NetBackup IT Analytics 系统管理指南

步骤 1：为服务器端配置 Oracle 钱包。

1. 在服务器计算机上创建一个目录，以将服务器钱包存储到 C:\opt\oracle\network\ 文件夹中。

   mkdir C:\opt\oracle\network\server_wallet

2. 为 Oracle 服务器创建一个空钱包，并启用自动登录。

   orapki wallet create -wallet "C:\opt\oracle\network\server_wallet" -pwd <password> -auto_login

3. 在钱包中添加一个自签名证书（创建一对新的私钥/公钥）。

   orapki wallet add -wallet "C:\opt\oracle\network\server_wallet" -pwd <password> -dn "CN=<server_machine_name>" -keysize 2048 -self_signed -validity <# of Days>

4. 检查钱包的内容。注意自签名证书既是用户证书又是可信证书。

   orapki wallet display -wallet "C:\opt\oracle\network\server_wallet" -pwd <password>

5. 检查证书是否已导出到上述目录。
6. 确保 Oracle 服务用户可以访问钱包文件 cwallet.sso（READ 权限）。

步骤 2：为客户端应用程序配置 Oracle 钱包。

1. 在客户端计算机上创建一个目录以存储客户端钱包。称之为 client_wallet。在 C:\opt\oracle\network 文件夹下进行创建。

   mkdir C:\opt\oracle\network\client_wallet

2. 为 Oracle 客户端创建钱包。创建一个空钱包，并启用自动登录。

   orapki wallet create -wallet "C:\opt\oracle\network\client_wallet" -pwd <password> -auto_login

3. 在钱包中添加一个自签名证书（创建一对新的私钥/公钥）。

   orapki wallet add -wallet "C:\opt\oracle\network\client_wallet" -pwd <password> -dn "CN=<client_machine_name>" -keysize 2048 -self_signed -validity <# of Days>

4. 检查钱包的内容。请注意，自签名证书既是用户证书又是可信证书。

   orapki wallet display -wallet "C:\opt\oracle\network\client_wallet" -pwd <password>

5. 导出证书，以便稍后将其加载到服务器钱包中。

   orapki wallet export -wallet "C:\opt\oracle\network\client_wallet" -pwd <password> -dn "CN=<client_machine_name>" -cert C:\opt\oracle\network\client_wallet\<client-certificate-name>.crt

6. 检查证书是否已导出到上述目录。

步骤 3：执行客户端-服务器交换证书进程。这些说明适用于 Exchange Server 和客户端公钥。

1. 在每个数据库客户端系统上重复执行以下步骤。

   • 将 <server-certificate-name>.crt 从服务器系统复制到客户端系统 /opt/aptare/oracle/network/client_wallet 文件夹。

   • 将 <client-certificate-name>.crt 从客户端系统复制到服务器系统 /opt/aptare/oracle/network/server_wallet 文件夹。

2. 将服务器证书加载到客户端钱包中。

   orapki wallet add -wallet "C:\opt\oracle\network\client_wallet" -pwd <password> -trusted_cert -cert C:\opt\oracle\network\client_wallet\<server-certificate-name>.crt

3. 检查客户端钱包的内容。请注意，服务器证书现在包含在可信证书列表中。

   orapki wallet display -wallet "C:\opt\oracle\network\client_wallet" -pwd <password>

4. 将客户端证书加载到服务器钱包中。

   orapki wallet add -wallet "C:\opt\oracle\network\server_wallet" -pwd <password> -trusted_cert -cert C:\opt\oracle\network\server_wallet\<client-certificate-name>.crt

5. 检查服务器钱包的内容。请注意，客户端证书现在包含在可信证书列表中。

   orapki wallet display -wallet "C:\opt\oracle\network\server_wallet" -pwd <password>

步骤 4：配置 Oracle 数据库以侦听 TCPS 连接（服务器/Oracle 系统）。在以下步骤中，主机是 Oracle 服务器 IP 地址，C:\opt\oracle\network\server_wallet 是服务器钱包位置。

1. 停止 Oracle 侦听程序。

   lsnrctl stop

2. 修改 listener.ora (C:\opt\oracle\network\admin\listener.ora)。

   LISTENER = 
   		(DESCRIPTION_LIST = 
        (DESCRIPTION = 
         (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC)) 
         (ADDRESS = (PROTOCOL = TCPS)(HOST = xx.xx.xx.xx)(PORT = 2484))
        )
     )

   在文件末尾附加以下行。

   SSL_CLIENT_AUTHENTICATION = FALSE 
   SECURE_PROTOCOL_LISTENER=(IPC) 
   WALLET_LOCATION = 
       (SOURCE = 
         (METHOD = FILE) 
         (METHOD_DATA = 
            (DIRECTORY = C:\opt\oracle\network\server_wallet) 
         ) 
       ) 
   C:\opt\oracle\network\server_wallet

