Verwenden einer Oracle-Datenbank als Quelle für AWS DMS

1. Erstellen Sie einen Datenbank-Link mit dem Namen AWSDMS_DBLINK in der Primärdatenbank. DMS_USER verwendet den Datenbank-Link, um eine Verbindung mit der Primärdatenbank herzustellen. Beachten Sie, dass der Datenbank-Link von der Standby-Instance aus ausgeführt wird, um die offenen Transaktionen abzufragen, die in der Primärdatenbank ausgeführt werden. Sehen Sie sich das folgende -Beispiel an.

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';         
           

2. Stellen Sie sicher, dass die Verbindung mit dem Datenbank-Link über DMS_USER hergestellt ist, wie im folgenden Beispiel dargestellt.

   select 1 from dual@AWSDMS_DBLINK

So richten Sie die zusätzliche Protokollierung manuell ein

1. Führen Sie die folgende Abfrage aus, um zu überprüfen, ob bereits die zusätzliche Protokollierung für die Datenbank aktiviert ist.

   SELECT supplemental_log_data_min FROM v$database;

   Ist das zurückgegebene Ergebnis YES oder IMPLICIT, ist die zusätzliche Protokollierung für die Datenbank aktiviert.

   Wenn dies nicht der Fall ist, aktivieren Sie die zusätzliche Protokollierung für die Datenbank, indem Sie den folgenden Befehl ausführen.

   ALTER DATABASE ADD SUPPLEMENTAL LOG DATA;

2. Stellen Sie sicher, dass die erforderliche zusätzliche Protokollierung für jede replizierte Tabelle hinzugefügt wird.

   Berücksichtigen Sie dabei Folgendes:

   • Wenn der Tabelle die zusätzliche Protokollierung ALL COLUMNS hinzugefügt wird, müssen Sie keine weitere Protokollierung hinzufügen.

   • Wenn ein Primärschlüssel vorhanden ist, fügen Sie die zusätzliche Protokollierung für den Primärschlüssel hinzu. Dazu können Sie entweder das Format zum Hinzufügen der zusätzlichen Protokollierung zum Primärschlüssel selbst verwenden oder die zusätzliche Protokollierung auf den Primärschlüsselspalten der Datenbank hinzufügen.

     ALTER TABLE Tablename ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;
     ALTER DATABASE ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;

   • Wenn kein Primärschlüssel vorhanden ist und die Tabelle über einen einzigen eindeutigen Index verfügt, müssen alle Spalten des eindeutigen Index dem zusätzlichen Protokoll hinzugefügt werden.

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG GROUP LogGroupName (UniqueIndexColumn1[, UniqueIndexColumn2] ...) ALWAYS;

     Die Verwendung von SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS fügt die Spalten des eindeutigen Index dem Protokoll nicht hinzu.

   • Wenn kein Primärschlüssel vorhanden ist und die Tabelle mehrere eindeutige Indizes hat, AWS DMS wird der erste eindeutige Index in einer alphabetisch aufsteigenden Liste ausgewählt. Sie müssen die zusätzliche Protokollierung für die Spalten des ausgewählten Index wie im vorherigen Punkt hinzufügen.

     Die Verwendung von SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS fügt die Spalten des eindeutigen Index dem Protokoll nicht hinzu.

   • Wenn kein Primärschlüssel vorhanden ist und kein eindeutiger Index vorhanden ist, fügen Sie die zusätzliche Protokollierung für alle Spalten hinzu.

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG DATA (ALL) COLUMNS;

     In einigen Fällen können der Primärschlüssel oder der eindeutige Index der Zieltabelle und der Primärschlüssel oder der eindeutige Index der Quelltabelle unterschiedlich sein. Fügen Sie in diesen Fällen die zusätzliche Protokollierung manuell für die Spalten der Quelltabelle hinzu, die den Primärschlüssel oder den eindeutigen Index der Zieltabelle darstellen.

