Oracle 데이터베이스를 AWS DMS에서 소스로 사용

1. 기본 데이터베이스에 AWSDMS_DBLINK라는 데이터베이스 링크를 생성합니다. DMS_USER는 이 데이터베이스 링크를 사용하여 기본 데이터베이스에 연결합니다. 이 데이터베이스 링크는 대기 인스턴스에서 실행되어 기본 데이터베이스에서 실행 중인 열린 트랜잭션을 쿼리합니다. 다음 예를 참조하세요.

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';         
           

2. 다음 예제와 같이 DMS_USER를 사용하여 데이터베이스 링크에 연결되었는지 확인합니다.

   select 1 from dual@AWSDMS_DBLINK

수동으로 보충 로깅을 설정하려면

1. 다음 쿼리를 실행하여 데이터베이스에 보충 로깅이 이미 활성화되어 있는지 확인합니다.

   SELECT supplemental_log_data_min FROM v$database;

   반환된 결과가 YES 또는 IMPLICIT인 경우, 데이터베이스에 보충 로깅이 활성화되어 있습니다.

   활성화되어 있지 않다면 다음 명령을 실행하여 데이터베이스에 보충 로깅을 활성화합니다.

   ALTER DATABASE ADD SUPPLEMENTAL LOG DATA;

2. 복제된 각 테이블에 필요한 보충 로깅이 추가되었는지 확인합니다.

   다음을 고려하세요.

   • 테이블에 ALL COLUMNS 보충 로깅이 추가되면 로깅을 더 추가할 필요가 없습니다.

   • 프라이머리 키가 있는 경우 프라이머리 키에 대한 보충 로깅을 추가합니다. 형식을 사용하여 프라이머리 키 자체에 보충 로깅을 추가하거나 데이터베이스에서 프라이머리 키 열에 보충 로깅을 추가하여 이 작업을 수행할 수 있습니다.

     ALTER TABLE Tablename ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;
     ALTER DATABASE ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;

   • 프라이머리 키가 없고 테이블에 고유 인덱스가 하나만 있는 경우, 고유 인덱스의 모든 열을 보충 로그에 추가합니다.

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG GROUP LogGroupName (UniqueIndexColumn1[, UniqueIndexColumn2] ...) ALWAYS;

     SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS를 사용해도 고유 인덱스 열이 로그에 추가되지 않습니다.

   • 기본 키가 없고 테이블에 여러 개의 고유 인덱스가 있는 경우 알파벳순 오름차순 목록에서 첫 번째 고유 인덱스를 AWS DMS 선택합니다. 이전 항목에서처럼 선택한 인덱스의 열에 보충 로깅을 추가해야 합니다.

     SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS를 사용해도 고유 인덱스 열이 로그에 추가되지 않습니다.

   • 프라이머리 키가 없고 고유 인덱스가 없는 경우 모든 열에 보충 로깅을 추가합니다.

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG DATA (ALL) COLUMNS;

     일부의 경우, 대상 테이블 프라이머리 키 또는 고유 색인이 원본 테이블 프라이머리 키 또는 고유 색인과 다릅니다. 이러한 경우, 대상 테이블 프라이머리 키 또는 고유 인덱스를 구성하는 소스 테이블 열에 보충 로깅을 수동으로 추가합니다.

     또한 대상 테이블 프라이머리 키를 변경하는 경우, 원래 프라이머리 키 또는 고유 인덱스 대신 대상 고유 인덱스에 보충 로깅을 추가해야 합니다.

CDC용 Binary Reader를 사용할 때 Oracle Standby 인스턴스를 소스로 구성하려면

1. 대기 로그 파일에 액세스하는 데 필요한 추가 권한을 부여합니다.

   GRANT SELECT ON v_$standby_log TO db_user;

2. AWS Management Console 또는 AWS CLI를 사용하여 Oracle Standby의 소스 엔드포인트를 생성합니다. 엔드포인트를 생성할 때 다음과 같은 추가 연결 속성을 지정합니다.

   useLogminerReader=N;useBfile=Y;

   참고

   AWS DMS에서는 추가 연결 속성을 사용하여 리두 로그 대신 아카이브 로그에서 마이그레이션할지 여부를 지정할 수 있습니다. 자세한 정보는 Oracle을 소스로 사용할 때의 엔드포인트 설정 AWS DMS을 참조하세요.

