将 Oracle 数据库作为 Amazon DMS 的源

1. 在主数据库上创建名为 AWSDMS_DBLINK 的数据库链接。DMS_USER 将使用此数据库链接连接到主数据库。请注意，此数据库链接是从备用实例执行的，用于查询主数据库上运行的未结事务。请参阅以下示例。

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';         
           

2. 验证是否已建立与使用 DMS_USER 的数据库链接的连接，如以下示例所示。

   select 1 from dual@AWSDMS_DBLINK

要手动设置补充日志记录

1. 运行以下查询来验证是否为数据库启用了补充日志记录。

   SELECT supplemental_log_data_min FROM v$database;

   如果返回的结果为 YES 或 IMPLICIT，则为数据库启用了补充日志记录。

   否则，请通过运行以下命令，为数据库启用补充日志记录。

   ALTER DATABASE ADD SUPPLEMENTAL LOG DATA;

2. 确保为每个复制的表添加了所需的补充日志记录。

   请考虑以下事项：

   • 如果向表中添加了 ALL COLUMNS 补充日志记录，则无需添加更多日志记录。

   • 如果存在主键，请为主键添加补充日志记录。为此，您可以使用格式在主键上添加补充日志记录，也可以在数据库的主键列上添加补充日志记录。

     ALTER TABLE Tablename ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;
     ALTER DATABASE ADD SUPPLEMENTAL LOG DATA (PRIMARY KEY) COLUMNS;

   • 如果不存在主键并且表具有单个唯一索引，则将所有唯一索引的列添加到补充日志。

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG GROUP LogGroupName (UniqueIndexColumn1[, UniqueIndexColumn2] ...) ALWAYS;

     使用 SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS 不会将唯一索引列添加到日志。

   • 如果没有主键并且表具有多个唯一索引，则 Amazon DMS 使用按字母顺序升序排列的列表中的第一个唯一索引。您需要像上一项那样在所选索引的列上添加补充日志记录。

     使用 SUPPLEMENTAL LOG DATA (UNIQUE INDEX) COLUMNS 不会将唯一索引列添加到日志。

   • 如果不存在主键，也没有唯一索引，则在所有列上添加补充日志记录。

     ALTER TABLE TableName ADD SUPPLEMENTAL LOG DATA (ALL) COLUMNS;

     在某些情况下，目标表主键或唯一索引不同于源表主键或唯一索引。在这些情况下，请在构成目标表主键或唯一索引的源表列上手动添加补充日志记录。

     此外，如果您更改目标表主键，请在目标唯一索引的列上添加补充日志记录，而不是在原始主键或唯一索引的列上添加。

要在使用 Binary Reader 执行 CDC 时将 Oracle Standby 实例配置为源

1. 授予访问待机日志文件所需的其他权限。

   GRANT SELECT ON v_$standby_log TO db_user;

2. 使用 Amazon Web Services Management Console 或 Amazon CLI 为 Oracle Standby 创建源端点。创建端点时，请指定以下额外的连接属性。

   useLogminerReader=N;useBfile=Y;

   注意

   在 Amazon DMS 中，您可以使用额外的连接属性来指定是否要从存档日志（而不是重做日志）迁移。有关更多信息，请参见 使用 Oracle 作为 Amazon DMS 的源时的端点设置。

3. 配置存档日志目标。

   未配置 ASM 的 Oracle 源的 DMS Binary Reader 使用 Oracle 目录来访问存档的重做日志。如果您的数据库配置为使用闪回恢复区 (FRA) 作为存档日志目标，则存档重做文件的位置不固定。每天生成存档的重做日志会导致在 FRA 中创建一个目录名称格式为 YYYY_MM_DD 的新目录。例如：

   DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD

   当 DMS 需要访问在新创建的 FRA 目录中存档的重做文件，并且使用主读写数据库作为源时，DMS 会创建一个新的 Oracle 目录或替换现有的 Oracle 目录，如下所示。

   CREATE OR REPLACE DIRECTORY dmsrep_taskid AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/YYYY_MM_DD’;

   如果使用备用数据库作为源，DMS 无法创建或替换 Oracle 目录，因为该数据库处于只读模式。但是，您可以选择执行以下附加步骤之一：

   1. 将 log_archive_dest_id_1 改为使用实际路径，而不使用 Oracle 不会创建每日子目录的配置中的 FRA：

      ALTER SYSTEM SET log_archive_dest_1=’LOCATION=full directory path’

