Utilizar um banco de dados Oracle como origem do AWS DMS

1. Crie um link de banco de dados nomeado AWSDMS_DBLINK no banco de dados primário. O DMS_USER utilizará o link de banco de dados para conectar-se ao banco de dados primário. Observe que o link de banco de dados é executado na instância em espera para consultar as transações abertas em execução no banco de dados primário. Veja o exemplo a seguir.

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';         
           

2. Verifique se a conexão ao link de banco de dados que utiliza o DMS_USER está estabelecida conforme mostrado no exemplo a seguir.

   select 1 from dual@AWSDMS_DBLINK

Como configurar o registro em log suplementar manualmente

1. Execute a consulta a seguir para verificar se o registro em log suplementar está ativado para o banco de dados.

   SELECT supplemental_log_data_min FROM v$database;

   Se o resultado retornado for YES ou IMPLICIT, o registro em log suplementar estará ativado para o banco de dados.

   Se necessário, ative o registro em log suplementar para o banco de dados executando o comando a seguir.

   ALTER DATABASE ADD SUPPLEMENTAL LOG DATA;

2. Verifique se o registro em log suplementar necessário está adicionado a cada tabela replicada.

   Considere o seguinte:

   • Se o registro em log suplementar ALL COLUMNS estiver adicionado à tabela, não será necessário adicionar mais registros em log.

   • Se houver uma chave primária, adicione o registro em log suplementar à chave primária. É possível fazer isso utilizando o formato para adicionar registro em log suplementar à chave primária ou adicionando o registro em log suplementar às colunas de chave primária no banco de dados.

     ALTER TABLE Tablename ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;
     ALTER DATABASE ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;

   • Se não houver uma chave primária e a tabela possuir um único índice exclusivo, adicione todas as colunas do índice exclusivo ao log suplementar.

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG GROUP LogGroupName (UniqueIndexColumn1[, UniqueIndexColumn2] ...) ALWAYS;

     Usar SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS não faz com que as colunas do índice exclusivo sejam adicionadas ao log.

   • Se não existir nenhuma chave primária e a tabela tiver vários índices exclusivos, o AWS DMS selecionará o primeiro índice exclusivo em uma lista ordenada de forma alfabética em ordem crescente. Você precisa adicionar registro em log suplementar nas colunas do índice selecionado, como no item anterior.

     Usar SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS não faz com que as colunas do índice exclusivo sejam adicionadas ao log.

   • Se não houver uma chave primária e não houver um índice exclusivo, adicione o registro em log suplementar em todas as colunas.

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG DATA (ALL) COLUMNS;

     Em alguns casos, a chave primária da tabela de destino ou índice exclusivo são diferentes da chave primária da tabela de origem ou índice exclusivo. Nesses casos, adicione o registro em log suplementar manualmente nas colunas da tabela de origem que compõem a chave primária da tabela ou o índice exclusivo de destino.

     Além disso, se você alterar a chave primária da tabela de destino, adicione o registro complementar às colunas do índice exclusivo de destino, em vez das colunas do índice exclusivo ou da chave primária de origem.

Como configurar uma instância do Oracle Standby como origem ao utilizar o Binary Reader para CDC

1. Conceda privilégios adicionais necessários para acessar arquivos de log em espera.

   GRANT SELECT ON v_$standby_log TO db_user;

2. Crie um endpoint de origem para o Oracle Standby utilizando o AWS Management Console ou a AWS CLI. Ao criar o endpoint, especifique os seguintes atributos de conexão adicionais.

   useLogminerReader=N;useBfile=Y;

   nota

   No AWS DMS, é possível utilizar atributos de conexão adicionais para especificar se deseja migrar dos logs de arquivamento em vez dos redo logs. Para ter mais informações, consulte Configurações de endpoint ao utilizar o Oracle como origem do AWS DMS.

3. Configure o destino do log arquivado.

   O Binary Reader do DMS da origem do Oracle sem ASM utiliza diretórios do Oracle para acessar os redo logs arquivados. Se o banco de dados estiver configurado para utilizar Fast Recovery Area (FRA) como destino do log de arquivamento, a localização dos arquivos de refazer de arquivamento não é constante. Cada dia em que redo logs arquivados são gerados resulta em um novo diretório criado no FRA, utilizando o formato de nome de diretório AAAA_MM_DD. Por exemplo:

   DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD

   Quando o DMS precisa acessar arquivos de refazer arquivados no diretório FRA recém-criado, e o banco de dados primário de leitura e gravação está sendo utilizado como origem, o DMS cria um novo diretório Oracle ou substitui um existente, da seguinte forma.

