1. Oracle Database Exadata Cloud at Customer (Gen 1/OCI-C)の管理
  2. データベース機能、データベース・オプションおよびコンパニオン製品の構成
  3. 表領域の暗号化
機械翻訳について

表領域の暗号化

デフォルトでは、Exadata Cloud at Customerデータベースに作成するすべての新しい表領域が暗号化されます。

ただし、データベース・デプロイメントとともに最初に作成される表領域は、デフォルトでは暗号化されない場合があります。

  • Oracle Database 12cリリース2以降を使用するデータベース・デプロイメントでは、データベース・デプロイメントとともに最初に作成されたUSERS表領域のみが暗号化されます。 USERS以外の表領域を含む他の表領域は暗号化されません:

    • ルート・コンテナ(CDB$ROOT)。

    • シード・プラガブル・データベース(PDB$SEED)。

    • データベース・デプロイメントと組み合せて作成される最初のPDB。

  • Oracle Database 12cリリース1またはOracle Database 11gを使用するデータベース・デプロイメントの場合、データベース・デプロイメントとともに最初に作成される表領域は暗号化されません。

Exadata Cloud at Customerでの表領域暗号化の実装と、様々なデプロイメント・シナリオへの影響の詳細は、Oracle CloudでのOracle Databaseの表領域暗号化動作に関する項を参照してください。

トピック

暗号化された表領域の作成

ユーザー作成された表領域は、デフォルトで暗号化されます。

デフォルトでは、SQL CREATE TABLESPACEコマンドを使用して作成された新しい表領域はすべて、AES128暗号化アルゴリズムで暗号化されます。 デフォルトの暗号化を使用するためにUSING 'encrypt_algorithm'句を含める必要はありません。

CREATE TABLESPACEコマンドにUSING 'encrypt_algorithm'句を含めると、サポートされている別のアルゴリズムを指定できます。 サポートされているアルゴリズムは、AES256、AES192、AES128および3DES168です。

表領域の暗号化の管理

ソフトウェア・キーストア (Oracle Database 11gではOracleウォレットと呼ばれる)、マスター暗号化キー、および暗号化をデフォルトで有効にするかどうかの制御を管理できます。

マスター暗号化キーの管理

表領域の暗号化では、2層式のキー・ベースのアーキテクチャを使用して表領域を透過的に暗号化(および復号化)します。 マスター暗号化キーは、外部のセキュリティ・モジュール(ソフトウェア・キーストア)内で保管されます。 このマスター暗号化キーを使用して表領域の暗号化キーを暗号化し、これを使用して表領域でデータを暗号化および復号化します。

Exadata Cloud at Customerでデータベース・デプロイメントが作成されると、ローカル・ソフトウェア・キーストアが作成されます。 キーストアはコンピュート・ノードのローカルにあり、デプロイメント・プロセス中に指定した管理パスワードによって保護されます。 自動ログインのソフトウェア・キーストアは、データベースが起動されたときに自動的に開かれます。

ADMINISTER KEY MANAGEMENT SQL文を使用してマスター暗号化キーを変更(回転)できます。 次に例を示します。 

SQL> ADMINISTER KEY MANAGEMENT SET ENCRYPTION KEY USING TAG 'tag' 
IDENTIFIED BY password WITH BACKUP USING 'backup';

keystore altered.

リリース18、12.2または12.1の『Oracle Database Advanced Securityガイド』のTDEマスター暗号化キーの管理に関する項またはリリース11.2の『Oracle Database Advanced Security管理者ガイド』のマスター暗号化キーの設定および再設定に関する項を参照してください。

デフォルトの表領域の暗号化の制御

ENCRYPT_NEW_TABLESPACES初期化パラメータは、新しい表領域のデフォルトの暗号化を制御します。 Exadata Cloud at Customerデータベースでは、このパラメータはデフォルトでCLOUD_ONLYに設定されています。

このパラメータの値は、次のとおりです。

値 説明

ALWAYS

作成時に、ENCRYPTION句に別のアルゴリズムが指定されていないかぎり、表領域はAES128アルゴリズムで透過的に暗号化されます。

CLOUD_ONLY

Exadata Cloud at Customerデータベースに作成された表領域は、ENCRYPTION句に別のアルゴリズムが指定されていないかぎり、AES128アルゴリズムを使用して透過的に暗号化されます。 非クラウド・データベースの場合、表領域はENCRYPTION句が指定されている場合にのみ暗号化されます。 これがデフォルト値です。

DDL

作成時に表領域はデフォルトでは透過的に暗号化されず、ENCRYPTION句が指定されている場合にのみ暗号化されます。

ノート:

Oracle Database 12cリリース2 (12.2)以降では、Exadata Cloud at Customerで暗号化されていない表領域を新規作成できなくなりました。 ENCRYPT_NEW_TABLESPACESをDDLに設定し、ENCRYPTION句を指定せずにCREATE TABLESPACEコマンドを発行すると、エラー・メッセージが返されます。