3. 아카이브된 로그 대상을 구성합니다.

   ASM이 없는 Oracle 소스용 DMS Binary Reader는 Oracle 디렉토리를 사용하여 아카이빙된 다시 실행 로그에 액세스합니다. 데이터베이스가 FRA(Fast Recovery Area)를 아카이브 로그 대상으로 사용하도록 구성된 경우, 아카이브 다시 실행 파일의 위치는 일정하지 않습니다. 아카이빙된 다시 실행 로그가 생성되는 날마다 FRA에 디렉터리 이름 형식 YYYY_MM_DD를 사용하여 새 디렉터리가 생성됩니다. 예:

   DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD

   DMS가 새로 생성된 FRA 디렉터리의 아카이빙된 다시 실행 파일에 액세스해야 하고 기본 읽기-쓰기 데이터베이스를 소스로 사용하는 경우, DMS는 다음과 같이 새 Oracle 디렉터리를 생성하거나 기존 Oracle 디렉터리를 대체합니다.

   CREATE OR REPLACE DIRECTORY dmsrep_taskid AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD’;

   대기 데이터베이스를 소스로 사용하는 경우, 데이터베이스가 읽기 전용 모드이기 때문에 DMS는 Oracle 디렉터리를 생성하거나 바꿀 수 없습니다. 하지만 다음 추가 단계 중 하나를 수행할 수 있습니다.

   1. Oracle이 일일 하위 디렉터리를 생성하지 않는 구성에서는 FRA 대신 실제 경로를 사용하도록 log_archive_dest_id_1을 수정합니다.

      ALTER SYSTEM SET log_archive_dest_1=’LOCATION=full directory path’

      그런 다음 DMS가 사용할 Oracle 디렉터리 객체를 생성합니다.

      CREATE OR REPLACE DIRECTORY dms_archived_logs AS ‘full directory path’;

   2. 추가 아카이브 로그 대상과 해당 대상을 가리키는 Oracle 디렉터리 객체를 생성합니다. 예:

      ALTER SYSTEM SET log_archive_dest_3=’LOCATION=full directory path’; 
      CREATE DIRECTORY dms_archived_log AS ‘full directory path’;
      

      그런 다음 작업 소스 엔드포인트에 추가 연결 속성을 추가합니다.

      archivedLogDestId=3

   3. DMS가 사용할 Oracle 디렉터리 객체를 수동으로 사전 생성합니다.

      CREATE DIRECTORY dms_archived_log_20210301 AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/2021_03_01’;
      CREATE DIRECTORY dms_archived_log_20210302 AS ‘DB_RECOVERY_FILE_DEST>/SID>/archivelog/2021_03_02’; 
      ...
      

   4. 매일 실행되고 필요한 디렉터리를 생성하는 Oracle 스케줄러 작업을 생성합니다.

OCI에서 호스팅하는 사용자 관리형 Oracle 데이터베이스를 변경 데이터 캡처의 소스로 구성하려면

1. OCI의 사용자 관리형 Oracle 소스 데이터베이스에 필요한 사용자 계정 권한을 부여합니다. 자세한 내용은 자체 관리형 Oracle 소스 엔드포인트에 대한 계정 권한을 참조하세요.

2. Binary Reader를 사용하여 다시 실행 로그에 액세스할 때 필요한 계정 권한을 부여합니다. 자세한 내용은 Binary Reader를 사용할 때 필요한 계정 권한을 참조하세요.

3. Oracle ASM(Automatic Storage Management)에서 Binary Reader를 사용할 때 필요한 계정 권한을 추가합니다. 자세한 내용은 Binary Reader를 Oracle ASM과 함께 사용할 때 필요한 추가 계정 권한을 참조하세요.

4. 보충 로깅을 설정합니다. 자세한 내용은 보충 로깅 설정을 참조하세요.