   CREATE OR REPLACE DIRECTORY dmsrep_taskid AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD’;

   Quando o banco de dados em espera está sendo utilizado como origem, o DMS não pode criar ou substituir o diretório Oracle porque o banco de dados está no modo somente leitura. Porém, é possível optar por executar uma dessas etapas adicionais:

   1. Modificar log_archive_dest_id_1 para utilizar um caminho real em vez do FRA em uma configuração que o Oracle não crie subdiretórios diariamente:

      ALTER SYSTEM SET log_archive_dest_1=’LOCATION=full directory path’

      Criar um objeto no diretório Oracle para ser utilizado pelo DMS:

      CREATE OR REPLACE DIRECTORY dms_archived_logs AS ‘full directory path’;

   2. Criar um destino adicional de log de arquivamento e um objeto no diretório Oracle apontando para esse destino. Por exemplo:

      ALTER SYSTEM SET log_archive_dest_3=’LOCATION=full directory path’; 
      CREATE DIRECTORY dms_archived_log AS ‘full directory path’;
      

      Adicionar um atributo de conexão adicional ao endpoint da origem da tarefa:

      archivedLogDestId=3

   3. Pré-crie manualmente objetos no diretório Oracle para serem utilizados pelo DMS.

      CREATE DIRECTORY dms_archived_log_20210301 AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/2021_03_01’;
      CREATE DIRECTORY dms_archived_log_20210302 AS ‘DB_RECOVERY_FILE_DEST>/SID>/archivelog/2021_03_02’; 
      ...
      

   4. Criar uma tarefa do programador do Oracle que seja executada diariamente e criar o diretório necessário.

Para configurar um banco de dados Oracle gerenciado pelo usuário hospedado pelo OCI como origem para a captura de dados de alteração

1. Conceda os privilégios da conta de usuário necessários para utilizar um banco de dados de origem do Oracle gerenciado pelo usuário no OCI. Para obter mais informações, consulte Privilégios de conta para um endpoint de origem do Oracle autogerenciado.

2. Conceda os privilégios da conta necessários ao utilizar o Binary Reader para acessar os redo logs. Para obter mais informações, consulte Privilégios da conta necessários ao utilizar o Binary Reader.

3. Adicione os privilégios da conta necessários ao utilizar o Binary Reader com o Oracle Automatic Storage Management (ASM). Para obter mais informações, consulte Privilégios adicionais da conta necessários ao utilizar o Binary Reader com o Oracle ASM.

4. Configure o registro em log suplementar. Para obter mais informações, consulte Configuração do registro em log suplementar.

5. Configure a criptografia de TDE. Para obter mais informações, consulte Métodos de criptografia ao utilizar um banco de dados Oracle como um endpoint de origem.

1. Crie um link de banco de dados nomeado AWSDMS_DBLINK no banco de dados primário. O DMS_USER utilizará o link de banco de dados para conectar-se ao banco de dados primário. Observe que o link de banco de dados é executado na instância em espera para consultar as transações abertas em execução no banco de dados primário. Veja o exemplo a seguir.

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';         
           

2. Verifique se a conexão ao link de banco de dados que utiliza o DMS_USER está estabelecida conforme mostrado no exemplo a seguir.

   select 1 from dual@AWSDMS_DBLINK

Como configurar o arquivamento

1. Execute o comando rdsadmin.rdsadmin_util.set_configuration para configurar o arquivamento.

   Por exemplo, para reter os redo logs arquivados por 24 horas, execute o comando a seguir.

   exec rdsadmin.rdsadmin_util.set_configuration('archivelog retention hours',24);
   commit;                      

   nota

   A confirmação é necessária para que uma alteração entre em vigor.

2. Verifique se o armazenamento tem espaço suficiente para os redo logs arquivados durante o período de retenção especificado. Por exemplo, se o período de retenção for de 24 horas, calcule o tamanho total dos redo logs arquivados acumulados em uma hora típica de processamento de transações e multiplique esse total por 24. Compare esse total calculado de 24 horas com o espaço de armazenamento disponível e decida se você tem espaço de armazenamento suficiente para tratar o processamento de transações de um total 24 horas.

