将 Oracle 数据库作为 AWS DMS的源

1. 在主数据库上创建名为 AWSDMS_DBLINK 的数据库链接。DMS_USER 将使用此数据库链接连接到主数据库。请注意，此数据库链接是从备用实例执行的，用于查询主数据库上运行的未结事务。请参阅以下示例。

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';         
           

2. 验证是否已建立与使用 DMS_USER 的数据库链接的连接，如以下示例所示。

   select 1 from dual@AWSDMS_DBLINK

要手动设置补充日志记录

1. 运行以下查询来验证是否为数据库启用了补充日志记录。

   SELECT supplemental_log_data_min FROM v$database;

   如果返回的结果为 YES 或 IMPLICIT，则为数据库启用了补充日志记录。

   否则，请通过运行以下命令，为数据库启用补充日志记录。

   ALTER DATABASE ADD SUPPLEMENTAL LOG DATA;

2. 确保为每个复制的表添加了所需的补充日志记录。

   请考虑以下事项：

   • 如果向表中添加了 ALL COLUMNS 补充日志记录，则无需添加更多日志记录。

   • 如果存在主键，请为主键添加补充日志记录。为此，您可以使用格式在主键上添加补充日志记录，也可以在数据库的主键列上添加补充日志记录。

     ALTER TABLE Tablename ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;
     ALTER DATABASE ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;

   • 如果不存在主键并且表具有单个唯一索引，则将所有唯一索引的列添加到补充日志。

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG GROUP LogGroupName (UniqueIndexColumn1[, UniqueIndexColumn2] ...) ALWAYS;

     使用 SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS 不会将唯一索引列添加到日志。

   • 如果不存在主键且表有多个唯一索引，则在按字母顺序升序列表 AWS DMS 中选择第一个唯一索引。您需要像上一项那样在所选索引的列上添加补充日志记录。

     使用 SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS 不会将唯一索引列添加到日志。

   • 如果不存在主键，也没有唯一索引，则在所有列上添加补充日志记录。

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG DATA (ALL) COLUMNS;

     在某些情况下，目标表主键或唯一索引不同于源表主键或唯一索引。在这些情况下，请在构成目标表主键或唯一索引的源表列上手动添加补充日志记录。

     此外，如果您更改目标表主键，请在目标唯一索引的列上添加补充日志记录，而不是在原始主键或唯一索引的列上添加。

要在使用 Binary Reader 执行 CDC 时将 Oracle Standby 实例配置为源

1. 授予访问待机日志文件所需的其他权限。

   GRANT SELECT ON v_$standby_log TO db_user;

2. 使用 AWS Management Console 或 AWS CLI为 Oracle Standby 创建源端点。创建端点时，请指定以下额外的连接属性。

   useLogminerReader=N;useBfile=Y;

   注意

   在中 AWS DMS，您可以使用额外的连接属性来指定是否要从存档日志而不是重做日志中迁移。有关更多信息，请参阅 使用 Oracle 作为来源时的终端节点设置 AWS DMS。

3. 配置存档日志目标。

   未配置 ASM 的 Oracle 源的 DMS Binary Reader 使用 Oracle 目录来访问存档的重做日志。如果您的数据库配置为使用闪回恢复区（FRA）作为存档日志目标，则存档重做文件的位置不固定。每天生成存档的重做日志会导致在 FRA 中创建一个目录名称格式为 YYYY_MM_DD 的新目录。例如：

   DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD

   当 DMS 需要访问在新创建的 FRA 目录中存档的重做文件，并且使用主读写数据库作为源时，DMS 会创建一个新的 Oracle 目录或替换现有的 Oracle 目录，如下所示。

   CREATE OR REPLACE DIRECTORY dmsrep_taskid AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD’;