5. TDE 암호화를 설정합니다. 자세한 내용은 Oracle 데이터베이스를 소스 엔드포인트로 사용할 때 암호화 방법을 참조하세요.

1. 기본 데이터베이스에 AWSDMS_DBLINK라는 데이터베이스 링크를 생성합니다. DMS_USER는 이 데이터베이스 링크를 사용하여 기본 데이터베이스에 연결합니다. 이 데이터베이스 링크는 대기 인스턴스에서 실행되어 기본 데이터베이스에서 실행 중인 열린 트랜잭션을 쿼리합니다. 다음 예를 참조하세요.

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';         
           

2. 다음 예제와 같이 DMS_USER를 사용하여 데이터베이스 링크에 연결되었는지 확인합니다.

   select 1 from dual@AWSDMS_DBLINK

보관을 설정하려면

1. rdsadmin.rdsadmin_util.set_configuration 명령을 실행하여 보관을 설정합니다.

   예를 들어 보관된 다시 실행 로그를 24시간 동안 유지하려면 다음 명령을 실행합니다.

   exec rdsadmin.rdsadmin_util.set_configuration('archivelog retention hours',24);
   commit;                      

   참고

   변경 사항을 적용하려면 커밋해야 합니다.

2. 지정된 보존 기간 동안 보관된 다시 실행 로그를 위한 스토리지 공간이 충분한지 확인해야 합니다. 예를 들어 보존 기간이 24시간인 경우, 일반적인 트랜잭션 처리 시간 동안 보관된 다시 실행 로그의 누적된 총 크기를 계산하고 그 합계에 24를 곱합니다. 계산된 이 24시간 합계를 사용 가능한 스토리지 공간과 비교하여 전체 24시간 트랜잭션 처리를 처리할 수 있는 충분한 스토리지 공간이 있는지 결정합니다.

보충 로깅을 설정하려면

1. 데이터베이스 수준에서 보충 로깅을 활성화하려면 다음 명령을 실행합니다.

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD');

2. 다음 명령을 실행하여 프라이머리 키 보충 로깅을 활성화합니다.

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD','PRIMARY KEY');

3. (선택 사항) 테이블 수준에서 키 수준 보충 로깅을 활성화합니다.

   키 수준 보충 로깅을 활성화하면 소스 데이터베이스에 약간의 오버헤드가 발생합니다. 따라서 테이블 하위 집합만을 마이그레이션할 경우, 테이블 수준에서 키 수준 보충 로깅을 활성화하는 것이 좋습니다. 테이블 수준에서 키 수준 보충 로깅을 활성화하려면 다음 명령을 실행합니다.

   alter table table_name add supplemental log data (PRIMARY KEY) columns;

Binary Reader를 사용하여 CDC를 구성하려면

1. Amazon RDS for Oracle 소스 데이터베이스에 마스터 사용자로 로그인하고 다음 저장 프로시저를 실행하여 서버 수준 디렉터리를 생성합니다.

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

2. Oracle 소스 엔드포인트에 액세스하는 데 사용되는 Oracle 사용자 계정에 다음 권한을 부여합니다.

   GRANT READ ON DIRECTORY ONLINELOG_DIR TO db_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR TO db_user;

3. Amazon RDS Oracle 소스 엔드포인트에서 다음 추가 연결 속성을 설정합니다.

   • RDS Oracle 버전 11.2 및 12.1의 경우, 다음을 설정합니다.

     useLogminerReader=N;useBfile=Y;accessAlternateDirectly=false;useAlternateFolderForOnline=true;
     oraclePathPrefix=/rdsdbdata/db/{$DATABASE_NAME}_A/;usePathPrefix=/rdsdbdata/log/;replacePathPrefix=true;

   • RDS Oracle 버전 12.2, 18.0, 19.0의 경우, 다음을 설정합니다.

     useLogminerReader=N;useBfile=Y;

CDC용 Binary Reader를 사용할 때 RDS for Oracle Standby를 소스로 구성하려면

1. RDS for Oracle 기본 인스턴스에 마스터 사용자로 로그인합니다.

2. Amazon RDS 사용 설명서에 설명된 대로 다음 저장 프로시저를 실행하여 서버 수준 디렉터리를 생성합니다.

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

3. 2단계에서 생성한 디렉터리를 식별합니다.

