Transparent Data Encryption-(TDE-)Verwaltung

Dieser Abschnitt umfasst die Verwaltung von Transparent Data Encryption (TDE) zum Sichern von Datenbankdaten. Sie umfasst Befehle zur Verarbeitung von Verschlüsselungsschlüsseln und Keystores, wie dbaascli tde addSecondaryHsmKey zum Hinzufügen von sekundären HSM-Schlüsseln, dbaascli tde rotateMasterKey zum Rotieren des Masterschlüssels und dbaascli tde encryptTablespacesInPDB zum Verschlüsseln von Tablespaces in einer integrierbaren Datenbank. Sie können auch zwischen FILE- und HSM-basiertem TDE (dbaascli tde fileToHsm, dbaascli tde hsmToFile) konvertieren, Schlüsselversionen verwalten und Schlüsseldetails mit verschiedenen Befehlen abrufen. Diese Tools gewährleisten eine effektive Verschlüsselungsverwaltung und Datensicherheit.

dbaascli tde addSecondaryHsmKey

Um der vorhandenen HSM-(KMS-)Konfiguration einen sekundären HSM-(KMS-)Schlüssel hinzuzufügen, verwenden Sie den Befehl dbaascli tde addSecondaryHsmKey.

Voraussetzungen:

Führen Sie den Befehl als Benutzer root aus.

Syntax:

dbaascli tde addSecondaryHsmKey --dbname <value> --secondaryKmsKeyOCID <value>
[--executePrereqs]

Parameter:

Parameter Beschreibung
--secondaryKmsKeyOCID Gibt den sekundären KMS-Schlüssel an, der der vorhandenen HSM-(KMS-)Konfiguration hinzugefügt werden soll
--dbname Gibt den Namen der Datenbank an
--executePrereqs die Voraussetzungsprüfungen ausführen und die Ergebnisse melden.

Häufig gestellte Fragen:

F: Was bewirkt der Befehl "dbaascli tde addSecondaryHsmKey"?

A: Mit dem Befehl dbaascli tde addSecondaryHsmKey wird der vorhandenen HSM-(KMS-)Konfiguration für eine Oracle Base Database Cloud@Customer-Datenbank ein sekundärer HSM-(KMS-)Schlüssel hinzugefügt.

F: Wer sollte den Befehl "dbaascli tde addSecondaryHsmKey" ausführen?

A: Der Befehl muss als root-Benutzer ausgeführt werden.

F: Auf welchem Rechner sollte ich den Befehl dbaascli tde addSecondaryHsmKey ausführen?

A: Sie müssen mit SSH eine Verbindung zu einer virtuellen Oracle Base Database Cloud@Customer-Maschine herstellen, um diesen Befehl auszuführen.

F: Wo finde ich weitere Details zur Verbindung mit einer virtuellen Maschine, um diesen Befehl auszuführen?

A: Anweisungen zum Herstellen einer Verbindung finden Sie im Handbuch Verbindung zu einer virtuellen Maschine mit SSH herstellen.

F: Was gibt die Option –secondaryKmsKeyOCID an?

A: Die Option --secondaryKmsKeyOCID gibt die OCID (Oracle Cloud-ID) des sekundären KMS-Schlüssels an, der der vorhandenen HSM-(KMS-)Konfiguration hinzugefügt werden soll.

F: Was macht die Option –dbname?

A: Mit der Option --dbname können Sie den Namen der Datenbank angeben, für die der sekundäre KMS-Schlüssel hinzugefügt werden soll. Die Option ist optional.

F: Was macht die Option –precheckOnly?

A: Wenn die Option --precheckOnly auf yes gesetzt ist, wird eine Vorabprüfung des Vorgangs ausgeführt, ohne dass tatsächliche Änderungen vorgenommen werden. Gültige Werte sind yes oder no.

F: Kann ich die Vorabprüfung nur ausführen, ohne Änderungen vorzunehmen?

A: Ja, Sie können die Option --precheckOnly yes verwenden, um nur die Vorabprüfung auszuführen, ohne Änderungen vorzunehmen.

F: Können Sie ein Beispiel dafür geben, wie Sie diesen Befehl ausführen, um einen sekundären HSM-Schlüssel hinzuzufügen?

A: Beispiel:

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example

F: Wie führe ich den Befehl für eine bestimmte Datenbank aus?

A: Sie können den Datenbanknamen wie folgt angeben:

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example --dbname mydatabase

F: Wie kann ich den Befehl nur mit einer Vorabprüfung ausführen?

A: Verwenden Sie die folgende Syntax, um die Vorabprüfung auszuführen:

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example --precheckOnly yes

F: Was soll ich tun, wenn der Befehl fehlschlägt?

A: Stellen Sie sicher, dass Sie den Befehl als Benutzer root ausführen und mit der richtigen virtuellen Maschine von Oracle Base Database Cloud@Customer verbunden sind. Prüfen Sie außerdem die OCID des KMS-Schlüssels, und prüfen Sie, ob die erforderlichen Berechtigungen erteilt wurden.

F: Wie kann ich prüfen, ob ich die richtige OCID für den sekundären KMS-Schlüssel habe?

A: Sie können die OCID des KMS-Schlüssels aus der Oracle Cloud Infrastructure-Konsole im Abschnitt "Key Management Service (KMS)" abrufen.

F: Welche Berechtigungen sind erforderlich, um einen sekundären KMS-Schlüssel hinzuzufügen?

A: Sie benötigen die entsprechenden Berechtigungen in Oracle Cloud Infrastructure für KMS-Vorgänge, einschließlich der Möglichkeit, KMS-Schlüssel für das relevante Compartment zu verwalten.

F: Kann ich den Befehl dbaascli tde addSecondaryHsmKey verwenden, ohne die Option –dbname anzugeben?

A: Ja, die Option --dbname ist optional. Wird der Befehl ausgelassen, gilt er für alle Datenbanken, in denen die vorhandene HSM-(KMS-)Konfiguration verwendet wird.

F: Was passiert, wenn ich einen sekundären KMS-Schlüssel hinzufüge?

A: Der sekundäre KMS-Schlüssel wird der vorhandenen Konfiguration hinzugefügt und bietet eine zusätzliche Ebene der Redundanz bei der Verwaltung von Verschlüsselungsschlüsseln.

F: Kann ich einen sekundären KMS-Schlüssel entfernen, nachdem er hinzugefügt wurde?

A: Nein, nachdem ein sekundärer KMS-Schlüssel hinzugefügt wurde, kann er nicht entfernt werden. Schlüssel können nur in der Zukunft rotiert oder aktualisiert werden.

Beispiel: dbaascli tde addSecondaryHsmKey

dbaascli tde addSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde addSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --precheckOnly yes

dbaascli tde changePassword

Um das TDE-Keystore-Kennwort und das DB-Wallet-Kennwort für den Alias tde_ks_passwd zu ändern, verwenden Sie den Befehl dbaascli tde changePassword.

Voraussetzungen:

Führen Sie den Befehl als Benutzer root aus.

Syntax:

dbaascli tde changePassword [--dbname <value>]
  {            [--prepareStandbyBlob <value> [--blobLocation <value>]]
               | [--standbyBlobFromPrimary <value>]
  }
  [--resume [--sessionID <value>]]

Parameter:

Parameter Beschreibung
--dbname Gibt den Namen der Datenbank an
--prepareStandbyBlob Geben Sie "true" an, um eine BLOB-Datei mit den Artefakten zu erstellen, die zum Ausführen des Vorgangs in einer DG-Umgebung erforderlich sind.
--blobLocation benutzerdefinierter Pfad an, in dem die Standby-BLOB-Datei in einer DG-Umgebung generiert wird.
--standbyBlobFromPrimary den Speicherort der Standby-BLOB-Datei angeben, die von der Primärdatenbank aus vorbereitet wird. Dies ist nur für Standbyvorgänge erforderlich.
--resume um die vorherige Ausführung wiederaufzunehmen
--sessionID , um eine bestimmte Session-ID fortzusetzen.

Häufig gestellte Fragen:

F: Was bewirkt der Befehl "dbaascli tde changePassword"?

A: Der Befehl dbaascli tde changePassword ändert das TDE-(Transparent Data Encryption-)Keystore-Kennwort sowie das Datenbank-Wallet-Kennwort für den Alias tde_ks_passwd.

F: Wer sollte den Befehl "dbaascli tde changePassword" ausführen?

A: Der Befehl muss als root-Benutzer ausgeführt werden.

F: Wann sollte ich den Befehl "dbaascli tde changePassword" verwenden?

A: Verwenden Sie diesen Befehl, wenn Sie das TDE-Keystore-Kennwort oder das DB-Wallet-Kennwort für eine Oracle Base Database Cloud@Customer-Datenbank ändern müssen.

F: Was macht die Option –dbname?

A: Die Option --dbname gibt den Namen der Datenbank an, für die Sie das TDE-Keystore-Kennwort ändern möchten.

F: Was macht die Option –pdbName?

A: Die Option --pdbName gibt den Namen der integrierbaren Datenbank (PDB) an, für die das TDE-Keystore-Kennwort geändert werden muss. Diese Option wird für Mehrmandantendatenbanken verwendet.

F: Können Sie ein Beispiel dafür geben, wie Sie diesen Befehl für eine bestimmte Datenbank ausführen?

A: Im Folgenden finden Sie ein Beispiel zum Ändern des TDE-Keystore-Kennworts für eine bestimmte Datenbank:

dbaascli tde changePassword --dbname mydatabase

F: Wie führe ich den Befehl für eine bestimmte PDB in einer mehrmandantenfähigen Datenbank aus?

A: Sie können den PDB-Namen mit folgender Syntax angeben:

dbaascli tde changePassword --dbname mydatabase --pdbName mypdb

F: Welche Voraussetzungen sind für die Ausführung des Befehls "dbaascli tde changePassword" erforderlich?

A: Sie müssen den Befehl als Benutzer root ausführen und Zugriff auf die virtuelle Oracle Base Database Cloud@Customer-Maschine haben, auf der die Datenbank ausgeführt wird.

F: Muss ich die Datenbank stoppen, um das TDE-Keystore-Kennwort zu ändern?

A: Nein, die Datenbank muss nicht gestoppt werden, um das TDE-Keystore-Kennwort zu ändern.

F: Was soll ich tun, wenn der Befehl fehlschlägt?

A: Stellen Sie sicher, dass Sie den Befehl als Root-Benutzer ausführen und dass der Datenbankname (--dbname) und der PDB-Name (--pdbName, sofern zutreffend) korrekt sind.

F: Was geschieht, wenn beim Ändern des TDE-Keystore-Kennworts ein Fehler "ungültiges Kennwort" angezeigt wird?

A: Stellen Sie sicher, dass das neue Passwort die Anforderungen an die Passwortkomplexität Ihres Systems erfüllt, und dass Sie das richtige alte Passwort eingeben, wenn Sie dazu aufgefordert werden.

