Utilizzo di un database Oracle come origine per AWS DMS

1. Crea un collegamento di database denominato AWSDMS_DBLINK nel database primario. DMS_USER utilizzerà il collegamento per connettersi al database primario. Tieni presente che il collegamento di database viene eseguito dall'istanza di standby per eseguire query sulle transazioni aperte in esecuzione nel database primario. Guarda l'esempio seguente.

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';         
           

2. Verifica che sia stata stabilita la connessione al collegamento di database usando DMS_USER, come illustrato nell'esempio seguente.

   select 1 from dual@AWSDMS_DBLINK

Per impostare manualmente il log supplementare

1. Esegui la seguente query per verificare che il log supplementare sia abilitato sul database.

   SELECT supplemental_log_data_min FROM v$database;

   Se il risultato restituito è YES o IMPLICIT, il log supplementare è abilitato sul database.

   In caso contrario, abilita il log supplementare sul database eseguendo il seguente comando.

   ALTER DATABASE ADD SUPPLEMENTAL LOG DATA;

2. Assicurati che venga aggiunto il log supplementare richiesto per ogni tabella replicata.

   Considera i seguenti aspetti:

   • Se alla tabella viene aggiunto il log supplementare ALL COLUMNS, non è necessario aggiungere altri log.

   • Se esiste una chiave primaria, aggiungi il log supplementare per la chiave primaria. Puoi eseguire questa operazione utilizzando il formato per aggiungere il log supplementare sulla chiave primaria oppure aggiungendo il log supplementare sulle colonne della chiave primaria nel database.

     ALTER TABLE Tablename ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;
     ALTER DATABASE ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;

   • Se non esiste una chiave primaria e la tabella dispone di un unico indice univoco, aggiungi tutte le colonne dell'indice univoco ai log supplementari.

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG GROUP LogGroupName (UniqueIndexColumn1[, UniqueIndexColumn2] ...) ALWAYS;

     L'utilizzo di SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS non aggiunge le colonne dell'indice univoco ai log.

   • Se non esiste una chiave primaria e la tabella ha più indici univoci, AWS DMS seleziona il primo indice univoco in un elenco crescente in ordine alfabetico. È necessario aggiungere un log supplementare sulle colonne dell'indice selezionato come nell'elemento precedente.

     L'utilizzo di SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS non aggiunge le colonne dell'indice univoco ai log.

   • Se non esiste una chiave primaria e non esiste un indice univoco, aggiungere il log supplementare su tutte le colonne.

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG DATA (ALL) COLUMNS;

     In alcuni casi, la chiave primaria o l'indice univoco della tabella di destinazione sono diversi da quelli della tabella di origine. In questi casi, aggiungi il log supplementare sulle colonne della tabella di origine che compongono la chiave primaria o l'indice univoco.

     Se modifichi la chiave primaria della tabella di destinazione, è necessario aggiungere il log supplementare sulle colonne dell'indice selezionato invece che sulle colonne della chiave primaria o dell'indice univoco originali.

Per configurare un'istanza Oracle Standby come origine quando si utilizza Binary Reader per l'attività di CDC

1. Concedi i privilegi aggiuntivi necessari per accedere ai file di log in standby.

   GRANT SELECT ON v_$standby_log TO db_user;

2. Crea un endpoint di origine per Oracle Standby utilizzando AWS Management Console o AWS CLI. Al momento della creazione dell'endpoint, specifica i seguenti attributi aggiuntivi di connessione.

   useLogminerReader=N;useBfile=Y;

   Nota

   In AWS DMS, è possibile utilizzare attributi di connessione aggiuntivi per specificare se si desidera migrare dai log di archivio anziché dai redo log. Per ulteriori informazioni, consulta Impostazioni degli endpoint quando si utilizza Oracle come fonte per AWS DMS.

3. Configura la destinazione dei log archiviati.

   DMS Binary Reader per l'origine Oracle senza ASM utilizza le directory Oracle per accedere ai log redo archiviati. Se il database è configurato per utilizzare la Fast Recovery Area (FRA) come destinazione dei log di archiviazione, la posizione dei file di archivio di riesecuzione non è costante. Ogni giorno in cui vengono generati i log redo archiviati, viene creata una nuova directory nella FRA, utilizzando il formato del nome di directory AAAA_MM_GG. Per esempio:

   DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD

   Quando DMS deve accedere ai redo file archiviati nella directory FRA appena creata e il database primario di lettura/scrittura viene utilizzato come origine, DMS crea una nuova directory Oracle o sostituisce una directory Oracle esistente, come segue.