     Wenn Sie den Primärschlüssel der Zieltabelle ändern, sollten Sie die zusätzliche Protokollierung für die Spalten des eindeutigen Zielindex hinzufügen, anstatt für die Spalten des Primärschlüssels oder des eindeutigen Index der Quelle.

So konfigurieren Sie eine Oracle-Standby-Instance bei Verwendung von Binary Reader für CDC als Quelle

1. Erteilen Sie zusätzliche Berechtigungen, die für den Zugriff auf Standby-Protokolldateien erforderlich sind.

   GRANT SELECT ON v_$standby_log TO db_user;

2. Erstellen Sie mithilfe der AWS Management Console oder der AWS CLI einen Quellendpunkt für Oracle Standby. Geben Sie die folgenden zusätzlichen Verbindungsattribute an, wenn Sie den Endpunkt erstellen.

   useLogminerReader=N;useBfile=Y;

   Anmerkung

   In können Sie zusätzliche Verbindungsattribute verwenden AWS DMS, um anzugeben, ob Sie aus den Archivprotokollen statt aus den Redo-Logs migrieren möchten. Weitere Informationen finden Sie unter Endpunkteinstellungen bei Verwendung von Oracle als Quelle für AWS DMS.

3. Konfigurieren Sie das Ziel für archivierte Protokolle.

   Der DMS-Binary-Reader für Oracle-Quellen ohne ASM verwendet Oracle-Verzeichnisse, um auf archivierte Redo-Protokolle zuzugreifen. Wenn Ihre Datenbank so konfiguriert ist, dass Fast Recovery Area (FRA) als Ziel für Archivprotokolle verwendet wird, ist der Speicherort der Archiv-Redo-Dateien nicht konstant. An jedem Tag, an dem archivierte Redo-Protokolle generiert werden, wird in der FRA ein neues Verzeichnis mit dem Verzeichnisnamenformat JJJJ_MM_TT erstellt. Beispielsweise:

   DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD

   Wenn DMS Zugriff auf archivierte Redo-Dateien im neu erstellten FRA-Verzeichnis benötigt und die Primärdatenbank mit Lese-/Schreibzugriff als Quelle verwendet wird, erstellt DMS wie folgt ein neues Oracle-Verzeichnis oder ersetzt ein vorhandenes Oracle-Verzeichnis.

   CREATE OR REPLACE DIRECTORY dmsrep_taskid AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD’;

   Wenn die Standby-Datenbank als Quelle verwendet wird, kann DMS das Oracle-Verzeichnis nicht erstellen oder ersetzen, da sich die Datenbank im schreibgeschützten Modus befindet. Sie können jedoch einen dieser zusätzlichen Schritte ausführen:

   1. Ändern Sie log_archive_dest_id_1 so, dass ein tatsächlicher Pfad anstelle von FRA in einer solchen Konfiguration verwendet wird, damit Oracle keine täglichen Unterverzeichnisse erstellt:

      ALTER SYSTEM SET log_archive_dest_1=’LOCATION=full directory path’

      Erstellen Sie dann ein Oracle-Verzeichnisobjekt, das von DMS verwendet werden soll:

      CREATE OR REPLACE DIRECTORY dms_archived_logs AS ‘full directory path’;

   2. Erstellen Sie ein zusätzliches Archivprotokollziel und ein Oracle-Verzeichnisobjekt, das auf dieses Ziel verweist. Beispielsweise:

      ALTER SYSTEM SET log_archive_dest_3=’LOCATION=full directory path’; 
      CREATE DIRECTORY dms_archived_log AS ‘full directory path’;
      

      Fügen Sie dann dem Quellendpunkt der Aufgabe ein zusätzliches Verbindungsattribut hinzu:

      archivedLogDestId=3

   3. Erstellen Sie vorab manuell Oracle-Verzeichnisobjekte, die von DMS verwendet werden sollen.

      CREATE DIRECTORY dms_archived_log_20210301 AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/2021_03_01’;
      CREATE DIRECTORY dms_archived_log_20210302 AS ‘DB_RECOVERY_FILE_DEST>/SID>/archivelog/2021_03_02’; 
      ...
      