Como configurar o registro em log suplementar

1. Execute o comando a seguir para ativar o registro em log suplementar no nível de banco de dados.

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD');

2. O exemplo a seguir ativa o registro em log suplementar de chave primária.

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD','PRIMARY KEY');

3. (Opcional) Ative o registro em log suplementar em nível de chave no nível da tabela.

   O banco de dados de origem incorre em pequenos custos quando o registro em log suplementar em nível de chave está ativado. Portanto, se estiver migrando apenas um subconjunto das tabelas, ative o registro em log suplementar de nível de chave no nível da tabela. Para ativar o registro em log suplementar de nível de chave no nível da tabela, execute o seguinte comando.

   alter table table_name add supplemental log data (PRIMARY KEY) columns;

Como configurar a CDC utilizando o Binary Reader

1. Faça login no banco de dados de origem do Amazon RDS para Oracle como o usuário mestre e execute os seguintes procedimentos armazenados para criar os diretórios em nível de servidor.

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

2. Conceda os seguintes privilégios à conta de usuário do Oracle utilizada para acessar o endpoint de origem do Oracle:

   GRANT READ ON DIRECTORY ONLINELOG_DIR TO db_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR TO db_user;

3. Defina os atributos de conexão adicionais a seguir no endpoint de origem Amazon RDS Oracle.

   • Para as versões 11.2 e 12.1 do RDS Oracle, defina o seguinte.

     useLogminerReader=N;useBfile=Y;accessAlternateDirectly=false;useAlternateFolderForOnline=true;
     oraclePathPrefix=/rdsdbdata/db/{$DATABASE_NAME}_A/;usePathPrefix=/rdsdbdata/log/;replacePathPrefix=true;

   • Para as versões 12.2, 18.0 e 19.0 do RDS Oracle, defina o seguinte.

     useLogminerReader=N;useBfile=Y;

Como configurar um RDS para Oracle Standby como origem ao utilizar o Binary Reader para CDC

1. Faça login na instância primária do RDS para Oracle como usuário mestre.

2. Execute os seguintes procedimentos armazenados conforme documentado no Guia do usuário do Amazon RDS para criar os diretórios no nível do servidor.

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

3. Identifique os diretórios criados na etapa 2.

   SELECT directory_name, directory_path FROM all_directories
   WHERE directory_name LIKE ( 'ARCHIVELOG_DIR_%' )
           OR directory_name LIKE ( 'ONLINELOG_DIR_%' )
   

   Por exemplo, o código anterior exibe uma lista de diretórios como a seguinte.

   

4. Conceda o privilégio Read nos diretórios anteriores à conta de usuário Oracle utilizada para acessar o Oracle Standby.

   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_A TO db_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_B TO db_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_A TO db_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_B TO db_user;
   

5. Execute uma troca de log de arquivamento na instância primária. Isso garante que as alterações de ALL_DIRECTORIES também sejam transferidas para o Oracle Standby.

6. Execute uma consulta ALL_DIRECTORIES no Oracle Standby para confirmar se as alterações foram aplicadas.

7. Crie um endpoint de origem para o Oracle Standby utilizando o console de gerenciamento do AWS DMS ou a AWS Command Line Interface (AWS CLI). Ao criar o endpoint, especifique os seguintes atributos de conexão adicionais.

   useLogminerReader=N;useBfile=Y;archivedLogDestId=1;additionalArchivedLogDestId=2

8. Depois de criar o endpoint, utilize Testar conexão de endpoint na página Criar endpoint do console ou o comando test-connection da AWS CLI para verificar se a conectividade foi estabelecida.

Como utilizar uma instalação cliente existente do Oracle para SSL no Oracle com o AWS DMS

1. Defina a variável do sistema ORACLE_HOME como local do seu diretório dbhome_1, executando o comando a seguir.

   
   prompt>export ORACLE_HOME=/home/user/app/user/product/12.1.0/dbhome_1                        
   

2. Anexe $ORACLE_HOME/lib ao sistema variável LD_LIBRARY_PATH.

   
   prompt>export LD_LIBRARY_PATH=$LD_LIBRARY_PATH:$ORACLE_HOME/lib                        
   

3. Crie um diretório para o Oracle Wallet em $ORACLE_HOME/ssl_wallet.

   
   prompt>mkdir $ORACLE_HOME/ssl_wallet
   

4. Coloque o arquivo .pem de certificado da CA no diretório ssl_wallet. Se você utilizar o Amazon RDS, poderá baixar o arquivo raiz do certificado a CA rds-ca-2015-root.pem hospedado pelo Amazon RDS. Para obter mais informações sobre como baixar esse arquivo, consulte Utilizar o SSL/TLS para criptografar uma conexão com uma instância de banco de dados no Guia do usuário do Amazon RDS.