   CREATE OR REPLACE DIRECTORY dmsrep_taskid AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD’;

   Quando il database in standby viene utilizzato come origine, DMS non è in grado di creare o sostituire la directory Oracle perché il database è in modalità di sola lettura. Tuttavia, è possibile scegliere di eseguire una di queste fasi aggiuntive:

   1. Modifica log_archive_dest_id_1 per utilizzare un percorso effettivo anziché l'area FRA in una configurazione tale che Oracle non crei giornalmente sottodirectory:

      ALTER SYSTEM SET log_archive_dest_1=’LOCATION=full directory path’

      Quindi, crea un oggetto directory Oracle da utilizzare con DMS:

      CREATE OR REPLACE DIRECTORY dms_archived_logs AS ‘full directory path’;

   2. Crea una destinazione aggiuntiva per il log di archiviazione e un oggetto directory Oracle che punti a tale destinazione. Per esempio:

      ALTER SYSTEM SET log_archive_dest_3=’LOCATION=full directory path’; 
      CREATE DIRECTORY dms_archived_log AS ‘full directory path’;
      

      Quindi aggiungi un attributo aggiuntivo di connessione all'endpoint di origine dell'attività:

      archivedLogDestId=3

   3. Crea manualmente in anticipo gli oggetti directory Oracle da utilizzare con DMS.

      CREATE DIRECTORY dms_archived_log_20210301 AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/2021_03_01’;
      CREATE DIRECTORY dms_archived_log_20210302 AS ‘DB_RECOVERY_FILE_DEST>/SID>/archivelog/2021_03_02’; 
      ...
      

   4. Crea un processo di pianificazione Oracle che venga eseguito quotidianamente e crei la directory richiesta.

Per configurare un database Oracle gestito dall'utente ospitato da OCI come origine per l'acquisizione dei dati di modifica

1. Concedi i privilegi dell'account utente necessari per un database di origine Oracle gestito dall'utente su OCI. Per ulteriori informazioni, consulta Privilegi dell'account per un endpoint di origine Oracle autogestito.

2. Concedi i privilegi dell'account necessari quando utilizzi Binary Reader per accedere ai log redo. Per ulteriori informazioni, consulta Account privileges required when using Binary Reader.

3. Aggiungi i privilegi dell'account necessari quando utilizzi Binary Reader con Oracle Automatic Storage Management (ASM). Per ulteriori informazioni, consulta Additional account privileges required when using Binary Reader with Oracle ASM.

4. Imposta il log supplementare. Per ulteriori informazioni, consulta Setting up supplemental logging.

5. Configura la crittografia TDE. Per ulteriori informazioni, consulta Encryption methods when using an Oracle database as a source endpoint.

1. Crea un collegamento di database denominato AWSDMS_DBLINK nel database primario. DMS_USER utilizzerà il collegamento per connettersi al database primario. Tieni presente che il collegamento di database viene eseguito dall'istanza di standby per eseguire query sulle transazioni aperte in esecuzione nel database primario. Guarda l'esempio seguente.

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';         
           

2. Verifica che sia stata stabilita la connessione al collegamento di database usando DMS_USER, come illustrato nell'esempio seguente.

   select 1 from dual@AWSDMS_DBLINK

Per impostare l'archiviazione

1. Per impostare l'archiviazione eseguire il comando rdsadmin.rdsadmin_util.set_configuration.

   Ad esempio, per mantenere i log redo archiviati per 24 ore, esegui il seguente comando.

   exec rdsadmin.rdsadmin_util.set_configuration('archivelog retention hours',24);
   commit;                      

   Nota

   Il commit è necessario per rendere effettiva la modifica.

2. Assicurati che lo spazio di storage sia sufficiente per i log redo archiviati durante il periodo di conservazione specificato. Ad esempio, se il periodo di conservazione è 24 ore, calcola la dimensione totale dei log redo archiviati accumulati in un'ora di elaborazione tipica delle transazioni e moltiplica il totale per 24. Confronta il totale calcolato su 24 ore con lo spazio di storage disponibile e decidi se disponi di spazio di storage sufficiente per gestire un'intera elaborazione delle transazioni di 24 ore.

