AWS DMSのソースとしての Oracle データベースの使用

1. プライマリデータベースに AWSDMS_DBLINK という名前のデータベースリンクを作成します。 DMS_USER は、データベースリンクを使用してプライマリデータベースに接続します。このデータベースリンクは、プライマリデータベースで実行されるオープントランザクションをクエリするためにスタンバイインスタンスから実行されることに注意します。次の例を参照してください。

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';         
           

2. 次の例に示されるとおり、DMS_USER を使用したデータベースリンクへの接続が確立されていることを確認します。

   select 1 from dual@AWSDMS_DBLINK

サプリメンタル ログをマニュアルでセットアップするには

1. 次のクエリを実行して、データベースのサプリメンタル ログが有効になっていることを確認します。

   SELECT supplemental_log_data_min FROM v$database;

   返される結果が YES または IMPLICIT の場合は、データベースのサプリメンタル ログは有効です。

   そうなっていなければ、次のコマンドを実行して、データベースのサプリメンタル ログを有効にします。

   ALTER DATABASE ADD SUPPLEMENTAL LOG DATA;

2. 必要なサプリメンタル ログがレプリケートされたテーブルごとに追加されていることを確認します。

   以下の点を考慮します。

   • ALL COLUMNS サプリメンタル ログがテーブルに追加済みなら、その追加は不要です。

   • プライマリキーが存在する場合は、プライマリキーのサプリメンタルロギングを追加します。これを行うには、プライマリキーにサプリメンタル ログを追加する形式を使用するか、サプリメンタル ログをデータベースのプライマリキー列に追加します。

     ALTER TABLE Tablename ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;
     ALTER DATABASE ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;

   • プライマリキーが存在せず、テーブルに一意のインデックスが 1 つある場合、一意のインデックスのすべての列をサプリメンタルログに追加します。

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG GROUP LogGroupName (UniqueIndexColumn1[, UniqueIndexColumn2] ...) ALWAYS;

     SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS を使用しても、一意のインデックス列はログに追加されません。

   • プライマリキーが存在しず、テーブルに複数の一意のインデックスがある場合、 はアルファベット順に並べられた昇順リストで最初の一意のインデックス AWS DMS を選択します。前の項目と同様に、選択したインデックスの列にサプリメンタル ログを追加する必要があります。

     SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS を使用しても、一意のインデックス列はログに追加されません。

   • プライマリキーが存在せず、一意のインデックスがない場合は、すべての列にサプリメンタルロギングを追加します。

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG DATA (ALL) COLUMNS;

     場合によっては、ターゲットテーブルのプライマリキーまたは一意のインデックスは、ソーステーブルのプライマリキーまたは一意のインデックスと異なります。その場合、ターゲット テーブルのプライマリ キーまたは一意のインデックスを構成するソース テーブル列でサプリメンタル ログを手動で追加します。

     ターゲットテーブルのプライマリキーを変更する場合、ソースプライマリキーまたは一意のインデックスではなく、ターゲットの一意のインデックスの列にサプリメンタルロギングを追加する必要があります。

CDC 用 Binary Reader を使用するときにソースとして Oracle スタンバイインスタンスを設定するには

1. スタンバイ ログファイルへのアクセスに必要な追加の権限を付与します。

   GRANT SELECT ON v_$standby_log TO db_user;

2. AWS Management Console または AWS CLIを使用して、Oracle スタンバイのソースエンドポイントを作成します。エンドポイントを作成する場合、次の追加の接続属性を指定します。

   useLogminerReader=N;useBfile=Y;

   注記

   では AWS DMS、追加の接続属性を使用して、REDO ログの代わりにアーカイブログから移行するかどうかを指定できます。詳細については、「のソースとして Oracle を使用する場合のエンドポイント設定 AWS DMS」を参照してください。

3. アーカイブログの保存先を設定します。

   ASM を使用しない Oracle ソースの DMS Binary Reader は、Oracle ディレクトリを使用してアーカイブの REDO ログにアクセスします。データベースがアーカイブログの宛先として高速リカバリ領域 (FRA) を使用するように設定されている場合、アーカイブ REDO ファイルの場所は一定ではありません。アーカイブ REDO ログが毎日生成されると、YYYY_MM_DD 形式のディレクトリ名を使用して、FRA に新しいディレクトリが作成されます。例:

   DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD

   DMS が新しく作成された FRA ディレクトリ内のアーカイブ REDOファイルにアクセスする必要があり、プライマリの読み取り/書き込みデータベースがソースとして使用されている場合、DMS は次のとおり新しい Oracle ディレクトリを作成するか、既存の Oracle ディレクトリを置き換えます。

   CREATE OR REPLACE DIRECTORY dmsrep_taskid AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD’;

   スタンバイデータベースがソースとして使用されている場合、データベースは読み取り専用モードであるため、DMS は Oracle ディレクトリを作成または置換できません。ただし、次の追加手順のいずれかを実行できます。

   1. Oracle が毎日サブディレクトリを作成しない設定の場合、FRA の代わりに実際のパスを使用するように log_archive_dest_id_1 を変更します。

      ALTER SYSTEM SET log_archive_dest_1=’LOCATION=full directory path’

      次に、DMS が使用する Oracle ディレクトリオブジェクトを作成します。

      CREATE OR REPLACE DIRECTORY dms_archived_logs AS ‘full directory path’;

   2. 追加のアーカイブログの保存先と、その保存先を指す Oracle ディレクトリオブジェクトを作成します。例:

      ALTER SYSTEM SET log_archive_dest_3=’LOCATION=full directory path’; 
      CREATE DIRECTORY dms_archived_log AS ‘full directory path’;
      

      次に、タスクのソースエンドポイントに追加の接続属性を追加します。

      archivedLogDestId=3

   3. DMS で使用する Oracle ディレクトリオブジェクトを手動で事前作成します。

      CREATE DIRECTORY dms_archived_log_20210301 AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/2021_03_01’;
      CREATE DIRECTORY dms_archived_log_20210302 AS ‘DB_RECOVERY_FILE_DEST>/SID>/archivelog/2021_03_02’; 
      ...
      

   4. 毎日実行され、必要なディレクトリを作成する Oracle スケジューラジョブを作成します。

OCI でホストされるユーザー管理の Oracleデータベースを変更データキャプチャのソースとして設定するには

1. OCI 上のユーザーマネージドの Oracle ソースデータベースに必要なユーザーアカウントアクセス権限を付与します。詳細については、「Account privileges for a self-managed Oracle source endpoint」を参照してください。

2. Binary Reader を使用して REDO ログにアクセスする際に必要なアカウントアクセス権限を付与します。詳細については、「Account privileges required when using Binary Reader」を参照してください。

3. Oracle Automatic Storage Management (ASM)で Binary Reader を使用する場合に必要なアカウントアクセス権限を追加します。詳細については、「Additional account privileges required when using Binary Reader with Oracle ASM」を参照してください。

4. サプリメンタルロギングをセットアップします。詳細については、「Setting up supplemental logging」を参照してください。

5. TDE 暗号化を設定します。詳細については、「Encryption methods when using an Oracle database as a source endpoint」を参照してください。

1. プライマリデータベースに AWSDMS_DBLINK という名前のデータベースリンクを作成します。 DMS_USER は、データベースリンクを使用してプライマリデータベースに接続します。このデータベースリンクは、プライマリデータベースで実行されるオープントランザクションをクエリするためにスタンバイインスタンスから実行されることに注意します。次の例を参照してください。

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';         
           

2. 次の例に示されるとおり、DMS_USER を使用したデータベースリンクへの接続が確立されていることを確認します。

   select 1 from dual@AWSDMS_DBLINK

アーカイブを設定するには

1. rdsadmin.rdsadmin_util.set_configuration コマンドを実行してアーカイブをセットアップします。

   たとえば、アーカイブされた REDO ログを 24 時間保持するには、次のコマンドを実行します。

   exec rdsadmin.rdsadmin_util.set_configuration('archivelog retention hours',24);
   commit;                      

   注記

   変更を反映するにはコミットが必要です。

2. 指定された保持期間中、アーカイブされた REDO ログのための十分な容量がストレージにあることを確認します。たとえば、保持期間が 24 時間の場合は、通常のトランザクション処理時間における累積アーカイブ REDO ログの合計サイズを計算し、その合計に 24 を掛けます。この計算された 24 時間の合計と、使用可能なストレージ容量を比較し、24 時間のトランザクション処理を処理するのに十分なストレージ領域があるかどうかを判断します。