F: Wie überprüfe ich, ob das TDE-Keystore-Kennwort erfolgreich geändert wurde?

A: Sie können die Datenbanklogs prüfen oder mit den Ansichten "Oracle AI Database Vault and Key Management" prüfen, ob die Kennwortänderung des TDE-Keystores erfolgreich war.

F: Kann ich das TDE-Keystore-Kennwort für eine mehrmandantenfähige Datenbank und alle PDBs gleichzeitig ändern?

A: Nein, der Befehl dbaascli tde changePassword muss für jede PDB einzeln ausgeführt werden, wenn Sie das Kennwort für mehrere PDBs ändern müssen.

F: Was passiert, wenn ich das neue TDE-Keystore-Kennwort vergesse?

A: Wenn das neue Kennwort vergessen wird, müssen Sie den Keystore möglicherweise aus einem Backup wiederherstellen oder den Recovery-Prozess von Oracle befolgen, um es je nach Setup zurückzusetzen.

F: Kann ich den Prozess der Änderung des TDE-Keystore-Kennworts automatisieren?

A: Während der Befehl dbaascli tde changePassword selbst nicht für die Automatisierung konzipiert ist, können Sie ihn bei Bedarf als Teil Ihrer regulären Datenbankwartungsprozeduren skriptieren.

F: Wie oft sollte ich das TDE-Keystore-Kennwort ändern?

A: Oracle empfiehlt, Ihr TDE-Keystore-Kennwort regelmäßig basierend auf den Sicherheits-Policys Ihrer Organisation zu ändern. Best Practices umfassen in der Regel das regelmäßige Rotieren von Verschlüsselungsschlüsseln und Keystore-Passwörtern.

So ändern Sie das TDE-Kennwort in einer Nicht-Data-Guard-Umgebung

dbaascli tde changepassword --dbname
      <dbname>

So ändern Sie das TDE-Kennwort in einer Data Guard-Umgebung

  1. Ändern Sie das TDE-Kennwort in der Primärdatenbank.

    dbaascli tde changepassword --dbname
      <dbname> --prepareStandbyBlob true --blobLocation
      <Location where blob file has to be generated>

  2. Kopieren Sie die erstellte Standby-BLOB-Datei in die Standby-Datenbankumgebung.

  3. TDE-Kennwort in Standby-Datenbank ändern

    dbaascli tde changepassword --dbname
     <dbname> --standbyBlobFromPrimary <Location of blob generated from
    primary>

dbaascli tde enableWalletRoot

Um den spfile-Parameter wallet_root für die vorhandene Datenbank zu aktivieren, verwenden Sie den Befehl dbaascli tde enableWalletRoot.

Voraussetzungen:

Führen Sie den Befehl als Benutzer root aus.

Syntax:

dbaascli tde enableWalletRoot --dbname <value>
[--dbRestart <value>]
[--executePrereqs]
[--resume [--sessionID <value>]]

Parameter:

Parameter Beschreibung
--dbname Gibt den Namen der Oracle AI Database an.
--dbrestart Gibt die Option für den Neustart der Datenbank an. Gültige Werte: rolling oder full. Standardwert: rolling. Wenn Sie das Argument dbrestart nicht übergeben, wird die Datenbank im rolling-Modus neu gestartet.
--precheckOnly Nur die Vorabprüfung für diesen Vorgang wird ausgeführt. Gültige Werte: yes oder no
--resume , um die vorherige Ausführung fortzusetzen
--sessionID , um eine bestimmte Session-ID fortzusetzen.

Häufig gestellte Fragen:

F: Was bewirkt der Befehl "dbaascli tde enableWalletRoot"?

A: Der Befehl dbaascli tde enableWalletRoot aktiviert den Parameter wallet_root in der Datei spfile für eine vorhandene Oracle AI Database in Oracle Base Database Cloud@Customer.

F: Wer sollte den Befehl "dbaascli tde enableWalletRoot" ausführen?

A: Der Befehl muss als root-Benutzer ausgeführt werden.

F: Auf welchem Rechner sollte ich den Befehl dbaascli tde enableWalletRoot ausführen?

A: Sie müssen mit SSH eine Verbindung zu einer virtuellen Oracle Base Database Cloud@Customer-Maschine herstellen, um diesen Befehl auszuführen.

F: Wo finde ich Anweisungen zum Verbinden mit der virtuellen Maschine?

A: Anweisungen zum Herstellen einer Verbindung finden Sie im Handbuch Verbindung zu einer virtuellen Maschine mit SSH herstellen.

F: Was macht die Option –dbRestart?

A: Die Option --dbRestart gibt an, wie die Datenbank neu gestartet werden soll, nachdem wallet_root aktiviert wurde. Die gültigen Werte sind:

F: Was macht die Option –dbname?

A: Mit der Option --dbname können Sie den Namen der Oracle AI Database angeben, für die der Parameter wallet_root aktiviert werden soll.

F: Was macht die Option –precheckOnly?

A: Mit der Option --precheckOnly wird eine Vorabprüfung des Vorgangs ausgeführt, ohne tatsächliche Änderungen vorzunehmen. Gültige Werte sind yes oder no.

F: Was geschieht, wenn die Option –dbRestart nicht angegeben wird?

A: Wenn Sie die Option --dbRestart nicht angeben, wird die Datenbank standardmäßig im Rolling-Modus neu gestartet.

F: Können Sie ein Beispiel dafür geben, wie Sie wallet_root für eine bestimmte Datenbank aktivieren?

A: Beispiel zum Aktivieren von wallet_root für eine Datenbank mit dem Namen mydatabase:

dbaascli tde enableWalletRoot --dbname mydatabase

F: Wie aktiviere ich wallet_root und gebe einen vollständigen Datenbankneustart an?

A: Mit dem folgenden Befehl können Sie wallet_root mit einem vollständigen Datenbankneustart aktivieren:

dbaascli tde enableWalletRoot --dbname mydatabase --dbRestart full

F: Wie kann ich den Befehl nur mit einer Vorabprüfung ausführen?

A: Um eine Vorabprüfung durchzuführen, ohne Änderungen vorzunehmen, verwenden Sie die folgende Syntax:

dbaascli tde enableWalletRoot --dbname mydatabase --precheckOnly yes

F: Welche Voraussetzungen sind für die Ausführung des Befehls "dbaascli tde enableWalletRoot" erforderlich?

A: Sie müssen den Befehl als Benutzer root ausführen und mit der richtigen virtuellen Maschine von Oracle Base Database Cloud@Customer verbunden sein.

F: Muss ich die Datenbank neu starten, um wallet_root zu aktivieren?

A: Ja, die Datenbank muss je nach gewählter Option entweder rollierend (Standard) oder vollständig neu gestartet werden.

F: Was soll ich tun, wenn der Befehl fehlschlägt?

A: Stellen Sie sicher, dass Sie den Befehl als Root-Benutzer ausführen, und prüfen Sie, ob der Datenbankname (--dbname) korrekt ist. Prüfen Sie, ob Vorabprüfungsfehler vorliegen, wenn Sie mit --precheckOnly ausgeführt werden.

F: Was ist, wenn die Datenbank nach Ausführung des Befehls nicht neu gestartet werden kann?

A: Prüfen Sie, ob die richtige Neustartoption verwendet wurde (rolling oder full), und prüfen Sie die Datenbanklogs auf Fehler. Wenn der automatische Neustart nicht erfolgreich verläuft, müssen Sie die Datenbank möglicherweise manuell neu starten.

F: Wie kann ich prüfen, ob wallet_root erfolgreich aktiviert wurde?

A: Sie können die Änderung prüfen, indem Sie die spfile der Datenbank prüfen oder Oracle SQL-Abfragen verwenden, um zu bestätigen, dass der Parameter wallet_root aktiviert ist.

F: Kann ich wallet_root aktivieren, ohne die Datenbank neu zu starten?

A: Nein, die Datenbank muss neu gestartet werden, damit die Änderung wirksam wird. Sie können zwischen einem rollierenden Neustart oder einem vollständigen Neustart wählen.

F: Was ist der Unterschied zwischen einem Rolling- und einem vollständigen Datenbankneustart?

A: Bei einem rollierenden Neustart wird die Datenbank nacheinander neu gestartet, sodass die Datenbank während des Vorgangs teilweise verfügbar bleibt. Ein vollständiger Neustart wird heruntergefahren, und die gesamte Datenbank wird neu gestartet. Dies führt zu einer vollständigen Ausfallzeit.

F: Kann ich diesen Befehl für mehrere Datenbanken gleichzeitig ausführen?

A: Sie müssen den Befehl dbaascli tde enableWalletRoot für jede Datenbank, für die Sie wallet_root aktivieren möchten, separat ausführen.

F: Wie wirkt sich die Aktivierung von wallet_root auf die vorhandene TDE-Keystore-Konfiguration aus?

A: Wenn Sie wallet_root aktivieren, wird der TDE-Keystore-Speicherort in das neue Wallet-Root-Verzeichnis aktualisiert, sodass mehrere Keystores und Wallets in Oracle AI-Datenbanken einfacher verwaltet werden können.

Beispiel: dbaascli tde enableWalletRoot

dbaascli tde enableWalletRoot --dbname db name --dbrestart rolling|full
dbaascli tde enableWalletRoot --dbname orcl
dbaascli tde enableWalletRoot --dbname orcl--dbrestart full

dbaascli tde encryptTablespacesInPDB

Um alle Tablespaces in der angegebenen PDB zu verschlüsseln, verwenden Sie den Befehl dbaascli tde encryptTablespacesInPDB.

Voraussetzungen:

Führen Sie den Befehl als Benutzer root aus.

Syntax:

dbaascli tde encryptTablespacesInPDB --dbname <value> --pdbName <value>
[--executePrereqs]

Parameter:

Parameter Beschreibung
--pdbName Gibt den Namen der PDB an, in der alle Tablespaces verschlüsselt werden.
--dbname Gibt den Namen der Oracle AI Database an.
--executePrereqs die Voraussetzungsprüfungen ausführen und die Ergebnisse melden.

Häufig gestellte Fragen:

F: Was bewirkt der Befehl "dbaascli tde encryptTablespacesInPDB"?

A: Mit dem Befehl dbaascli tde encryptTablespacesInPDB werden alle Tablespaces in der angegebenen integrierbaren Datenbank (PDB) für eine Oracle AI Database auf Oracle Base Database Cloud@Customer verschlüsselt.

F: Wer sollte den Befehl "dbaascli tde encryptTablespacesInPDB" ausführen?

A: Der Befehl muss als root-Benutzer ausgeführt werden.

F: Auf welchem Rechner sollte ich den Befehl dbaascli tde encryptTablespacesInPDB ausführen?

A: Sie müssen mit SSH eine Verbindung zu einer virtuellen Oracle Base Database Cloud@Customer-Maschine herstellen, um diesen Befehl auszuführen.