   4. Erstellen Sie einen Oracle-Scheduler-Auftrag, der täglich ausgeführt wird und das erforderliche Verzeichnis erstellt.

So konfigurieren Sie eine von OCI gehostete benutzerverwaltete Oracle-Datenbank als Quelle für die Erfassung von Datenänderungen

1. Erteilen Sie erforderliche Benutzerkontoberechtigungen für eine benutzerverwaltete Quelldatenbank in OCI. Weitere Informationen finden Sie unter Account privileges for a self-managed Oracle source endpoint.

2. Erteilen Sie Kontoberechtigungen, die bei Verwendung von Binary Reader für den Zugriff auf die Redo-Protokolle erforderlich sind. Weitere Informationen finden Sie unter Erforderliche Kontoberechtigungen bei Verwendung von Binary Reader.

3. Fügen Sie Kontoberechtigungen hinzu, die bei Verwendung von Binary Reader mit Oracle Automatic Storage Management (ASM) erforderlich sind. Weitere Informationen finden Sie unter Erforderliche zusätzliche Kontoberechtigungen bei Verwendung von Binary Reader mit Oracle ASM.

4. Richten Sie die zusätzliche Protokollierung ein. Weitere Informationen finden Sie unter Einrichten der zusätzlichen Protokollierung.

5. Richten Sie die TDE-Verschlüsselung ein. Weitere Informationen finden Sie unter Verschlüsselungsmethoden bei Verwendung einer Oracle-Datenbank als Quellendpunkt.

1. Erstellen Sie einen Datenbank-Link mit dem Namen AWSDMS_DBLINK in der Primärdatenbank. DMS_USER verwendet den Datenbank-Link, um eine Verbindung mit der Primärdatenbank herzustellen. Beachten Sie, dass der Datenbank-Link von der Standby-Instance aus ausgeführt wird, um die offenen Transaktionen abzufragen, die in der Primärdatenbank ausgeführt werden. Sehen Sie sich das folgende -Beispiel an.

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';         
           

2. Stellen Sie sicher, dass die Verbindung mit dem Datenbank-Link über DMS_USER hergestellt ist, wie im folgenden Beispiel dargestellt.

   select 1 from dual@AWSDMS_DBLINK

So richten Sie die Archivierung ein:

1. Führen Sie den rdsadmin.rdsadmin_util.set_configuration Befehl aus, um die Archivierung einzurichten.

   Führen Sie beispielsweise den folgenden Befehl aus, um die archivierten Redo-Protokolle 24 Stunden lang beizubehalten.

   exec rdsadmin.rdsadmin_util.set_configuration('archivelog retention hours',24);
   commit;                      

   Anmerkung

   Das Commit muss durchgeführt werden, damit Änderungen wirksam werden.

2. Stellen Sie sicher, dass Ihr Speicherplatz für die archivierten Redo-Protokolle im angegebenen Zeitraum ausreicht. Wenn Ihr Speicherzeitraum beispielsweise 24 Stunden beträgt, berechnen Sie die Gesamtgröße Ihrer kumulierten archivierten Redo-Protokolle über eine typische Stunde Transaktionsverarbeitung und multiplizieren Sie diese Summe mit 24. Vergleichen Sie diese berechnete Summe für 24 Stunden mit Ihrem verfügbaren Speicherplatz und entscheiden Sie, ob Sie über genügend Speicherplatz für eine 24-Stunden-Transaktionsverarbeitung verfügen.

So richten Sie die zusätzliche Protokollierung ein:

1. Führen Sie den folgenden Befehl aus, um die zusätzliche Protokollierung auf Datenbankebene zu aktivieren.

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD');

2. Führen Sie den folgenden Befehl aus, um die zusätzliche Protokollierung für den Primärschlüssel zu aktivieren.

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD','PRIMARY KEY');

3. (Optional) Aktivieren Sie die zusätzliche Schlüsselebenen-Protokollierung auf Tabellenebene.

