DBAtlas · Veritabanı operasyon atlası

TDE keystore oluştur, aç, master key üret ve yedekle (19c+)

OracleGüvenlik

Komut

-- 1) Keystore konumu (statik parametre, restart gerekir), sonra keystore tipi:
ALTER SYSTEM SET WALLET_ROOT = '/u01/app/oracle/admin/ORCL/wallet' SCOPE = SPFILE;
-- SHUTDOWN IMMEDIATE;  STARTUP;
ALTER SYSTEM SET TDE_CONFIGURATION = 'KEYSTORE_CONFIGURATION=FILE' SCOPE = BOTH;

-- 2) CDB root'ta: software keystore olustur (WALLET_ROOT/tde altina), ac, master key uret
ADMINISTER KEY MANAGEMENT CREATE KEYSTORE IDENTIFIED BY "<keystore_pwd>";
ADMINISTER KEY MANAGEMENT SET KEYSTORE OPEN
  IDENTIFIED BY "<keystore_pwd>" CONTAINER = ALL;
ADMINISTER KEY MANAGEMENT SET KEY USING TAG 'mk_2026_10'
  IDENTIFIED BY "<keystore_pwd>" WITH BACKUP USING 'mk_oncesi' CONTAINER = ALL;

-- 3) Restart sonrasi otomatik acilma (auto-login, cwallet.sso):
ADMINISTER KEY MANAGEMENT CREATE AUTO_LOGIN KEYSTORE
  FROM KEYSTORE IDENTIFIED BY "<keystore_pwd>";

-- 4) Yedek (her SET KEY / rekey sonrasi tekrarla, DB yedeginden AYRI sakla):
ADMINISTER KEY MANAGEMENT BACKUP KEYSTORE USING 'gunluk'
  FORCE KEYSTORE IDENTIFIED BY "<keystore_pwd>" TO '/backup/tde/';

-- 5) Durum:
SELECT con_id, wrl_type, wrl_parameter, status, wallet_type, keystore_mode
FROM   v$encryption_wallet;
SELECT con_id, key_id, tag, creation_time, activation_time
FROM   v$encryption_keys ORDER BY creation_time;

Ne yapar?

Transparent Data Encryption için United mode'da (tüm PDB'ler CDB keystore'unu paylaşır) software keystore kurar, master encryption key üretir ve auto-login ile restart sonrası otomatik açılmasını sağlar. 19c+ önerilen yöntem sqlnet.ora ENCRYPTION_WALLET_LOCATION yerine WALLET_ROOT/TDE_CONFIGURATION'dır.

Ne zaman kullanılır?

Veri-at-rest şifreleme gerektiren uyumluluk (KVKK, PCI-DSS, ISO 27001) projelerinde, tablespace/kolon şifrelemeye başlamadan önce ilk adım olarak.

Dikkat

On-prem'de Advanced Security opsiyonu (ek lisans) gerekir; Oracle Cloud (OCI/Autonomous) lisansına dahildir. WALLET_ROOT statiktir, instance restart (kesinti) ister. Keystore ve parolası kaybolursa şifreli veri KALICI olarak okunamaz; keystore yedeğini DB yedeklerinden ayrı, güvenli bir yerde sakla. Auto-login (cwallet.sso) dosyasını ele geçiren DB'yi açabilir; dosya izinlerini kısıtla, gerekiyorsa LOCAL AUTO_LOGIN kullan. Data Guard'da keystore'u standby'a da kopyala.

DBAtlas'ta aç →

İlgili