在 Oracle GoldenGate 中使用 OCI KMS 歷程檔加密

瞭解在 Oracle GoldenGate 中設定 OCI KMS 加密設定檔的先決條件、需求和步驟，以允許使用 OCI KMS 搭配 Extract、Replicat 或 Distribution Path 處理作業進行歷程檔加密。

使用 OCI KMS 工作流程的 Oracle GoldenGate

下列圖表說明 Oracle GoldenGate 如何與 OCI KMS 搭配運作，以進行歷程檔加密。

在 Oracle GoldenGate 中設定 OCI KMS 加密設定檔，並將加密設定檔附加至 Extract。包含 ENCRYPTTRAIL 參數，以在 Extract 參數檔中指定加密演算法。

此圖表顯示來源部署 EAST ，其中包含與 OCI KMS 加密設定檔關聯的 Extract。若要在 Oracle GoldenGate 中建立加密設定檔，OCI 使用者必須存取 OCI 租用戶，並從 OCI 保存庫取得部分值，然後為 OCI 使用者產生主要金鑰和 API 金鑰。

OCI 保存庫包含用於下載數位 CA 憑證之租用戶 OCID 、使用者 OCID 以及加密端點 URL 的相關資訊。與此保存庫關聯的主索引鍵也會從 OCI 保存庫產生。此外還需要 API 金鑰組，您可以從 OCI 租用戶產生或上傳現有的金鑰組。請參閱將 OCI KMS 設定為與 Oracle GoldenGate 連線以瞭解詳細資訊。

儲存 OCI 租用戶的所有值之後，您可以在 Oracle GoldenGate 管理服務中建立加密設定檔。此加密設定檔接著與 Extract 關聯，Extract 參數檔則會使用 ENCRYPTTRAIL 參數套用您決定套用的加密演算法 (AES 128、AES 192、AES 256)。加密的歷程檔由 DISTPATH 傳輸至目標建置 (WEST)。目標部署 (WEST) 上的 Replicat 參數檔包含 DECRYPTTRAIL 參數，允許解密歷程檔。請參閱設定啟用 OCI KMS 歷程檔加密的 Oracle GoldenGate 處理作業。

使用 OCI KMS 連線 Oracle GoldenGate 的先決條件

在 Oracle GoldenGate 中開始設定 OCI KMS 加密設定檔之前，請先執行本節中的作業。

OCI KMS 需要註冊專用 / 公用金鑰 (API 簽署金鑰)，才能在部署 Oracle GoldenGate 的伺服器上存取 REST API。請參閱註冊和管理 OCI KMS 的金鑰。

下表提供從 Oracle GoldenGate Administration Service 設定 OCI KMS 加密設定檔的必要值清單。在開始使用 OCI KMS 建立加密設定檔之前，請確定您具有這些值。


OCI KMS 組態選項	設定 OCI KMS 的選項。
加密端點 URL	您可以從 OCI KMS Vault 精靈存取此精靈。請參閱 [OCI 命令行參照 ] (https://docs.oracle.com/en-us/iaas/tools/oci-cli/
2.21.4/oci_cli_docs/cmdref/kms/crypto.html) 以及 OCI 文件中的管理金鑰以瞭解更多資訊。
租用戶 OCID	當您註冊 Oracle Cloud Infrastructure 時，Oracle 會為您的公司建立一個租用戶，這是 Oracle Cloud Infrastructure 內一個安全且隔離的分割區，您可以在此建立、組織及管理雲端資源。若要深入瞭解，請參閱 OCI 文件中的主要概念。
金鑰 OCID	如需詳細資訊，請參閱 OCI 文件。
使用者 OCID	如需詳細資訊，請參閱 OCI 文件。
API 金鑰	保護對 Oracle Cloud Infrastructure REST API 要求的證明資料。
API 金鑰指紋	如需詳細資訊，請參閱 OCI 文件中的必要金鑰和 OCID 。

使用密碼編譯端點下載 CA 憑證

若要執行此主題中的步驟，您的 OCI 租用戶中必須要有提及密碼編譯端點 URL 的保存庫。若要建立從 Oracle GoldenGate 到 OCI 租用戶的信任連線，必須要有此 URL 才能下載數位 CA 憑證。如果您沒有現有的保存庫，請參閱建立或存取 OCI 保存庫，然後返回此主題以取得使用加密端點下載 CA 憑證的步驟。

如果您的 OCI 租用戶中已有保存庫，請依照本主題提供的步驟，使用密碼編譯端點下載 CA 憑證。

從左邊的導覽窗格導覽至身分識別與安全頁面，然後選取保存庫以開啟「保存庫資訊」頁面。
從「保存庫資訊」頁面，複製密碼編譯端點值和 OCID。
開啟 Web 瀏覽器，並在瀏覽器 URL 列中貼上加密端點值。瀏覽器不會顯示任何頁面。不過，您可以按一下連線是安全的來檢視 CA 憑證。

