使用 Oracle 資料庫做為 AWS DMS的來源

1. 在主要資料庫 DMS_USER 上建立名為 AWSDMS_DBLINK 的資料庫連結，將使用資料庫連結來連線至主要資料庫。請注意，資料庫連結是從待命執行個體執行，以查詢主要資料庫上執行的開啟交易。請參閱以下範例。

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';

2. 確認已如下列範例所示，使用 DMS_USER 來建立資料庫連結的連線。

   select 1 from dual@AWSDMS_DBLINK

若要手動設定補充記錄

1. 執行下列查詢，以確認已啟用資料庫的補充記錄。

   SELECT supplemental_log_data_min FROM v$database;

   如果傳回的結果是 YES 或 IMPLICIT，則會啟用資料庫的補充記錄。

   如果不是，請執行下列命令，以啟用資料庫的補充記錄。

   ALTER DATABASE ADD SUPPLEMENTAL LOG DATA;

2. 確定已為每個複寫資料表新增必要的補充記錄。

   考慮下列各項：

   • 如果將 ALL COLUMNS 補充記錄新增至資料表，就不需要新增其他記錄。

   • 如果有主索引鍵，請新增主索引鍵的補充記錄。您可以使用格式，在主索引鍵本身上新增補充記錄，或在資料庫主索引鍵資料欄上新增補充記錄，來做到這一點。

     ALTER TABLE Tablename ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;
     ALTER DATABASE ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;

   • 如果沒有主索引鍵且資料表具有單一唯一索引，請將唯一索引的所有資料行新增至補充記錄檔。

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG GROUP LogGroupName (UniqueIndexColumn1[, UniqueIndexColumn2] ...) ALWAYS;

     使用 SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS 不會將唯一索引資料行新增至日誌。

   • 如果沒有主索引鍵，且資料表具有多個唯一索引， 會 AWS DMS 選取依字母順序遞增清單中的第一個唯一索引。您需要如同前一個項目，在選取索引的資料欄上新增補充記錄。

     使用 SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS 不會將唯一索引資料行新增至日誌。

   • 如果沒有主索引鍵且沒有唯一索引，請在所有資料行上新增補充記錄。

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG DATA (ALL) COLUMNS;

     在某些情況下，目標資料表的主索引鍵或唯一的索引，和來源資料表的主索引鍵或唯一的索引不相同。在這些情況下，請手動在來源資料表資料欄中新增補充記錄，以構成目標資料表的主索引鍵或唯一的索引。

     而且，如果您變更目標資料表的主索引鍵，請在目標唯一索引的資料行中新增補充記錄，而不是新增在來源主索引鍵或唯一索引的資料行中。

將 Oracle Standby 執行個體設定為使用 Binary Reader 進行 CDC 的來源

1. 授予存取待命日誌檔所需的其他權限。

   GRANT SELECT ON v_$standby_log TO dms_user;

2. 使用 AWS Management Console 或 AWS CLI建立 Oracle Standby 的來源端點。建立端點時，請指定下列額外的連線屬性。

   useLogminerReader=N;useBfile=Y;

   注意

   在 中 AWS DMS，您可以使用額外的連線屬性來指定是否要從封存日誌遷移，而非重做日誌。如需詳細資訊，請參閱使用 Oracle 做為 來源時的端點設定 AWS DMS。

3. 設定封存的日誌目的地。

   不含 ASM 之 Oracle 來源的 DMS Binary Reader 會使用 Oracle 目錄來存取封存的還原日誌。如果資料庫設定為使用快速復原區域 (FRA) 作為封存日誌目的地，則封存還原檔案的位置不是固定的。每天產生封存還原日誌，都會導致在 FRA 中使用目錄名稱格式 YYYY_MM_DD 建立新目錄。例如：

   DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD

   當 DMS 需要存取新建立的 FRA 目錄中的封存還原檔案，且將主要讀寫資料庫用作為來源時，DMS 會如下所示，建立新的 Oracle 目錄或取代現有的 Oracle 目錄。

   CREATE OR REPLACE DIRECTORY dmsrep_taskid AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD’;