5. Execute os seguintes comandos para criar o Oracle Wallet.

   
   prompt>orapki wallet create -wallet $ORACLE_HOME/ssl_wallet -auto_login_only
   prompt>orapki wallet add -wallet $ORACLE_HOME/ssl_wallet -trusted_cert -cert 
      $ORACLE_HOME/ssl_wallet/ca-cert.pem -auto_login_only                            
                           

Como utilizar um certificado autoassinado para SSL no Oracle com o AWS DMS

1. Crie um diretório que será utilizado para trabalhar com o certificado autoassinado.

   mkdir -p /u01/app/oracle/self_signed_cert
   

2. Altere para o diretório que você criou na etapa anterior.

   cd /u01/app/oracle/self_signed_cert
   

3. Crie uma chave raiz.

   openssl genrsa -out self-rootCA.key 2048
   

4. Autoassine um certificado raiz utilizando a chave criada na etapa anterior.

   openssl req -x509 -new -nodes -key self-rootCA.key 
           -sha256 -days 3650 -out self-rootCA.pem
   

   Utilize os parâmetros de entrada, como os seguintes:

   • Country Name (2 letter code) [XX], por exemplo: AU

   • State or Province Name (full name) [], por exemplo: NSW

   • Locality Name (e.g., city) [Default City], por exemplo: Sydney

   • Organization Name (e.g., company) [Default Company Ltd], por exemplo: AmazonWebService

   • Organizational Unit Name (e.g., section) [], por exemplo: DBeng

   • Common Name (e.g., your name or your server's hostname) [], por exemplo: aws

   • Email Address [], por exemplo: abcd.efgh@amazonwebservice.com

5. Crie um diretório do Oracle Wallet para o banco de dados Oracle.

   mkdir -p /u01/app/oracle/wallet
   

6. Crie um novo Oracle Wallet.

   orapki wallet create -wallet "/u01/app/oracle/wallet" -pwd oracle123 -auto_login_local
   

7. Adicione o certificado raiz ao Oracle Wallet.

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 -trusted_cert 
   -cert /u01/app/oracle/self_signed_cert/self-rootCA.pem
   

8. Liste os conteúdos do Oracle Wallet. A lista deve incluir o certificado raiz.

   orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123
   

   Por exemplo, isso pode ser exibido de forma semelhante à seguinte.

   Requested Certificates:
   User Certificates:
   Trusted Certificates:
   Subject:        CN=aws,OU=DBeng,O= AmazonWebService,L=Sydney,ST=NSW,C=AU
   

9. Gere o Certificate Signing Request (CSR - Solicitação de assinatura de certificado) utilizando o utilitário ORAPKI.

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 
   -dn "CN=aws" -keysize 2048 -sign_alg sha256
   

10. Execute o seguinte comando .

    openssl pkcs12 -in /u01/app/oracle/wallet/ewallet.p12 -nodes -out /u01/app/oracle/wallet/nonoracle_wallet.pem
    

    Isso produz uma saída semelhante à seguinte.

    Enter Import Password:
    MAC verified OK
    Warning unsupported bag type: secretBag
    

11. Coloque "dms" como o nome comum.

    openssl req -new -key /u01/app/oracle/wallet/nonoracle_wallet.pem -out certdms.csr
    

    Utilize os parâmetros de entrada, como os seguintes:

    • Country Name (2 letter code) [XX], por exemplo: AU

    • State or Province Name (full name) [], por exemplo: NSW

    • Locality Name (e.g., city) [Default City], por exemplo: Sydney

    • Organization Name (e.g., company) [Default Company Ltd], por exemplo: AmazonWebService

    • Organizational Unit Name (e.g., section) [], por exemplo: aws

    • Common Name (e.g., your name or your server's hostname) [], por exemplo: aws

    • Email Address [], por exemplo: abcd.efgh@amazonwebservice.com

    Verifique se isso não é o mesmo que a etapa 4. É possível fazer isso, por exemplo, alterando o nome da unidade organizacional para um nome diferente, conforme mostrado.

    Insira os atributos adicionais a seguir para serem enviados com a solicitação de certificado.