サプリメンタルロギングをセットアップするには

1. データベース レベルでサプリメンタル ログを有効にするには、次のコマンドを実行します。

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD');

2. 次のコマンドを実行してプライマリ キー列のサプリメンタル ログを有効にします。

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD','PRIMARY KEY');

3. (オプション) テーブル レベルでキーレベルのサプリメンタル ログを有効にします。

   キーレベルのサプリメンタル ログを有効にすると、ソースデータベースで多少のオーバーヘッドが生じます。したがって、テーブルのサブセットのみを移行する場合は、テーブルレベルでのサプリメンタル ログを有効にすることをお勧めします。キーレベルのサプリメンタル ログをテーブル レベルで有効にするには、次のコマンドを使用します。

   alter table table_name add supplemental log data (PRIMARY KEY) columns;

Binary Reader を使用して CDC を設定するには

1. Amazon RDS for Oracle ソース データベースにマスターユーザーとしてログインし、次のストアド プロシージャを実行してサーバーレベル ディレクトリを作成します。

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

2. Oracle ユーザーアカウントに、Oracle ソース エンドポイントにアクセスするための以下の権限を付与します。

   GRANT READ ON DIRECTORY ONLINELOG_DIR TO db_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR TO db_user;

3. Amazon RDS Oracle ソースエンドポイントで、次の追加の接続属性を設定します。

   • RDS Oracle バージョン 11.2 と 12.1 では、次のように設定します。

     useLogminerReader=N;useBfile=Y;accessAlternateDirectly=false;useAlternateFolderForOnline=true;
     oraclePathPrefix=/rdsdbdata/db/{$DATABASE_NAME}_A/;usePathPrefix=/rdsdbdata/log/;replacePathPrefix=true;

   • RDS Oracle バージョン 12.2、18.0、19.0 では、次のように設定します。

     useLogminerReader=N;useBfile=Y;

CDC 用 Binary Reader を使用するときにソースとして RDS for Oracle スタンバイを設定するには

1. RDS for Oracle のプライマリインスタンスに管理ユーザーとしてサインインします。

2. Amazon RDS ユーザーガイドに記載されている次のストアドプロシージャを実行して、サーバーレベル ディレクトリを作成します。

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

3. ステップ 2 で作成したディレクトリを特定します。

   SELECT directory_name, directory_path FROM all_directories
   WHERE directory_name LIKE ( 'ARCHIVELOG_DIR_%' )
           OR directory_name LIKE ( 'ONLINELOG_DIR_%' )
   

   たとえば、前述のコードでは、次のようなディレクトリの一覧が表示されます。

   

4. Oracle スタンバイにアクセスするために使用する Oracle ユーザーアカウントに対する前述のディレクトリに対する Read の権限を許可します。

   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_A TO db_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_B TO db_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_A TO db_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_B TO db_user;
   

5. プライマリ インスタンスでアーカイブ ログ スイッチを実行します。これを行うと、ALL_DIRECTORIES の変更が Oracle スタンバイにも移植されることを確認します。

6. ALL_DIRECTORIES Oracle Standby でクエリを実行して、変更が適用されたことを確認します。

7. マネジメントコンソールまたは AWS Command Line Interface () を使用して、Oracle スタンバイの AWS DMS ソースエンドポイントを作成しますAWS CLI。エンドポイントの作成時に、次の追加の接続属性を指定します。

   useLogminerReader=N;useBfile=Y;archivedLogDestId=1;additionalArchivedLogDestId=2

8. エンドポイントを作成したら、コンソールのエンドポイントの作成ページでエンドポイント接続のテストを使用するか、 AWS CLI test-connection コマンドを使用して接続が確立されていることを確認します。

AWS DMSで Oracle SSL に既存の Oracle クライアントインストールを使用するには

1. 以下のコマンドを実行して、ORACLE_HOME システム変数を dbhome_1 ディレクトリの場所に設定します。

   
   prompt>export ORACLE_HOME=/home/user/app/user/product/12.1.0/dbhome_1                        
   

2. $ORACLE_HOME/lib を LD_LIBRARY_PATH システム変数に追加します。

   
   prompt>export LD_LIBRARY_PATH=$LD_LIBRARY_PATH:$ORACLE_HOME/lib                        
   

3. $ORACLE_HOME/ssl_wallet に Oracle Wallet のディレクトリを作成します。

   
   prompt>mkdir $ORACLE_HOME/ssl_wallet
   

4. CA 証明書ファイル .pem を ssl_wallet ディレクトリに配置します。Amazon RDS を使用する場合は、Amazon RDS によってホストされる rds-ca-2015-root.pem ルート CA 証明書ファイルをダウンロードできます。このファイルのダウンロード方法については、Amazon RDS ユーザーガイド‭ の「SSL/TLS を使用した DB インスタンス接続の暗号化」をご参照ください。

