更換金鑰。KMS 也包含金鑰伺服器、使用者程序以及協定。企業的安全取決於成功的金鑰管理。

搭配 Oracle GoldenGate 使用 KMS 的優點如下：

• 主金鑰的集中式生命週期管理。您可以使用自訂屬性直接產生金鑰金鑰，並將主要金鑰上傳至 Oracle Key Vault，並直接在 KMS 內執行週期維護作業。

• Oracle GoldenGate 不需要將主要金鑰儲存在本機，而且不涉及主要金鑰的生命週期管理。

• Oracle GoldenGate 可以利用特殊的 KMS 功能，提供金鑰管理的多層安全。

Oracle Key Management 服務

Oracle GoldenGate 提供下列金鑰管理方法：

• 本機公事包：加密主要金鑰儲存在本機公事包檔案中。

• Oracle Key Vault (OKV) ：加密主要金鑰儲存在 Oracle Key Vault 中。此 Oracle Key Vault 服務位於與 Oracle GoldenGate 不同的伺服器上。

  強烈建議對內部部署 Oracle GoldenGate 歷程檔加密使用 OKV 方法。此方法適用於 Oracle GoldenGate Microservices Architecture，需要在 Oracle GoldenGate 中定義加密設定檔。請參閱在 Oracle GoldenGate 中使用 Oracle Key Vault 歷程檔加密。

• Oracle Cloud Infrastructure Key Management Service (OCI KMS) ：加密主要金鑰儲存在 OCI KMS 中。主要金鑰絕不會離開 OCI KMS。如果您的 Oracle GoldenGate 部署可以存取 OCI KMS，建議使用此方法。

  此方法與 Oracle GoldenGate Microservices Architecture 搭配使用，需要在 Oracle GoldenGate 中定義加密設定檔。請參閱設定啟用 OCI KMS 歷程檔加密的 Oracle GoldenGate 處理作業。

• 第三方加密設定檔外掛程式服務：第三方加密設定檔外掛程式服務僅適用於 Linux。若要設定並建置加密設定檔的外掛程式服務，請參閱使用外掛程式服務進行歷程檔加密。

快取檔案的加密支援

從 Oracle GoldenGate 26ai 開始，外包使用者資料 (例如快取檔案) 會以用於歷程檔的相同「加密演算法」加密。

持續性 BR 檔案的加密支援

從 Oracle GoldenGate 26ai 開始，外包使用者資料 (例如「限制復原 (BR)」保存的資料檔 (PCDF) 會以用於歷程檔的相同「加密演算法」加密。