    • A challenge password [], por exemplo: oracle123

    • An optional company name [], por exemplo: aws

12. Obtenha a assinatura do certificado.

    openssl req -noout -text -in certdms.csr | grep -i signature
    

    A chave de assinatura desta postagem é sha256WithRSAEncryption.

13. Utilize o seguinte comando para gerar o arquivo de certificado (.crt):

    openssl x509 -req -in certdms.csr -CA self-rootCA.pem -CAkey self-rootCA.key 
    -CAcreateserial -out certdms.crt -days 365 -sha256
    

    Isso exibe uma saída semelhante à seguinte.

    Signature ok
    subject=/C=AU/ST=NSW/L=Sydney/O=awsweb/OU=DBeng/CN=aws
    Getting CA Private Key
    

14. Adicione o certificado à carteira.

    orapki wallet add -wallet /u01/app/oracle/wallet -pwd oracle123 -user_cert -cert certdms.crt
    

15. Visualize a carteira. Deve haver duas entradas. Consulte o seguinte código:

    orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123
    

16. Configure o arquivo sqlnet.ora ($ORACLE_HOME/network/admin/sqlnet.ora).

    WALLET_LOCATION =
       (SOURCE =
         (METHOD = FILE)
         (METHOD_DATA =
           (DIRECTORY = /u01/app/oracle/wallet/)
         )
       ) 
    
    SQLNET.AUTHENTICATION_SERVICES = (NONE)
    SSL_VERSION = 1.0
    SSL_CLIENT_AUTHENTICATION = FALSE
    SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA)
    

17. Interrompa o receptor do Oracle.

    lsnrctl stop

18. Adicione entradas para SSL no arquivo listener.ora ($ORACLE_HOME/network/admin/listener.ora).

    SSL_CLIENT_AUTHENTICATION = FALSE
    WALLET_LOCATION =
      (SOURCE =
        (METHOD = FILE)
        (METHOD_DATA =
          (DIRECTORY = /u01/app/oracle/wallet/)
        )
      )
    
    SID_LIST_LISTENER =
     (SID_LIST =
      (SID_DESC =
       (GLOBAL_DBNAME = SID)
       (ORACLE_HOME = ORACLE_HOME)
       (SID_NAME = SID)
      )
     )
    
    LISTENER =
      (DESCRIPTION_LIST =
        (DESCRIPTION =
          (ADDRESS = (PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
          (ADDRESS = (PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
          (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC1521))
        )
      )
    

19. Configure o arquivo tnsnames.ora ($ORACLE_HOME/network/admin/tnsnames.ora).

    <SID>=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )
    
    <SID>_ssl=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )
    

20. Reinicie o receptor do Oracle.

    lsnrctl start

21. Mostre o status do receptor do Oracle.

    lsnrctl status

22. Teste a conexão SSL ao banco de dados no host local, utilizando sqlplus e a a entrada SSL tnsnames.

    sqlplus -L ORACLE_USER@SID_ssl

23. Verifique se você se conectou com êxito utilizando SSL.

    SELECT SYS_CONTEXT('USERENV', 'network_protocol') FROM DUAL;
    
    SYS_CONTEXT('USERENV','NETWORK_PROTOCOL')
    --------------------------------------------------------------------------------
    tcps
    

24. Altere o diretório para o diretório com o certificado autoassinado.

    cd /u01/app/oracle/self_signed_cert

25. Crie um novo Oracle Wallet de cliente para uso pelo AWS DMS.

    orapki wallet create -wallet ./ -auto_login_only

26. Adicione o certificado raiz autoassinado ao Oracle Wallet.

    orapki wallet add -wallet ./ -trusted_cert -cert self-rootCA.pem -auto_login_only

27. Liste o conteúdo do Oracle Wallet para uso pelo AWS DMS. A lista deve incluir o certificado raiz autoassinado.

    orapki wallet display -wallet ./

    Isso produz uma saída semelhante à seguinte.

    Trusted Certificates:
    Subject:        CN=aws,OU=DBeng,O=AmazonWebService,L=Sydney,ST=NSW,C=AU
    

28. Carregue o Oracle Wallet recém-criado no AWS DMS.

Para identificar e especificar a chave de criptografia e a senha para a criptografia da TDE

1. Execute a consulta a seguir para encontrar a carteira de criptografia do Oracle no host do banco de dados Oracle.

   SQL> SELECT WRL_PARAMETER FROM V$ENCRYPTION_WALLET;
   
   WRL_PARAMETER
   --------------------------------------------------------------------------------
   /u01/oracle/product/12.2.0/dbhome_1/data/wallet/

   Aqui, /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ é a localização da carteira.