5. 以下のコマンドを実行して Oracle Wallet を作成します。

   
   prompt>orapki wallet create -wallet $ORACLE_HOME/ssl_wallet -auto_login_only
   prompt>orapki wallet add -wallet $ORACLE_HOME/ssl_wallet -trusted_cert -cert 
      $ORACLE_HOME/ssl_wallet/ca-cert.pem -auto_login_only                            
                           

で Oracle SSL の自己署名証明書を使用するには AWS DMS

1. 自己署名証明書で使用するディレクトリを作成します。

   mkdir -p /u01/app/oracle/self_signed_cert
   

2. 前の手順で作成したディレクトリに移動します。

   cd /u01/app/oracle/self_signed_cert
   

3. ルートキーを作成します。

   openssl genrsa -out self-rootCA.key 2048
   

4. 前の手順で作成したルートキーを使用して、ルート証明書に自己署名します。

   openssl req -x509 -new -nodes -key self-rootCA.key 
           -sha256 -days 3650 -out self-rootCA.pem
   

   次のような、入力パラメーターを使用します。

   • Country Name (2 letter code) [XX]。例: AU

   • State or Province Name (full name) []。例: NSW

   • Locality Name (e.g., city) [Default City]。例: Sydney

   • Organization Name (e.g., company) [Default Company Ltd]。例: AmazonWebService

   • Organizational Unit Name (e.g., section) []。例: DBeng

   • Common Name (e.g., your name or your server's hostname) []。例: aws

   • Email Address []、例えば:abcd.efgh@amazonwebservice.com

5. Oracle データベース用の Oracle ウォレットディレクトリを作成します。

   mkdir -p /u01/app/oracle/wallet
   

6. 新しい Oracle ウォレットを作成します。

   orapki wallet create -wallet "/u01/app/oracle/wallet" -pwd oracle123 -auto_login_local
   

7. Oracle ウォレットにルート証明書を追加します。

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 -trusted_cert 
   -cert /u01/app/oracle/self_signed_cert/self-rootCA.pem
   

8. Oracle ウォレットの内容のリストを表示します。リストにはルート証明書が含まれます。

   orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123
   

   たとえば、次のような表示となることがあります。

   Requested Certificates:
   User Certificates:
   Trusted Certificates:
   Subject:        CN=aws,OU=DBeng,O= AmazonWebService,L=Sydney,ST=NSW,C=AU
   

9. ORAPKI ユーティリティを使用して証明書署名リクエスト (CSR) を生成します。

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 
   -dn "CN=aws" -keysize 2048 -sign_alg sha256
   

10. 以下のコマンドを実行します。

    openssl pkcs12 -in /u01/app/oracle/wallet/ewallet.p12 -nodes -out /u01/app/oracle/wallet/nonoracle_wallet.pem
    

    これにより次のような出力が生成されます。

    Enter Import Password:
    MAC verified OK
    Warning unsupported bag type: secretBag
    

11. 共通名として「dms」を指定します。

    openssl req -new -key /u01/app/oracle/wallet/nonoracle_wallet.pem -out certdms.csr
    

    次のような、入力パラメーターを使用します。

    • Country Name (2 letter code) [XX]。例: AU

    • State or Province Name (full name) []。例: NSW

    • Locality Name (e.g., city) [Default City]。例: Sydney

    • Organization Name (e.g., company) [Default Company Ltd]。例: AmazonWebService

    • Organizational Unit Name (e.g., section) []。例: aws

    • Common Name (e.g., your name or your server's hostname) []。例: aws

    • Email Address []、例えば:abcd.efgh@amazonwebservice.com

    これがステップ 4 と同じでないことを確認してください。たとえば、組織単位名を図のように別の名前に変更することで、これを行うことができます。

    証明書要求とともに送信する追加属性を入力します。

    • A challenge password []。例: oracle123

    • An optional company name []。例: aws

12. 証明書の署名を取得します。

    openssl req -noout -text -in certdms.csr | grep -i signature
    

    この投稿の署名キーは sha256WithRSAEncryption となります。

13. 次のコマンドを実行して、証明書 (.crt) ファイルを生成します。

    openssl x509 -req -in certdms.csr -CA self-rootCA.pem -CAkey self-rootCA.key 
    -CAcreateserial -out certdms.crt -days 365 -sha256
    