   當待命資料庫作為來源使用時，DMS 無法建立或取代 Oracle 目錄，因為資料庫處於唯讀模式。但是，您可以選擇執行以下其中一個額外步驟：

   1. 在 Oracle 不會建立每日子目錄的這類組態中，修改 log_archive_dest_id_1 以使用實際路徑 (而不是 FRA)：

      ALTER SYSTEM SET log_archive_dest_1=’LOCATION=full directory path’

      然後，建立要由 DMS 使用的 Oracle 目錄物件：

      CREATE OR REPLACE DIRECTORY dms_archived_logs AS ‘full directory path’;

   2. 建立其他封存日誌目的地，以及指向該目的地的 Oracle 目錄物件。例如：

      ALTER SYSTEM SET log_archive_dest_3=’LOCATION=full directory path’; 
      CREATE DIRECTORY dms_archived_log AS ‘full directory path’;
      

      然後將額外的連線屬性新增至任務來源端點：

      archivedLogDestId=3

   3. 手動預先建立由 DMS 使用的 Oracle 目錄物件。

      CREATE DIRECTORY dms_archived_log_20210301 AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/2021_03_01’;
      CREATE DIRECTORY dms_archived_log_20210302 AS ‘DB_RECOVERY_FILE_DEST>/SID>/archivelog/2021_03_02’; 
      ...
      

   4. 建立每日執行並建立所需目錄的 Oracle 排程器作業。

4. 設定線上日誌目的地。

   使用待命重做日誌建立指向作業系統目錄的 Oracle 目錄：

   CREATE OR REPLACE DIRECTORY STANDBY_REDO_DIR AS '<full directory path>';
   GRANT READ ON DIRECTORY STANDBY_REDO_DIR TO <dms_user>;

將 OCI 代管使用者管理的 Oracle 資料庫設定為來源以進行變更資料擷取

1. 授予 OCI 上自我管理 Oracle 來源資料庫所需的使用者帳戶權限。如需詳細資訊，請參閱自我管理 Oracle 來源端點的帳戶權限。

2. 授予使用 Binary Reader 存取還原日誌時所需的帳戶權限。如需詳細資訊，請參閱使用 Binary Reader 時所需的帳戶權限。

3. 新增將 Oracle Automatic Storage Management (ASM) 與 Binary Reader 搭配使用時所需的帳戶權限。如需詳細資訊，請參閱將 Oracle ASM 與 Binary Reader 搭配使用時所需的其他帳戶權限。

4. 設定補充記錄。如需詳細資訊，請參閱設定補充記錄。

5. 設定 TDE 加密。如需詳細資訊，請參閱使用 Oracle 資料庫作為來源端點時的加密方法。

1. 在主要資料庫 DMS_USER 上建立名為 AWSDMS_DBLINK 的資料庫連結，將使用資料庫連結來連線至主要資料庫。請注意，資料庫連結是從待命執行個體執行，以查詢主要資料庫上執行的開啟交易。請參閱以下範例。

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';

2. 確認已如下列範例所示，使用 DMS_USER 來建立資料庫連結的連線。

   select 1 from dual@AWSDMS_DBLINK

若要設定封存

1. 執行 rdsadmin.rdsadmin_util.set_configuration 命令以設定封存。

   例如，若要將封存的還原日誌保留 24 小時，請執行下列命令。

   exec rdsadmin.rdsadmin_util.set_configuration('archivelog retention hours',24);
   commit;

   注意

   需要遞交命令，變更才會生效。

2. 請確定儲存體有足夠的空間可供封存的還原日誌在指定的保留期間使用。例如，如果保留期間為 24 小時，請計算一般交易處理小時內累積的封存還原日誌總大小，再將該值乘以 24。將此計算的 24 小時總計與可用儲存空間進行比較，並決定您的儲存空間是否足以處理完整的 24 小時交易處理。

若要設定補充記錄

1. 請執行下列命令以啟用資料庫層級的補充記錄。

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD');

2. 請執行下列命令以啟用主索引鍵補充記錄。

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD','PRIMARY KEY');

3. (選用) 在資料表層級啟用金鑰層級補充記錄。

   啟用金鑰層級補充記錄時，來源資料庫會產生一小部分開銷。因此，如果您僅遷移資料表的子集，建議您在資料表層級啟用金鑰層級補充記錄。若要在資料表層級啟用金鑰層級補充記錄，請執行下列命令。

   alter table table_name add supplemental log data (PRIMARY KEY) columns;