Per impostare il log supplementare

1. Per abilitare il log supplementare a livello di database, esegui il comando riportato di seguito.

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD');

2. Esegui il comando riportato di seguito per abilitare il log supplementare della chiave primaria.

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD','PRIMARY KEY');

3. (Facoltativo) Abilita il log supplementare della chiave a livello di tabella.

   Nel database di origine si verificherà un leggero sovraccarico quando il log supplementare della chiave è abilitato. Pertanto, se esegui solo la migrazione di un sottoinsieme di tabelle, puoi abilitare il log supplementare della chiave a livello di tabella. Per abilitare il log supplementare della chiave a livello di tabella, esegui il comando riportato di seguito.

   alter table table_name add supplemental log data (PRIMARY KEY) columns;

Per configurare CDC utilizzando Binary Reader

1. Accedi al database di origine Amazon RDS per Oracle come utente master ed esegui le seguenti stored procedure per creare le directory a livello di server.

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

2. Concedi i seguenti privilegi all'account utente Oracle che viene utilizzato per accedere all'endpoint di origine Oracle.

   GRANT READ ON DIRECTORY ONLINELOG_DIR TO db_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR TO db_user;

3. Imposta i seguenti attributi aggiuntivi di connessione sull'endpoint di origine Amazon RDS per Oracle.

   • Per RDS per Oracle versioni 11.2 e 12.1, imposta quanto segue.

     useLogminerReader=N;useBfile=Y;accessAlternateDirectly=false;useAlternateFolderForOnline=true;
     oraclePathPrefix=/rdsdbdata/db/{$DATABASE_NAME}_A/;usePathPrefix=/rdsdbdata/log/;replacePathPrefix=true;

   • Per RDS per Oracle versioni 12.2, 18.0 e 19.0, imposta quanto segue.

     useLogminerReader=N;useBfile=Y;

Per configurare un'istanza RDS per Oracle Standby come origine quando si utilizza Binary Reader per l'attività di CDC

1. Accedi all'istanza primaria RDS per Oracle come utente master.

2. Esegui le seguenti stored procedure come documentato nella Guida per l'utente di Amazon RDS per creare le directory a livello di server.

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

3. Identifica le directory create nella fase 2.

   SELECT directory_name, directory_path FROM all_directories
   WHERE directory_name LIKE ( 'ARCHIVELOG_DIR_%' )
           OR directory_name LIKE ( 'ONLINELOG_DIR_%' )
   

   Ad esempio, il codice precedente visualizza un elenco di directory come il seguente.

   

4. Concedi il privilegio Read sulle directory precedenti all'account utente Oracle utilizzato per accedere a Oracle Standby.

   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_A TO db_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_B TO db_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_A TO db_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_B TO db_user;
   

5. Applica un'opzione del log di archiviazione all'istanza principale. In questo modo le modifiche a ALL_DIRECTORIES vengano trasferite anche in Oracle Standby.

6. Esegui una query ALL_DIRECTORIES su Oracle Standby per verificare che le modifiche siano state applicate.

7. Crea un endpoint di origine per Oracle Standby utilizzando la AWS DMS Management Console o AWS Command Line Interface ().AWS CLI Al momento della creazione dell'endpoint, specifica i seguenti attributi aggiuntivi di connessione.

   useLogminerReader=N;useBfile=Y;archivedLogDestId=1;additionalArchivedLogDestId=2

8. Dopo aver creato l'endpoint, utilizzare Test endpoint connection nella pagina Crea endpoint della console o il AWS CLI test-connection comando per verificare che la connettività sia stabilita.

Per utilizzare un'installazione client Oracle esistente per SSL Oracle con AWS DMS

1. Impostare la variabile di sistema ORACLE_HOME sulla posizione della directory dbhome_1 eseguendo il comando seguente.

   
   prompt>export ORACLE_HOME=/home/user/app/user/product/12.1.0/dbhome_1                        
   

2. Aggiungere $ORACLE_HOME/lib alla variabile di sistema LD_LIBRARY_PATH.

   
   prompt>export LD_LIBRARY_PATH=$LD_LIBRARY_PATH:$ORACLE_HOME/lib                        
   

3. Crea una directory per il wallet Oracle nel percorso $ORACLE_HOME/ssl_wallet.

   
   prompt>mkdir $ORACLE_HOME/ssl_wallet
   

4. Inserire il file .pem del certificato CA nella directory ssl_wallet. Se si utilizza Amazon RDS, è possibile scaricare il file del certificato CA root rds-ca-2015-root.pem ospitato da Amazon RDS. Per ulteriori informazioni sul download di questo file, consulta Utilizzo di SSL/TLS per crittografare una connessione a un'istanza database nella Guida per l'utente di Amazon RDS.