   SELECT directory_name, directory_path FROM all_directories
   WHERE directory_name LIKE ( 'ARCHIVELOG_DIR_%' )
           OR directory_name LIKE ( 'ONLINELOG_DIR_%' )
   

   예를 들어 위 코드는 다음과 같은 디렉터리 목록을 표시합니다.

   

4. Oracle Standby에 액세스하는 데 사용되는 Oracle 사용자 계정에 이전 디렉터리에 대한 Read 권한을 부여합니다.

   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_A TO db_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_B TO db_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_A TO db_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_B TO db_user;
   

5. 기본 인스턴스에서 아카이브 로그 스위치를 수행합니다. 이렇게 하면 ALL_DIRECTORIES에 대한 변경 사항이 Oracle Standby에도 포팅되도록 할 수 있습니다.

6. Oracle Standby에서 ALL_DIRECTORIES 쿼리를 실행하여 변경 사항이 적용되었는지 확인합니다.

7. AWS DMS 관리 콘솔 또는 AWS Command Line Interface (AWS CLI) 를 사용하여 Oracle Standby의 소스 엔드포인트를 생성합니다. 엔드포인트를 생성할 때 다음과 같은 추가 연결 속성을 지정합니다.

   useLogminerReader=N;useBfile=Y;archivedLogDestId=1;additionalArchivedLogDestId=2

8. 엔드포인트를 생성한 후 콘솔의 엔드포인트 생성 페이지에서 엔드포인트 연결 테스트 또는 AWS CLI test-connection 명령을 사용하여 연결이 설정되었는지 확인합니다.

AWS DMS에서 Oracle SSL에 대해 기존 Oracle 클라이언트 설치를 사용하려면

1. 다음 명령을 실행하여 ORACLE_HOME 시스템 변수를 dbhome_1 디렉터리 위치로 설정합니다.

   
   prompt>export ORACLE_HOME=/home/user/app/user/product/12.1.0/dbhome_1                        
   

2. LD_LIBRARY_PATH 시스템 변수에 $ORACLE_HOME/lib을 추가합니다.

   
   prompt>export LD_LIBRARY_PATH=$LD_LIBRARY_PATH:$ORACLE_HOME/lib                        
   

3. $ORACLE_HOME/ssl_wallet에 Oracle Wallet을 위한 디렉터리를 만듭니다.

   
   prompt>mkdir $ORACLE_HOME/ssl_wallet
   

4. CA 인증서 .pem 파일을 ssl_wallet 디렉터리에 배치합니다. Amazon RDS를 사용하는 경우, Amazon RDS에서 호스팅되는 rds-ca-2015-root.pem 루트 CA 인증서 파일을 다운로드할 수 있습니다. 이 파일 다운로드에 자세한 내용은 Amazon RDS 사용 설명서에서 SSL/TLS를 사용하여 DB 인스턴스에 대한 연결 암호화를 참조하세요.

5. 다음 명령을 실행하여 Oracle Wallet을 만듭니다.

   
   prompt>orapki wallet create -wallet $ORACLE_HOME/ssl_wallet -auto_login_only
   prompt>orapki wallet add -wallet $ORACLE_HOME/ssl_wallet -trusted_cert -cert 
      $ORACLE_HOME/ssl_wallet/ca-cert.pem -auto_login_only                            
                           

다음과 같이 Oracle SSL용 자체 서명된 인증서를 사용하려면 AWS DMS

1. 자체 서명 인증서를 사용할 디렉터리를 생성합니다.

   mkdir -p /u01/app/oracle/self_signed_cert
   

2. 이전 단계에서 생성한 디렉터리로 변경합니다.

   cd /u01/app/oracle/self_signed_cert
   

3. 루트 키를 생성합니다.

   openssl genrsa -out self-rootCA.key 2048
   

4. 이전 단계에서 생성한 루트 키를 루트 인증서를 자체 서명합니다.

   openssl req -x509 -new -nodes -key self-rootCA.key 
           -sha256 -days 3650 -out self-rootCA.pem
   

   다음과 같은 입력 파라미터를 사용하세요.