使用 Binary Reader 設定 CDC

1. 以主要使用者身分登入 Amazon RDS for Oracle 來源資料庫，然後執行下列預存程序以建立伺服器層級的目錄。

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

2. 授予以下 Oracle 使用者帳戶權限，此權限會用來存取 Oracle 來源端點。

   GRANT READ ON DIRECTORY ONLINELOG_DIR TO dms_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR TO dms_user;

3. 在 Amazon RDS Oracle 來源端點上，設定額外的連線屬性：

   • 對於 RDS Oracle 11.2 和 12.1 版，請進行以下設定。

     useLogminerReader=N;useBfile=Y;accessAlternateDirectly=false;useAlternateFolderForOnline=true;
     oraclePathPrefix=/rdsdbdata/db/{$DATABASE_NAME}_A/;usePathPrefix=/rdsdbdata/log/;replacePathPrefix=true;

   • 對於 RDS Oracle 12.2、18.0 和 19.0 版，請進行以下設定。

     useLogminerReader=N;useBfile=Y;

在使用 Binary Reader 進行 CDC 時，將 RDS for Oracle Standby 設定為來源

1. 以主要使用者身分登入 RDS for Oracle 主要執行個體。

2. 依照 Amazon RDS 使用者指南中的說明執行下列預存程序，以建立伺服器層級目錄。

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

3. 識別在步驟 2 中建立的目錄。

   SELECT directory_name, directory_path FROM all_directories
   WHERE directory_name LIKE ( 'ARCHIVELOG_DIR_%' )
           OR directory_name LIKE ( 'ONLINELOG_DIR_%' )
   

   例如，上述程式碼會顯示類似下列的目錄清單。

   

4. 將先前目錄的 Read 權限授予用來存取 Oracle Standby 的 Oracle 使用者帳戶。

   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_A TO dms_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_B TO dms_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_A TO dms_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_B TO dms_user;
   

5. 在主要執行個體上執行封存日誌切換。這樣做可確保對 ALL_DIRECTORIES 所做的變更也會移植到 Oracle Standby。

6. 在 Oracle Standby 上執行 ALL_DIRECTORIES 查詢，以確認已套用變更。

7. 使用 AWS DMS 管理主控台或 AWS Command Line Interface () 建立 Oracle 待命的來源端點AWS CLI。建立端點時，請指定下列額外連線屬性。

   useLogminerReader=N;useBfile=Y;archivedLogDestId=1;additionalArchivedLogDestId=2

8. 建立端點後，請在主控台的建立端點頁面上使用測試端點連線，或 AWS CLI test-connection命令來驗證連線已建立。

若要透過 AWS DMS為 Oracle SSL 使用現有的 Oracle 用戶端安裝

1. 執行下列命令，將 ORACLE_HOME 系統變數設為您的 dbhome_1 目錄位置。

   
   prompt>export ORACLE_HOME=/home/user/app/user/product/12.1.0/dbhome_1                        
   

2. 附加 $ORACLE_HOME/lib 至 LD_LIBRARY_PATH 系統變數。

   
   prompt>export LD_LIBRARY_PATH=$LD_LIBRARY_PATH:$ORACLE_HOME/lib                        
   

3. 在 $ORACLE_HOME/ssl_wallet 建立 Oracle 錢包的目錄。

   
   prompt>mkdir $ORACLE_HOME/ssl_wallet
   

4. 將 CA 憑證 .pem 檔案放在 ssl_wallet 目錄中。若是使用 Amazon RDS，您可以下載由 Amazon RDS 託管之 rds-ca-2015-root.pem 根 CA 憑證檔案。如需下載此檔案的相關資訊，請參閱《Amazon RDS 使用者指南》中的使用 SSL/TLS 加密與資料庫執行個體的連線。

5. 如果您的 CA 憑證包含多個 PEM 檔案 （例如 Amazon RDS 全域或區域套件），您必須將其分割為不同的檔案，並使用下列 bash 指令碼將其新增至 Oracle 錢包。此指令碼需要兩個參數輸入：CA 憑證的路徑和先前建立的 Oracle 錢包資料夾的路徑。