   Für die Quelldatenbank entsteht ein wenig Mehraufwand, wenn die zusätzliche Schlüsselebenen-Protokollierung aktiviert ist. Wenn Sie nur eine Teilmenge Ihrer Tabellen migrieren, sollten Sie daher die zusätzliche Schlüsselebenen-Protokollierung auf Tabellenebene aktivieren. Führen Sie den folgenden Befehl aus, um die zusätzliche Schlüsselebenen-Protokollierung auf Tabellenebene zu aktivieren.

   alter table table_name add supplemental log data (PRIMARY KEY) columns;

So konfigurieren Sie CDC mit dem Binary Reader:

1. Melden Sie sich als Hauptbenutzer bei Ihrer Quelldatenbank in Amazon RDS für Oracle an und führen Sie die folgenden gespeicherten Prozeduren aus, um die Verzeichnisse auf Serverebene zu erstellen.

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

2. Erteilen Sie dem Oracle-Benutzerkonto, das für den Zugriff auf den Oracle-Quellendpunkt verwendet wird, die folgenden Berechtigungen.

   GRANT READ ON DIRECTORY ONLINELOG_DIR TO db_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR TO db_user;

3. Legen Sie die folgenden zusätzlichen Verbindungsattribute für den Oracle-Quellendpunkt in Amazon RDS fest:

   • Legen Sie für die RDS-Oracle-Versionen 11.2 und 12.1 Folgendes fest.

     useLogminerReader=N;useBfile=Y;accessAlternateDirectly=false;useAlternateFolderForOnline=true;
     oraclePathPrefix=/rdsdbdata/db/{$DATABASE_NAME}_A/;usePathPrefix=/rdsdbdata/log/;replacePathPrefix=true;

   • Legen Sie für die RDS-Oracle-Versionen 12.2, 18.0 und 19.0 Folgendes fest.

     useLogminerReader=N;useBfile=Y;

So konfigurieren Sie RDS für Oracle Standby bei Verwendung von Binary Reader für CDC als Quelle

1. Melden Sie sich als Hauptbenutzer bei der primären RDS-für-Oracle-Instance an.

2. Führen Sie die folgenden gespeicherten Prozeduren wie im Benutzerhandbuch für Amazon RDS beschrieben aus, um die Verzeichnisse auf Serverebene zu erstellen.

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

3. Identifizieren Sie die in Schritt 2 erstellten Verzeichnisse.

   SELECT directory_name, directory_path FROM all_directories
   WHERE directory_name LIKE ( 'ARCHIVELOG_DIR_%' )
           OR directory_name LIKE ( 'ONLINELOG_DIR_%' )
   

   Mit dem obigen Code wird beispielsweise eine Liste von Verzeichnissen wie die folgende angezeigt.

   

4. Erteilen Sie dem Oracle-Benutzerkonto, das für den Zugriff auf Oracle Standby verwendet wird, die Berechtigung Read für die oben genannten Verzeichnisse.

   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_A TO db_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_B TO db_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_A TO db_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_B TO db_user;
   

5. Führen Sie einen Archivprotokoll-Wechsel auf der primären Instance durch. Dadurch wird sichergestellt, dass die Änderungen an ALL_DIRECTORIES auch in Oracle Standby portiert werden.

6. Führen Sie die Abfrage ALL_DIRECTORIES für Oracle Standby aus, um zu bestätigen, dass die Änderungen übernommen wurden.

7. Erstellen Sie mithilfe der AWS DMS Management Console oder AWS Command Line Interface (AWS CLI) einen Quellendpunkt für den Oracle Standby. Geben Sie die folgenden zusätzlichen Verbindungsattribute an, während Sie den Endpunkt erstellen.

   useLogminerReader=N;useBfile=Y;archivedLogDestId=1;additionalArchivedLogDestId=2

8. Nachdem Sie den Endpunkt erstellt haben, verwenden Sie die Option Endpunktverbindung testen auf der Seite Endpunkt erstellen der Konsole oder verwenden Sie den AWS CLI test-connection Befehl, um zu überprüfen, ob die Konnektivität hergestellt ist.