F: Wo finde ich Anweisungen für die Verbindung mit der virtuellen Maschine?

A: Anweisungen zur Verbindung finden Sie im Handbuch Verbindung zu einer virtuellen Maschine mit SSH herstellen.

F: Was gibt die Option –pdbName an?

A: Die Option --pdbName gibt den Namen der integrierbaren Datenbank (PDB) an, deren Tablespaces verschlüsselt werden müssen.

F: Was macht die Option –dbname?

A: Mit der Option --dbname können Sie den Namen der Oracle AI Database angeben, zu der die PDB gehört.

F: Was macht die Option –precheckOnly?

A: Mit der Option --precheckOnly wird eine Vorabprüfung des Verschlüsselungsvorgangs ausgeführt, ohne dass tatsächliche Änderungen vorgenommen werden. Gültige Werte sind yes oder no.

F: Was macht die Option –useSysdbaCredential?

A: Die Option --useSysdbaCredential gibt an, ob SYSDBA-Zugangsdaten für den Vorgang verwendet werden sollen. Gültige Werte sind "true" oder "false".

F: Können Sie ein Beispiel dafür geben, wie Tablespaces in einer bestimmten PDB verschlüsselt werden?

A: Im Folgenden finden Sie ein Beispiel zum Verschlüsseln aller Tablespaces in einer PDB namens mypdb:

dbaascli tde encryptTablespacesInPDB --pdbName mypdb

F: Wie kann ich Tablespaces in einer bestimmten PDB innerhalb einer Datenbank verschlüsseln?

A: Mit dem folgenden Befehl geben Sie sowohl die PDB als auch die Datenbank an:

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --dbname mydatabase

F: Wie führe ich eine Vorabprüfung aus, ohne die Verschlüsselung durchzuführen?

A: Sie können eine Vorabprüfung nur mit der folgenden Syntax ausführen:

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --precheckOnly yes

F: Wie kann ich die Tablespaces mit SYSDBA-Zugangsdaten verschlüsseln?

A: Sie können die SYSDBA-Zugangsdaten verwenden, indem Sie die Option --useSysdbaCredential true hinzufügen:

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --useSysdbaCredential true

F: Welche Voraussetzungen sind für die Ausführung des Befehls "dbaascli tde encryptTablespacesInPDB" erforderlich?

A: Sie müssen den Befehl als Benutzer root ausführen und Zugriff auf die virtuelle Maschine von Oracle Base Database Cloud@Customer haben.

F: Muss ich die Datenbank neu starten, um die Tablespaces zu verschlüsseln?

A: Nein, für den Befehl ist kein Neustart der Datenbank erforderlich. Die Verschlüsselung wird ausgeführt, während die Datenbank online ist.

F: Benötige ich SYSDBA-Zugangsdaten, um Tablespaces zu verschlüsseln?

A: Sie benötigen möglicherweise SYSDBA-Zugangsdaten für diesen Vorgang, wenn Sie die Option --useSysdbaCredential verwenden.

F: Was soll ich tun, wenn der Befehl fehlschlägt?

A: Stellen Sie sicher, dass Sie den Befehl als Root-Benutzer ausführen, und prüfen Sie, ob der PDB-Name (--pdbName) und der Datenbankname (--dbname) korrekt sind. Sie können den Befehl auch mit --precheckOnly yes ausführen, um auf Probleme zu prüfen, bevor Sie die vollständige Verschlüsselung ausführen.

F: Was muss ich tun, wenn die Verschlüsselung der Tablespaces fehlschlägt?

A: Prüfen Sie die Datenbanklogs, und stellen Sie sicher, dass Sie über die erforderlichen Berechtigungen und Ressourcen verfügen, um die Verschlüsselung auszuführen. Möglicherweise müssen Sie auch sicherstellen, dass genügend Speicherplatz für den Verschlüsselungsprozess vorhanden ist.

F: Wie kann ich prüfen, ob die Tablespaces in einer PDB verschlüsselt sind?

A: Sie können die Datenbank-Views zur Verschlüsselung abfragen, z.B. V$ENCRYPTED_TABLESPACES, um zu prüfen, ob die Tablespaces erfolgreich verschlüsselt wurden.

F: Wie überprüfe ich, ob die Vorabprüfung erfolgreich war?

A: Wenn Sie den Befehl mit --precheckOnly yes ausgeführt haben, können Sie die Ausgabe auf Warnungen oder Fehler prüfen, die auf potenzielle Probleme mit dem Verschlüsselungsprozess hinweisen.

F: Kann ich die Tablespaces für mehrere PDBs gleichzeitig verschlüsseln?

A: Nein, Sie müssen den Befehl dbaascli tde encryptTablespacesInPDB für jede PDB separat ausführen.

F: Kann ich einige Tablespaces in einer PDB teilweise verschlüsseln?

A: Nein, mit diesem Befehl werden alle Tablespaces innerhalb der angegebenen PDB verschlüsselt. Für die partielle Verschlüsselung müssen Sie verschiedene Datenbankverwaltungsbefehle verwenden.

F: Hat die Verschlüsselung von Tablespaces Auswirkungen auf die Datenbankperformance?

A: Die Verschlüsselung von Tablespaces kann während des Verschlüsselungsprozesses eine temporäre Performance beeinträchtigen. Die Auswirkungen sollten jedoch minimal sein, sobald die Verschlüsselung abgeschlossen ist.

F: Kann ich die Verschlüsselung von Tablespaces rückgängig machen?

A: Nein, sobald die Tablespaces verschlüsselt sind, kann die Verschlüsselung nicht rückgängig gemacht werden. Sie können die Schlüssel nur nach Bedarf rotieren oder erneut verschlüsseln.

F: Was passiert, wenn der Vorgang während des Verschlüsselungsprozesses unterbrochen wird?

A: Wenn der Vorgang unterbrochen wird, müssen Sie den Befehl möglicherweise erneut ausführen. Das System setzt die Verschlüsselung von dort fort, wo sie unterbrochen wurde, und Sie können den Status mithilfe von Datenbankansichten prüfen.

Beispiel: dbaascli tde encryptTablespacesInPDB

dbaascli tde encryptTablespacesInPDB --dbname dbname --pdbName pdb
dbaascli tde encryptTablespacesInPDB --dbname dbname --pdbName pdb --executePrereqs

dbaascli tde fileToHsm

Um FILE-basierte TDE in HSM-(KMS/OKV-)basierte TDE zu konvertieren, verwenden Sie den Befehl dbaascli TDE fileToHsm.

Voraussetzungen:

Führen Sie den Befehl als Benutzer root aus.

Syntax:

dbaascli tde fileToHsm --kmsKeyOCID <value> --dbname <value>
[--skipPatchCheck <value>]
[--executePrereqs ]
[--primarySuc <value>]
{
    [--resume [--sessionID <value>]] | [--revert [--sessionID <value>]]
}
[--waitForCompletion <value>]

Parameter:

Parameter Beschreibung
--kmsKeyOCID Gibt die für TDE zu verwendende KMS-Schlüssel-OCIDan. Gilt nur, wenn KMS für TDE ausgewählt ist.
--dbname Gibt den Namen der Datenbank an
--skipPatchCheck Überspringt die Validierungsprüfung für erforderliche Patches, wenn der für dieses Argument übergebene Wert true ist. Gültige Werte: true oder false
--executePrereqs die Voraussetzungsprüfungen ausführen und die Ergebnisse melden.
--primarySuc Geben Sie diese Eigenschaft in der Standbydatenbank der Data Guard-Umgebung an, wenn der Befehl erfolgreich auf der Primärdatenbank ausgeführt wurde
--resume gibt an, dass die vorherige Ausführung fortgesetzt werden soll
--sessionID gibt an, dass eine bestimmte Session-ID fortgesetzt werden soll
--revert Gibt an, dass ein Rollback der vorherigen Ausführung durchgeführt werden soll
--sessionID Gibt an, dass eine bestimmte Session-ID zurückgesetzt werden soll
--waitForCompletion Geben Sie "false" an, um den Vorgang im Hintergrund auszuführen. Gültige Werte: true oder false.

Häufig gestellte Fragen:

F: Wozu dient der Befehl "dbaascli tde fileToHsm"?

A: Mit dem Befehl dbaascli tde fileToHsm können Sie eine FILE-basierte transparente Datenverschlüsselung (TDE) in eine HSM-(Hardwaresicherheitsmodul-)basierte TDE, wie KMS oder OKV, in einer Oracle AI Database Cloud Service-Umgebung konvertieren.

F: Wer kann den Befehl "dbaascli tde fileToHsm" ausführen?

A: Der Befehl muss als root-Benutzer ausgeführt werden.

F: Was ist der Zweck des Parameters –kmsKeyOCID?

A: Der Parameter --kmsKeyOCID gibt die KMS-Schlüssel-OCID an, die für die TDE-Verschlüsselung beim Übergang von dateibasiertem zu HSM-basiertem TDE verwendet wird.

F: Was macht der –dbname-Parameter?

A: Der Parameter --dbname gibt den Namen der Datenbank an, für die Sie die TDE von dateibasiert in HSM-basiert konvertieren.

F: Kann ich die Patch-Validierungsprüfung bei der TDE-Konvertierung überspringen?

A: Ja. Wenn Sie den Parameter --skipPatchCheck mit dem Wert true verwenden, können Sie die Validierungsprüfung auf erforderliche Patches überspringen.

F: Wofür wird der Parameter –executePrereqs verwendet?

A: Mit dem Parameter --executePrereqs können Sie nur die Vorabprüfungen für den TDE-Konvertierungsprozess ausführen, ohne die tatsächliche Konvertierung auszuführen. Gültige Werte sind yes oder no.

F: Was bewirkt der Parameter –primarySuc in einem Data Guard-Setup?

A: Der Parameter --primarySuc wird in einer Data Guard-Umgebung verwendet, um anzugeben, dass der Befehl erfolgreich in der Primärdatenbank ausgeführt wurde. Sie muss in der Standbydatenbank angegeben werden, nachdem die Primärkonvertierung abgeschlossen ist.

F: Wie kann ich eine vorherige TDE-Konvertierung fortsetzen?

A: Sie können eine zuvor unvollständige TDE-Konvertierung mit dem Parameter --resume fortsetzen. Optional können Sie eine bestimmte Session-ID mit --sessionID angeben.

F: Wie kann ich eine TDE-Konvertierung rückgängig machen?

A: Um eine vorherige TDE-Konvertierung rückgängig zu machen, verwenden Sie den Parameter --revert. Sie können auch die spezifische Session-ID angeben, die Sie zurücksetzen möchten, indem Sie --sessionID verwenden.

F: Wie gebe ich eine Session-ID an, wenn eine TDE-Konvertierung fortgesetzt oder rückgängig gemacht wird?

