DBAtlas · Atlas d'exploitation des bases de données

Créer, ouvrir, définir la clé maître et sauvegarder un keystore TDE (19c+)

OracleSécurité

Commande

-- 1) Keystore location (static parameter, restart required), then keystore type:
ALTER SYSTEM SET WALLET_ROOT = '/u01/app/oracle/admin/ORCL/wallet' SCOPE = SPFILE;
-- SHUTDOWN IMMEDIATE;  STARTUP;
ALTER SYSTEM SET TDE_CONFIGURATION = 'KEYSTORE_CONFIGURATION=FILE' SCOPE = BOTH;

-- 2) In CDB root: create a software keystore (under WALLET_ROOT/tde), open it, set the master key
ADMINISTER KEY MANAGEMENT CREATE KEYSTORE IDENTIFIED BY "<keystore_pwd>";
ADMINISTER KEY MANAGEMENT SET KEYSTORE OPEN
  IDENTIFIED BY "<keystore_pwd>" CONTAINER = ALL;
ADMINISTER KEY MANAGEMENT SET KEY USING TAG 'mk_2026_10'
  IDENTIFIED BY "<keystore_pwd>" WITH BACKUP USING 'mk_before' CONTAINER = ALL;

-- 3) Open automatically after restart (auto-login, cwallet.sso):
ADMINISTER KEY MANAGEMENT CREATE AUTO_LOGIN KEYSTORE
  FROM KEYSTORE IDENTIFIED BY "<keystore_pwd>";

-- 4) Backup (repeat after every SET KEY / rekey, store SEPARATELY from database backups):
ADMINISTER KEY MANAGEMENT BACKUP KEYSTORE USING 'daily'
  FORCE KEYSTORE IDENTIFIED BY "<keystore_pwd>" TO '/backup/tde/';

-- 5) Status:
SELECT con_id, wrl_type, wrl_parameter, status, wallet_type, keystore_mode
FROM   v$encryption_wallet;
SELECT con_id, key_id, tag, creation_time, activation_time
FROM   v$encryption_keys ORDER BY creation_time;

Ce que fait la commande

Met en place un keystore logiciel pour Transparent Data Encryption en mode united (toutes les PDB partagent le keystore de la CDB), crée la clé de chiffrement maître et active l'auto-login pour qu'il s'ouvre après un redémarrage. En 19c+, la méthode recommandée est WALLET_ROOT/TDE_CONFIGURATION plutôt que ENCRYPTION_WALLET_LOCATION dans sqlnet.ora.

Quand l'utiliser

Comme première étape avant le chiffrement de tablespaces/colonnes dans les projets de conformité exigeant le chiffrement des données au repos (RGPD, PCI-DSS, ISO 27001).

Attention

En on-premise, exige l'option Advanced Security (payante) ; elle est incluse dans les licences Oracle Cloud (OCI/Autonomous). WALLET_ROOT est statique et nécessite un redémarrage de l'instance (interruption). Si le keystore et son mot de passe sont perdus, les données chiffrées sont DÉFINITIVEMENT illisibles ; stockez les sauvegardes du keystore en lieu sûr et séparément des sauvegardes de la base. Toute personne détenant le fichier auto-login (cwallet.sso) peut ouvrir la base ; restreignez les permissions du fichier et utilisez LOCAL AUTO_LOGIN si approprié. Avec Data Guard, copiez aussi le keystore sur la standby.

Ouvrir dans DBAtlas →

Voir aussi