   • Country Name (2 letter code) [XX], 예: AU

   • State or Province Name (full name) [], 예: NSW

   • Locality Name (e.g., city) [Default City], 예: Sydney

   • Organization Name (e.g., company) [Default Company Ltd], 예: AmazonWebService

   • Organizational Unit Name (e.g., section) [], 예: DBeng

   • Common Name (e.g., your name or your server's hostname) [], 예: aws

   • Email Address [], 예: abcd.efgh@amazonwebservice.com

5. Oracle 데이터베이스용 Oracle wallet 디렉터리를 만듭니다.

   mkdir -p /u01/app/oracle/wallet
   

6. 새 Oracle wallet을 만듭니다.

   orapki wallet create -wallet "/u01/app/oracle/wallet" -pwd oracle123 -auto_login_local
   

7. 루트 인증서를 Oracle wallet에 추가합니다.

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 -trusted_cert 
   -cert /u01/app/oracle/self_signed_cert/self-rootCA.pem
   

8. Oracle wallet의 콘텐츠를 나열합니다. 이 목록에는 루트 인증서가 포함되어야 합니다.

   orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123
   

   예를 들어 다음과 비슷하게 표시될 수 있습니다.

   Requested Certificates:
   User Certificates:
   Trusted Certificates:
   Subject:        CN=aws,OU=DBeng,O= AmazonWebService,L=Sydney,ST=NSW,C=AU
   

9. ORAPKI 유틸리티를 사용한 인증서 서명 요청(CSR)을 생성합니다.

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 
   -dn "CN=aws" -keysize 2048 -sign_alg sha256
   

10. 다음 명령을 실행합니다.

    openssl pkcs12 -in /u01/app/oracle/wallet/ewallet.p12 -nodes -out /u01/app/oracle/wallet/nonoracle_wallet.pem
    

    이 명령의 출력은 다음과 같습니다.

    Enter Import Password:
    MAC verified OK
    Warning unsupported bag type: secretBag
    

11. 'dms'를 일반 이름으로 둡니다.

    openssl req -new -key /u01/app/oracle/wallet/nonoracle_wallet.pem -out certdms.csr
    

    다음과 같은 입력 파라미터를 사용하세요.

    • Country Name (2 letter code) [XX], 예: AU

    • State or Province Name (full name) [], 예: NSW

    • Locality Name (e.g., city) [Default City], 예: Sydney

    • Organization Name (e.g., company) [Default Company Ltd], 예: AmazonWebService

    • Organizational Unit Name (e.g., section) [], 예: aws

    • Common Name (e.g., your name or your server's hostname) [], 예: aws

    • Email Address [], 예: abcd.efgh@amazonwebservice.com

    이 단계는 4단계와 달라야 합니다. 예를 들어 다음과 같이 조직 단위 이름을 다른 이름으로 변경하면 됩니다.

    인증서 요청과 함께 전송될 다음 추가 속성을 입력합니다.

    • A challenge password [], 예: oracle123

    • An optional company name [], 예: aws

12. 인증서 서명을 가져옵니다.

    openssl req -noout -text -in certdms.csr | grep -i signature
    

    이 게시물의 서명 키는 sha256WithRSAEncryption입니다.

13. 다음 명령을 실행하여 인증서(.crt) 파일을 생성합니다.

    openssl x509 -req -in certdms.csr -CA self-rootCA.pem -CAkey self-rootCA.key 
    -CAcreateserial -out certdms.crt -days 365 -sha256
    

    그러면 다음과 같은 출력이 표시됩니다.

    Signature ok
    subject=/C=AU/ST=NSW/L=Sydney/O=awsweb/OU=DBeng/CN=aws
    Getting CA Private Key
    

14. 인증서를 wallet에 추가합니다.

    orapki wallet add -wallet /u01/app/oracle/wallet -pwd oracle123 -user_cert -cert certdms.crt
    

15. wallet을 봅니다. 두 항목이 있어야 합니다. 다음 코드를 확인합니다.

    orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123
    

16. sqlnet.ora 파일($ORACLE_HOME/network/admin/sqlnet.ora)을 구성합니다.