      然后，创建一个供 DMS 使用的 Oracle 目录对象：

      CREATE OR REPLACE DIRECTORY dms_archived_logs AS ‘full directory path’;

   2. 创建一个额外的存档日志目标和一个指向该目标的 Oracle 目录对象。例如：

      ALTER SYSTEM SET log_archive_dest_3=’LOCATION=full directory path’; 
      CREATE DIRECTORY dms_archived_log AS ‘full directory path’;
      

      然后向任务源端点添加一个额外的连接属性：

      archivedLogDestId=3

   3. 手动预创建一个供 DMS 使用的 Oracle 目录对象。

      CREATE DIRECTORY dms_archived_log_20210301 AS ‘DB_RECOVERY_FILE_DEST/SID/archivelog/2021_03_01’;
      CREATE DIRECTORY dms_archived_log_20210302 AS ‘DB_RECOVERY_FILE_DEST>/SID>/archivelog/2021_03_02’; 
      ...
      

   4. 创建每天运行的 Oracle 调度程序任务，并创建所需的目录。

要将由 OCI 托管的用户管理的 Oracle 数据库配置为更改数据捕获源

1. 为 OCI 上用户管理的 Oracle 源数据库授予所需的用户账户权限。有关更多信息，请参阅自管理 Oracle 源端点的账户权限。

2. 授予使用 Binary Reader 访问重做日志时所需的账户权限。有关更多信息，请参阅使用 Binary Reader 时所需的账户权限。

3. 添加将 Binary Reader 与 Oracle Automatic Storage Management (ASM) 结合使用时所需的账户权限。有关更多信息，请参阅将 Binary Reader 与 Oracle ASM 结合使用时所需的其他账户权限。

4. 设置补充日志记录。有关更多信息，请参阅设置补充日志记录。

5. 设置 TDE 加密。有关更多信息，请参阅将 Oracle 数据库用作源端点时使用的加密方法。

1. 在主数据库上创建名为 AWSDMS_DBLINK 的数据库链接。DMS_USER 将使用此数据库链接连接到主数据库。请注意，此数据库链接是从备用实例执行的，用于查询主数据库上运行的未结事务。请参阅以下示例。

   CREATE PUBLIC DATABASE LINK AWSDMS_DBLINK 
      CONNECT TO DMS_USER IDENTIFIED BY DMS_USER_PASSWORD
      USING '(DESCRIPTION=
               (ADDRESS=(PROTOCOL=TCP)(HOST=PRIMARY_HOST_NAME_OR_IP)(PORT=PORT))
               (CONNECT_DATA=(SERVICE_NAME=SID))
             )';         
           

2. 验证是否已建立与使用 DMS_USER 的数据库链接的连接，如以下示例所示。

   select 1 from dual@AWSDMS_DBLINK

设置存档

1. 运行 rdsadmin.rdsadmin_util.set_configuration 命令以设置存档。

   例如，要将已存档的重做日志保留 24 小时，请运行以下命令。

   exec rdsadmin.rdsadmin_util.set_configuration('archivelog retention hours',24);
   commit;                      

   注意

   要使更改生效，必须执行提交操作。

2. 确保您的存储具有足够的空间，可以满足指定保留期内的存档重做日志需求。例如，如果您的保留期为 24 小时，请计算在典型的事务处理小时内累积的存档重做日志的总大小，然后将该总大小乘以 24。将计算得出的 24 小时总存储空间与您的可用存储空间进行比较，确定是否有足够的存储空间来处理整整 24 小时的事务。

设置补充日志记录

1. 运行以下命令在数据库级别启用补充日志记录。

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD');

2. 运行以下命令为主键列启用补充日志记录。

   exec rdsadmin.rdsadmin_util.alter_supplemental_logging('ADD','PRIMARY KEY');

3. （可选）在表级别启用键级别补充日志记录。

   启用键级别补充日志记录时，您的源数据库会产生少量开销。因此，如果您仅迁移一部分表，可能需要在表级别启用键级别补充日志记录。要在表级别启用键级别补充日志记录，请运行以下命令。

   alter table table_name add supplemental log data (PRIMARY KEY) columns;