3. 修改 sqlnet.ora 文件 (C:\opt\oracle\network\admin\sqlnet.ora)。

   SSL_CLIENT_AUTHENTICATION = FALSE 
     WALLET_LOCATION = 
       (SOURCE = 
          (METHOD = FILE) 
          (METHOD_DATA = 
             (DIRECTORY = C:\opt\oracle\network\server_wallet) 
          ) 
       )
   
   SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA, SSL_RSA_WITH_3DES_EDE_CBC_SHA) SQLNET.WALLET_OVERRIDE = TRUE

4. 修改 tnsnames.ora 文件 (C:\opt\oracle\network\admin\tnsnames.ora)。

   SCDB =       
        (DESCRIPTION = 
           (ADDRESS= 
               (PROTOCOL=TCPS) 
               (HOST=xx.xx.xx.xx) 
               (PORT=2484) 
           ) 
           (CONNECT_DATA=(SERVICE_NAME=scdb)(SID=SCDB)) 
       )

5. 启动 Oracle 服务。

   lsnrctl start

6. 检查侦听程序状态。

   lsnrctl status

7. 使用 sqlplus 测试 Oracle 连接。

   sqlplus username/password@service_name

步骤 5：配置 Oracle 数据库以侦听客户端系统上的 TCPS 连接。使用以下步骤在数据库服务器上配置 listener.ora 和 sqlnet.ora 文件。在以下过程中，主机是 Oracle 服务器 IP 地址，C:\opt\oracle\network\server_wallet 是服务器钱包位置。

1. 修改 listener.ora (C:\opt\oracle\network\admin\listener.ora) 并添加以下内容。

   LISTENER = 
      (DESCRIPTION_LIST = 
         (DESCRIPTION = 
            (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC)) 
            (ADDRESS = (PROTOCOL = TCPS)(HOST = xx.xx.xx.xx)(PORT = 2484)) 
         ) 
      )

   在文件末尾添加以下行：

    SSL_CLIENT_AUTHENTICATION = FALSE 
       SECURE_PROTOCOL_LISTENER=(IPC) 
       WALLET_LOCATION = 
        (SOURCE = 
          (METHOD = FILE) 
          (METHOD_DATA = 
            (DIRECTORY = C:\opt\oracle\network\client_wallet) 
        ) 
     )   
   C:\opt\oracle\network\client_wallet

2. 修改 sqlnet.ora 文件 (C:\opt\oracle\network\admin\sqlnet.ora)。

   SSL_CLIENT_AUTHENTICATION = FALSE 
       WALLET_LOCATION = 
          (SOURCE = 
            (METHOD = FILE) 
            (METHOD_DATA = 
              (DIRECTORY = C:\opt\oracle\network\client_wallet) 
            ) 
          )
   
   SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA, SSL_RSA_WITH_3DES_EDE_CBC_SHA) SQLNET.WALLET_OVERRIDE = TRUE

3. 修改 tnsnames.ora (C:\opt\oracle\network\admin\tnsnames.ora)。

   SCDB = 
      (DESCRIPTION = 
          (ADDRESS= 
              (PROTOCOL=TCPS) 
              (HOST=xx.xx.xx.xx) 
              (PORT=2484) 
          ) 
          (CONNECT_DATA=(SERVICE_NAME=scdb)(SID=SCDB)) 
       )

步骤 6：将 Oracle 服务器钱包证书加载到门户和升级程序 Java KeyStore。

1. 以 root 用户身份登录。
2. 在门户 Java 中添加服务器证书。

   cd C:\opt\jre\bin 
   keytool -import -trustcacerts -alias ora_server_cert -file C:\opt\oracle\network\client_wallet\server-cert-db.crt -keystore 
   C:\opt\jre\lib\security\cacerts
   cd C:\opt\jdk\bin 
   keytool -import -trustcacerts -alias ora_server_cert -file C:\opt\oracle\network\client_wallet\server-cert-db.crt -keystore 
   C:\opt\jdk\lib\security\cacerts
   password: changeit

3. 在升级程序 Java 中添加服务器证书。

   cd C:\opt\aptare\upgrade\jre\bin 
   keytool -import -trustcacerts -alias ora_server_cert -file 
   C:\opt\oracle\network\client_wallet\server-cert-db.crt -keystore 
   C:\opt\aptare\upgrade\jre\lib\security\cacerts 
   password: changeit

步骤 7：修改门户和接收器属性文件中的连接 URL。

1. 停止门户和代理服务。
2. 修改 /opt/aptare/portalconf/portal.properties 中的数据库 URL。

   db.url=jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)
   (HOST=xx.xx.xx.xx)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=SCDB)))

3. 修改 /opt/aptare/datarcvrconf/datrarcvrproperties.xml 中的数据库 URL。

   <URL>jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)
   (HOST=xx.xx.xx.xx)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=SCDB))</URL>

4. 启动门户和代理服务。