   
   #!/usr/bin/env bash
   
   certnum=$(grep -c BEGIN <(cat $1))
   
   cnt=0
   temp_cert=""
   while read line
   do
   if [ -n "$temp_cert" -a "$line" == "-----BEGIN CERTIFICATE-----" ]
   then
   cnt=$(expr $cnt + 1)
   printf "\rImporting certificate # $cnt of $certnum"
   orapki wallet add -wallet "$2" -trusted_cert -cert <(echo -n "${temp_cert}") -auto_login_only 1>/dev/null 2>/dev/null
   temp_cert=""
   fi
   temp_cert+="$line"$'\n'
   done < <(cat $1)
   
   cnt=$(expr $cnt + 1)
   printf "\rImporting certificate # $cnt of $certnum"
   orapki wallet add -wallet "$2" -trusted_cert -cert <(echo -n "${temp_cert}") -auto_login_only 1>/dev/null 2>/dev/null
   echo ""

使用 Oracle SSL 的自我簽署憑證搭配 AWS DMS

1. 建立您要用來處理自簽憑證的目錄。

   mkdir -p /u01/app/oracle/self_signed_cert

2. 變更為您在上一個步驟中建立的目錄。

   cd /u01/app/oracle/self_signed_cert

3. 建立根金鑰。

   openssl genrsa -out self-rootCA.key 2048

4. 使用您在上一個步驟中建立的根金鑰來自簽根憑證。

   openssl req -x509 -new -nodes -key self-rootCA.key 
           -sha256 -days 3650 -out self-rootCA.pem

   使用以下輸入參數。

   • Country Name (2 letter code) [XX]，例如：AU

   • State or Province Name (full name) []，例如：NSW

   • Locality Name (e.g., city) [Default City]，例如：Sydney

   • Organization Name (e.g., company) [Default Company Ltd]，例如：AmazonWebService

   • Organizational Unit Name (e.g., section) []，例如：DBeng

   • Common Name (e.g., your name or your server's hostname) []，例如：aws

   • Email Address []，例如：abcd.efgh@amazonwebservice.com

5. 建立 Oracle 資料庫的 Oracle 錢包目錄。

   mkdir -p /u01/app/oracle/wallet

6. 建立新的 Oracle 錢包。

   orapki wallet create -wallet "/u01/app/oracle/wallet" -pwd oracle123 -auto_login_local

7. 將根憑證新增至 Oracle 錢包。

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 -trusted_cert 
   -cert /u01/app/oracle/self_signed_cert/self-rootCA.pem

8. 列出 Oracle 錢包的內容。此清單應該包含根憑證。

   orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123

   例如，這可能會顯示類似以下內容。

   Requested Certificates:
   User Certificates:
   Trusted Certificates:
   Subject:        CN=aws,OU=DBeng,O= AmazonWebService,L=Sydney,ST=NSW,C=AU

9. 使用 ORAPKI 公用程式來產生憑證簽署請求 (CSR)。

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 
   -dn "CN=aws" -keysize 2048 -sign_alg sha256

10. 執行下列命令。

    openssl pkcs12 -in /u01/app/oracle/wallet/ewallet.p12 -nodes -out /u01/app/oracle/wallet/nonoracle_wallet.pem
    

    其輸出如下所示。

    Enter Import Password:
    MAC verified OK
    Warning unsupported bag type: secretBag
    

11. 放入 'dms' 做為通用名稱。

    openssl req -new -key /u01/app/oracle/wallet/nonoracle_wallet.pem -out certdms.csr
    

    使用以下輸入參數。

    • Country Name (2 letter code) [XX]，例如：AU

    • State or Province Name (full name) []，例如：NSW

    • Locality Name (e.g., city) [Default City]，例如：Sydney

    • Organization Name (e.g., company) [Default Company Ltd]，例如：AmazonWebService

    • Organizational Unit Name (e.g., section) []，例如：aws

    • Common Name (e.g., your name or your server's hostname) []，例如：aws

    • Email Address []，例如：abcd.efgh@amazonwebservice.com

    確保這與步驟 4 不同。您可以執行此操作，如範例所示，將組織單位名稱變更為不同的名稱。

    輸入要與憑證請求一起傳送的其他屬性。

    • A challenge password []，例如：oracle123

    • An optional company name []，例如：aws

12. 取得憑證簽章。

    openssl req -noout -text -in certdms.csr | grep -i signature

    這篇貼文的簽章金鑰是 sha256WithRSAEncryption。

13. 執行下列命令來產生憑證 (.crt) 檔案。

    openssl x509 -req -in certdms.csr -CA self-rootCA.pem -CAkey self-rootCA.key 
    -CAcreateserial -out certdms.crt -days 365 -sha256