   如果使用备用数据库作为源，DMS 无法创建或替换 Oracle 目录，因为该数据库处于只读模式。但是，您可以选择执行以下附加步骤之一：

   1. 将 log_archive_dest_id_1 改为使用实际路径，而不使用 Oracle 不会创建每日子目录的配置中的 FRA：

      ALTER SYSTEM SET log_archive_dest_1=’LOCATION=full directory path’

      然后，创建一个供 DMS 使用的 Oracle 目录对象：

      CREATE OR REPLACE DIRECTORY dms_archived_logs AS ‘full directory path’;

   2. 创建一个额外的存档日志目标和一个指向该目标的 Oracle 目录对象。例如：

      ALTER SYSTEM SET log_archive_dest_3=’LOCATION=full directory path’; 
      CREATE DIRECTORY dms_archived_log AS ‘full directory path’;
      

      然后向任务源端点添加一个额外的连接属性：

      archivedLogDestId=3

   3. 手动预创建一个供 DMS 使用的 Oracle 目录对象。

      CREATE DIRECTORY dms_archived_log_20210301 AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/2021_03_01’;
      CREATE DIRECTORY dms_archived_log_20210302 AS ‘DB_RECOVERY_FILE_DEST>/SID>/archivelog/2021_03_02’; 
      ...
      

   4. 创建每天运行的 Oracle 调度程序任务，并创建所需的目录。

要将由 OCI 托管的用户管理的 Oracle 数据库配置为更改数据捕获源

1. 为 OCI 上用户管理的 Oracle 源数据库授予所需的用户账户权限。有关更多信息，请参阅自管理 Oracle 源端点的账户权限。

2. 授予使用 Binary Reader 访问重做日志时所需的账户权限。有关更多信息，请参阅使用 Binary Reader 时所需的账户权限。

3. 添加将 Binary Reader 与 Oracle Automatic Storage Management（ASM）结合使用时所需的账户权限。有关更多信息，请参阅将 Binary Reader 与 Oracle ASM 结合使用时所需的其他账户权限。

4. 设置补充日志记录。有关更多信息，请参阅设置补充日志记录。

5. 设置 TDE 加密。有关更多信息，请参阅将 Oracle 数据库用作源端点时使用的加密方法。

1. 在主数据库上创建名为 AWSDMS_DBLINK 的数据库链接。DMS_USER 将使用此数据库链接连接到主数据库。请注意，此数据库链接是从备用实例执行的，用于查询主数据库上运行的未结事务。请参阅以下示例。

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';         
           

2. 验证是否已建立与使用 DMS_USER 的数据库链接的连接，如以下示例所示。

   select 1 from dual@AWSDMS_DBLINK

设置存档

1. 运行 rdsadmin.rdsadmin_util.set_configuration 命令以设置存档。

   例如，要将已存档的重做日志保留 24 小时，请运行以下命令。

   exec rdsadmin.rdsadmin_util.set_configuration('archivelog retention hours',24);
   commit;                      

   注意

   要使更改生效，必须执行提交操作。

2. 确保您的存储具有足够的空间，可以满足指定保留期内的存档重做日志需求。例如，如果您的保留期为 24 小时，请计算在典型的事务处理小时内累积的存档重做日志的总大小，然后将该总大小乘以 24。将计算得出的 24 小时总存储空间与您的可用存储空间进行比较，确定是否有足够的存储空间来处理整整 24 小时的事务。

设置补充日志记录

1. 运行以下命令在数据库级别启用补充日志记录。

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD');

2. 运行以下命令为主键列启用补充日志记录。

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD','PRIMARY KEY');

3. （可选）在表级别启用键级别补充日志记录。

   启用键级别补充日志记录时，您的源数据库会产生少量开销。因此，如果您仅迁移一部分表，可能需要在表级别启用键级别补充日志记录。要在表级别启用键级别补充日志记录，请运行以下命令。

   alter table table_name add supplemental log data (PRIMARY KEY) columns;