A: Mit dem Parameter --sessionID können Sie die ID der Session angeben, die fortgesetzt oder zurückgesetzt werden soll. Beispiel: --resume --sessionID <ID> oder --revert --sessionID <ID>.

F: Was passiert, wenn ich "waitForCompletion" auf "false" setze?

A: Wenn Sie --waitForCompletion auf false setzen, wird der TDE-Konvertierungsprozess im Hintergrund ausgeführt, und die Eingabeaufforderung wird sofort zurückgegeben. Wenn dieser Wert auf true gesetzt ist, wartet der Befehl, bis der Prozess abgeschlossen ist, bevor die Kontrolle an den Benutzer zurückgegeben wird.

F: Welche gültigen Werte gelten für den Parameter –waitForCompletion?

A: Gültige Werte sind true oder false. Wenn Sie diesen Wert auf "true" setzen, wartet der Befehl, bis der Prozess abgeschlossen ist. Wenn Sie ihn auf false setzen, wird der Prozess im Hintergrund ausgeführt.

F: Kann ich dbaascli TDE fileToHsm ausführen, ohne die TDE sofort zu konvertieren?

A: Ja, mit dem Parameter --executePrereqs yes können Sie nur die Vorabprüfungen für die Konvertierung ausführen, ohne dass Änderungen an der TDE vorgenommen werden.

F: Wie gehe ich in einer Data Guard-Umgebung mit der Standbydatenbank um, nachdem TDE in der Primärdatenbank konvertiert wurde?

A: Nachdem die Konvertierung erfolgreich in der Primärdatenbank ausgeführt wurde, müssen Sie --primarySuc angeben, wenn Sie den Befehl in der Standbydatenbank ausführen.

F: Was muss ich tun, wenn der TDE-Konvertierungsprozess fehlschlägt?

A: Wenn der Prozess nicht erfolgreich verläuft, können Sie den Parameter --resume verwenden, um den Vorgang an der Stelle fortzusetzen, an der er unterbrochen wurde. Falls erforderlich können Sie den Parameter --revert verwenden, um die während der nicht erfolgreichen Session vorgenommenen Änderungen zurückzusetzen.

Beispiel: dbaascli tde fileToHsm –kmsKeyOCID

dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs
dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --resume

dbaascli tde getHsmKeys

Um Details zum aktiven TDE-Schlüssel abzurufen, verwenden Sie den Befehl dbaascli TDE getHsmKeys.

Voraussetzungen:

Führen Sie den Befehl als Benutzer root aus.

Syntax:

dbaascli tde getHsmKeys
[--dbname]
[--infoFile]

Parameter:

Parameter Beschreibung
--dbname Gibt den Namen der Datenbank an
--infoFile Gibt den Dateipfad an, in dem die Liste der OCIDs gespeichert wird. Die Ausgabe hat das JSON-Format.

Häufig gestellte Fragen:

F: Was bewirkt der Befehl "dbaascli tde getHsmKeys"?

A: Der Befehl dbaascli tde getHsmKeys ruft Details der aktiven TDE-(Transparent Data Encryption-)Schlüssel aus dem Hardware Security Module (HSM) für eine angegebene Datenbank ab.

F: Wer sollte den Befehl "dbaascli tde getHsmKeys" ausführen?

A: Der Befehl muss als root-Benutzer ausgeführt werden.

F: Auf welchem Rechner sollte ich den Befehl dbaascli tde getHsmKeys ausführen?

A: Sie müssen mit SSH eine Verbindung zu einer virtuellen Oracle Base Database Cloud@Customer-Maschine herstellen, um diesen Befehl auszuführen.

F: Wo finde ich Anweisungen für die Verbindung mit der virtuellen Maschine?

A: Anweisungen zum Herstellen einer Verbindung finden Sie im Handbuch Verbindung zu einer virtuellen Maschine mit SSH herstellen.

F: Was macht die Option –dbname?

A: Mit der Option --dbname können Sie den Namen der Oracle AI Database angeben, für die Sie TDE-Schlüsseldetails abrufen möchten.

F: Was macht die Option –infoFile?

A: Die Option --infoFile gibt den Dateipfad an, in dem die Liste der Schlüssel-OCIDs (Oracle Cloud-IDs) gespeichert wird. Die Ausgabe hat das JSON-Format.

F: Können Sie ein Beispiel dafür geben, wie Sie TDE-Schlüsseldetails für eine bestimmte Datenbank abrufen?

A: Im Folgenden finden Sie ein Beispiel zum Abrufen der TDE-Schlüsseldetails für eine Datenbank mit dem Namen mydatabase:

dbaascli tde getHsmKeys --dbname mydatabase

F: Wie speichere ich die TDE-Schlüsseldetails in einer Datei?

A: Sie können einen Dateipfad mit der Option --infoFile angeben, um die Ausgabe im JSON-Format zu speichern:

dbaascli tde getHsmKeys --dbname mydatabase --infoFile /path/to/output.json

F: Welche Voraussetzungen sind für die Ausführung des Befehls "dbaascli tde getHsmKeys" erforderlich?

A: Sie müssen den Befehl als Benutzer root ausführen und mit der virtuellen Maschine von Oracle Base Database Cloud@Customer verbunden sein.

F: Benötige ich SYSDBA-Zugangsdaten, um TDE-Schlüsseldetails abzurufen?

A: Nein, SYSDBA-Zugangsdaten sind nicht erforderlich, um den Befehl dbaascli tde getHsmKeys auszuführen.

F: In welchem Format werden die TDE-Schlüsselinformationen gespeichert, wenn die Option –infoFile verwendet wird?

A: Die Ausgabe wird im JSON-Format gespeichert.

F: Welche Informationen sind in den TDE-Schlüsseldetails enthalten?

A: Die Details umfassen Schlüssel-OCIDs und andere Metadaten zu den aktiven Verschlüsselungsschlüsseln, die im HSM für die angegebene Datenbank gespeichert sind.

F: Was soll ich tun, wenn der Befehl die Schlüsseldetails nicht abrufen kann?

A: Stellen Sie sicher, dass Sie den Befehl als Root-Benutzer ausführen und dass der Datenbankname (--dbname) korrekt ist. Prüfen Sie Ihre Verbindung zur virtuellen Maschine von Oracle Base Database Cloud@Customer.

F: Wie überprüfe ich, ob die Ausgabedatei erfolgreich erstellt wurde?

A: Sie können den angegebenen Dateipfad für die JSON-Ausgabedatei prüfen. Wenn die Datei fehlt, prüfen Sie, ob der Dateipfad korrekt ist und Sie Schreibberechtigungen für das Verzeichnis haben.

F: Was soll ich tun, wenn die Ausgabedatei leer ist?

A: Stellen Sie sicher, dass die angegebene Datenbank aktive TDE-Schlüssel enthält und dass der Parameter --dbname korrekt ist. Möglicherweise müssen Sie auch prüfen, ob Fehler in den Datenbanklogs vorhanden sind.

F: Kann ich TDE-Schlüsseldetails für mehrere Datenbanken gleichzeitig abrufen?

A: Nein, Sie müssen den Befehl dbaascli tde getHsmKeys für jede Datenbank separat ausführen.

F: Wie kann ich die Ausgabedatei der Option –infoFile in anderen Vorgängen verwenden?

A: Da die Ausgabe im JSON-Format vorliegt, können Sie die Datei programmgesteuert parsen oder als Eingabe für andere Datenbank- oder Verschlüsselungsverwaltungsaufgaben verwenden.

F: Kann ich mit diesem Befehl historische TDE-Schlüsseldetails abrufen?

A: Nein, der Befehl ruft nur Details zu den derzeit aktiven Schlüsseln im HSM ab.

F: Wie kann ich überprüfen, ob die abgerufenen Schlüssel korrekt sind?

A: Sie können die Schlüssel prüfen, indem Sie sie mit der Oracle Cloud Infrastructure-(OCI-)Konsole referenzieren oder Datenbank-Views im Zusammenhang mit der Verschlüsselungsverwaltung verwenden.

Beispiel: dbaascli tde getHsmKeys

dbaascli tde getHsmkeys --dbname dbname
dbaascli tde getHsmkeys --dbname dbname --infoFile infoFilePath

dbaascli tde getMkidForKeyVersionOCID

Um die Masterschlüssel-ID abzurufen, die mit der KMS-Schlüsselversions-OCID verknüpft ist, verwenden Sie den Befehl dbaascli tde getMkidForKeyVersionOCID.

Voraussetzungen:

Führen Sie den Befehl als Benutzer root aus.

Syntax:

dbaascli tde getMkidForKeyVersionOCID --kmsKeyVersionOCID <value>
[--dbname <value>]
[--waitForCompletion <value>]

Parameter:

Parameter Beschreibung
--kmsKeyVersionOCID Gibt die OCID der KMS-Schlüsselversion, die festgelegt werden soll
--dbname Gibt den Namen der Datenbank an
--waitForCompletion false angeben, um den Vorgang im Hintergrund auszuführen. Gültige Werte: true oder false.

Häufig gestellte Fragen:

F: Wozu dient der Befehl "dbaascli tde getMkidForKeyVersionOCID"?

A: Der Befehl dbaascli tde getMkidForKeyVersionOCID ruft die Masterschlüssel-ID (MKID) ab, die mit einer bestimmten KMS-Schlüsselversions-OCID in Oracle AI Database Cloud Service-Umgebungen verknüpft ist.

F: Welche Voraussetzungen sind für die Ausführung des Befehls "dbaascli tde getMkidForKeyVersionOCID" erforderlich?

A: Sie müssen:

F: Wer kann den Befehl "dbaascli tde getMkidForKeyVersionOCID" ausführen?

A: Nur der Benutzer root kann diesen Befehl ausführen.

F: Was gibt der Parameter –kmsKeyVersionOCID an?

A: Der Parameter --kmsKeyVersionOCID gibt die KMS-Schlüsselversions-OCID an, für die Sie die zugehörige Masterschlüssel-ID (MKID) abrufen möchten.

F: Was gibt der –dbname-Parameter an?

A: Der Parameter --dbname gibt den Namen der Datenbank an, für die die KMS-Schlüsselversions-OCID abgefragt wird.

F: Ist der Parameter –dbname obligatorisch?

A: Nein, der Parameter --dbname ist optional. Wenn Sie keinen Datenbanknamen angeben, ruft der Befehl die MKID für die Standarddatenbank auf dem System ab.

F: Was muss ich tun, wenn ich die KMS-Schlüsselversions-OCID nicht kenne?

A: Sie müssen die KMS-Schlüsselversions-OCID von der KMS-Verwaltungskonsole oder dem Serviceprovider abrufen, bevor Sie diesen Befehl verwenden. Ohne sie kann der Befehl die Master-Schlüssel-ID (MKID) nicht abrufen.

F: Kann ich diesen Befehl in einer Nicht-Oracle Base Database Cloud@Customer-Umgebung ausführen?