    WALLET_LOCATION =
       (SOURCE =
         (METHOD = FILE)
         (METHOD_DATA =
           (DIRECTORY = /u01/app/oracle/wallet/)
         )
       ) 
    
    SQLNET.AUTHENTICATION_SERVICES = (NONE)
    SSL_VERSION = 1.0
    SSL_CLIENT_AUTHENTICATION = FALSE
    SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA)
    

17. Oracle 리스너를 중지합니다.

    lsnrctl stop

18. listener.ora 파일($ORACLE_HOME/network/admin/listener.ora)에 SSL에 대한 항목을 추가합니다.

    SSL_CLIENT_AUTHENTICATION = FALSE
    WALLET_LOCATION =
      (SOURCE =
        (METHOD = FILE)
        (METHOD_DATA =
          (DIRECTORY = /u01/app/oracle/wallet/)
        )
      )
    
    SID_LIST_LISTENER =
     (SID_LIST =
      (SID_DESC =
       (GLOBAL_DBNAME = SID)
       (ORACLE_HOME = ORACLE_HOME)
       (SID_NAME = SID)
      )
     )
    
    LISTENER =
      (DESCRIPTION_LIST =
        (DESCRIPTION =
          (ADDRESS = (PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
          (ADDRESS = (PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
          (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC1521))
        )
      )
    

19. tnsnames.ora 파일($ORACLE_HOME/network/admin/tnsnames.ora)을 구성합니다.

    <SID>=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )
    
    <SID>_ssl=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )
    

20. Oracle 리스너를 다시 시작합니다.

    lsnrctl start

21. Oracle 리스너 상태를 표시합니다.

    lsnrctl status

22. sqlplus 및 SSL tnsnames 항목을 사용하여 로컬 호스트에서 데이터베이스와의 SSL 연결을 테스트합니다.

    sqlplus -L ORACLE_USER@SID_ssl

23. SSL을 사용하여 잘 연결되었는지 확인합니다.

    SELECT SYS_CONTEXT('USERENV', 'network_protocol') FROM DUAL;
    
    SYS_CONTEXT('USERENV','NETWORK_PROTOCOL')
    --------------------------------------------------------------------------------
    tcps
    

24. 자체 서명 인증서를 사용하여 디렉터리를 이 디렉터리로 변경합니다.

    cd /u01/app/oracle/self_signed_cert

25. 사용할 새 클라이언트 Oracle AWS DMS 지갑을 생성하십시오.

    orapki wallet create -wallet ./ -auto_login_only

26. Oracle wallet에 자체 서명 루트 인증서를 추가합니다.

    orapki wallet add -wallet ./ -trusted_cert -cert self-rootCA.pem -auto_login_only

27. 사용할 Oracle 지갑의 내용을 나열하십시오. AWS DMS 이 목록에는 자체 서명 루트 인증서가 포함되어야 합니다.

    orapki wallet display -wallet ./

    이 명령의 출력은 다음과 같습니다.

    Trusted Certificates:
    Subject:        CN=aws,OU=DBeng,O=AmazonWebService,L=Sydney,ST=NSW,C=AU
    

28. 방금 생성한 Oracle 지갑을 AWS DMS업로드하십시오.

TDE 암호화를 위한 암호화 키와 암호를 식별하고 지정하려면

1. 다음 쿼리를 실행하여 Oracle 데이터베이스 호스트에서 Oracle 암호화 wallet을 찾습니다.

   SQL> SELECT WRL_PARAMETER FROM V$ENCRYPTION_WALLET;
   
   WRL_PARAMETER
   --------------------------------------------------------------------------------
   /u01/oracle/product/12.2.0/dbhome_1/data/wallet/

   여기서는 /u01/oracle/product/12.2.0/dbhome_1/data/wallet/이 wallet 위치입니다.

2. 이 값을 반환하는 옵션에 따라 다음 암호화 옵션 중 하나를 사용하여 마스터 키 ID를 가져옵니다.

   1. 테이블 또는 열 수준 암호화의 경우 다음 쿼리를 실행합니다.

