在 Oracle GoldenGate 中實作安全性

本節與參與安全組態的 DBA 和開發人員相關。其中描述 Oracle GoldenGate Microservices Architecture 部署和服務管理程式中安全功能的導入步驟。

下列步驟描述建置安全 Oracle GoldenGate 環境時可實行的 Oracle GoldenGate 安全功能。

  1. 使用最新軟體版本。

    下載最新的 Oracle GoldenGate 軟體。請確定您使用的是最新的版本更新 (RU)。安裝最新的軟體通常會改善安全性，因為較新的版本經常包含修正與更新，來解決在舊版本中發現的漏洞。

  2. 如果您使用 OGGCA 部署 Oracle GoldenGate，請確定已啟用該安全性。安全部署包含伺服器憑證、其私密金鑰和 CA 簽署 (root) 憑證。這可讓 REST-API 使用 TLS 進行安全通訊。

    如果不適合使用伺服器憑證保護 Oracle GoldenGate，您可以考慮使用反向代理主機進行安全網路通訊。在此情況下，請確定伺服器已鎖定。

  3. 使用遵循強密碼制定原則的密碼。您可以使用「服務管理程式」的本機「Oracle GoldenGate 管理使用者」，以及使用 OAuth2/OIDC 進行外部認證的外部識別提供者 (IDP)。您可以使用 Oracle Cloud 型 OCI-IAM、IDCS 或內部部署 OAM 作為 IDP 提供者。IDP 可讓您使用 SSO、MFA 或權杖型驗證。

  4. Oracle GoldenGate 支援以角色為基礎的認證控制 (RBAC) 進行使用者授權。使用 Oracle GoldenGate 使用者的最低權限最佳做法。

  5. 確認加密已套用至歷程檔。歷程檔加密主要金鑰是在本機管理。外部的金鑰管理系統 (例如 OCI-KMS 或 OKV)，會提供更高等級的保護。

  6. Oracle GoldenGate 會使用 PKCS#12 公事包來保存 Oracle GoldenGate 和資料庫證明資料。只能使用 USERIDALIAS 來建立資料庫連線。您可能想要更新 Oracle GoldenGate 管理員使用者的證明資料。

  7. 若要安全地與資料庫進行網路通訊，請使用提供的資料庫安全網路用戶端。Oracle AI Database Server 提供 TCPS 和原生網路加密 (NNE)。

  8. 如果是「分送」路徑協定，請使用「安全 WebSocket 協定 (WSS)」。為了保護 Oracle GoldenGate DistPath，您可以使用證明資料、從屬端憑證 (雙向 TLS) 或 OAuth/OIDC。

  9. 在防火牆保護的 DMZ 環境中，使用「已起始目標」DistPath。這讓目標「接收端服務」可以啟動 DistPath。

  10. 聯邦資訊處理標準 (FIPS) 規範是 Oracle GoldenGate 的另一個功能。在建置期間，可以啟用其他安全標準 (FIPS)。

除非另有說明，否則 Oracle GoldenGate 完全支援以任何平台上的任何虛擬化軟體建立的虛擬機器環境。將 Oracle GoldenGate 安裝至虛擬機器環境時，請選取與虛擬機器的資料庫和作業系統相符的組建，而非主機系統。

備註：擁有有效支援合約和執行受支援版本 Oracle 產品 (包括 Oracle GoldenGate) 的 Oracle 客戶，在 VMware 虛擬化環境中執行這些產品時，會收到 Oracle 的協助。如果 Oracle 發現相關問題不是由 Oracle 的產品所造成，或是在 Oracle 不支援的運算環境中執行，則 Oracle 會將客戶轉介至 VMware 以取得進一步協助，而 Oracle 會在解決問題時提供 VMware 的協助。此支援政策不會影響 Oracle 或 VMware 授權政策。