    これにより次のような出力が生成されます。

    Signature ok
    subject=/C=AU/ST=NSW/L=Sydney/O=awsweb/OU=DBeng/CN=aws
    Getting CA Private Key
    

14. 証明書をウォレットに追加します。

    orapki wallet add -wallet /u01/app/oracle/wallet -pwd oracle123 -user_cert -cert certdms.crt
    

15. ウォレットを見る。エントリが 2 つあるはずです。次のコードが表示されます。

    orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123
    

16. sqlnet.ora ファイル ($ORACLE_HOME/network/admin/sqlnet.ora) を設定します。

    WALLET_LOCATION =
       (SOURCE =
         (METHOD = FILE)
         (METHOD_DATA =
           (DIRECTORY = /u01/app/oracle/wallet/)
         )
       ) 
    
    SQLNET.AUTHENTICATION_SERVICES = (NONE)
    SSL_VERSION = 1.0
    SSL_CLIENT_AUTHENTICATION = FALSE
    SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA)
    

17. Oracle リスナーを停止します。

    lsnrctl stop

18. listener.ora ファイル ($ORACLE_HOME/network/admin/listener.ora) に SSL のエントリを追加します。

    SSL_CLIENT_AUTHENTICATION = FALSE
    WALLET_LOCATION =
      (SOURCE =
        (METHOD = FILE)
        (METHOD_DATA =
          (DIRECTORY = /u01/app/oracle/wallet/)
        )
      )
    
    SID_LIST_LISTENER =
     (SID_LIST =
      (SID_DESC =
       (GLOBAL_DBNAME = SID)
       (ORACLE_HOME = ORACLE_HOME)
       (SID_NAME = SID)
      )
     )
    
    LISTENER =
      (DESCRIPTION_LIST =
        (DESCRIPTION =
          (ADDRESS = (PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
          (ADDRESS = (PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
          (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC1521))
        )
      )
    

19. tnsnames.ora ファイル ($ORACLE_HOME/network/admin/tnsnames.ora) を設定します。

    <SID>=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )
    
    <SID>_ssl=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )
    

20. Oracle リスナーを再起動します。

    lsnrctl start

21. Oracle リスナーの状態を表示します。

    lsnrctl status

22. sqlplus と SSL tnsnames エントリを使用して、localhost からデータベースへの SSL 接続をテストします。

    sqlplus -L ORACLE_USER@SID_ssl

23. SSL を使用して正常に接続したことを確認します。

    SELECT SYS_CONTEXT('USERENV', 'network_protocol') FROM DUAL;
    
    SYS_CONTEXT('USERENV','NETWORK_PROTOCOL')
    --------------------------------------------------------------------------------
    tcps
    

24. 現在のディレクトリを自己署名証明書のあるディレクトリに変更します。

    cd /u01/app/oracle/self_signed_cert

25. AWS DMS が使用する新しいクライアント Oracle ウォレットを作成します。

    orapki wallet create -wallet ./ -auto_login_only

26. Oracle ウォレットに自己署名証明書を追加します。

    orapki wallet add -wallet ./ -trusted_cert -cert self-rootCA.pem -auto_login_only

27. AWS DMS が使用する Oracle ウォレットの内容を一覧表示します。リストには自己署名証明書が含まれます。

    orapki wallet display -wallet ./

    これにより次のような出力が生成されます。

    Trusted Certificates:
    Subject:        CN=aws,OU=DBeng,O=AmazonWebService,L=Sydney,ST=NSW,C=AU
    

28. 先ほど作成した Oracle ウォレットを にアップロードします AWS DMS。

TDE 暗号化の暗号化キーとパスワードを識別して指定するには

1. 次のクエリを実行して、Oracle データベースホスト上の Oracle 暗号化ウォレットを検索します。

   SQL> SELECT WRL_PARAMETER FROM V$ENCRYPTION_WALLET;
   
