NetBackup IT Analytics 系统管理指南

步骤 1：在服务器端配置 Oracle 钱包。

1. 以 Oracle 用户身份登录。

   su -aptare

2. 在服务器系统上创建目录 server_wallet 以存储服务器钱包。

   mkdir /opt/aptare/oracle/network/server_wallet

3. 为 Oracle 服务器创建一个空钱包，并启用自动登录。

   orapki wallet create -wallet "/opt/aptare/oracle/network/server_wallet" -pwd <password> -auto_login

4. 在钱包中添加一个自签名证书。在此阶段，将创建一对新的私钥/公钥。

   orapki wallet add -wallet "/opt/aptare/oracle/network/server_wallet" -pwd <password> -dn "CN=<server_machine_name>" -keysize 2048 -self_signed -validity <# of days>

5. 检查钱包的内容。验证自签名证书是否为可信证书。

   orapki wallet display -wallet "/opt/aptare/oracle/network/client_wallet" -pwd <password>

6. 导出证书，以便稍后将其加载到客户端钱包中。

   orapki wallet export -wallet "/opt/aptare/oracle/network/server_wallet" -pwd <password> -dn "CN=<server_machine_name>" -cert <SERVER_WALLET>\<server-certificate-name>.crt

7. 检查证书是否已导出到上述目录。

步骤 2：为客户端应用程序配置 Oracle 钱包

1. 以 Oracle 用户身份登录。

   su - aptare

2. 在客户端系统上创建目录 client_wallet 以存储客户端钱包。

   mkdir /opt/aptare/oracle/network/client_wallet

3. 为 Oracle 客户端创建钱包。创建一个空钱包，并启用自动登录。

   orapki wallet create -wallet "/opt/aptare/oracle/network/client_wallet" -pwd <password> -auto_login

4. 在钱包中添加一个自签名证书。在此阶段，将创建一对新的私钥/公钥。

   orapki wallet add -wallet "/opt/aptare/oracle/network/client_wallet" -pwd <password> -dn "CN=<client_machine_name>" -keysize 2048 -self_signed -validity <# of Days>

5. 检查钱包的内容。验证自签名证书是否既是用户证书又是可信证书。

   orapki wallet display -wallet "/opt/aptare/oracle/network/client_wallet" -pwd <password>

6. 导出证书，以便稍后将其加载到服务器钱包中。

   orapki wallet export -wallet "/opt/aptare/oracle/network/client_wallet" -pwd <password> -dn "CN=<client_machine_name>" -cert <CLIENT_WALLET>\<client-certificate-name>.crt

7. 检查证书是否已导出到上述目录。
8. 确保 Oracle 服务用户可以访问钱包文件 cwallet.sso。

步骤 3：执行客户端-服务器交换证书进程。

1. 在每个数据库客户端系统上重复执行以下步骤：

   • 将 <server-certificate-name>.crt 从服务器系统复制到客户端系统 /opt/aptare/oracle/network/client_wallet 文件夹。

   • 将 <client-certificate-name>.crt 从客户端系统复制到服务器系统 /opt/aptare/oracle/network/server_wallet 文件夹。

   • 复制证书文件后，将所有者更改为客户端系统上的 Oracle 服务用户。

     在客户端系统上：

     chown aptare:aptare <server-certificate-name>.crt

     在服务器系统上：

     chown aptare:aptare <client-certificate-name>.crt

2. 将服务器证书加载到客户端钱包中。

   orapki wallet add -wallet "/opt/aptare/oracle/network/client_wallet" -pwd <password> -trusted_cert -cert /opt/aptare/oracle/network/client_wallet/<server-certificate-name>.crt

3. 检查客户端钱包的内容。请注意，服务器证书现在包含在可信证书列表中。

   orapki wallet display -wallet "/opt/aptare/oracle/network/client_wallet" -pwd <password>

4. 将客户端证书加载到服务器钱包中。

   orapki wallet add -wallet "/opt/aptare/oracle/network/server_wallet" -pwd <password> -trusted_cert -cert /opt/aptare/oracle/network/server_wallet/<client-certificate-name>.crt

5. 检查服务器钱包的内容。请注意，客户端证书现在包含在可信证书列表中。

   orapki wallet display -wallet "/opt/aptare/oracle/network/server_wallet" -pwd <password>

步骤 4：配置 Oracle 数据库以侦听 TCPS 连接（服务器/Oracle 系统）。在以下步骤中，主机是 Oracle 服务器 IP 地址，/opt/aptare/oracle/network/server_wallet 是服务器钱包位置。

1. 停止 Oracle 侦听程序。

   lsnrctl stop

2. 修改 listener.ora (/opt/aptare/oracle/network/admin/listener.ora)。

   LISTENER = 
   		(DESCRIPTION_LIST = 
        (DESCRIPTION = 
         (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC)) 
         (ADDRESS = (PROTOCOL = TCPS)(HOST = xx.xx.xx.xx)(PORT = 2484))
        )
     )