    其顯示的輸出如下所示。

    Signature ok
    subject=/C=AU/ST=NSW/L=Sydney/O=awsweb/OU=DBeng/CN=aws
    Getting CA Private Key

14. 將憑證新增至錢包。

    orapki wallet add -wallet /u01/app/oracle/wallet -pwd oracle123 -user_cert -cert certdms.crt

15. 檢視錢包。其應有兩個項目。請參閱下列程式碼。

    orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123

16. 設定 sqlnet.ora 檔案 ($ORACLE_HOME/network/admin/sqlnet.ora)。

    WALLET_LOCATION =
       (SOURCE =
         (METHOD = FILE)
         (METHOD_DATA =
           (DIRECTORY = /u01/app/oracle/wallet/)
         )
       ) 
    
    SQLNET.AUTHENTICATION_SERVICES = (NONE)
    SSL_VERSION = 1.0
    SSL_CLIENT_AUTHENTICATION = FALSE
    SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA)
    

17. 停止 Oracle 接聽程式。

    lsnrctl stop

18. 在 listener.ora 檔案 ($ORACLE_HOME/network/admin/listener.ora) 中新增 SSL 項目。

    SSL_CLIENT_AUTHENTICATION = FALSE
    WALLET_LOCATION =
      (SOURCE =
        (METHOD = FILE)
        (METHOD_DATA =
          (DIRECTORY = /u01/app/oracle/wallet/)
        )
      )
    
    SID_LIST_LISTENER =
     (SID_LIST =
      (SID_DESC =
       (GLOBAL_DBNAME = SID)
       (ORACLE_HOME = ORACLE_HOME)
       (SID_NAME = SID)
      )
     )
    
    LISTENER =
      (DESCRIPTION_LIST =
        (DESCRIPTION =
          (ADDRESS = (PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
          (ADDRESS = (PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
          (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC1521))
        )
      )

19. 設定 tnsnames.ora 檔案 ($ORACLE_HOME/network/admin/tnsnames.ora)。

    <SID>=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )
    
    <SID>_ssl=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )

20. 重新啟動 Oracle 接聽程式。

    lsnrctl start

21. 顯示 Oracle 接聽程式狀態。

    lsnrctl status

22. 使用 sqlplus 和 SSL tnsnames 項目來測試從 localhost 到資料庫的 SSL 連線。

    sqlplus -L ORACLE_USER@SID_ssl

23. 驗證您已使用 SSL 成功連線。

    SELECT SYS_CONTEXT('USERENV', 'network_protocol') FROM DUAL;
    
    SYS_CONTEXT('USERENV','NETWORK_PROTOCOL')
    --------------------------------------------------------------------------------
    tcps

24. 將目錄變更為包含自簽憑證的目錄。

    cd /u01/app/oracle/self_signed_cert

25. 建立新的用戶端 Oracle 錢包 AWS DMS 供 使用。

    orapki wallet create -wallet ./ -auto_login_only

26. 將自簽根憑證新增至 Oracle 錢包。

    orapki wallet add -wallet ./ -trusted_cert -cert self-rootCA.pem -auto_login_only

27. 列出 Oracle 錢包的內容 AWS DMS 以供 使用。此清單應該包含自簽根憑證。

    orapki wallet display -wallet ./

    其輸出如下所示。

    Trusted Certificates:
    Subject:        CN=aws,OU=DBeng,O=AmazonWebService,L=Sydney,ST=NSW,C=AU

28. 上傳您剛建立的 Oracle 錢包 AWS DMS。

識別並指定 TDE 加密的加密金鑰和密碼

1. 執行下列查詢，以尋找 Oracle 資料庫主機上的 Oracle 加密錢包。

   SQL> SELECT WRL_PARAMETER FROM V$ENCRYPTION_WALLET;
   