So verwenden Sie eine vorhandene Oracle-Client-Installation für Oracle-SSL mit AWS DMS

1. Legen Sie die ORACLE_HOME-Systemvariable auf den Speicherort Ihres dbhome_1-Verzeichnisses fest, indem Sie den folgenden Befehl ausführen.

   
   prompt>export ORACLE_HOME=/home/user/app/user/product/12.1.0/dbhome_1                        
   

2. $ORACLE_HOME/lib an die LD_LIBRARY_PATH-Systemvariable anhängen.

   
   prompt>export LD_LIBRARY_PATH=$LD_LIBRARY_PATH:$ORACLE_HOME/lib                        
   

3. Erstellen Sie ein Oracle Wallet unter $ORACLE_HOME/ssl_wallet.

   
   prompt>mkdir $ORACLE_HOME/ssl_wallet
   

4. Legen Sie die CA-Zertifikatdatei .pem im Verzeichnis ssl_wallet ab. Wenn Sie Amazon RDS verwenden, können Sie die von Amazon RDS gehostete CA-Stammzertifikatdatei rds-ca-2015-root.pem verwenden. Weitere Informationen zum Herunterladen dieser Datei finden Sie unter Verwenden von SSL/TLS für die Verschlüsselung einer Verbindung zu einer DB-Instance im Benutzerhandbuch für Amazon RDS.

5. Führen Sie die folgenden Befehle zur Oracle Wallet-Erstellung aus.

   
   prompt>orapki wallet create -wallet $ORACLE_HOME/ssl_wallet -auto_login_only
   prompt>orapki wallet add -wallet $ORACLE_HOME/ssl_wallet -trusted_cert -cert 
      $ORACLE_HOME/ssl_wallet/ca-cert.pem -auto_login_only                            
                           

Um ein selbstsigniertes Zertifikat für Oracle SSL zu verwenden mit AWS DMS

1. Erstellen Sie ein Verzeichnis für die Arbeit mit dem selbstsignierten Zertifikat.

   mkdir -p /u01/app/oracle/self_signed_cert
   

2. Wechseln Sie in das Verzeichnis, das Sie im vorherigen Schritt erstellt haben.

   cd /u01/app/oracle/self_signed_cert
   

3. Erstellen Sie einen Stammschlüssel.

   openssl genrsa -out self-rootCA.key 2048
   

4. Signieren Sie selbst ein Stammzertifikat mithilfe des Stammschlüssels, den Sie im vorherigen Schritt erstellt haben.

   openssl req -x509 -new -nodes -key self-rootCA.key 
           -sha256 -days 3650 -out self-rootCA.pem
   

   Verwenden Sie Eingabeparameter wie die folgenden:

   • Country Name (2 letter code) [XX], z. B.: AU

   • State or Province Name (full name) [], z. B.: NSW

   • Locality Name (e.g., city) [Default City], z. B.: Sydney

   • Organization Name (e.g., company) [Default Company Ltd], z. B.: AmazonWebService

   • Organizational Unit Name (e.g., section) [], z. B.: DBeng

   • Common Name (e.g., your name or your server's hostname) [], z. B.: aws

   • Email Address [], z. B.: abcd.efgh@amazonwebservice.com

5. Erstellen Sie ein Oracle Wallet-Verzeichnis für die Oracle-Datenbank.

   mkdir -p /u01/app/oracle/wallet
   

6. Erstellen Sie ein neues Oracle Wallet.

   orapki wallet create -wallet "/u01/app/oracle/wallet" -pwd oracle123 -auto_login_local
   

7. Fügen Sie das Stammzertifikat dem Oracle Wallet hinzu.

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 -trusted_cert 
   -cert /u01/app/oracle/self_signed_cert/self-rootCA.pem
   

8. Listen Sie den Inhalt des Oracle Wallet auf. Die Liste sollte das Stammzertifikat enthalten.

   orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123
   

   Dies könnte beispielsweise wie folgt angezeigt werden.