使用 Binary Reader 配置 CDC

1. 以主用户身份登录您的 Amazon RDS for Oracle 源数据库，然后运行以下存储过程来创建服务器级目录。

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

2. 向用于访问 Oracle 源端点的 Oracle 用户账户授予以下权限。

   GRANT READ ON DIRECTORY ONLINELOG_DIR TO db_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR TO db_user;

3. 在 Amazon RDS Oracle 源端点上设置以下额外连接属性：

   • 对于 RDS Oracle 版本 11.2 和 12.1，请设置以下内容。

     useLogminerReader=N;useBfile=Y;accessAlternateDirectly=false;useAlternateFolderForOnline=true;
     oraclePathPrefix=/rdsdbdata/db/{$DATABASE_NAME}_A/;usePathPrefix=/rdsdbdata/log/;replacePathPrefix=true;

   • 对于 RDS Oracle 版本 12.2、18.0 和 19.0，请设置以下内容。

     useLogminerReader=N;useBfile=Y;

要在使用 Binary Reader 执行 CDC 时将 RDS for Oracle Standby 配置为源

1. 以主用户身份登录 RDS for Oracle 主实例。

2. 运行《Amazon RDS 用户指南》中记录的以下存储过程来创建服务器级目录。

   exec rdsadmin.rdsadmin_master_util.create_archivelog_dir;
   exec rdsadmin.rdsadmin_master_util.create_onlinelog_dir;

3. 确定在步骤 2 中创建的目录。

   SELECT directory_name, directory_path FROM all_directories
   WHERE directory_name LIKE ( 'ARCHIVELOG_DIR_%' )
           OR directory_name LIKE ( 'ONLINELOG_DIR_%' )
   

   例如，前面的代码显示了如下所示的目录列表。

   

4. 向用于访问 Oracle Standby 的 Oracle 用户账户授予上述目录的 Read 权限。

   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_A TO db_user;
   GRANT READ ON DIRECTORY ARCHIVELOG_DIR_B TO db_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_A TO db_user;
   GRANT READ ON DIRECTORY ONLINELOG_DIR_B TO db_user;
   

5. 在主实例上执行存档日志切换。这样做可以确保将对 ALL_DIRECTORIES 的更改也移植到 Oracle Standby。

6. 在 Oracle Standby 上运行 ALL_DIRECTORIES 查询来确认已应用更改。

7. 使用 Amazon DMS 管理控制台或 Amazon Command Line Interface (Amazon CLI) 为 Oracle Standby 创建源端点。创建端点时，请指定以下额外的连接属性。

   useLogminerReader=N;useBfile=Y;archivedLogDestId=1;additionalArchivedLogDestId=2

8. 创建端点后，使用控制台的创建端点页面上的测试端点连接或 Amazon CLItest-connection 命令来验证是否已建立连接。

在 Amazon DMS 中为 Oracle SSL 使用现有 Oracle 客户端安装

1. 通过运行以下命令将 ORACLE_HOME 系统变量设置为 dbhome_1 目录的位置。

   
   prompt>export ORACLE_HOME=/home/user/app/user/product/12.1.0/dbhome_1                        
   

2. 将 $ORACLE_HOME/lib 附加到 LD_LIBRARY_PATH 系统变量。

   
   prompt>export LD_LIBRARY_PATH=$LD_LIBRARY_PATH:$ORACLE_HOME/lib                        
   

3. 为 $ORACLE_HOME/ssl_wallet 处的 Oracle wallet 创建一个目录。

   
   prompt>mkdir $ORACLE_HOME/ssl_wallet
   

4. 将 CA 证书 .pem 文件放入 ssl_wallet 目录中。如果使用 Amazon RDS，则可下载由 Amazon RDS 托管的 rds-ca-2015-root.pem 根 CA 证书文件。有关下载此文件的更多信息，请参阅《Amazon RDS 用户指南》中的使用 SSL/TLS 来加密与数据库实例的连接。

5. 运行下列命令以创建 Oracle wallet。

   
   prompt>orapki wallet create -wallet $ORACLE_HOME/ssl_wallet -auto_login_only
   prompt>orapki wallet add -wallet $ORACLE_HOME/ssl_wallet -trusted_cert -cert 
      $ORACLE_HOME/ssl_wallet/ca-cert.pem -auto_login_only                            
                           