      SQL> SELECT OBJECT_ID FROM ALL_OBJECTS 
      WHERE OWNER='DMS_USER' AND OBJECT_NAME='TEST_TDE_COLUMN' AND OBJECT_TYPE='TABLE';
      
      OBJECT_ID
      ---------------
      81046
      SQL> SELECT MKEYID FROM SYS.ENC$ WHERE OBJ#=81046;
      
      MKEYID
      ------------
      AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

      여기서는 AWGDC9glSk8Xv+3bVveiVSg가 마스터 키 ID(MKEYID)입니다. MKEYID의 값을 얻으면 3단계로 진행할 수 있습니다. 그렇지 않은 경우 2.2단계로 진행합니다.

      참고

      후행 문자열 'A' 문자(AAA...)는 값의 일부가 아닙니다.

   2. 테이블스페이스 수준 암호화의 경우, 다음 쿼리를 실행합니다.

      SQL> SELECT TABLESPACE_NAME, ENCRYPTED FROM dba_tablespaces;
      TABLESPACE_NAME                ENC
      ------------------------------ ---
      SYSTEM                         NO
      SYSAUX                         NO
      UNDOTBS1                       NO
      TEMP                           NO
      USERS                          NO
      TEST_ENCRYT                    YES
      SQL> SELECT name,utl_raw.cast_to_varchar2( utl_encode.base64_encode('01'||substr(mkeyid,1,4))) || utl_raw.cast_to_varchar2( utl_encode.base64_encode(substr(mkeyid,5,length(mkeyid)))) masterkeyid_base64
      FROM (SELECT t.name, RAWTOHEX(x.mkid) mkeyid FROM v$tablespace t, x$kcbtek x WHERE t.ts#=x.ts#)
      WHERE name = 'TEST_ENCRYT';
      
      NAME                           MASTERKEYID_BASE64
      ------------------------------ ----------------------------------
      TEST_ENCRYT                    AWGDC9glSk8Xv+3bVveiVSg=
      

      여기서는 AWGDC9glSk8Xv+3bVveiVSg가 마스터 키 ID(TEST_ENCRYT)입니다. 2.1단계와 2.2단계 모두 값을 반환하는 경우, 항상 동일합니다.

      후행 '=' 문자는 값의 일부가 아닙니다.

3. 명령줄을 사용하여 소스 Oracle 데이터베이스 호스트에서 암호화 wallet 항목을 나열합니다.

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -list
   Oracle Secret Store entries:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.MASTERKEY
   ORACLE.SECURITY.ID.ENCRYPTION.
   ORACLE.SECURITY.KB.ENCRYPTION.
   ORACLE.SECURITY.KM.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   

   2단계에서 찾은 마스터 키 ID(AWGDC9glSk8Xv+3bVveiVSg)가 포함된 항목을 찾습니다. 이 항목이 TDE 암호화 키 이름입니다.

4. 이전 단계에서 찾은 항목의 세부 정보를 확인합니다.

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -viewEntry ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   Oracle Secret Store Tool : Version 12.2.0.1.0
   Copyright (c) 2004, 2016, Oracle and/or its affiliates. All rights reserved.
   Enter wallet password:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA = AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   결과를 보려면 wallet 암호를 입력합니다.

   여기서는 '='의 오른쪽에 있는 값이 TDE 암호입니다.

5. securityDbEncryptionName 추가 연결 속성을 설정하여 Oracle 소스 엔드포인트의 TDE 암호화 키 이름을 지정합니다.

   securityDbEncryptionName=ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

6. 콘솔에서 이 키에 연결된 TDE 암호를 Oracle 소스 암호 값의 일부로 제공합니다. TDE 암호 값으로 끝나는 쉼표로 구분된 암호 값의 형식을 지정하려면 다음 순서를 사용합니다.

   Oracle_db_password,ASM_Password,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   Oracle 데이터베이스 구성에 관계없이 이 순서로 암호 값을 지정합니다. 예를 들어 TDE를 사용하고 있지만 Oracle 데이터베이스가 ASM을 사용하지 않는 경우, 암호 값을 다음과 같은 쉼표로 구분된 순서로 지정합니다.

   Oracle_db_password,,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==