5. Esegui i comandi seguenti per creare il wallet Oracle.

   
   prompt>orapki wallet create -wallet $ORACLE_HOME/ssl_wallet -auto_login_only
   prompt>orapki wallet add -wallet $ORACLE_HOME/ssl_wallet -trusted_cert -cert 
      $ORACLE_HOME/ssl_wallet/ca-cert.pem -auto_login_only                            
                           

Per utilizzare un certificato autofirmato per Oracle SSL con AWS DMS

1. Creare una directory da utilizzare con il certificato autofirmato.

   mkdir -p /u01/app/oracle/self_signed_cert
   

2. Passare alla directory creata nella fase precedente.

   cd /u01/app/oracle/self_signed_cert
   

3. Creare una chiave root.

   openssl genrsa -out self-rootCA.key 2048
   

4. Autofirmare un certificato root utilizzando la chiave root creata nel passaggio precedente.

   openssl req -x509 -new -nodes -key self-rootCA.key 
           -sha256 -days 3650 -out self-rootCA.pem
   

   Utilizza i parametri di input, come i seguenti.

   • Country Name (2 letter code) [XX], ad esempio: AU

   • State or Province Name (full name) [], ad esempio: NSW

   • Locality Name (e.g., city) [Default City], ad esempio: Sydney

   • Organization Name (e.g., company) [Default Company Ltd], ad esempio: AmazonWebService

   • Organizational Unit Name (e.g., section) [], ad esempio: DBeng

   • Common Name (e.g., your name or your server's hostname) [], ad esempio: aws

   • Email Address [], ad esempio: abcd.efgh@amazonwebservice.com

5. Creare una directory per il wallet Oracle per il database Oracle.

   mkdir -p /u01/app/oracle/wallet
   

6. Creare un nuovo wallet Oracle.

   orapki wallet create -wallet "/u01/app/oracle/wallet" -pwd oracle123 -auto_login_local
   

7. Aggiungere il certificato root al wallet Oracle.

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 -trusted_cert 
   -cert /u01/app/oracle/self_signed_cert/self-rootCA.pem
   

8. Elencare i contenuti del wallet Oracle. L'elenco deve includere il certificato root.

   orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123
   

   Ad esempio, potrebbe essere visualizzato in modo simile a quanto segue.

   Requested Certificates:
   User Certificates:
   Trusted Certificates:
   Subject:        CN=aws,OU=DBeng,O= AmazonWebService,L=Sydney,ST=NSW,C=AU
   

9. Generare la richiesta di firma del certificato (CSR) utilizzando l'utility ORAPKI.

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 
   -dn "CN=aws" -keysize 2048 -sign_alg sha256
   

10. Esegui il comando seguente.

    openssl pkcs12 -in /u01/app/oracle/wallet/ewallet.p12 -nodes -out /u01/app/oracle/wallet/nonoracle_wallet.pem
    

    Ciò produce un output simile al seguente.

    Enter Import Password:
    MAC verified OK
    Warning unsupported bag type: secretBag
    

11. Utilizzare "dms" come nome comune.

    openssl req -new -key /u01/app/oracle/wallet/nonoracle_wallet.pem -out certdms.csr
    

    Utilizza i parametri di input, come i seguenti.

    • Country Name (2 letter code) [XX], ad esempio: AU

    • State or Province Name (full name) [], ad esempio: NSW

    • Locality Name (e.g., city) [Default City], ad esempio: Sydney

    • Organization Name (e.g., company) [Default Company Ltd], ad esempio: AmazonWebService

    • Organizational Unit Name (e.g., section) [], ad esempio: aws

    • Common Name (e.g., your name or your server's hostname) [], ad esempio: aws

    • Email Address [], ad esempio: abcd.efgh@amazonwebservice.com

    Assicurati che non siano uguali a quelli della fase 4. Puoi, ad esempio, modificare il nome dell'unità organizzativa usando un nome diverso, come illustrato.