使用 Binary Reader 配置 CDC

1. 以主用户身份登录您的 Amazon RDS for Oracle 源数据库，然后运行以下存储过程来创建服务器级目录。

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

2. 向用于访问 Oracle 源端点的 Oracle 用户账户授予以下权限。

   GRANT READ ON DIRECTORY ONLINELOG_DIR TO db_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR TO db_user;

3. 在 Amazon RDS Oracle 源端点上设置以下额外连接属性：

   • 对于 RDS Oracle 版本 11.2 和 12.1，请设置以下内容。

     useLogminerReader=N;useBfile=Y;accessAlternateDirectly=false;useAlternateFolderForOnline=true;
     oraclePathPrefix=/rdsdbdata/db/{$DATABASE_NAME}_A/;usePathPrefix=/rdsdbdata/log/;replacePathPrefix=true;

   • 对于 RDS Oracle 版本 12.2、18.0 和 19.0，请设置以下内容。

     useLogminerReader=N;useBfile=Y;

要在使用 Binary Reader 执行 CDC 时将 RDS for Oracle Standby 配置为源

1. 以主用户身份登录 RDS for Oracle 主实例。

2. 运行《Amazon RDS 用户指南》中记录的以下存储过程来创建服务器级目录。

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

3. 确定在步骤 2 中创建的目录。

   SELECT directory_name, directory_path FROM all_directories
   WHERE directory_name LIKE ( 'ARCHIVELOG_DIR_%' )
           OR directory_name LIKE ( 'ONLINELOG_DIR_%' )
   

   例如，前面的代码显示了如下所示的目录列表。

   

4. 向用于访问 Oracle Standby 的 Oracle 用户账户授予上述目录的 Read 权限。

   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_A TO db_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_B TO db_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_A TO db_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_B TO db_user;
   

5. 在主实例上执行存档日志切换。这样做可以确保将对 ALL_DIRECTORIES 的更改也移植到 Oracle Standby。

6. 在 Oracle Standby 上运行 ALL_DIRECTORIES 查询来确认已应用更改。

7. 使用 AWS DMS 管理控制台或 AWS Command Line Interface (AWS CLI) 为 Oracle 备用服务器创建源端点。创建端点时，请指定以下额外的连接属性。

   useLogminerReader=N;useBfile=Y;archivedLogDestId=1;additionalArchivedLogDestId=2

8. 创建终端节点后，使用控制台的 “创建端点” 页面上的测试端点连接或 AWS CLI test-connection命令来验证连接是否已建立。

在 AWS DMS中为 Oracle SSL 使用现有 Oracle 客户端安装

1. 通过运行以下命令将 ORACLE_HOME 系统变量设置为 dbhome_1 目录的位置。

   
   prompt>export ORACLE_HOME=/home/user/app/user/product/12.1.0/dbhome_1                        
   

2. 将 $ORACLE_HOME/lib 附加到 LD_LIBRARY_PATH 系统变量。

   
   prompt>export LD_LIBRARY_PATH=$LD_LIBRARY_PATH:$ORACLE_HOME/lib                        
   

3. 为 $ORACLE_HOME/ssl_wallet 处的 Oracle wallet 创建一个目录。

   
   prompt>mkdir $ORACLE_HOME/ssl_wallet
   

4. 将 CA 证书 .pem 文件放入 ssl_wallet 目录中。如果使用 Amazon RDS，则可下载由 Amazon RDS 托管的 rds-ca-2015-root.pem 根 CA 证书文件。有关下载此文件的更多信息，请参阅《Amazon RDS 用户指南》中的使用 SSL/TLS 来加密与数据库实例的连接。

5. 运行下列命令以创建 Oracle wallet。

   
   prompt>orapki wallet create -wallet $ORACLE_HOME/ssl_wallet -auto_login_only
   prompt>orapki wallet add -wallet $ORACLE_HOME/ssl_wallet -trusted_cert -cert 
      $ORACLE_HOME/ssl_wallet/ca-cert.pem -auto_login_only                            
                           