A: Nein, dieser Befehl ist speziell für die Verwendung in einer Oracle Base Database Cloud@Customer-Umgebung vorgesehen, und Sie müssen eine Verbindung zu einer virtuellen Maschine herstellen, die SSH zur Ausführung verwendet.

F: Was geschieht, wenn ich den Befehl ausführe, ohne einen Datenbanknamen mit –dbname anzugeben?

A: Wenn der Parameter --dbname nicht angegeben ist, versucht der Befehl, die MKID für die im System konfigurierte Standarddatenbank abzurufen.

F: Was soll ich tun, wenn beim Abrufen der MKID ein Fehler auftritt?

A: Stellen Sie sicher, dass:

F: Wie stelle ich eine Verbindung zur virtuellen Maschine von Oracle Base Database Cloud@Customer her?

A: Sie können über SSH eine Verbindung zur virtuellen Maschine herstellen. In der Oracle Base Database Cloud@Customer-Dokumentation finden Sie Informationen zur sicheren Verbindung.

Beispiel: dbaascli tde getMkidForKeyVersionOCID

dbaascli tde getMkidForKeyVersionOCID --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha

dbaascli tde getPrimaryHsmKey

Um den primären HSM-(KMS-)Schlüssel aus der vorhandenen HSM-(KMS-)Konfiguration abzurufen, verwenden Sie den Befehl dbaascli tde getPrimaryHsmKey.

Voraussetzungen:

Führen Sie den Befehl als Benutzer root aus.

Syntax:

dbaascli tde getPrimaryHsmKey
[--dbname]

Parameter:

Parameter Beschreibung
--dbname Gibt den Namen der Datenbank an

Häufig gestellte Fragen:

F: Wozu dient der Befehl "dbaascli tde getPrimaryHsmKey"?

A: Der Befehl dbaascli tde getPrimaryHsmKey ruft den primären HSM-(Hardwaresicherheitsmodul-)Schlüssel aus der vorhandenen HSM-(KMS-)Konfiguration in einer Oracle AI Database-Umgebung ab.

F: Welche Voraussetzungen sind für die Ausführung des Befehls "dbaascli tde getPrimaryHsmKey" erforderlich?

A: Sie müssen:

F: Wer kann den Befehl "dbaascli tde getPrimaryHsmKey" ausführen?

A: Nur der Benutzer root kann diesen Befehl ausführen.

F: Was gibt der –dbname-Parameter in diesem Befehl an?

A: Der Parameter --dbname gibt den Namen der Datenbank an, für die Sie den primären HSM-Schlüssel abrufen möchten.

F: Ist der Parameter –dbname obligatorisch?

A: Nein, der Parameter --dbname ist optional. Wenn keine Angabe gemacht wird, ruft der Befehl den primären HSM-Schlüssel für die Standarddatenbank im System ab.

F: Was soll ich tun, wenn ich keinen Datenbanknamen mit –dbname spezifiziere?

A: Wenn der Parameter --dbname nicht angegeben ist, versucht der Befehl, den primären HSM-Schlüssel für die im System konfigurierte Standarddatenbank abzurufen.

F: Kann ich diesen Befehl in einer Nicht-Oracle Base Database Cloud@Customer-Umgebung ausführen?

A: Nein, dieser Befehl ist speziell für die Verwendung in einer Oracle Base Database Cloud@Customer-Umgebung konzipiert. Sie müssen zur Ausführung mit SSH mit der virtuellen Maschine verbunden sein.

F: Wie stelle ich eine Verbindung zur virtuellen Oracle Base Database Cloud@Customer-Maschine her, um den Befehl auszuführen?

A: Sie können über SSH eine Verbindung zur virtuellen Maschine herstellen. Anweisungen zur sicheren Verbindung finden Sie in der Oracle Base Database Cloud@Customer-Dokumentation.

F: Was sollte ich überprüfen, wenn beim Abrufen des primären HSM-Schlüssels ein Fehler auftritt?

A: Wenn ein Fehler auftritt, stellen Sie Folgendes sicher:

F: Muss ich die Datenbank stoppen, um den Befehl "dbaascli tde getPrimaryHsmKey" auszuführen?

A: Nein, die Datenbank muss nicht gestoppt werden, um diesen Befehl auszuführen. Sie können sie ausführen, während die Datenbank ausgeführt wird.

F: Was ist der Zweck des Abrufs des primären HSM-Schlüssels?

A: Wenn Sie den primären HSM-Schlüssel abrufen, können Sie den aktuellen HSM-Schlüssel identifizieren, der für die Verschlüsselung in der vorhandenen HSM-(KMS-)Konfiguration der Datenbank verwendet wird.

Beispiel: dbaascli tde getPrimaryHsmKey

dbaascli tde getPrimaryHsmKey --dbname dbname

dbaascli tde hsmToFile

Um HSM-(KMS/OKV-)basierte TDE- in FILE-basierte TDE zu konvertieren, verwenden Sie den Befehl dbaascli tde hsmToFile.

Führen Sie den Befehl als Benutzer root aus.

Syntax:

dbaascli tde hsmToFile
[--dbname <value>]
{
    [--prepareStandbyBlob <value> [--blobLocation <value>]
   | [--standbyBlobFromPrimary <value>]
}
]
[--skipPatchCheck <value>]
[--executePrereqs ]
[--primarySuc <value>]
{
     [--resume [--sessionID <value>]] |
     [--revert [--sessionID <value>]]
}
[--waitForCompletion <value>]

Parameter:

Parameter Beschreibung
--dbname Gibt den Namen der Datenbank an
--prepareStandbyBlob Geben Sie true an, um eine BLOB-Datei mit den Artefakten zu generieren, welche zum Ausführen des Vorgangs in einer DG-Umgebung erforderlich sind.
--blobLocation Benutzerdefinierter Verzeichnisspeicherort, in dem die Standby-BLOB-Datei in einer DG-Umgebung generiert wird.
--standbyBlobFromPrimary den Speicherort der Standby-BLOB-Datei angeben, die von der Primärdatenbank aus vorbereitet wird. Dies ist nur für Standbyvorgänge erforderlich. ]
--skipPatchCheck Überspringt die Validierungsprüfung für erforderliche Patches, wenn der für dieses Argument übergebene Wert true ist. Gültige Werte: true oder false
--executePrereqs die Voraussetzungsprüfungen ausführen und die Ergebnisse melden.
--primarySuc Geben Sie diese Eigenschaft in der Standbydatenbank der Data Guard-Umgebung an, wenn der Befehl erfolgreich auf der Primärdatenbank ausgeführt wurde
--resume setzt die vorherige Ausführung fort
--sessionID gibt an, dass eine bestimmte Session-ID fortgesetzt werden soll
--revert Gibt an, dass die vorherige Ausführung zurückgesetzt werden soll
--sessionID Gibt an, dass eine bestimmte Session-ID zurückgesetzt werden soll
--waitForCompletion Gibt false an, um den Vorgang im Hintergrund auszuführen. Gültige Werte: true oder false

Häufig gestellte Fragen:

F: Wozu dient der Befehl "dbaascli tde hsmToFile"?

A: Mit dem Befehl dbaascli tde hsmToFile können Sie eine HSM-basierte transparente Datenverschlüsselung (Transparent Data Encryption, TDE) in eine dateibasierte TDE in Oracle AI Database Cloud Service-Umgebungen konvertieren.

F: Welche Voraussetzungen sind für die Ausführung des Befehls "dbaascli tde hsmToFile" erforderlich?

A: Sie müssen:

F: Was gibt der –dbname-Parameter an?

A: Der Parameter --dbname gibt den Namen der Datenbank an, für die Sie TDE von HSM-basiert in dateibasiert konvertieren.

F: Wann ist der Parameter –primaryDBWalletTar erforderlich?

A: Der Parameter --primaryDBWalletTar ist nur erforderlich, wenn die hsmToFile-Konvertierung in einer Standbydatenbank ausgeführt wird. Gibt die TAR-Datei des Wallets der Primärdatenbank an.

F: Was ist der Zweck des Parameters –skipPatchCheck?

A: Mit dem Parameter --skipPatchCheck können Sie die Validierungsprüfung für erforderliche Patches überspringen. Setzen Sie diesen Wert auf true, um die Prüfung zu überspringen, oder auf false, um sie durchzusetzen.

F: Wie kann ich nur Vorabprüfungen für den Konvertierungsprozess ausführen, ohne die eigentliche Konvertierung durchzuführen?

A: Sie können den Parameter --executePrereqs verwenden und auf yes setzen, um nur die Vorabprüfungen auszuführen. Setzen Sie es auf no, um die vollständige Konvertierung durchzuführen.

F: Was bewirkt der Parameter –primarySuc in einer Data Guard-Umgebung?

A: Der Parameter --primarySuc wird in einem Data Guard-Setup verwendet, um anzugeben, dass die Konvertierung erfolgreich in der Primärdatenbank ausgeführt wurde. Sie sollte verwendet werden, wenn die Konvertierung in der Standbydatenbank ausgeführt wird.

F: Wie kann ich eine vorherige hsmToFile-Konvertierung fortsetzen?

A: Sie können eine vorherige Konvertierung mit dem Parameter --resume fortsetzen. Optional können Sie die Session-ID der vorherigen Ausführung mit --sessionID angeben.

F: Was ist der Zweck des -revert-Parameters?

A: Mit dem Parameter --revert wird ein Rollback eines zuvor initiierten Konvertierungsprozesses bei einem Fehler oder wenn Sie den Vorgang rückgängig machen müssen, verwendet.

F: Was passiert, wenn ich "waitForCompletion" auf "false" setze?

A: Wenn Sie --waitForCompletion auf false setzen, wird der Vorgang im Hintergrund ausgeführt, sodass Sie andere Aufgaben fortsetzen können. Wenn dieser Wert auf true gesetzt ist, wartet der Befehl, bis der Prozess abgeschlossen ist, bevor er die Kontrolle an den Benutzer zurückgibt.

F: Was muss ich tun, wenn ich das TDE in einer Standbydatenbank in einem Data Guard-Setup konvertieren muss?

A: Nach der Konvertierung von TDE in die Primärdatenbank müssen Sie in einem Data Guard-Setup den Befehl in der Standbydatenbank mit dem Parameter --primaryDBWalletTar ausführen, die Wallet-TAR-Datei aus der Primärdatenbank angeben und --primarySuc einschließen.

F: Was soll ich tun, wenn ich die Prüfung auf erforderliche Patches während der Konvertierung überspringen möchte?

A: Sie können die Patchprüfung überspringen, indem Sie den Parameter --skipPatchCheck verwenden und auf true setzen.

F: Wie überprüfe ich, ob das System für die hsmToFile-Konvertierung bereit ist, ohne Änderungen vorzunehmen?

A: Sie können nur die Vorabprüfungen ausführen, indem Sie den Parameter --executePrereqs verwenden und ihn auf yes setzen.