   Requested Certificates:
   User Certificates:
   Trusted Certificates:
   Subject:        CN=aws,OU=DBeng,O= AmazonWebService,L=Sydney,ST=NSW,C=AU
   

9. Generieren Sie die CSR (Certificate Signing Request) mithilfe des ORAPKI-Dienstprogramms.

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 
   -dn "CN=aws" -keysize 2048 -sign_alg sha256
   

10. Führen Sie den folgenden Befehl aus.

    openssl pkcs12 -in /u01/app/oracle/wallet/ewallet.p12 -nodes -out /u01/app/oracle/wallet/nonoracle_wallet.pem
    

    Es wird eine Ausgabe ähnlich der folgenden erstellt.

    Enter Import Password:
    MAC verified OK
    Warning unsupported bag type: secretBag
    

11. Legen Sie "dms" als allgemeinen Namen fest.

    openssl req -new -key /u01/app/oracle/wallet/nonoracle_wallet.pem -out certdms.csr
    

    Verwenden Sie Eingabeparameter wie die folgenden:

    • Country Name (2 letter code) [XX], z. B.: AU

    • State or Province Name (full name) [], z. B.: NSW

    • Locality Name (e.g., city) [Default City], z. B.: Sydney

    • Organization Name (e.g., company) [Default Company Ltd], z. B.: AmazonWebService

    • Organizational Unit Name (e.g., section) [], z. B.: aws

    • Common Name (e.g., your name or your server's hostname) [], z. B.: aws

    • Email Address [], z. B.: abcd.efgh@amazonwebservice.com

    Stellen Sie sicher, dass dies nicht mit Schritt 4 identisch ist. Dazu können Sie beispielsweise den Namen der Organisationseinheit in einen anderen Namen ändern, wie in der Abbildung gezeigt.

    Geben Sie die folgenden zusätzlichen Attribute ein, die zusammen mit Ihrer Zertifikatsanforderung gesendet werden sollen.

    • A challenge password [], z. B.: oracle123

    • An optional company name [], z. B.: aws

12. Rufen Sie die Zertifikatsignatur ab.

    openssl req -noout -text -in certdms.csr | grep -i signature
    

    Der Signaturschlüssel für diesen Beitrag lautet sha256WithRSAEncryption.

13. Führen Sie den folgenden Befehl aus, um die Zertifikatdatei (.crt) zu erstellen.

    openssl x509 -req -in certdms.csr -CA self-rootCA.pem -CAkey self-rootCA.key 
    -CAcreateserial -out certdms.crt -days 365 -sha256
    

    Es wird eine Ausgabe ähnlich der folgenden erstellt.

    Signature ok
    subject=/C=AU/ST=NSW/L=Sydney/O=awsweb/OU=DBeng/CN=aws
    Getting CA Private Key
    

14. Fügen Sie das Zertifikat dem Wallet hinzu.

    orapki wallet add -wallet /u01/app/oracle/wallet -pwd oracle123 -user_cert -cert certdms.crt
    

15. Sehen Sie sich das Wallet an. Es sollte zwei Einträge aufweisen. Siehe den folgenden Code.

    orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123
    

16. Konfigurieren Sie die sqlnet.ora-Datei ($ORACLE_HOME/network/admin/sqlnet.ora).

    WALLET_LOCATION =
       (SOURCE =
         (METHOD = FILE)
         (METHOD_DATA =
           (DIRECTORY = /u01/app/oracle/wallet/)
         )
       ) 
    
    SQLNET.AUTHENTICATION_SERVICES = (NONE)
    SSL_VERSION = 1.0
    SSL_CLIENT_AUTHENTICATION = FALSE
    SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA)
    

17. Beenden Sie den Oracle Listener.

    lsnrctl stop

18. Fügen Sie Einträge für SSL in der listener.ora-Datei ($ORACLE_HOME/network/admin/listener.ora) hinzu.

    SSL_CLIENT_AUTHENTICATION = FALSE
    WALLET_LOCATION =
      (SOURCE =
        (METHOD = FILE)
        (METHOD_DATA =
          (DIRECTORY = /u01/app/oracle/wallet/)
        )
      )
    