   WRL_PARAMETER
   --------------------------------------------------------------------------------
   /u01/oracle/product/12.2.0/dbhome_1/data/wallet/

   ここでは /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ がウォレットの場所です。

2. この値を返すものに応じて、次のいずれかの暗号化オプションを使用してマスター キー ID を取得します。

   1. テーブルレベルまたは列レベルの暗号化の場合は、次のクエリを実行します。

      SQL> SELECT OBJECT_ID FROM ALL_OBJECTS 
      WHERE OWNER='DMS_USER' AND OBJECT_NAME='TEST_TDE_COLUMN' AND OBJECT_TYPE='TABLE';
      
      OBJECT_ID
      ---------------
      81046
      SQL> SELECT MKEYID FROM SYS.ENC$ WHERE OBJ#=81046;
      
      MKEYID
      ------------
      AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

      ここでは AWGDC9glSk8Xv+3bVveiVSg がマスターキー ID (MKEYID) です。MKEYID の値が得られたら、ステップ 3 に進むことができます。それ以外の場合は、ステップ 2.2 に進みます。

      注記

      末尾の文字列 'A' 文字 (AAA...) は値の一部ではありません。

   2. テーブルスペース レベルの暗号化の場合は、次のクエリを実行します。

      SQL> SELECT TABLESPACE_NAME, ENCRYPTED FROM dba_tablespaces;
      TABLESPACE_NAME                ENC
      ------------------------------ ---
      SYSTEM                         NO
      SYSAUX                         NO
      UNDOTBS1                       NO
      TEMP                           NO
      USERS                          NO
      TEST_ENCRYT                    YES
      SQL> SELECT name,utl_raw.cast_to_varchar2( utl_encode.base64_encode('01'||substr(mkeyid,1,4))) || utl_raw.cast_to_varchar2( utl_encode.base64_encode(substr(mkeyid,5,length(mkeyid)))) masterkeyid_base64
      FROM (SELECT t.name, RAWTOHEX(x.mkid) mkeyid FROM v$tablespace t, x$kcbtek x WHERE t.ts#=x.ts#)
      WHERE name = 'TEST_ENCRYT';
      
      NAME                           MASTERKEYID_BASE64
      ------------------------------ ----------------------------------
      TEST_ENCRYT                    AWGDC9glSk8Xv+3bVveiVSg=
      

      ここでは AWGDC9glSk8Xv+3bVveiVSg がマスターキー ID (TEST_ENCRYT) です。ステップ 2.1 と 2.2 の両方が値を返す場合、それらは常に同一です。

      末尾の '='文 字は値の一部ではありません。

3. コマンド・ラインから、ソース Oracle データベース ホスト上の暗号化ウォレット エントリをリストします。

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -list
   Oracle Secret Store entries:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.MASTERKEY
   ORACLE.SECURITY.ID.ENCRYPTION.
   ORACLE.SECURITY.KB.ENCRYPTION.
   ORACLE.SECURITY.KM.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   

   ステップ 2 (AWGDC9glSk8Xv+3bVveiVSg) で確認したマスター キー ID を含むエントリを検索します。このエントリは TDE 暗号化キー名です。

4. 前のステップで検索したエントリの詳細を表示します。

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -viewEntry ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   Oracle Secret Store Tool : Version 12.2.0.1.0
   Copyright (c) 2004, 2016, Oracle and/or its affiliates. All rights reserved.
   Enter wallet password:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA = AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   ウォレット パスワードを入力して結果を確認します。

   ここで、'=' の右にある値は TDE パスワードです。

5. Oracle ソース エンドポイントの TDE 暗号化キー名を指定するには、securityDbEncryptionName 追加の接続属性を設定します。

   securityDbEncryptionName=ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

6. Oracle ソースパスワード値の一部としてコンソールでこのキーに関連付けられた TDE パスワードを入力します。パスワード値。TDE パスワード値で終わるコンマ区切りのパスワード値をフォーマットするには、次の順序を使用します。

   Oracle_db_password,ASM_Password,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   Oracle データベースの設定に関係なく、この順序でパスワード値を指定します。たとえば、TDE を使用していて Oracle データベースで ASM を使用していない場合、関連するパスワード値をカンマで区切って次の順序で指定します。

   Oracle_db_password,,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==