   WRL_PARAMETER
   --------------------------------------------------------------------------------
   /u01/oracle/product/12.2.0/dbhome_1/data/wallet/

   在此處，/u01/oracle/product/12.2.0/dbhome_1/data/wallet/ 便是指錢包的位置。

2. 使用下列其中一個加密選項取得主金鑰 ID，視傳回此值的選項為何而定。

   1. 對於資料表或資料欄層級加密，請執行下列查詢。

      SQL> SELECT OBJECT_ID FROM ALL_OBJECTS 
      WHERE OWNER='DMS_USER' AND OBJECT_NAME='TEST_TDE_COLUMN' AND OBJECT_TYPE='TABLE';
      
      OBJECT_ID
      ---------------
      81046
      SQL> SELECT MKEYID FROM SYS.ENC$ WHERE OBJ#=81046;
      
      MKEYID
      ------------
      AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

      AWGDC9glSk8Xv+3bVveiVSg 在這處是主金鑰 ID (MKEYID)。如果您取得 MKEYID 的值，您可以繼續執行步驟 3。否則，請繼續步驟 2.2。

      注意

      結尾字串 'A' 字元 (AAA...) 不是值的一部分。

   2. 對於資料表空間層級加密，請執行下列查詢。

      SQL> SELECT TABLESPACE_NAME, ENCRYPTED FROM dba_tablespaces;
      TABLESPACE_NAME                ENC
      ------------------------------ ---
      SYSTEM                         NO
      SYSAUX                         NO
      UNDOTBS1                       NO
      TEMP                           NO
      USERS                          NO
      TEST_ENCRYT                    YES
      SQL> SELECT name,utl_raw.cast_to_varchar2( utl_encode.base64_encode('01'||substr(mkeyid,1,4))) || utl_raw.cast_to_varchar2( utl_encode.base64_encode(substr(mkeyid,5,length(mkeyid)))) masterkeyid_base64
      FROM (SELECT t.name, RAWTOHEX(x.mkid) mkeyid FROM v$tablespace t, x$kcbtek x WHERE t.ts#=x.ts#)
      WHERE name = 'TEST_ENCRYT';
      
      NAME                           MASTERKEYID_BASE64
      ------------------------------ ----------------------------------
      TEST_ENCRYT                    AWGDC9glSk8Xv+3bVveiVSg=
      

      AWGDC9glSk8Xv+3bVveiVSg 在這處是主金鑰 ID (TEST_ENCRYT)。如果兩個步驟 2.1 和 2.2 都傳回一個值，則這些值一律相同。

      結尾 '=' 字元不是值的一部分。

3. 從命令行列出來源 Oracle 資料庫主機上的加密錢包項目。

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -list
   Oracle Secret Store entries:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.MASTERKEY
   ORACLE.SECURITY.ID.ENCRYPTION.
   ORACLE.SECURITY.KB.ENCRYPTION.
   ORACLE.SECURITY.KM.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   

   尋找內含您在步驟 2 (AWGDC9glSk8Xv+3bVveiVSg) 中找到之主金鑰 ID 的項目。此項目是 TDE 加密金鑰名稱。

4. 檢視您於之前步驟中找到的項目詳細資訊。

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -viewEntry ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   Oracle Secret Store Tool : Version 12.2.0.1.0
   Copyright (c) 2004, 2016, Oracle and/or its affiliates. All rights reserved.
   Enter wallet password:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA = AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   輸入錢包密碼以查看結果。

   在這裡，'=' 右邊的值是 TDE 密碼。

5. 透過設定 securityDbEncryptionName 額外的連線屬性，指定 Oracle 來源端點的 TDE 加密金鑰名稱。

   securityDbEncryptionName=ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

6. 在主控台上提供此金鑰的相關 TDE 密碼，作為 Oracle 來源密碼值的一部份。使用下列順序格式化以 TDE 密碼值結尾的逗號分隔密碼值。

   Oracle_db_password,ASM_Password,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   無論您的 Oracle 資料庫組態為何，請依此順序指定密碼值。例如，如果您使用的是 TDE，但 Oracle 資料庫並未使用 ASM，請依照下列逗號分隔順序指定密碼值。

   Oracle_db_password,,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==