   在文件末尾附加以下行。

   SSL_CLIENT_AUTHENTICATION = FALSE 
   SECURE_PROTOCOL_LISTENER=(IPC) 
   WALLET_LOCATION = 
       (SOURCE = 
         (METHOD = FILE) 
         (METHOD_DATA = 
            (DIRECTORY = /opt/aptare/oracle/network/server_wallet) 
         ) 
       ) 
   /opt/aptare/oracle/network/server_wallet

3. 修改 sqlnet.ora 文件 (/opt/aptare/oracle/network/admin/sqlnet.ora)。

   SSL_CLIENT_AUTHENTICATION = FALSE 
     WALLET_LOCATION = 
       (SOURCE = 
          (METHOD = FILE) 
          (METHOD_DATA = 
             (DIRECTORY = /opt/aptare/oracle/network/server_wallet) 
          ) 
       )
   
   SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA, SSL_RSA_WITH_3DES_EDE_CBC_SHA) SQLNET.WALLET_OVERRIDE = TRUE

4. 修改 tnsnames.ora 文件 (/opt/aptare/oracle/network/admin/tnsnames.ora)。

   SCDB =       
        (DESCRIPTION = 
           (ADDRESS= 
               (PROTOCOL=TCPS) 
               (HOST=xx.xx.xx.xx) 
               (PORT=2484) 
           ) 
           (CONNECT_DATA=(SERVICE_NAME=scdb)(SID=SCDB)) 
       )

5. 启动 Oracle 服务。

   lsnrctl start

6. 检查侦听程序状态。

   lsnrctl status

步骤 5：配置 Oracle 数据库以侦听客户端系统上的 TCPS 连接。使用以下步骤在数据库服务器上配置 listener.ora 和 sqlnet.ora 文件。在以下过程中，主机是 Oracle 服务器 IP 地址，/opt/aptare/oracle/network/server_wallet 是服务器钱包位置。

1. 修改 listener.ora (/opt/aptare/oracle/network/admin/listener.ora) 并添加以下内容。

   LISTENER = 
      (DESCRIPTION_LIST = 
         (DESCRIPTION = 
            (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC)) 
            (ADDRESS = (PROTOCOL = TCPS)(HOST = xx.xx.xx.xx)(PORT = 2484)) 
         ) 
      )

   在文件末尾添加以下行：

    SSL_CLIENT_AUTHENTICATION = FALSE 
       SECURE_PROTOCOL_LISTENER=(IPC) 
       WALLET_LOCATION = 
        (SOURCE = 
          (METHOD = FILE) 
          (METHOD_DATA = 
            (DIRECTORY = /opt/aptare/oracle/network/client_wallet) 
        ) 
     )   
   /opt/aptare/oracle/network/client_wallet

2. 修改 sqlnet.ora 文件 (/opt/aptare/oracle/network/admin/sqlnet.ora)。

   SSL_CLIENT_AUTHENTICATION = FALSE 
       WALLET_LOCATION = 
          (SOURCE = 
            (METHOD = FILE) 
            (METHOD_DATA = 
              (DIRECTORY = /opt/aptare/oracle/network/client_wallet) 
            ) 
          )
   
   SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA, SSL_RSA_WITH_3DES_EDE_CBC_SHA) SQLNET.WALLET_OVERRIDE = TRUE

3. 修改 tnsnames.ora (/opt/aptare/oracle/network/admin/tnsnames.ora)。

   SCDB = 
      (DESCRIPTION = 
          (ADDRESS= 
              (PROTOCOL=TCPS) 
              (HOST=xx.xx.xx.xx) 
              (PORT=2484) 
          ) 
          (CONNECT_DATA=(SERVICE_NAME=scdb)(SID=SCDB)) 
       )

4. 使用 sqlplus 测试 Oracle 连接。

   sqlplus username/password@dbService

步骤 6：将 Oracle 服务器钱包证书加载到门户和升级程序 Java KeyStore。

1. 以 root 用户身份登录。
2. 在门户 Java 中添加服务器证书。

   cd /usr/java/bin 
   keytool -import -trustcacerts -alias ora_server_cert -file /opt/aptare/oracle/network/client_wallet/server-cert-db.crt -keystore /usr/java/lib/security/cacerts 
   password: changeit

3. 在升级程序 Java 中添加服务器证书。

   cd /opt/aptare/upgrade/jre/bin 
   keytool -import -trustcacerts -alias ora_server_cert -file /opt/aptare/oracle/network/client_wallet/server-cert-db.crt -keystore /opt/aptare/upgrade/jre/lib/security/cacerts 
   password: changeit

步骤 7：修改门户和接收器属性文件中的连接 URL。

1. 停止门户和代理服务。

   /opt/aptare/bin/tomcat-portal stop
   /opt/aptare/bin/tomcat-agent stop

2. 修改 /opt/aptare/portalconf/portal.properties 中的数据库 URL。

   db.url=jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)
   (HOST=xx.xx.xx.xx)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=SCDB)))

3. 修改 /opt/aptare/datarcvrconf/datrarcvrproperties.xml 中的数据库 URL。

   jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)
   (HOST=xx.xx.xx.xx)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=SCDB)))

4. 启动门户和代理服务。

   /opt/aptare/bin/tomcat-portal start
   /opt/aptare/bin/tomcat-agent start