前提条件

SSL設定

1. 1トラストストア証明書を作成します。
2. 2キーストア証明書を作成します。Oracleデータベースでクライアント認証が有効になっている場合にのみ、この操作を実行します。

トラストストアへのサーバー証明書の追加

1次のコマンドを実行し、トラストパスワード「password」を使用してトラストストアtruststore.jksを作成します。
C:\SSL\oracle> keytool -import -trustcacerts -alias ca -file oratls_server.cert -keystore truststore.jks -storepass password -storetype JKS
2次のコマンドを実行し、トラストストアパスワード「password」を使用してPKCS12トラストストアtruststore.p12を作成します。
C:\SSL\oracle> keytool -import -trustcacerts -alias ca -file oratls_server.cert -keystore truststore.p12 -storepass password -storetype PKCS12

キーストア証明書の作成

1OracleクライアントをOracleのWebサイトからダウンロードし、インストールします。
2次のコマンドを実行してOracleウォレットを作成します。
orapki wallet create -wallet <Path where wallet is to be created> -auto_login -pwd <wallet password>
3次のコマンドを実行して、Oracleウォレットへの自己署名クライアント証明書を作成します。
orapki wallet add -wallet <Path where wallet is to be created> -dn "CN=<common name>, OU=<organization unit>, O=<organization>, L=<locality>, ST=<state>, C=<country>" -keysize <key size in bits> -self_signed-validity <number of days> -pwd <wallet password>
コマンドが実行され、指定された場所にpkcs12証明書が作成されます。
サーバー証明書から、CN=<共通名>、OU=<組織単位>, O=<組織>、L=<市区町村>、ST=<都道府県>、C=<国>、keysize <キーサイズ（ビット）>、self_signed -validity <日数>、およびpwd <ウォレットパスワード>の値を指定する必要があります。
4 次のorapkiコマンドを実行して自己署名クライアント証明書をエクスポートします。
orapki wallet export -wallet <wallet path> -dn "CN=<common name>, OU=<organization unit>, O=<organization>, L=<locality>, ST=<state>, C=<country>" -cert <Name of the exported certificate with path>
-dnコマンドでクライアント証明書を一意に特定します。サーバーウォレットにはインストール済みのクライアント証明書が複数含まれているためです。
5自己署名クライアント証明書をサーバーOracleウォレットにインストールします。
注: 自己署名クライアント証明書をサーバーデータベースOracleウォレットに追加しないと、クライアント認証は失敗します。
6 サーバー証明書を、信頼されている証明書としてOracleウォレットに追加します。
次のコマンドを実行してサーバー証明書を追加します。
orapki wallet add -wallet <wallet path> -trusted_cert -cert <Name of the server certificate with path> -pwd <wallet password>
注: すべてのorapkiコマンドに同じウォレットパスワードを使用する必要があります。
サンプルタスク
次のタスクを実行してキーストア証明書を作成します。
1. a次のコマンドを実行してOracleウォレットを作成します。
C:\app\client\ksuwalka\product\12.1.0\client_1\BIN>orapki wallet create -wallet C:\app\client\ksuwalka\product\12.1.0\client_1\owm\wallet -auto_login -pwd oracle4u
2. b次のコマンドを実行して、Oracleウォレットへの自己署名クライアント証明書を作成します。
C:\app\client\ksuwalka\product\12.1.0\client_1\BIN>orapki wallet add -wallet C:\app\client\ksuwalka\product\12.1.0\client_1\owm\wallet -dn "CN=inw1pc07_kriti, OU=DEV, O=infa,L=blr, ST=ka, C=IN" -keysize 2048 -self_signed -validity 3650 -pwd oracle4u
ewallet.p12証明書が次の場所に作成されます。C:\app\client\ksuwalka\product\12.1.0\client_1\owm\wallet
3. c次のorapkiコマンドを実行して自己署名クライアント証明書をエクスポートします。
C:\app\client\ksuwalka\product\12.1.0\client_1\BIN>orapki wallet export -wallet C:\app\client\ksuwalka\product\12.1.0\client_1\owm\wallet -dn "CN=inw1pc07_kriti, OU=DEV, O=infa,L=blr, ST=ka, C=IN" -cert C:\Users\ksuwalka\Desktop\client_inw1pc07.cert
4. dサーバー証明書を、信頼されている証明書としてOracleウォレットに追加します。次のコマンドを実行してサーバー証明書を追加します。
C:\app\client\ksuwalka\product\12.1.0\client_1\BIN>orapki wallet add -wallet C:\app\client\ksuwalka\product\12.1.0\client_1\owm\wallet -trusted_cert -cert C:\SSL\oracle\oratls_server.cert -pwd oracle4u
キーストアC:\app\client\ksuwalka\product\12.1.0\client_1\owm\wallet\ewallet.p12を、キーストアパスワードoracle4uで使用できるようになりました。

Kerberos認証

• •ホステッドエージェントまたはサーバーレスランタイム環境は使用できません。
• •使用するSecure AgentとデータベースサーバーがKDCサーバーに登録されていることを確認してください。
• •krb5.confファイルに複数のKDCを追加することはできません。
• •複数のKerberosプリンシパルユーザーに対して資格情報キャッシュファイルを生成することはできません。

Kerberos認証の設定

1. 1Java Authentication and Authorization Service構成ファイル（JAAS）を設定するには、次のタスクを実行します。
1. aSecure Agentマシン上にJAAS構成ファイルを作成します。
2. b以下のエントリをJAAS構成ファイルに追加します。
JDBC_DRIVER_01 {
com.sun.security.auth.module.Krb5LoginModule required useTicketCache=true;
};

2. 2krb5.confファイルを設定するには、次のタスクを実行します。
1. aSecure Agentマシン上にkrb5.confファイルを作成します。
2. bKey Distribution Center（KDC）と管理サーバーの詳細を、次の形式でkrb5.confファイルに追加します。
[libdefaults]
default_realm = <Realm name>
forwardable = true
ticket_lifetime = 24h

[realms]
<REALM NAME> = {
kdc = <Location where KDC is installed>
admin_server = <Location where KDC is installed>
}
[domain_realm]
<domain name or host name> = <Domain name or host name of Kerberos>
<domain name or host name> = <Domain name or host name of Kerberos>

3. 3Secure Agentマシン上で次の環境変数を設定します。
必要な環境変数については、環境変数の設定を参照してください。
4. 4Secure Agentを再起動します。
5. 5Secure Agentマシン上で資格情報キャッシュファイルを生成し、Kerberos認証を使用してOracleに接続するには、次のタスクを実行します。
1. aSecure Agentマシンで次のコマンドを実行し、Oracleユーザー名とレルム名を指定します。
Kinit <user name>@<realm_name>
2. b要求されたら、Kerberosプリンシパルユーザーのパスワードを入力します。

環境変数の設定

• •setenv KRB5CCNAME <資格情報キャッシュファイルの絶対パスとファイル名>
• •setenv KRB5_CONFIG <Kerberos構成ファイルの絶対パス>\krb5.conf
• •setenv JAASCONFIG <JAAS構成ファイルの絶対パス>\<ファイル名>.conf