F: Was soll ich tun, wenn der Konvertierungsprozess unterbrochen wird?

A: Mit dem Parameter --resume können Sie den Prozess an der Stelle neu starten, an der er unterbrochen wurde. Optional können Sie eine bestimmte Session-ID mit --sessionID angeben.

F: Was muss ich tun, wenn der Konvertierungsprozess fehlschlägt?

A: Wenn die Konvertierung nicht erfolgreich verläuft, können Sie den Prozess mit dem Parameter --revert zurücksetzen. Prüfen Sie außerdem alle Fehlermeldungen, und prüfen Sie die Systemlogs auf weitere Details.

F: Kann ich den Befehl "dbaascli tde hsmToFile" in einer Nicht-Basisdatenbankumgebung ausführen?

A: Dieser Befehl ist für die Verwendung in Oracle Base Database Cloud@Customer-Umgebungen konzipiert. Wenn Sie Base Database nicht verwenden, stellen Sie sicher, dass Sie sich in einer unterstützten Umgebung befinden, damit der Befehl ordnungsgemäß funktioniert.

Beispiel: dbaascli tde hsmToFile

dbaascli tde hsmToFile --dbname dbname
dbaascli tde hsmToFile --dbname dbname --executePrereqs
dbaascli tde hsmToFile --dbname dbname --resume

dbaascli tde listKeys

Um TDE-Masterschlüssel aufzulisten, verwenden Sie den Befehl dbaascli TDE listKeys.

Voraussetzungen:

Führen Sie den Befehl als Benutzer root aus.

Syntax:

dbaascli tde listKeys
[--dbname <value>]
[--infoFilePath <value>]

Parameter:

Parameter Beschreibung
--dbname Gibt den Namen der Datenbank an
--infoFilePath Absoluten Pfad der Datei angeben, in der die Ergebnisse gespeichert werden.

Häufig gestellte Fragen:

F: Wozu dient der Befehl "dbaascli tde listKeys"?

A: Mit dem Befehl dbaascli tde listKeys werden alle TDE-(Transparent Data Encryption-)Masterschlüssel für eine angegebene Datenbank in einer Oracle AI Database-Umgebung aufgelistet.

F: Welche Voraussetzungen sind für die Ausführung des Befehls "dbaascli tde listKeys" erforderlich?

A: Sie müssen:

F: Was bewirkt der Parameter –file im Befehl dbaascli tde listKeys?

A: Der Parameter --file gibt den Dateipfad an, in dem die Liste der TDE-Masterschlüssel gespeichert werden soll. Wenn dieser Parameter nicht angegeben wird, werden die Ergebnisse direkt im Terminal angezeigt.

F: Was gibt der –dbname-Parameter an?

A: Der Parameter --dbname gibt den Namen der Datenbank an, für die Sie die TDE-Masterschlüssel auflisten möchten.

F: Ist der –file-Parameter obligatorisch?

A: Nein, der Parameter --file ist optional. Wenn keine Angabe gemacht wird, wird die Liste der TDE-Schlüssel in der Terminalausgabe angezeigt, anstatt in einer Datei gespeichert zu werden.

F: Ist der Parameter –dbname obligatorisch?

A: Nein, der Parameter --dbname ist optional. Wenn keine Angabe gemacht wird, listet der Befehl die TDE-Masterschlüssel für die im System konfigurierte Standarddatenbank auf.

F: Was soll ich tun, wenn ich die Liste der Schlüssel in einer Datei speichern möchte?

A: Sie müssen den Parameter --file zusammen mit dem gewünschten Dateipfad angeben. Beispiel:

dbaascli tde listKeys --file /path/to/output.txt

F: Was geschieht, wenn ich keinen Datenbanknamen mit "-dbname" bereitstelle?

A: Wenn der Parameter --dbname nicht angegeben ist, listet der Befehl die TDE-Masterschlüssel für die Standarddatenbank im System auf.

F: Kann ich diesen Befehl in anderen Umgebungen als Oracle Base Database Cloud@Customer verwenden?

A: Dieser Befehl wurde speziell für Oracle Base Database Cloud@Customer-Umgebungen entwickelt. Stellen Sie sicher, dass Sie mit der entsprechenden virtuellen Maschine verbunden sind, um sie auszuführen.

F: Was soll ich tun, wenn der Befehl die Schlüssel nicht auflistet?

A: Stellen Sie sicher, dass:

F: Kann ich den Befehl "dbaascli tde listKeys" ausführen, während die Datenbank ausgeführt wird?

A: Ja, der Befehl kann ausgeführt werden, während die Datenbank ausgeführt wird. Es listet einfach die TDE-Masterschlüssel auf und ändert nicht den Status der Datenbank.

F: Benötige ich spezielle Berechtigungen, um diesen Befehl auszuführen?

A: Sie müssen diesen Befehl als Benutzer root ausführen. Ohne Root-Berechtigungen können Sie den Befehl nicht ausführen.

F: Was ist der Zweck der Auflistung von TDE-Masterschlüsseln?

A: Wenn Sie TDE-Masterschlüssel auflisten, können Sie die Verschlüsselungsschlüssel prüfen, die zum Schutz der Datenbankdaten verwendet werden. Es ist wichtig für die Überwachung und Verwaltung von Verschlüsselungseinstellungen.

F: Wie stelle ich eine Verbindung zur virtuellen Oracle Base Database Cloud@Customer-Maschine her, um den Befehl auszuführen?

A: Sie können eine SSH-Verbindung zur virtuellen Maschine herstellen. Anweisungen zum Herstellen einer sicheren Verbindung finden Sie in der Oracle Base Database Cloud@Customer-Dokumentation.

Beispiel: dbaascli tde listKeys

dbaascli tde listKeys --dbname dbname
dbaascli tde listKeys --dbname dbname --infoFilePath infoFilePath

dbaascli tde removeSecondaryHsmKey

Um den sekundären HSM-(KMS-)Schlüssel aus der vorhandenen HSM-(KMS-)Konfiguration zu entfernen, verwenden Sie den Befehl dbaascli tde removeSecondaryHsmKey.

Voraussetzungen:

Führen Sie den Befehl als Benutzer root aus.

Syntax:

dbaascli tde removeSecondaryHsmKey --dbname <value>
[--confirmDeletion]
[--secondaryKmsKeyOCID]
[--executePrereqs]

Parameter:

Parameter Beschreibung
--dbname Gibt den Namen der Datenbank an
--confirmDeletion Wenn diese Option nicht angegeben ist, wird der Benutzer beim Löschen aller vorhandenen HSM-(KMS-)Schlüssel zur Eingabe aufgefordert.
--secondaryKmsKeyOCID Sekundärer KMS-Schlüssel, der aus einer vorhandenen HSM-(KMS-)Konfiguration entfernt werden soll. Wenn Sie diese Option nicht angeben, werden alle sekundären KMS-Schlüssel entfernt.
--executePrereqs die Voraussetzungsprüfungen ausführen und die Ergebnisse melden.

Häufig gestellte Fragen:

F: Wozu dient der Befehl "dbaascli tde removeSecondaryHsmKey"?

A: Mit dem Befehl dbaascli tde removeSecondaryHsmKey wird ein sekundärer HSM-(Hardware Security Module-)Schlüssel aus der vorhandenen HSM-(KMS-)Konfiguration in einer Oracle AI Database-Umgebung entfernt.

F: Welche Voraussetzungen sind für die Ausführung des Befehls "dbaascli tde removeSecondaryHsmKey" erforderlich?

A: Sie müssen:

F: Was bewirkt der Parameter –force im Befehl dbaascli tde removeSecondaryHsmKey?

A: Mit dem Parameter --force kann der sekundäre HSM-Schlüssel entfernt werden, ohne dass der Benutzer zur Bestätigung aufgefordert wird. Wenn keine Angabe gemacht wird, fordert der Befehl den Benutzer an, bevor er Schlüssel löscht.

F: Was gibt der Parameter –secondaryKmsKeyOCID an?

A: Der Parameter --secondaryKmsKeyOCID gibt die OCID (Oracle Cloud-ID) des sekundären KMS-Schlüssels an, den Sie aus der vorhandenen HSM-Konfiguration entfernen möchten.

F: Was macht der –dbname-Parameter?

A: Der Parameter --dbname gibt den Namen der Datenbank an, für die der sekundäre HSM-Schlüssel entfernt wird.

F: Was ist der Zweck des Parameters –precheckOnly?

A: Wenn der Parameter --precheckOnly auf yes gesetzt ist, werden nur die Vorabprüfungen ausgeführt, um die Bereitschaft für den Entfernungsvorgang zu validieren, ohne den sekundären HSM-Schlüssel tatsächlich zu entfernen. Wenn dieser Wert auf no gesetzt ist, wird der vollständige Entfernungsvorgang ausgeführt.

F: Ist der -force-Parameter obligatorisch?

A: Nein, der Parameter --force ist optional. Wenn keine Angabe gemacht wird, fordert das System den Benutzer zur Bestätigung auf, bevor mit dem Entfernen der Schlüssel fortgefahren wird.

F: Ist der Parameter –secondaryKmsKeyOCID obligatorisch?

A: Ja, Sie müssen die --secondaryKmsKeyOCID angeben, um den spezifischen sekundären HSM-Schlüssel zu identifizieren, den Sie aus der Konfiguration entfernen möchten.

F: Ist der Parameter –dbname obligatorisch?

A: Nein, der Parameter --dbname ist optional. Wenn keine Angabe gemacht wird, versucht der Befehl, den sekundären HSM-Schlüssel aus der Standarddatenbank im System zu entfernen.

F: Was soll ich tun, wenn ich den sekundären HSM-Schlüssel ohne Benutzereingabe entfernen möchte?

A: Um den Bestätigungs-Prompt zu umgehen und den sekundären HSM-Schlüssel direkt zu entfernen, verwenden Sie den Parameter --force:

dbaascli tde removeSecondaryHsmKey --force --secondaryKmsKeyOCID <value>

F: Wie kann ich testen, ob das System bereit ist, den sekundären HSM-Schlüssel zu entfernen, ohne ihn tatsächlich zu entfernen?

A: Sie können den Parameter --precheckOnly verwenden, der auf "Ja" gesetzt ist, um eine Vorabprüfung durchzuführen:

dbaascli tde removeSecondaryHsmKey --precheckOnly yes --secondaryKmsKeyOCID <value>

F: Was geschieht, wenn ich keinen Datenbanknamen mit "-dbname" bereitstelle?

A: Wenn der Parameter --dbname nicht angegeben ist, versucht der Befehl, den sekundären HSM-Schlüssel aus der im System konfigurierten Standarddatenbank zu entfernen.

F: Was sollte ich prüfen, ob der Befehl den sekundären HSM-Schlüssel nicht entfernt?