在 Amazon DMS 中使用适用于 Oracle SSL 的自签名证书

1. 创建一个您将用于处理自签名证书的目录。

   mkdir -p /u01/app/oracle/self_signed_cert
   

2. 转到您在上一步创建的目录中。

   cd /u01/app/oracle/self_signed_cert
   

3. 创建根密钥。

   openssl genrsa -out self-rootCA.key 2048
   

4. 使用在上一步中创建的根密钥对根证书进行自签名。

   openssl req -x509 -new -nodes -key self-rootCA.key 
           -sha256 -days 3650 -out self-rootCA.pem
   

   使用以下输入参数：

   • Country Name (2 letter code) [XX]，例如：AU

   • State or Province Name (full name) []，例如：NSW

   • Locality Name (e.g., city) [Default City]，例如：Sydney

   • Organization Name (e.g., company) [Default Company Ltd]，例如：AmazonWebService

   • Organizational Unit Name (e.g., section) []，例如：DBeng

   • Common Name (e.g., your name or your server's hostname) []，例如：aws

   • Email Address []，例如：abcd.efgh@amazonwebservice.com

5. 为 Oracle 数据库创建 Oracle wallet 目录。

   mkdir -p /u01/app/oracle/wallet
   

6. 创建新的 Oracle wallet。

   orapki wallet create -wallet "/u01/app/oracle/wallet" -pwd oracle123 -auto_login_local
   

7. 将根证书添加到 Oracle wallet。

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 -trusted_cert 
   -cert /u01/app/oracle/self_signed_cert/self-rootCA.pem
   

8. 列出 Oracle wallet 的内容。该列表应包含根证书。

   orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123
   

   例如，这可能显示以下类似内容。

   Requested Certificates:
   User Certificates:
   Trusted Certificates:
   Subject:        CN=aws,OU=DBeng,O= AmazonWebService,L=Sydney,ST=NSW,C=AU
   

9. 使用 ORAPKI 实用程序生成证书签名请求 (CSR)。

   orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd oracle123 
   -dn "CN=aws" -keysize 2048 -sign_alg sha256
   

10. 运行以下命令。

    openssl pkcs12 -in /u01/app/oracle/wallet/ewallet.p12 -nodes -out /u01/app/oracle/wallet/nonoracle_wallet.pem
    

    这会产生类似下面的输出。

    Enter Import Password:
    MAC verified OK
    Warning unsupported bag type: secretBag
    

11. 将“dms”用作公用名。

    openssl req -new -key /u01/app/oracle/wallet/nonoracle_wallet.pem -out certdms.csr
    

    使用以下输入参数：

    • Country Name (2 letter code) [XX]，例如：AU

    • State or Province Name (full name) []，例如：NSW

    • Locality Name (e.g., city) [Default City]，例如：Sydney

    • Organization Name (e.g., company) [Default Company Ltd]，例如：AmazonWebService

    • Organizational Unit Name (e.g., section) []，例如：aws

    • Common Name (e.g., your name or your server's hostname) []，例如：aws

    • Email Address []，例如：abcd.efgh@amazonwebservice.com

    请确保这与步骤 4 不同。例如，您可以通过将组织单位名称更改为其他名称来实现此目的，如下所示。

    输入要随证书申请一起发送的以下其他属性。

    • A challenge password []，例如：oracle123

    • An optional company name []，例如：aws

12. 获取证书签名。

    openssl req -noout -text -in certdms.csr | grep -i signature
    

    这篇文章的签名密钥是 sha256WithRSAEncryption。

13. 运行以下命令以生成证书 (.crt) 文件。

    openssl x509 -req -in certdms.csr -CA self-rootCA.pem -CAkey self-rootCA.key 
    -CAcreateserial -out certdms.crt -days 365 -sha256
    

    这会产生类似下面的输出。

    Signature ok
    subject=/C=AU/ST=NSW/L=Sydney/O=awsweb/OU=DBeng/CN=aws
    Getting CA Private Key
    

14. 将证书添加到 wallet。

    orapki wallet add -wallet /u01/app/oracle/wallet -pwd oracle123 -user_cert -cert certdms.crt
    

