TDE-Keystore anlegen, öffnen, Master Key setzen und sichern (ab 19c)

Befehl

-- 1) Keystore location (static parameter, restart required), then keystore type:
ALTER SYSTEM SET WALLET_ROOT = '/u01/app/oracle/admin/ORCL/wallet' SCOPE = SPFILE;
-- SHUTDOWN IMMEDIATE;  STARTUP;
ALTER SYSTEM SET TDE_CONFIGURATION = 'KEYSTORE_CONFIGURATION=FILE' SCOPE = BOTH;

-- 2) In CDB root: create a software keystore (under WALLET_ROOT/tde), open it, set the master key
ADMINISTER KEY MANAGEMENT CREATE KEYSTORE IDENTIFIED BY "<keystore_pwd>";
ADMINISTER KEY MANAGEMENT SET KEYSTORE OPEN
  IDENTIFIED BY "<keystore_pwd>" CONTAINER = ALL;
ADMINISTER KEY MANAGEMENT SET KEY USING TAG 'mk_2026_10'
  IDENTIFIED BY "<keystore_pwd>" WITH BACKUP USING 'mk_before' CONTAINER = ALL;

-- 3) Open automatically after restart (auto-login, cwallet.sso):
ADMINISTER KEY MANAGEMENT CREATE AUTO_LOGIN KEYSTORE
  FROM KEYSTORE IDENTIFIED BY "<keystore_pwd>";

-- 4) Backup (repeat after every SET KEY / rekey, store SEPARATELY from database backups):
ADMINISTER KEY MANAGEMENT BACKUP KEYSTORE USING 'daily'
  FORCE KEYSTORE IDENTIFIED BY "<keystore_pwd>" TO '/backup/tde/';

-- 5) Status:
SELECT con_id, wrl_type, wrl_parameter, status, wallet_type, keystore_mode
FROM   v$encryption_wallet;
SELECT con_id, key_id, tag, creation_time, activation_time
FROM   v$encryption_keys ORDER BY creation_time;

Was es tut

Richtet einen Software-Keystore für Transparent Data Encryption im United Mode ein (alle PDBs teilen den Keystore der CDB), erstellt den Master Encryption Key und aktiviert Auto-Login, damit er nach einem Neustart öffnet. Ab 19c ist WALLET_ROOT/TDE_CONFIGURATION statt sqlnet.ora ENCRYPTION_WALLET_LOCATION die empfohlene Methode.

Wann einsetzen

Als erster Schritt vor der Tablespace-/Spaltenverschlüsselung in Compliance-Projekten, die Verschlüsselung ruhender Daten verlangen (DSGVO, PCI-DSS, ISO 27001).

Vorsicht

On-Premises erfordert die Advanced-Security-Option (kostenpflichtig); in der Oracle-Cloud-Lizenzierung (OCI/Autonomous) ist sie enthalten. WALLET_ROOT ist statisch und erfordert einen Instanzneustart (Ausfallzeit). Gehen Keystore und Passwort verloren, sind verschlüsselte Daten DAUERHAFT unlesbar; bewahre Keystore-Backups sicher und getrennt von Datenbank-Backups auf. Wer die Auto-Login-Datei (cwallet.sso) besitzt, kann die Datenbank öffnen; beschränke die Dateirechte und nutze wo sinnvoll LOCAL AUTO_LOGIN. Kopiere den Keystore bei Data Guard auch auf den Standby.