要使用适用于 Oracle SSL 的自签名证书 AWS DMS

1. 创建一个您将用于处理自签名证书的目录。

   mkdir -p /u01/app/oracle/self_signed_cert
   

2. 转到您在上一步创建的目录中。

   cd /u01/app/oracle/self_signed_cert
   

3. 创建根密钥。

   openssl genrsa -out self-rootCA.key 2048
   

4. 使用在上一步中创建的根密钥对根证书进行自签名。

   openssl req -x509 -new -nodes -key self-rootCA.key 
           -sha256 -days 3650 -out self-rootCA.pem
   

   使用以下输入参数：

   • Country Name (2 letter code) [XX]，例如：AU

   • State or Province Name (full name) []，例如：NSW

   • Locality Name (e.g., city) [Default City]，例如：Sydney

   • Organization Name (e.g., company) [Default Company Ltd]，例如：AmazonWebService

   • Organizational Unit Name (e.g., section) []，例如：DBeng

   • Common Name (e.g., your name or your server's hostname) []，例如：aws

   • Email Address []，例如：abcd.efgh@amazonwebservice.com

5. 为 Oracle 数据库创建 Oracle wallet 目录。

   mkdir -p /u01/app/oracle/wallet
   

6. 创建新的 Oracle wallet。

   orapki wallet create -wallet "/u01/app/oracle/wallet" -pwd oracle123 -auto_login_local
   

7. 将根证书添加到 Oracle wallet。

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 -trusted_cert 
   -cert /u01/app/oracle/self_signed_cert/self-rootCA.pem
   

8. 列出 Oracle wallet 的内容。该列表应包含根证书。

   orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123
   

   例如，这可能显示以下类似内容。

   Requested Certificates:
   User Certificates:
   Trusted Certificates:
   Subject:        CN=aws,OU=DBeng,O= AmazonWebService,L=Sydney,ST=NSW,C=AU
   

9. 使用 ORAPKI 实用程序生成证书签名请求 (CSR)。

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 
   -dn "CN=aws" -keysize 2048 -sign_alg sha256
   

10. 运行以下命令。

    openssl pkcs12 -in /u01/app/oracle/wallet/ewallet.p12 -nodes -out /u01/app/oracle/wallet/nonoracle_wallet.pem
    

    这会产生类似下面的输出。

    Enter Import Password:
    MAC verified OK
    Warning unsupported bag type: secretBag
    

11. 将“dms”用作公用名。

    openssl req -new -key /u01/app/oracle/wallet/nonoracle_wallet.pem -out certdms.csr
    

    使用以下输入参数：

    • Country Name (2 letter code) [XX]，例如：AU

    • State or Province Name (full name) []，例如：NSW

    • Locality Name (e.g., city) [Default City]，例如：Sydney

    • Organization Name (e.g., company) [Default Company Ltd]，例如：AmazonWebService

    • Organizational Unit Name (e.g., section) []，例如：aws

    • Common Name (e.g., your name or your server's hostname) []，例如：aws

    • Email Address []，例如：abcd.efgh@amazonwebservice.com

    请确保这与步骤 4 不同。例如，您可以通过将组织单位名称更改为其他名称来实现此目的，如下所示。

    输入要随证书申请一起发送的以下其他属性。

    • A challenge password []，例如：oracle123

    • An optional company name []，例如：aws

12. 获取证书签名。

    openssl req -noout -text -in certdms.csr | grep -i signature
    

    这篇文章的签名密钥是 sha256WithRSAEncryption。

13. 运行以下命令以生成证书（.crt）文件。

    openssl x509 -req -in certdms.csr -CA self-rootCA.pem -CAkey self-rootCA.key 
    -CAcreateserial -out certdms.crt -days 365 -sha256
    

    这会产生类似下面的输出。

    Signature ok
    subject=/C=AU/ST=NSW/L=Sydney/O=awsweb/OU=DBeng/CN=aws
    Getting CA Private Key
    