15. 查看 Wallet。它应该包含两个条目。请参阅以下代码。

    orapki wallet display -wallet /u01/app/oracle/wallet -pwd oracle123
    

16. 配置 sqlnet.ora 文件 ($ORACLE_HOME/network/admin/sqlnet.ora)。

    WALLET_LOCATION =
       (SOURCE =
         (METHOD = FILE)
         (METHOD_DATA =
           (DIRECTORY = /u01/app/oracle/wallet/)
         )
       ) 
    
    SQLNET.AUTHENTICATION_SERVICES = (NONE)
    SSL_VERSION = 1.0
    SSL_CLIENT_AUTHENTICATION = FALSE
    SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA)
    

17. 停止 Oracle 侦听器。

    lsnrctl stop

18. 在 listener.ora 文件 ($ORACLE_HOME/network/admin/listener.ora) 中添加 SSL 条目。

    SSL_CLIENT_AUTHENTICATION = FALSE
    WALLET_LOCATION =
      (SOURCE =
        (METHOD = FILE)
        (METHOD_DATA =
          (DIRECTORY = /u01/app/oracle/wallet/)
        )
      )
    
    SID_LIST_LISTENER =
     (SID_LIST =
      (SID_DESC =
       (GLOBAL_DBNAME = SID)
       (ORACLE_HOME = ORACLE_HOME)
       (SID_NAME = SID)
      )
     )
    
    LISTENER =
      (DESCRIPTION_LIST =
        (DESCRIPTION =
          (ADDRESS = (PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
          (ADDRESS = (PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
          (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC1521))
        )
      )
    

19. 配置 tnsnames.ora 文件 ($ORACLE_HOME/network/admin/tnsnames.ora)。

    <SID>=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCP)(HOST = localhost.localdomain)(PORT = 1521))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )
    
    <SID>_ssl=
    (DESCRIPTION=
            (ADDRESS_LIST = 
                    (ADDRESS=(PROTOCOL = TCPS)(HOST = localhost.localdomain)(PORT = 1522))
            )
            (CONNECT_DATA =
                    (SERVER = DEDICATED)
                    (SERVICE_NAME = <SID>)
            )
    )
    

20. 重新启动 Oracle 侦听器。

    lsnrctl start

21. 显示 Oracle 侦听器状态。

    lsnrctl status

22. 使用 sqlplus 和 SSL tnsnames 条目测试从本地主机到数据库的 SSL 连接。

    sqlplus -L ORACLE_USER@SID_ssl

23. 验证您已使用 SSL 成功连接。

    SELECT SYS_CONTEXT('USERENV', 'network_protocol') FROM DUAL;
    
    SYS_CONTEXT('USERENV','NETWORK_PROTOCOL')
    --------------------------------------------------------------------------------
    tcps
    

24. 将目录更改为具有自签名证书的目录。

    cd /u01/app/oracle/self_signed_cert

25. 创建 Amazon DMS 将使用的新客户端 Oracle wallet。

    orapki wallet create -wallet ./ -auto_login_only

26. 将自签名根证书添加到 Oracle wallet。

    orapki wallet add -wallet ./ -trusted_cert -cert self-rootCA.pem -auto_login_only

27. 列出 Amazon DMS 将使用的 Oracle wallet 的内容。该列表应包含自签名根证书。

    orapki wallet display -wallet ./

    这会产生类似下面的输出。

    Trusted Certificates:
    Subject:        CN=aws,OU=DBeng,O=AmazonWebService,L=Sydney,ST=NSW,C=AU
    

28. 将您刚刚创建的 Oracle wallet 上传到 Amazon DMS。

要识别并指定用于 TDE 加密的加密密钥和密码

1. 运行以下查询，在 Oracle 数据库主机上查找 Oracle 加密 Wallet。

   SQL> SELECT WRL_PARAMETER FROM V$ENCRYPTION_WALLET;
   
   WRL_PARAMETER
   --------------------------------------------------------------------------------
   /u01/oracle/product/12.2.0/dbhome_1/data/wallet/

   在这里，/u01/oracle/product/12.2.0/dbhome_1/data/wallet/ 是 Wallet 所在的位置。

2. 使用以下加密选项之一（具体取决于哪个加密选项返回此值）获取主密钥 ID。

   1. 对于表级别或列级别加密，请运行以下查询。

      SQL> SELECT OBJECT_ID FROM ALL_OBJECTS 
      WHERE OWNER='DMS_USER' AND OBJECT_NAME='TEST_TDE_COLUMN' AND OBJECT_TYPE='TABLE';
      