    SID_LIST_LISTENER =
     (SID_LIST =
      (SID_DESC =
       (GLOBAL_DBNAME = SID)
       (ORACLE_HOME = ORACLE_HOME)
       (SID_NAME = SID)
      )
     )
    
    LISTENER =
      (DESCRIPTION_LIST =
        (DESCRIPTION =
          (ADDRESS = (PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
          (ADDRESS = (PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
          (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC1521))
        )
      )
    

19. Konfigurieren Sie die tnsnames.ora-Datei ($ORACLE_HOME/network/admin/tnsnames.ora).

    <SID>=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )
    
    <SID>_ssl=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )
    

20. Starten Sie den Oracle Listener neu.

    lsnrctl start

21. Zeigen Sie den Status des Oracle Listener an.

    lsnrctl status

22. Testen Sie die SSL-Verbindung zu der Datenbank von "localhost" mithilfe von sqlplus und dem SSL-Eintrag "tnsnames".

    sqlplus -L ORACLE_USER@SID_ssl

23. Überprüfen Sie, dass Sie sich erfolgreich mithilfe von SSL verbunden haben.

    SELECT SYS_CONTEXT('USERENV', 'network_protocol') FROM DUAL;
    
    SYS_CONTEXT('USERENV','NETWORK_PROTOCOL')
    --------------------------------------------------------------------------------
    tcps
    

24. Wechseln Sie zu dem Verzeichnis mit dem selbstsignierten Zertifikat.

    cd /u01/app/oracle/self_signed_cert

25. Erstellen Sie ein neues Client-Oracle-Wallet AWS DMS , das Sie verwenden können.

    orapki wallet create -wallet ./ -auto_login_only

26. Fügen Sie das selbstsignierte Stammzertifikat dem Oracle Wallet hinzu.

    orapki wallet add -wallet ./ -trusted_cert -cert self-rootCA.pem -auto_login_only

27. Listet den Inhalt des AWS DMS zu verwendenden Oracle-Wallets auf. Die Liste sollte das selbstsignierte Stammzertifikat enthalten.

    orapki wallet display -wallet ./

    Es wird eine Ausgabe ähnlich der folgenden erstellt.

    Trusted Certificates:
    Subject:        CN=aws,OU=DBeng,O=AmazonWebService,L=Sydney,ST=NSW,C=AU
    

28. Laden Sie das Oracle-Wallet hoch, das Sie gerade erstellt haben AWS DMS.

So identifizieren Sie den Verschlüsselungsschlüssel und das Passwort für die TDE-Verschlüsselung und geben diese an

1. Führen Sie die folgende Abfrage aus, um das Oracle-Verschlüsselungs-Wallet auf dem Oracle-Datenbank-Host zu ermitteln.

   SQL> SELECT WRL_PARAMETER FROM V$ENCRYPTION_WALLET;
   
   WRL_PARAMETER
   --------------------------------------------------------------------------------
   /u01/oracle/product/12.2.0/dbhome_1/data/wallet/

   Hier ist /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ der Wallet-Speicherort.

2. Rufen Sie die Masterschlüssel-ID mit einer der folgenden Verschlüsselungsoptionen ab, je nachdem, welche diesen Wert zurückgibt.

   1. Führen Sie für die Verschlüsselung auf Tabellen- oder Spaltenebene die folgenden Abfragen aus.

      SQL> SELECT OBJECT_ID FROM ALL_OBJECTS 
      WHERE OWNER='DMS_USER' AND OBJECT_NAME='TEST_TDE_COLUMN' AND OBJECT_TYPE='TABLE';
      
      OBJECT_ID
      ---------------
      81046
      SQL> SELECT MKEYID FROM SYS.ENC$ WHERE OBJ#=81046;
      
      MKEYID
      ------------
      AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

      Hier ist AWGDC9glSk8Xv+3bVveiVSg die Masterschlüssel-ID (MKEYID). Wenn Sie einen Wert für MKEYID erhalten, können Sie mit Schritt 3 fortfahren. Fahren Sie andernfalls mit Schritt 2.2 fort.