A: Stellen Sie sicher, dass:

F: Was soll ich tun, wenn der Entfernungsvorgang teilweise fehlschlägt?

A: Wenn der Vorgang nicht erfolgreich verläuft, prüfen Sie die Fehlerlogs, und führen Sie den Befehl mit --precheckOnly aus, um sicherzustellen, dass das System für den Vorgang bereit ist. Beheben Sie gegebenenfalls Probleme, bevor Sie es erneut versuchen.

F: Kann ich den Befehl "dbaascli tde removeSecondaryHsmKey" ausführen, während die Datenbank ausgeführt wird?

A: Ja, der Befehl kann ausgeführt werden, während die Datenbank ausgeführt wird, da die Datenbank nicht gestoppt werden muss.

F: Was ist der Zweck, einen sekundären HSM-Schlüssel zu entfernen?

A: Das Entfernen eines sekundären HSM-Schlüssels erfolgt normalerweise, wenn der Schlüssel nicht mehr benötigt wird oder wenn Sie die Verschlüsselungsschlüssel verwalten möchten, die in Ihrer TDE-(Transparent Data Encryption-)Konfiguration verwendet werden.

F: Wie stelle ich eine Verbindung zur virtuellen Oracle Base Database Cloud@Customer-Maschine her, um den Befehl auszuführen?

A: Sie können eine SSH-Verbindung zur virtuellen Maschine herstellen. Anweisungen zum Aufbau einer sicheren Verbindung finden Sie in der Oracle Base Database Cloud@Customer-Dokumentation.

Beispiel: dbaascli tde removeSecondaryHsmKey

dbaascli tde removeSecondaryHsmKey --dbname dbname
dbaascli tde removeSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde removeSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs

dbaascli tde rotateMasterKey

Um den Masterschlüssel für die Datenbankverschlüsselung zu rotieren, verwenden Sie den Befehl dbaascli tde rotateMasterKey.

Voraussetzungen:

Führen Sie den Befehl als Benutzer root aus.

Syntax:

dbaascli tde rotateMasterKey --dbname <value>
[--rotateMasterKeyOnAllPDBs]
[--pdbName <value>]
[--executePrereqs]
[--resume [--sessionID <value>]]
{
     [--prepareStandbyBlob <value> [--blobLocation <value>]]
     | [--standbyBlobFromPrimary <value>]
 }

Parameter:

Parameter Beschreibung
--dbname Gibt den Namen der Oracle AI Database an
--rotateMasterKeyOnAllPDBs Gibt true an, um den Masterschlüssel aller PDBs in der CDB zu rotieren. Gültige Werte: true oder false
--pdbName Gibt den Namen der PDB an
--executePrereqs führt die Voraussetzungsprüfungen durch und meldet die Ergebnisse
--resume gibt an, dass die vorherige Ausführung fortgesetzt werden soll
--sessionID gibt an, dass eine bestimmte Session-ID fortgesetzt werden soll
--prepareStandbyBlob Gibt true an, um eine BLOB-Datei mit den Artefakten zu erstellen, die zum Ausführen des Vorgangs in einer Data Guard-Umgebung erforderlich sind
--blobLocation Gibt den Speicherort des benutzerdefinierten Verzeichnisses an, in dem die Standby-BLOB-Datei in einer Data Guard-Umgebung generiert wird
--standbyBlobFromPrimary Legt den Speicherort der Standby-BLOB-Datei fest, die von der Primärdatenbank aus vorbereitet wird. Dies ist nur für Standbyvorgänge erforderlich.

Häufig gestellte Fragen:

F: Wozu dient der Befehl "dbaascli tde rotateMasterKey"?

A: Mit dem Befehl dbaascli tde rotateMasterKey wird der Masterschlüssel, der für die Transparent Data Encryption (TDE) verwendet wird, in einer Oracle AI Database rotiert. Dieser Prozess stellt sicher, dass die Verschlüsselungsschlüssel zur Verbesserung der Sicherheit aktualisiert werden.

F: Welche Voraussetzungen sind für die Ausführung des Befehls "dbaascli tde rotateMasterKey" erforderlich?

A: Sie müssen:

F: Was gibt der –dbname-Parameter an?

A: Der Parameter --dbname gibt den Namen der Oracle AI Database an, für die Sie den Masterverschlüsselungsschlüssel rotieren möchten.

F: Was ist der Zweck des Parameters –rotateMasterKeyOnAllPDBs?

A: Der Parameter --rotateMasterKeyOnAllPDBs gibt an, ob der Masterschlüssel für alle integrierbaren Datenbanken (PDBs) in einer Containerdatenbank (CDB) rotiert werden soll. Gültige Werte sind "true" oder "false".

F: Was macht der Parameter –pdbName?

A: Der Parameter --pdbName gibt den Namen einer bestimmten integrierbaren Datenbank (PDB) an, wenn Sie den Masterschlüssel für eine bestimmte PDB und nicht für alle PDBs rotieren möchten.

F: Was macht der Parameter –executePrereqs?

A: Der Parameter --executePrereqs führt Voraussetzungsprüfungen aus, um zu validieren, ob die Umgebung für die Masterschlüsselrotation bereit ist, ohne die eigentliche Rotation auszuführen.

F: Was gibt der Parameter –resume an?

A: Der Parameter --resume wird verwendet, um einen zuvor gestarteten Vorgang fortzusetzen. Sie können auch eine bestimmte Session-ID angeben, indem Sie --sessionID verwenden, um eine bestimmte Session fortzusetzen.

F: Was ist der Zweck des Parameters –prepareStandbyBlob?

A: Wenn der Parameter --prepareStandbyBlob auf "true" gesetzt ist, wird eine BLOB-Datei generiert, die die erforderlichen Artefakte enthält, um die Masterschlüsselrotation in einer Data Guard-Umgebung auszuführen.

F: Was macht der Parameter –blobLocation?

A: Der Parameter --blobLocation gibt einen benutzerdefinierten Verzeichnispfad an, in dem die Standby-BLOB-Datei generiert wird. Dies gilt, wenn --prepareStandbyBlob auf true gesetzt ist.

F: Was gibt der Parameter –standbyBlobFromPrimary an?

A: Der Parameter --standbyBlobFromPrimary gibt den Speicherort der Standby-BLOB-Datei an, die von der Primärdatenbank generiert wurde. Dieser Parameter wird verwendet, wenn die Masterschlüsselrotation in einer Standbydatenbank in einer Data Guard-Umgebung ausgeführt wird.

F: Ist der Parameter –rotateMasterKeyOnAllPDBs obligatorisch?

A: Nein, der Parameter --rotateMasterKeyOnAllPDBs ist optional. Wenn er nicht angegeben ist, wird der Masterschlüssel nur für die Datenbank (oder bestimmte PDB) rotiert, die in den Parametern --dbname oder --pdbName angegeben ist.

F: Ist der Parameter –pdbName erforderlich, wenn ich Schlüssel für eine CDB rotiere?

A: Nein, der Parameter --pdbName ist nur erforderlich, wenn Sie den Masterschlüssel für eine bestimmte integrierbare Datenbank (PDB) rotieren möchten. Diese Option ist optional, wenn der Schlüssel für die gesamte CDB gedreht wird.

F: Muss ich die Parameter –prepareStandbyBlob und –standbyBlobFromPrimary für Standalone-Datenbanken verwenden?

A: Nein, diese Parameter sind nur in einer Data Guard-Umgebung relevant, an der eine Standbydatenbank beteiligt ist.

F: Wie kann ich den Masterschlüssel für alle PDBs in einer CDB rotieren?

A: Verwenden Sie den Parameter --rotateMasterKeyOnAllPDBs, der auf true gesetzt ist, um den Masterschlüssel für alle PDBs in der CDB zu rotieren. Beispiel:

dbaascli tde rotateMasterKey --dbname CDB_NAME --rotateMasterKeyOnAllPDBs true

F: Wie kann ich eine Prüfung durchführen, um zu prüfen, ob das System für die Masterschlüsselrotation bereit ist, ohne den eigentlichen Vorgang auszuführen?

A: Mit dem Parameter --executePrereqs können Sie die Voraussetzungsprüfungen ausführen. Dadurch werden alle Probleme gemeldet, die eine Rotation des Masterschlüssels verhindern könnten:

dbaascli tde rotateMasterKey --dbname DB_NAME --executePrereqs

F: Was soll ich tun, wenn die Operation unterbrochen wurde und ich sie fortsetzen möchte?

A: Mit dem Parameter --resume können Sie den zuvor unterbrochenen Vorgang fortsetzen. Wenn Sie eine Session-ID haben, geben Sie diesen mit dem Parameter --sessionID an:

dbaascli tde rotateMasterKey --dbname DB_NAME --resume --sessionID <value>

F: Wie kann ich mich auf die Schlüsselrotation in einer Data Guard-Umgebung vorbereiten?

A: Verwenden Sie den Parameter --prepareStandbyBlob, um eine BLOB-Datei zu generieren, die die erforderlichen Artefakte zum Rotieren des Masterschlüssels in einer Standbyumgebung enthält:

dbaascli tde rotateMasterKey --dbname DB_NAME --prepareStandbyBlob true --blobLocation /path/to/blob

F: Wie wende ich die Standby-BLOB-Datei aus der Primärdatenbank an, wenn Schlüssel in einer Standbydatenbank rotiert werden?

A: Verwenden Sie den Parameter --standbyBlobFromPrimary, um den Speicherort der BLOB-Datei anzugeben, die in der Primärdatenbank vorbereitet wurde:

dbaascli tde rotateMasterKey --dbname DB_NAME --standbyBlobFromPrimary /path/to/blob

F: Was sollte ich prüfen, ob die Masterschlüsselrotation fehlschlägt?

A: Stellen Sie sicher, dass:

F: Was muss ich tun, wenn der Vorgang in einer Data Guard-Umgebung nicht erfolgreich abgeschlossen wird?

A: Stellen Sie sicher, dass die BLOB-Datei aus der Primärdatenbank mit --prepareStandbyBlob korrekt vorbereitet wurde, und wenden Sie sie dann mit --standbyBlobFromPrimary auf die Standbydatenbank an.

F: Kann ich den Befehl "dbaascli tde rotateMasterKey" ausführen, während die Datenbank ausgeführt wird?

A: Ja, der Befehl kann ausgeführt werden, während die Datenbank ausgeführt wird. Es wird jedoch empfohlen, Voraussetzungsprüfungen vorher mit der Option --executePrereqs auszuführen.

F: Warum ist das Drehen des Masterschlüssels wichtig?

A: Durch das Rotieren des Masterschlüssels wird die Datenbanksicherheit verbessert, indem sichergestellt wird, dass die für den Datenschutz verwendeten Verschlüsselungsschlüssel regelmäßig aktualisiert werden, wodurch das Risiko von Schlüsselkompromissen verringert wird.

F: Muss ich die Datenbank nach dem Drehen des Masterschlüssels neu starten?