    Inserisci gli attributi aggiuntivi seguenti da inviare con la richiesta di certificato.

    • A challenge password [], ad esempio: oracle123

    • An optional company name [], ad esempio: aws

12. Ottenere la firma del certificato.

    openssl req -noout -text -in certdms.csr | grep -i signature
    

    La chiave di firma per questo post è sha256WithRSAEncryption.

13. Utilizza il comando seguente per generare il file di certificato (.crt).

    openssl x509 -req -in certdms.csr -CA self-rootCA.pem -CAkey self-rootCA.key 
    -CAcreateserial -out certdms.crt -days 365 -sha256
    

    Ciò produce un output simile al seguente.

    Signature ok
    subject=/C=AU/ST=NSW/L=Sydney/O=awsweb/OU=DBeng/CN=aws
    Getting CA Private Key
    

14. Aggiungere il certificato al wallet.

    orapki wallet add -wallet /u01/app/oracle/wallet -pwd oracle123 -user_cert -cert certdms.crt
    

15. Visualizza il wallet. È composto da due voci. Consulta il seguente codice.

    orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123
    

16. Configurare il file sqlnet.ora ($ORACLE_HOME/network/admin/sqlnet.ora).

    WALLET_LOCATION =
       (SOURCE =
         (METHOD = FILE)
         (METHOD_DATA =
           (DIRECTORY = /u01/app/oracle/wallet/)
         )
       ) 
    
    SQLNET.AUTHENTICATION_SERVICES = (NONE)
    SSL_VERSION = 1.0
    SSL_CLIENT_AUTHENTICATION = FALSE
    SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA)
    

17. Interrompere il listener Oracle.

    lsnrctl stop

18. Aggiungere voci per SSL nel file listener.ora ($ORACLE_HOME/network/admin/listener.ora).

    SSL_CLIENT_AUTHENTICATION = FALSE
    WALLET_LOCATION =
      (SOURCE =
        (METHOD = FILE)
        (METHOD_DATA =
          (DIRECTORY = /u01/app/oracle/wallet/)
        )
      )
    
    SID_LIST_LISTENER =
     (SID_LIST =
      (SID_DESC =
       (GLOBAL_DBNAME = SID)
       (ORACLE_HOME = ORACLE_HOME)
       (SID_NAME = SID)
      )
     )
    
    LISTENER =
      (DESCRIPTION_LIST =
        (DESCRIPTION =
          (ADDRESS = (PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
          (ADDRESS = (PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
          (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC1521))
        )
      )
    

19. Configurare il file tnsnames.ora ($ORACLE_HOME/network/admin/tnsnames.ora).

    <SID>=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )
    
    <SID>_ssl=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )
    

20. Riavviare il listener Oracle.

    lsnrctl start

21. Mostrare lo stato del listener Oracle.

    lsnrctl status

22. Verificare la connessione SSL al database da localhost utilizzando sqlplus e la voce SSL tnsnames.

    sqlplus -L ORACLE_USER@SID_ssl

23. Verificare che la connessione sia stabilita utilizzando SSL.

    SELECT SYS_CONTEXT('USERENV', 'network_protocol') FROM DUAL;
    
    SYS_CONTEXT('USERENV','NETWORK_PROTOCOL')
    --------------------------------------------------------------------------------
    tcps
    

24. Modificare la directory nella directory con il certificato autofirmato.

    cd /u01/app/oracle/self_signed_cert

25. Crea un nuovo portafoglio client Oracle AWS DMS da utilizzare.

    orapki wallet create -wallet ./ -auto_login_only

26. Aggiungere il certificato root autofirmato al wallet Oracle.

    orapki wallet add -wallet ./ -trusted_cert -cert self-rootCA.pem -auto_login_only

27. Elenca il contenuto del portafoglio Oracle AWS DMS da utilizzare. L'elenco deve includere il certificato root autofirmato.

    orapki wallet display -wallet ./

    Ciò produce un output simile al seguente.

    Trusted Certificates:
    Subject:        CN=aws,OU=DBeng,O=AmazonWebService,L=Sydney,ST=NSW,C=AU
    

28. Carica il portafoglio Oracle su cui hai appena creato AWS DMS.

Per identificare e specificare la chiave di crittografia e la password per la crittografia TDE

1. Esegui la seguente query per trovare il wallet di crittografia Oracle nell'host di database Oracle.

   SQL> SELECT WRL_PARAMETER FROM V$ENCRYPTION_WALLET;
   
   WRL_PARAMETER
   --------------------------------------------------------------------------------
   /u01/oracle/product/12.2.0/dbhome_1/data/wallet/

   Qui, /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ è la posizione del wallet.