      Anmerkung

      Die angehängten Zeichen 'A' in der Zeichenkette (AAA...) sind nicht Teil des Werts.

   2. Führen Sie für die Verschlüsselung auf Tablespace-Ebene die folgenden Abfragen aus.

      SQL> SELECT TABLESPACE_NAME, ENCRYPTED FROM dba_tablespaces;
      TABLESPACE_NAME                ENC
      ------------------------------ ---
      SYSTEM                         NO
      SYSAUX                         NO
      UNDOTBS1                       NO
      TEMP                           NO
      USERS                          NO
      TEST_ENCRYT                    YES
      SQL> SELECT name,utl_raw.cast_to_varchar2( utl_encode.base64_encode('01'||substr(mkeyid,1,4))) || utl_raw.cast_to_varchar2( utl_encode.base64_encode(substr(mkeyid,5,length(mkeyid)))) masterkeyid_base64
      FROM (SELECT t.name, RAWTOHEX(x.mkid) mkeyid FROM v$tablespace t, x$kcbtek x WHERE t.ts#=x.ts#)
      WHERE name = 'TEST_ENCRYT';
      
      NAME                           MASTERKEYID_BASE64
      ------------------------------ ----------------------------------
      TEST_ENCRYT                    AWGDC9glSk8Xv+3bVveiVSg=
      

      Hier ist AWGDC9glSk8Xv+3bVveiVSg die Masterschlüssel-ID (TEST_ENCRYT). Wenn die Schritte 2.1 und 2.2 beide einen Wert zurückgeben, sind diese immer identisch.

      Das angehängte Zeichen '=' ist nicht Teil des Werts.

3. Listen Sie über die Befehlszeile die Einträge des Verschlüsselungs-Wallets auf dem Oracle-Quelldatenbank-Host auf.

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -list
   Oracle Secret Store entries:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.MASTERKEY
   ORACLE.SECURITY.ID.ENCRYPTION.
   ORACLE.SECURITY.KB.ENCRYPTION.
   ORACLE.SECURITY.KM.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   

   Suchen Sie den Eintrag, der die Masterschlüssel-ID enthält, die Sie in Schritt 2 (AWGDC9glSk8Xv+3bVveiVSg) ermittelt haben. Dieser Eintrag ist der Name des TDE-Verschlüsselungsschlüssels.

4. Sehen Sie sich die Details des Eintrags an, den Sie im vorherigen Schritt ermittelt haben.

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -viewEntry ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   Oracle Secret Store Tool : Version 12.2.0.1.0
   Copyright (c) 2004, 2016, Oracle and/or its affiliates. All rights reserved.
   Enter wallet password:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA = AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   Geben Sie das Wallet-Passwort ein, um das Ergebnis anzuzeigen.

   Hier ist der Wert rechts von '=' das TDE-Passwort.

5. Geben Sie den Namen des TDE-Verschlüsselungsschlüssels für den Oracle-Quellendpunkt an, indem Sie das zusätzliche Verbindungsattribut securityDbEncryptionName festlegen.

   securityDbEncryptionName=ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

6. Geben Sie das zugehörige TDE-Passwort für diesen Schlüssel in der Konsole als Teil des Passwort-Werts der Oracle-Quelle ein. Verwenden Sie die folgende Reihenfolge, um die durch Kommata getrennten Passwortwerte zu formatieren, endend mit dem Wert des TDE-Passworts.

   Oracle_db_password,ASM_Password,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   Geben Sie die Passwortwerte in dieser Reihenfolge an, unabhängig von Ihrer Oracle-Datenbankkonfiguration. Wenn Sie beispielsweise TDE verwenden, Ihre Oracle-Datenbank jedoch nicht ASM verwendet, geben Sie die Passwortwerte in der folgenden Reihenfolge an, durch Kommata getrennt.

   Oracle_db_password,,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==