Oracle GoldenGate 需要此 CA 憑證，才能在連線至此 OCI 租用戶時信任此 CA 憑證。
前往 Web 瀏覽器的下載項目區段。此處列出 CA 憑證。
按一下匯出以下載根憑證。

秘訣： 下載 API 金鑰和根憑證時，請保留相同的目錄。{. ：infoboxtip}

將數位 CA 憑證新增為 Oracle GoldenGate 中的信任 CA 憑證

您先前使用加密端點 URL 下載的數位 CA 憑證，必須以受信任 CA 憑證的形式新增至 Oracle GoldenGate 來源部署。請參閱建立安全建置的憑證。

注意：在 OCI GoldenGate 服務中，您可以略過此步驟，因為 CA 憑證已新增為服務的一部分。

從 Oracle GoldenGate Service Manager 執行下列步驟，將數位 CA 憑證新增為來源部署的「受信任 CA」憑證：

登入 Oracle GoldenGate Service Manager。
從左側導覽窗格中選取「憑證管理」選項。

Oracle GoldenGate Service Manager 中的「憑證管理」頁面

目前尚未新增憑證作為連線至特定 OCI 租用戶的信任憑證。您需要新增您在步驟中下載的根憑證
將根憑證新增為 Oracle GoldenGate 部署中 CA 憑證的信任憑證。這可讓 Oracle GoldenGate 信任與特定 OCI 租用戶的連線。另請參閱新增 CA 憑證。

設定要與 Oracle GoldenGate 連線的 OCI KMS

從 OCI KMS 租用戶，設定 Oracle GoldenGate 與 OCI KMS 之間的連線需要特定值。下列為：

租用戶 ID
密碼編譯端點
使用者 OCID
API 金鑰

設定讓 Oracle GoldenGate 與 OCI KMS 連線之前，您必須先登入 OCI 租用戶，才能執行下列作業：

建立保存庫 (如果尚未建立) 並取得加密端點和使用者 OCID 值。請參閱
建立並下載 API 私密金鑰組，以及與 API 金鑰 (例如指紋和 API 金鑰值) 相關的資訊。
使用加密端點下載 CA 憑證。此步驟也是設定 Oracle GoldenGate 加密設定檔的先決條件。請參閱使用加密端點下載 CA 憑證瞭解詳細資訊。

使用下列步驟來檢視和儲存 OCI KMS 值，這在設定用於連線至 OCI KMS 的 Oracle GoldenGate 處理作業時是必要的：

建立或存取 OCI 保存庫

如果保存庫已存在於您的 OCI 租用戶中，請存取該保存庫以判斷下列項目的值：

加密端點：這是您需要從其中取得信任憑證的連結。複製此連結以用於後續步驟。
OCID ：這是您 OCI 環境的唯一 ID。在 Oracle GoldenGate 中設定加密設定檔時，將需要此設定。

使用以下步驟建立和存取 Vault：

請登入您的 Oracle Cloud 帳戶。
從 Oracle Cloud 首頁的左側導覽窗格中，按一下識別與安全性選項，然後選取保存庫。
如果您尚未建立保存庫，請按一下建立保存庫以建立保存庫。在此情況下，已建立保存庫 ( WSJCVAULT)。
按一下下列映像檔中顯示的保存庫名稱，例如 **WSJCVAULT**，以存取保存庫 OCID、加密端點以及主要金鑰詳細資訊的相關資訊。在下列影像中，** 一般資訊 ** 區段包含 **ocid** 和 ** 加密端點 ** 詳細資訊，而 Compartment_WH** 區段中的 ** 主要加密金鑰顯示主要金鑰詳細資訊。！[ 取得 ] 來自 OCI 保存庫一般資訊區段的加密端點。] (images/ocikms_create_master_key.png " ") 您可以從此頁面取得設定 Oracle GoldenGate 與 OCI KMS 之間信任連線所需的值。
將此資訊複製到記事本檔案以供參考。在稍後的步驟中，您將使用此記事本檔案來新增更多有關「主要金鑰」與「API 金鑰」的詳細資料。這些值可用來在 Oracle GoldenGate 部署中新增加密設定檔。

