Criptografar tablespaces com TDE (novos e existentes, online/offline)

Comando

-- Prerequisite: keystore OPEN and master key set (v$encryption_wallet.status = 'OPEN')

-- 1) New encrypted tablespace:
CREATE TABLESPACE customer_enc
  DATAFILE '+DATA' SIZE 1G AUTOEXTEND ON NEXT 256M MAXSIZE 20G
  ENCRYPTION USING 'AES256' ENCRYPT;

-- 2a) Encrypt an existing tablespace ONLINE (12.2+, needs extra space temporarily):
ALTER TABLESPACE customer_data ENCRYPTION ONLINE USING 'AES256' ENCRYPT;
-- If not OMF: ... ENCRYPT FILE_NAME_CONVERT = ('customer_data01.dbf', 'customer_data01_enc.dbf');

-- 2b) OFFLINE conversion (no extra space, tablespace unavailable meanwhile):
ALTER TABLESPACE customer_data OFFLINE NORMAL;
ALTER TABLESPACE customer_data ENCRYPTION OFFLINE ENCRYPT;
ALTER TABLESPACE customer_data ONLINE;

-- 3) Progress and status:
SELECT t.name AS tablespace_name, e.encryptionalg, e.status, e.con_id
FROM   v$encrypted_tablespaces e
  JOIN v$tablespace t ON t.ts# = e.ts# AND t.con_id = e.con_id;
SELECT tablespace_name, encrypted FROM dba_tablespaces ORDER BY tablespace_name;

O que faz

A criptografia de tablespace criptografa cada bloco gravado nos datafiles; os dados ficam em claro no buffer cache, então não são necessárias mudanças na aplicação ou no SQL. A conversão online cria uma cópia criptografada do datafile e passa a usá-la enquanto o DML continua; a conversão offline criptografa os blocos no próprio local.

Quando usar

Para criptografar em repouso tablespaces de aplicação com dados sensíveis, mover dados para um novo tablespace criptografado ou encerrar um achado de auditoria.

Atenção

On-premises exige a opção Advanced Security (custo extra). A conversão online precisa de espaço extra igual ao dos datafiles sendo criptografados e gera I/O e redo pesados; um standby Data Guard faz o mesmo trabalho. A conversão offline deve ser executada separadamente em um standby Data Guard. SYSTEM/SYSAUX/UNDO podem ser criptografados online no 12.2+, mas exigem cuidado extra. Backups de tablespaces criptografados não podem ser restaurados sem o keystore.