14. 将证书添加到 wallet。

    orapki wallet add -wallet /u01/app/oracle/wallet -pwd oracle123 -user_cert -cert certdms.crt
    

15. 查看 Wallet。它应该包含两个条目。请参阅以下代码。

    orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123
    

16. 配置 sqlnet.ora 文件（$ORACLE_HOME/network/admin/sqlnet.ora）。

    WALLET_LOCATION =
       (SOURCE =
         (METHOD = FILE)
         (METHOD_DATA =
           (DIRECTORY = /u01/app/oracle/wallet/)
         )
       ) 
    
    SQLNET.AUTHENTICATION_SERVICES = (NONE)
    SSL_VERSION = 1.0
    SSL_CLIENT_AUTHENTICATION = FALSE
    SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA)
    

17. 停止 Oracle 侦听器。

    lsnrctl stop

18. 在 listener.ora 文件 ($ORACLE_HOME/network/admin/listener.ora) 中添加 SSL 条目。

    SSL_CLIENT_AUTHENTICATION = FALSE
    WALLET_LOCATION =
      (SOURCE =
        (METHOD = FILE)
        (METHOD_DATA =
          (DIRECTORY = /u01/app/oracle/wallet/)
        )
      )
    
    SID_LIST_LISTENER =
     (SID_LIST =
      (SID_DESC =
       (GLOBAL_DBNAME = SID)
       (ORACLE_HOME = ORACLE_HOME)
       (SID_NAME = SID)
      )
     )
    
    LISTENER =
      (DESCRIPTION_LIST =
        (DESCRIPTION =
          (ADDRESS = (PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
          (ADDRESS = (PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
          (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC1521))
        )
      )
    

19. 配置 tnsnames.ora 文件（$ORACLE_HOME/network/admin/tnsnames.ora）。

    <SID>=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )
    
    <SID>_ssl=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )
    

20. 重新启动 Oracle 侦听器。

    lsnrctl start

21. 显示 Oracle 侦听器状态。

    lsnrctl status

22. 使用 sqlplus 和 SSL tnsnames 条目测试从本地主机到数据库的 SSL 连接。

    sqlplus -L ORACLE_USER@SID_ssl

23. 验证您已使用 SSL 成功连接。

    SELECT SYS_CONTEXT('USERENV', 'network_protocol') FROM DUAL;
    
    SYS_CONTEXT('USERENV','NETWORK_PROTOCOL')
    --------------------------------------------------------------------------------
    tcps
    

24. 将目录更改为具有自签名证书的目录。

    cd /u01/app/oracle/self_signed_cert

25. 创建一个新的客户端 Oracle 钱包 AWS DMS 以供使用。

    orapki wallet create -wallet ./ -auto_login_only

26. 将自签名根证书添加到 Oracle wallet。

    orapki wallet add -wallet ./ -trusted_cert -cert self-rootCA.pem -auto_login_only

27. 列出 AWS DMS 要使用的 Oracle 钱包中的内容。该列表应包含自签名根证书。

    orapki wallet display -wallet ./

    这会产生类似下面的输出。

    Trusted Certificates:
    Subject:        CN=aws,OU=DBeng,O=AmazonWebService,L=Sydney,ST=NSW,C=AU
    

28. 将您刚刚创建的 Oracle 钱包上传到 AWS DMS。

要识别并指定用于 TDE 加密的加密密钥和密码

1. 运行以下查询，在 Oracle 数据库主机上查找 Oracle 加密 Wallet。

   SQL> SELECT WRL_PARAMETER FROM V$ENCRYPTION_WALLET;
   
   WRL_PARAMETER
   --------------------------------------------------------------------------------
   /u01/oracle/product/12.2.0/dbhome_1/data/wallet/

