Tablespaces mit TDE verschlüsseln (neu und bestehend, online/offline)

Befehl

-- Prerequisite: keystore OPEN and master key set (v$encryption_wallet.status = 'OPEN')

-- 1) New encrypted tablespace:
CREATE TABLESPACE customer_enc
  DATAFILE '+DATA' SIZE 1G AUTOEXTEND ON NEXT 256M MAXSIZE 20G
  ENCRYPTION USING 'AES256' ENCRYPT;

-- 2a) Encrypt an existing tablespace ONLINE (12.2+, needs extra space temporarily):
ALTER TABLESPACE customer_data ENCRYPTION ONLINE USING 'AES256' ENCRYPT;
-- If not OMF: ... ENCRYPT FILE_NAME_CONVERT = ('customer_data01.dbf', 'customer_data01_enc.dbf');

-- 2b) OFFLINE conversion (no extra space, tablespace unavailable meanwhile):
ALTER TABLESPACE customer_data OFFLINE NORMAL;
ALTER TABLESPACE customer_data ENCRYPTION OFFLINE ENCRYPT;
ALTER TABLESPACE customer_data ONLINE;

-- 3) Progress and status:
SELECT t.name AS tablespace_name, e.encryptionalg, e.status, e.con_id
FROM   v$encrypted_tablespaces e
  JOIN v$tablespace t ON t.ts# = e.ts# AND t.con_id = e.con_id;
SELECT tablespace_name, encrypted FROM dba_tablespaces ORDER BY tablespace_name;

Was es tut

Tablespace-Verschlüsselung verschlüsselt jeden in die Datafiles geschriebenen Block; im Buffer Cache liegen die Daten im Klartext, daher sind keine Änderungen an Anwendung oder SQL nötig. Die Online-Umwandlung baut eine verschlüsselte Kopie der Datafile auf und schaltet darauf um, während DML weiterläuft; die Offline-Umwandlung verschlüsselt die Blöcke an Ort und Stelle.

Wann einsetzen

Um Anwendungs-Tablespaces mit sensiblen ruhenden Daten zu verschlüsseln, Daten in einen neuen verschlüsselten Tablespace zu verschieben oder einen Audit-Befund zu schließen.

Vorsicht

On-Premises erfordert die Advanced-Security-Option (kostenpflichtig). Die Online-Umwandlung braucht zusätzlichen Platz in Höhe der zu verschlüsselnden Datafiles und erzeugt viel I/O und Redo; ein Data-Guard-Standby leistet dieselbe Arbeit. Die Offline-Umwandlung muss auf einem Data-Guard-Standby separat ausgeführt werden. SYSTEM/SYSAUX/UNDO lassen sich ab 12.2 online verschlüsseln, erfordern aber besondere Sorgfalt. Backups verschlüsselter Tablespaces lassen sich ohne Keystore nicht wiederherstellen.