2. Obtenha o ID da chave mestra utilizando uma das seguintes opções de criptografia, dependendo de qual delas retorna esse valor.

   1. Para a criptografia em nível de tabela ou de coluna, execute as consultas a seguir.

      SQL> SELECT OBJECT_ID FROM ALL_OBJECTS 
      WHERE OWNER='DMS_USER' AND OBJECT_NAME='TEST_TDE_COLUMN' AND OBJECT_TYPE='TABLE';
      
      OBJECT_ID
      ---------------
      81046
      SQL> SELECT MKEYID FROM SYS.ENC$ WHERE OBJ#=81046;
      
      MKEYID
      ------------
      AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

      Aqui, AWGDC9glSk8Xv+3bVveiVSg é o ID da chave mestra (MKEYID). Se você obtiver um valor para MKEYID, poderá continuar com a Etapa 3. Caso contrário, continue na Etapa 2.2.

      nota

      Os caracteres à direita da string 'A' (AAA...) não fazem parte do valor.

   2. Para a criptografia em nível de espaço para tabela, execute as consultas a seguir.

      SQL> SELECT TABLESPACE_NAME, ENCRYPTED FROM dba_tablespaces;
      TABLESPACE_NAME                ENC
      ------------------------------ ---
      SYSTEM                         NO
      SYSAUX                         NO
      UNDOTBS1                       NO
      TEMP                           NO
      USERS                          NO
      TEST_ENCRYT                    YES
      SQL> SELECT name,utl_raw.cast_to_varchar2( utl_encode.base64_encode('01'||substr(mkeyid,1,4))) || utl_raw.cast_to_varchar2( utl_encode.base64_encode(substr(mkeyid,5,length(mkeyid)))) masterkeyid_base64
      FROM (SELECT t.name, RAWTOHEX(x.mkid) mkeyid FROM v$tablespace t, x$kcbtek x WHERE t.ts#=x.ts#)
      WHERE name = 'TEST_ENCRYT';
      
      NAME                           MASTERKEYID_BASE64
      ------------------------------ ----------------------------------
      TEST_ENCRYT                    AWGDC9glSk8Xv+3bVveiVSg=
      

      Aqui, AWGDC9glSk8Xv+3bVveiVSg é o ID da chave mestra (TEST_ENCRYT). Se as etapas 2.1 e 2.2 retornarem um valor, elas serão sempre idênticas.

      O caractere à direita de '=' não faz parte do valor.

3. Na linha de comando, liste as entradas da carteira de criptografia no host do banco de dados Oracle de origem.

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -list
   Oracle Secret Store entries:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.MASTERKEY
   ORACLE.SECURITY.ID.ENCRYPTION.
   ORACLE.SECURITY.KB.ENCRYPTION.
   ORACLE.SECURITY.KM.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   

   Encontre a entrada que contém o ID da chave mestra que você encontrou na etapa 2 (AWGDC9glSk8Xv+3bVveiVSg). Essa entrada é o nome da chave de criptografia da TDE.

4. Visualize os detalhes da entrada que você localizou na etapa anterior.

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -viewEntry ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   Oracle Secret Store Tool : Version 12.2.0.1.0
   Copyright (c) 2004, 2016, Oracle and/or its affiliates. All rights reserved.
   Enter wallet password:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA = AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   Digite a senha da carteira para ver o resultado.

   Aqui, o valor à direita de '=' é a senha da TDE.

5. Especifique o nome da chave de criptografia da TDE para o endpoint de origem do Oracle definindo o atributo de conexão adicional securityDbEncryptionName.

   securityDbEncryptionName=ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

6. Forneça a senha da TDE associada para essa chave no console como parte do valor da Senha da origem do Oracle. Utilize a ordem a seguir para formatar os valores de senha separados por vírgula, finalizados pelo valor da senha da TDE.

   Oracle_db_password,ASM_Password,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   Especifique os valores de senha nessa ordem, independentemente da configuração do banco de dados Oracle. Por exemplo, se estiver utilizando a TDE, mas o banco de dados Oracle não estiver utilizando o ASM, especifique os valores de senha relevantes na ordem separada por vírgulas a seguir.

   Oracle_db_password,,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==