   在这里，/u01/oracle/product/12.2.0/dbhome_1/data/wallet/ 是 Wallet 所在的位置。

2. 使用以下加密选项之一（具体取决于哪个加密选项返回此值）获取主密钥 ID。

   1. 对于表级别或列级别加密，请运行以下查询。

      SQL> SELECT OBJECT_ID FROM ALL_OBJECTS 
      WHERE OWNER='DMS_USER' AND OBJECT_NAME='TEST_TDE_COLUMN' AND OBJECT_TYPE='TABLE';
      
      OBJECT_ID
      ---------------
      81046
      SQL> SELECT MKEYID FROM SYS.ENC$ WHERE OBJ#=81046;
      
      MKEYID
      ------------
      AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

      在这里，AWGDC9glSk8Xv+3bVveiVSg 是主密钥 ID（MKEYID）。如果获取了 MKEYID 的值，则可继续执行步骤 3。否则，请继续执行步骤 2.2。

      注意

      尾随字符串的 'A' 字符（AAA...）不是值的一部分。

   2. 对于表空间级别加密，请运行以下查询。

      SQL> SELECT TABLESPACE_NAME, ENCRYPTED FROM dba_tablespaces;
      TABLESPACE_NAME                ENC
      ------------------------------ ---
      SYSTEM                         NO
      SYSAUX                         NO
      UNDOTBS1                       NO
      TEMP                           NO
      USERS                          NO
      TEST_ENCRYT                    YES
      SQL> SELECT name,utl_raw.cast_to_varchar2( utl_encode.base64_encode('01'||substr(mkeyid,1,4))) || utl_raw.cast_to_varchar2( utl_encode.base64_encode(substr(mkeyid,5,length(mkeyid)))) masterkeyid_base64
      FROM (SELECT t.name, RAWTOHEX(x.mkid) mkeyid FROM v$tablespace t, x$kcbtek x WHERE t.ts#=x.ts#)
      WHERE name = 'TEST_ENCRYT';
      
      NAME                           MASTERKEYID_BASE64
      ------------------------------ ----------------------------------
      TEST_ENCRYT                    AWGDC9glSk8Xv+3bVveiVSg=
      

      在这里，AWGDC9glSk8Xv+3bVveiVSg 是主密钥 ID（TEST_ENCRYT）。如果步骤 2.1 和 2.2 都返回一个值，则它们始终相同。

      尾随的 '=' 字符不是值的一部分。

3. 在命令行中，列出源 Oracle 数据库主机上的加密 Wallet 条目。

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -list
   Oracle Secret Store entries:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.MASTERKEY
   ORACLE.SECURITY.ID.ENCRYPTION.
   ORACLE.SECURITY.KB.ENCRYPTION.
   ORACLE.SECURITY.KM.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   

   找到包含您在步骤 2（AWGDC9glSk8Xv+3bVveiVSg）中找到的包含主密钥 ID 的条目。此条目是 TDE 加密密钥名称。

4. 查看您在上一步中找到的条目的详细信息。

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -viewEntry ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   Oracle Secret Store Tool : Version 12.2.0.1.0
   Copyright (c) 2004, 2016, Oracle and/or its affiliates. All rights reserved.
   Enter wallet password:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA = AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   输入 Wallet 密码以查看结果。

   在这里，'=' 右边的值是 TDE 密码。

5. 通过设置额外连接属性 securityDbEncryptionName 为 Oracle 源端点指定 TDE 加密密钥名称。

   securityDbEncryptionName=ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

6. 在控制台上提供此密钥的关联 TDE 密码，将其作为 Oracle 源的密码值的一部分。按以下顺序设置以逗号分隔的密码值的格式，以 TDE 密码值结尾。

   Oracle_db_password,ASM_Password,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   无论 Oracle 数据库配置如何，都按此顺序指定密码值。例如，如果您使用的是 TDE，但 Oracle 数据库未使用 ASM，请按照以下逗号分隔顺序指定密码值。

   Oracle_db_password,,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==