產生主要金鑰並下載 API 私密金鑰

下列步驟假設您已經登入 OCI 租用戶。

產生主要金鑰

若要建立主索引鍵，請執行下列動作：

瀏覽至保存庫資訊頁面。
移至主要加密金鑰頁籤，然後按一下建立金鑰。
指定主要金鑰和加密演算法 (其他詳細資訊中) 的名稱，以建立主要金鑰，如下圖所示。
按一下建立金鑰。這會產生 Oracle GoldenGate 將使用的主要金鑰。新的「主要金鑰」會列在「主要加密金鑰」頁面中。

產生 API 索引鍵

若要使用 OCI KMS 連線使用者，請使用下列步驟建立 API 金鑰：

從 Vault 資訊頁面中，按一下右上角的「使用者設定」圖示。

這會顯示含有多個頁籤的「使用者設定檔」頁面。
從「詳細資訊」頁籤的「使用者資訊」區段複製「使用者 OCID」。將此值貼至先前建立的記事本檔案。\
按一下記號和金鑰頁籤以開啟「API 金鑰」區段。
按一下新增 API 金鑰以開啟「新增 API 金鑰」對話方塊。
選取產生 API 金鑰組選項，為 OCI 使用者建立與 OCI KMS 連線的金鑰組。您也可以選擇使用選擇公開金鑰檔案選項上傳現有的公開金鑰檔案，或使用貼上公開金鑰選項，在文字方塊中貼上公開金鑰的值。
按一下下載私密金鑰，並將它保留在已知的位置。您可以將檔案重新命名為易記的名稱，例如 API_private_key.pem 。
按一下新增。這會顯示組態檔預覽對話方塊，其中包含與 API 金鑰關聯的所有資訊，例如指紋、租用戶、區域及其他詳細資訊。
將這些值複製並儲存到先前建立的相同記事本檔案中。提示：維護相同的記事本檔案以儲存 API 金鑰指紋、租用戶值以及 OCI 保存庫密碼編譯端點和 OCID 值相關資訊。下列影像顯示範例記事本檔案，其中包含在 Oracle GoldenGate 中設定加密設定檔時所需的保存庫、主要金鑰以及 API 金鑰組態詳細資訊。！[ 記事本檔案，包含在 Oracle GoldenGate 中建立加密設定檔所需的值 ] (images/ocikms_configfilemasterapikey-notepad.png " ")
按一下關閉，返回列出新 API 金鑰的「API 金鑰」區段。

下一步是使用所有這些詳細資訊來設定 Oracle GoldenGate 加密設定檔，然後視需要將加密設定檔套用至 Extract、Replicat 處理作業。請參閱設定啟用 OCI KMS 歷程檔加密的 Oracle GoldenGate 處理作業，瞭解後續步驟。

若要瞭解 OCI KMS 加密和解密端點，請參閱 Oracle Cloud Infrastructure 文件中的 encrypt 和 decrypt 端點文件。

設定 Oracle GoldenGate 處理作業以啟用 OCI KMS 歷程檔加密

開始本節中的步驟之前，請先確定您已完成使用 OCI KMS 連線 Oracle GoldenGate 的先決條件。

在 Oracle GoldenGate 介面中，設定 Oracle GoldenGate 以設定與 OCI KMS 的信任連線時，請執行下列工作：

使用 OCID、加密端點、API 金鑰、租用戶及指紋值建立加密設定檔。
將加密設定檔套用至 Extract、分配路徑或 Replicat 處理作業。

使用下列各節提供的步驟，從 Oracle GoldenGate Microservices Architecture 套用 OCI KMS 型歷程檔加密：

在 Oracle GoldenGate 處理作業中建立加密設定檔

使用下列步驟，從 Oracle GoldenGate Microservices Architecture Web 介面套用 OCI KMS 型歷程檔加密：

開啟您儲存 OCI KMS API 金鑰詳細資訊和加密端點詳細資訊的記事本檔案。請參閱步驟 8 ，瞭解將 OCI KMS 設定為與 Oracle GoldenGate 連線的參照。

此資訊包含下列值：
- 加密端點 URL：此值會顯示在 OCI KMS 的「保存庫」頁面中。
- 租用戶 OCID：可從記事本檔案中複製的 API 值取得此值。
- 金鑰 OCID：若要取得此值：
  1. 前往 OCI 保存庫頁面並按一下主要金鑰，以開啟主要金鑰 OCID 所在的金鑰詳細資訊頁面。
  2. 從「金鑰詳細資訊」頁面複製主要金鑰 OCID。
- 使用者 OCID：從 API 組態詳細資訊取得此值。
- API 私密金鑰：在將 OCI KMS 設定為與 Oracle GoldenGate 連線中執行作業時，從您儲存 API 私密金鑰的位置上傳 API 私密金鑰。
- API 金鑰指紋：從 API 組態詳細資訊取得此值。
登入「管理服務」並選取加密，然後從左側導覽窗格選取設定檔。
按一下 Oracle Cloud Infrastructure 旁邊的加號，以開啟「建立加密設定檔」對話方塊。