      OBJECT_ID
      ---------------
      81046
      SQL> SELECT MKEYID FROM SYS.ENC$ WHERE OBJ#=81046;
      
      MKEYID
      ------------
      AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

      在这里，AWGDC9glSk8Xv+3bVveiVSg 是主密钥 ID (MKEYID)。如果获取了 MKEYID 的值，则可继续执行步骤 3。否则，请继续执行步骤 2.2。

      注意

      尾随字符串的 'A' 字符 (AAA...) 不是值的一部分。

   2. 对于表空间级别加密，请运行以下查询。

      SQL> SELECT TABLESPACE_NAME, ENCRYPTED FROM dba_tablespaces;
      TABLESPACE_NAME                ENC
      ------------------------------ ---
      SYSTEM                         NO
      SYSAUX                         NO
      UNDOTBS1                       NO
      TEMP                           NO
      USERS                          NO
      TEST_ENCRYT                    YES
      SQL> SELECT name,utl_raw.cast_to_varchar2( utl_encode.base64_encode('01'||substr(mkeyid,1,4))) || utl_raw.cast_to_varchar2( utl_encode.base64_encode(substr(mkeyid,5,length(mkeyid)))) masterkeyid_base64
      FROM (SELECT t.name, RAWTOHEX(x.mkid) mkeyid FROM v$tablespace t, x$kcbtek x WHERE t.ts#=x.ts#)
      WHERE name = 'TEST_ENCRYT';
      
      NAME                           MASTERKEYID_BASE64
      ------------------------------ ----------------------------------
      TEST_ENCRYT                    AWGDC9glSk8Xv+3bVveiVSg=
      

      在这里，AWGDC9glSk8Xv+3bVveiVSg 是主密钥 ID (TEST_ENCRYT)。如果步骤 2.1 和 2.2 都返回一个值，则它们始终相同。

      尾随的 '=' 字符不是值的一部分。

3. 在命令行中，列出源 Oracle 数据库主机上的加密 Wallet 条目。

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -list
   Oracle Secret Store entries:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   ORACLE.SECURITY.DB.ENCRYPTION.MASTERKEY
   ORACLE.SECURITY.ID.ENCRYPTION.
   ORACLE.SECURITY.KB.ENCRYPTION.
   ORACLE.SECURITY.KM.ENCRYPTION.AY1mRA8OXU9Qvzo3idU4OH4AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   

   找到包含您在步骤 2 (AWGDC9glSk8Xv+3bVveiVSg) 中找到的包含主密钥 ID 的条目。此条目是 TDE 加密密钥名称。

4. 查看您在上一步中找到的条目的详细信息。

   $ mkstore -wrl /u01/oracle/product/12.2.0/dbhome_1/data/wallet/ -viewEntry ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
   Oracle Secret Store Tool : Version 12.2.0.1.0
   Copyright (c) 2004, 2016, Oracle and/or its affiliates. All rights reserved.
   Enter wallet password:
   ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA = AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   输入 Wallet 密码以查看结果。

   在这里，'=' 右边的值是 TDE 密码。

5. 通过设置额外连接属性 securityDbEncryptionName 为 Oracle 源端点指定 TDE 加密密钥名称。

   securityDbEncryptionName=ORACLE.SECURITY.DB.ENCRYPTION.AWGDC9glSk8Xv+3bVveiVSgAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

6. 在控制台上提供此密钥的关联 TDE 密码，将其作为 Oracle 源的密码值的一部分。按以下顺序设置以逗号分隔的密码值的格式，以 TDE 密码值结尾。

   Oracle_db_password,ASM_Password,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==
   

   无论 Oracle 数据库配置如何，都按此顺序指定密码值。例如，如果您使用的是 TDE，但 Oracle 数据库未使用 ASM，请按照以下逗号分隔顺序指定密码值。

   Oracle_db_password,,AEMAASAASGYs0phWHfNt9J5mEMkkegGFiD4LLfQszDojgDzbfoYDEACv0x3pJC+UGD/PdtE2jLIcBQcAeHgJChQGLA==