2. Ottieni l'ID della chiave master utilizzando una delle seguenti opzioni di crittografia, a seconda di quale restituisce questo valore.

   1. Per la crittografia a livello di tabella o colonna, esegui le seguenti query.

      SQL> SELECT OBJECT_ID FROM ALL_OBJECTS 
      WHERE OWNER='DMS_USER' AND OBJECT_NAME='TEST_TDE_COLUMN' AND OBJECT_TYPE='TABLE';
      
      OBJECT_ID
      ---------------
      81046
      SQL> SELECT MKEYID FROM SYS.ENC$ WHERE OBJ#=81046;
      
      MKEYID
      ------------
      AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

      Qui, AWGDC9glSk8Xv+3bVveiVSg è l'ID della chiave master (MKEYID). Se ottieni un valore per MKEYID, puoi continuare con la fase 3. In caso contrario, passa alla fase 2.

      Nota

      Il carattere 'A' della stringa finale (AAA...) non fa parte del valore.

   2. Per la crittografia a livello di spazio di tabella, esegui le seguenti query.

      SQL> SELECT TABLESPACE_NAME, ENCRYPTED FROM dba_tablespaces;
      TABLESPACE_NAME                ENC
      ------------------------------ ---
      SYSTEM                         NO
      SYSAUX                         NO
      UNDOTBS1                       NO
      TEMP                           NO
      USERS                          NO
      TEST_ENCRYT                    YES
      SQL> SELECT name,utl_raw.cast_to_varchar2( utl_encode.base64_encode('01'||substr(mkeyid,1,4))) || utl_raw.cast_to_varchar2( utl_encode.base64_encode(substr(mkeyid,5,length(mkeyid)))) masterkeyid_base64
      FROM (SELECT t.name, RAWTOHEX(x.mkid) mkeyid FROM v$tablespace t, x$kcbtek x WHERE t.ts#=x.ts#)
      WHERE name = 'TEST_ENCRYT';
      
      NAME                           MASTERKEYID_BASE64
      ------------------------------ ----------------------------------
      TEST_ENCRYT                    AWGDC9glSk8Xv+3bVveiVSg=
      

      Qui, AWGDC9glSk8Xv+3bVveiVSg è l'ID della chiave master (TEST_ENCRYT). Se entrambe le fasi 2.1 e 2.2 restituiscono un valore, sono sempre identici.

      Il carattere '=' finale non fa parte del valore.

3. Dalla riga di comando, elenca le voci del wallet di crittografia sull'host di database Oracle di origine.

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -list
   Oracle Secret Store entries:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.MASTERKEY
   ORACLE.SECURITY.ID.ENCRYPTION.
   ORACLE.SECURITY.KB.ENCRYPTION.
   ORACLE.SECURITY.KM.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   

   Trova la voce contenente l'ID della chiave master che hai trovato nella fase 2 (AWGDC9glSk8Xv+3bVveiVSg). Questa voce è il nome della chiave di crittografia TDE.

4. Visualizza i dettagli della voce trovata nella fase precedente.

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -viewEntry ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   Oracle Secret Store Tool : Version 12.2.0.1.0
   Copyright (c) 2004, 2016, Oracle and/or its affiliates. All rights reserved.
   Enter wallet password:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA = AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   Inserisci la password del wallet per vedere il risultato.

   Qui, il valore a destra di '=' è la password TDE.

5. Specifica il nome della chiave di crittografia TDE per l'endpoint di origine Oracle impostando l'attributo aggiuntivo di connessione securityDbEncryptionName.

   securityDbEncryptionName=ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

6. Fornisci la password TDE associata a questa chiave sulla console come parte del valore Password dell'origine Oracle. Utilizza l'ordine seguente per formattare i valori delle password separati da virgole, terminati dal valore della password TDE.

   Oracle_db_password,ASM_Password,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   Specificare i valori della password in questo ordine indipendentemente dalla configurazione del database Oracle. Ad esempio, se si utilizza TDE ma il database Oracle non utilizza ASM, specifica i valori delle password nel seguente ordine separato da virgole.

   Oracle_db_password,,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==