將值新增至加密設定檔，然後送出。按一下「送出」之後，就會驗證加密設定檔，如果驗證成功，則會在「加密設定檔」頁面上顯示 OCI KMS 加密設定檔，如下圖所示：
您可以按一下開啟「編輯加密設定檔」對話方塊的鉛筆圖示，來變更加密設定檔的值。

套用擷取的 OCI KMS 加密設定檔

使用下列步驟來實行 Extract 的 OCI KMS 加密設定檔：

從「管理服務」首頁，按一下「擷取」旁邊的加號，以開啟新增擷取對話方塊。
提供 Extract 的其他詳細資訊之後，向下捲動並展開加密設定檔區段，然後選取 OCIKMS 設定檔名稱。

在 Extract 參數檔中，包含 ENCRYPTTRAIL AES256 選項。Extract 參數檔的外觀與下列類似：

EXTRACT exte
USERIDALIAS ggwest DOMAIN OracleGoldenGate

ENCRYPTTRAIL AES256
EXTTRAIL ea
TABLE WPDB.U1.*;

按一下建立以新增 Extract，然後啟動 Extract。
在目標主機上，從「管理服務總覽」頁面選取新增 Replicat ，以新增 Replicat。
選取 Replicat 的類型並填入 Replicat 詳細資訊。
捲動至加密設定檔區段，然後選取相同的 OCIKMS 加密設定檔 (在此例中為 OCIKMS)。按下一步。

在 Replicat 參數檔中，包含 DECRYPTTRAIL 選項。Replicat 參數檔的外觀如下：

REPLICAT renct
USERIDALIAS ggeast DOMAIN OracleGoldenGate

DECRYPTTRAIL
MAP WPDB.U1.*, TARGET U2.*;

建立然後啟動 Replicat 處理作業。
如果要在「分送路徑 (DISTPATH)」套用加密設定檔，則必須執行下列步驟：
1. 在目標主機上建立 OCI KMS 加密設定檔。
2. 建立 DISTPATH 並將 OCI KMS 加密設定檔套用至該設定檔。請參閱新增分送路徑。
3. 使用相同的加密設定檔來解密目標的歷程檔。這表示您在新增 Replicat 時，使用目標主機上建立的加密設定檔。

下節描述使用加密設定檔時，測試是否擷取並套用已確認交易的步驟。

如果您想要使用「管理用戶端」設定加密設定檔，請參閱 ADD ENCRYPTIONPROFILE 、ALTER ENCRYPTIONPROFILE 。

使用 OCI KMS 使用歷程檔加密測試資料複寫

使用本主題提供的步驟，測試來源端的歷程檔加密，以及目標端的歷程檔解密。

來源部署中的測試歷程檔加密

在將 Oracle GoldenGate 處理作業設定為啟用 OCI KMS 歷程檔加密中，使用 OCI KMS 加密設定檔設定 Extract。

在此範例中，您可以檢視 Extract 報表檔案來確認 Extract 正在使用加密設定檔。

若要檢查 Extract 是否使用 OCI KMS 加密設定檔：

從「管理服務」中，按一下擷取，然後選取套用加密設定檔的擷取位置。您將可以看到 Extract 頁面之「加密」區段底下所列的 OCI KMS 加密設定檔。
為了進行疑難排解，您可以使用 Logdump 命令，檢查歷程檔是否在來源加密。請參閱掃描歷程檔以檢查歷程檔加密 (來自 Oracle GoldenGate 的 Logdump Reference)。

測試目標部署上的歷程檔解密

在目標端，以下範例測試 Replicat 會套用從來源擷取的 3000 筆交易。若要確定 Replicat 正在使用 OCI KMS 加密設定檔來解密歷程檔，請檢查 Replicat 報表檔案。

在「管理服務」首頁中，按一下 Replicat ，然後選取 Replicat 名稱。
按一下統計資料 (Statistics) 。在「統計」頁面上，會顯示套用的交易。
檢查 Replicat 主頁面，查看 Replicat 是否已實行及使用加密設定檔。

小秘訣：

若要檢查目標上是否收到加密格式的歷程檔資料，您可以不使用 DECRYPTTRAIL 參數執行 Replicat。在此情況下，Replicat 報表檔案會顯示歷程檔資料已加密，若未設定適當的金鑰，就無法解密。

透過這些使用案例，您可以測試 Extract 端的歷程檔是否使用 OCI KMS 加密設定檔來加密歷程檔資料。在 Replicat 端，使用 OCI KMS 加密設定檔解密歷程檔資料並在目標上套用交易。