A: Nein, ein Neustart der Datenbank ist nach dem Drehen des Masterschlüssels nicht erforderlich. Die Schlüsselrotation wird sofort ohne Serviceunterbrechung wirksam.

dbaascli tde setKeyVersion

Um die Version des Primärschlüssels festzulegen, der in einer DB/CDB oder PDB verwendet werden soll, verwenden Sie den Befehl dbaascli tde setKeyVersion.

Führen Sie den Befehl als Benutzer root aus.

Syntax:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <value>
[--pdbName <value>]
[--masterKeyID <value>]
[--standbySuc]
[--executePrereqs]
[--waitForCompletion <value>]

Parameter:

Parameter Beschreibung
--kmsKeyVersionOCID gibt die OCID der KMS-Schlüsselversion, die festgelegt werden soll.
--dbname Legt den Namen der Datenbank fest.
--pdbName Name der PDB, die die Schlüsselversions-OCID verwenden soll.
--masterKeyID Gibt die Masterschlüssel-ID der angegebenen Schlüsselversions-OCIDan. Dies gilt für die Data Guard-Umgebung.
--standbySuc Geben Sie diese Eigenschaft in der Primärdatenbank der Data Guard-Umgebung an, wenn der Befehl erfolgreich auf der Standbydatenbank ausgeführt wird
--executePrereqs die Voraussetzungsprüfungen ausführen und die Ergebnisse melden.
--waitForCompletion false angeben, um den Vorgang im Hintergrund auszuführen. Gültige Werte: true oder false

Häufig gestellte Fragen:

F: Wozu dient der Befehl "dbaascli tde setKeyVersion"?

A: Mit dem Befehl dbaascli tde setKeyVersion wird die Version des Primärverschlüsselungsschlüssels festgelegt, der für die transparente Datenverschlüsselung (TDE) in einer Datenbank oder einer integrierbaren Datenbank (PDB) verwendet werden soll. Dadurch kann der Datenbank die spezifische Version eines KMS-Schlüssels zugewiesen werden.

F: Welche Voraussetzungen sind für die Verwendung des Befehls dbaascli tde setKeyVersion erforderlich?

A: Sie müssen den Befehl als Benutzer root ausführen und sicherstellen, dass Sie mit einer virtuellen Oracle Base Database Cloud@Customer-Maschine verbunden sind.

F: Was gibt der Parameter –kmsKeyVersionOCID an?

A: Der Parameter --kmsKeyVersionOCID gibt die OCID der KMS-Schlüsselversion (Oracle Cloud-ID) an, die Sie für die Datenbank oder PDB festlegen möchten.

F: Was gibt der –dbname-Parameter an?

A: Der Parameter --dbname gibt den Namen der Oracle AI Database an, für die die Schlüsselversion festgelegt wird.

F: Was ist der Zweck des Parameters –pdbName?

A: Der Parameter --pdbName gibt den Namen der integrierbaren Datenbank (PDB) innerhalb einer Containerdatenbank (CDB) an, in der Sie die spezifische KMS-Schlüsselversion festlegen möchten.

F: Wofür wird der Parameter –masterKeyID verwendet?

A: Der Parameter --masterKeyID gibt die Masterschlüssel-ID an, die mit der angegebenen KMS-Schlüsselversions-OCID verknüpft ist. Dies ist in einer Data Guard-Umgebung besonders wichtig.

F: Welche Rolle spielt der Parameter –standbySuc?

A: Der Parameter --standbySuc wird in einer Data Guard-Umgebung verwendet. Sie gibt an, dass diese Eigenschaft in der Primärdatenbank festgelegt werden soll, nachdem der Befehl erfolgreich in der Standbydatenbank ausgeführt wurde.

F: Was macht der Parameter –executePrereqs?

A: Der Parameter --executePrereqs gibt an, ob Voraussetzungsprüfungen ausgeführt werden sollen, bevor der Vorgang ausgeführt wird. Gültige Werte sind yes oder no.

F: Was steuert der Parameter –waitForCompletion?

A: Der Parameter --waitForCompletion bestimmt, ob der Vorgang synchron (wartet auf Abschluss) oder asynchron (im Hintergrund) ausgeführt wird. Gültige Werte sind true und false.

F: Ist der Parameter –pdbName erforderlich, wenn die Schlüsselversion für eine CDB festgelegt wird?

A: Nein, der Parameter --pdbName ist nur erforderlich, wenn Sie die Schlüsselversion für eine bestimmte integrierbare Datenbank (PDB) festlegen. Sie ist optional, wenn Sie die Schlüsselversion für die gesamte Containerdatenbank (CDB) festlegen.

F: Ist der Parameter –masterKeyID für Nicht-Data Guard-Umgebungen erforderlich?

A: Nein, der Parameter --masterKeyID wird in der Regel nur in Data Guard-Umgebungen verwendet. Für Standalone-Datenbanken ist dieser Parameter nicht erforderlich.

F: Wie lege ich die Schlüsselversion für eine Datenbank fest?

A: Sie können die Schlüsselversion für eine Datenbank festlegen, indem Sie Folgendes ausführen:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <DB_NAME>

F: Wie lege ich die Schlüsselversion für eine bestimmte PDB fest?

A: Um die Schlüsselversion für eine bestimmte integrierbare Datenbank (PDB) festzulegen, verwenden Sie den Parameter --pdbName zusammen mit dem Datenbanknamen:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <DB_NAME> --pdbName <PDB_NAME>

F: Wie kann ich vor dem Festlegen der Schlüsselversion sicherstellen, dass alle Voraussetzungen erfüllt sind?

A: Sie können die Voraussetzungsprüfungen mit dem Parameter --executePrereqs ausführen:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --executePrereqs yes

F: Wie lege ich die Schlüsselversion in einer Data Guard-Umgebung fest?

A: In einer Data Guard-Umgebung sollten Sie:

F: Wie kann ich die Operation im Hintergrund ausführen, ohne darauf zu warten, dass sie abgeschlossen wird?

A: Sie können den Vorgang asynchron ausführen, indem Sie --waitForCompletion auf false setzen:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --waitForCompletion false

F: Was muss ich tun, wenn die Schlüsselversion nicht festgelegt werden kann?

A: Stellen Sie sicher, dass:

F: Was muss ich prüfen, wenn der Vorgang in einer Data Guard-Umgebung nicht erfolgreich abgeschlossen wird?

A: Stellen Sie sicher, dass der Parameter --masterKeyID korrekt angegeben ist, wenn der Befehl in der Standbydatenbank ausgeführt wird. Nachdem er in der Standbydatenbank abgeschlossen wurde, muss der Parameter --standbySuc verwendet werden, wenn der Befehl in der Primärdatenbank ausgeführt wird.

F: Kann ich den Befehl "dbaascli tde setKeyVersion" ausführen, während die Datenbank ausgeführt wird?

A: Ja, der Befehl kann ausgeführt werden, während die Datenbank ausgeführt wird. Es wird jedoch empfohlen, die Voraussetzungsprüfungen vorher mit --executePrereqs auszuführen.

F: Warum ist es wichtig, die richtige KMS-Schlüsselversion für eine Datenbank festzulegen?

A: Wenn Sie die richtige KMS-Schlüsselversion festlegen, wird sichergestellt, dass die Datenbank die entsprechende Verschlüsselungsschlüsselversion für TDE verwendet. Dies trägt zur Aufrechterhaltung der Datensicherheit und der Einhaltung von Organisationsrichtlinien bei.

F: Was geschieht, wenn ich die falsche KMS-Schlüsselversions-OCID verwende?

A: Wenn eine falsche KMS-Schlüsselversions-OCID verwendet wird, verläuft die Verschlüsselung möglicherweise nicht erfolgreich, und die Datenbank kann den falschen Schlüssel nicht für Verschlüsselungsvorgänge verwenden. Stellen Sie sicher, dass die korrekte Schlüsselversions-OCID angegeben ist.

F: Muss ich die Datenbank neu starten, nachdem ich die Schlüsselversion festgelegt habe?

A: Nein, ein Neustart der Datenbank ist nach dem Festlegen der Schlüsselversion nicht erforderlich. Die neue Schlüsselversion wird sofort wirksam, ohne dass ein Neustart erforderlich ist.

Beispiel: dbaascli tde setKeyVersion

dbaascli tde setKeyVersion --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha
dbaascli tde setKeyVersion --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha --executePrereqs
dbaascli tde setKeyVersion --dbname dbname --pdbName pdb --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha

dbaascli tde setPrimaryHsmKey

Um den primären HSM-(KMS-)Schlüssel für die vorhandene HSM-(KMS-)Konfiguration zu ändern, verwenden Sie den Befehl dbaascli tde setPrimaryHsmKey.

Führen Sie den Befehl als Benutzer root aus.

Syntax:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <value> --dbname <value>
[--allStandbyPrepared]
[--bounceDatabase]
[--executePrereqs]
[--resume [--sessionID <value>]]

Parameter:

Parameter Beschreibung
--primaryKmsKeyOCID Gibt den festzulegenden primären KMS-Schlüssel an
--dbname Gibt den Namen der Datenbank an
--allStandbyPrepared Angeben, um zu bestätigen, dass der Vorgang auf allen Standbydatenbanken erfolgreich ausgeführt wurde.
--bounceDatabase Setzen Sie dieses Flag, um ein Rolling-Datenbank-Bounce für diesen Vorgang auszuführen
--executePrereqs die Voraussetzungsprüfungen ausführen und die Ergebnisse melden.
--resume um die vorherige Ausführung wiederaufzunehmen
--sessionID , um eine bestimmte Session-ID fortzusetzen.

Häufig gestellte Fragen:

F: Wozu dient der Befehl "dbaascli tde setPrimaryHsmKey"?

A: Mit dem Befehl dbaascli tde setPrimaryHsmKey können Sie den primären HSM-(Hardwaresicherheitsmodul-) oder KMS-(Key Management Service-)Schlüssel in einer vorhandenen HSM/KMS-Konfiguration für Transparent Data Encryption (TDE) ändern.

F: Welche Voraussetzungen sind für die Ausführung des Befehls "dbaascli tde setPrimaryHsmKey" erforderlich?

A: Der Befehl muss als Benutzer root ausgeführt werden, und die Umgebung muss eine virtuelle Oracle Base Database Cloud@Customer-Maschine sein.

F: Was gibt der Parameter –primaryKmsKeyOCID an?

A: Der Parameter --primaryKmsKeyOCID gibt die OCID (Oracle Cloud-ID) des primären KMS-Schlüssels an, der für die TDE-Umgebung festgelegt werden soll.

F: Welche Funktion hat der Parameter –dbname?

A: Der Parameter --dbname gibt den Namen der Oracle AI Database an, für die der primäre HSM/KMS-Schlüssel festgelegt wird.

F: Was macht der Parameter –standbySuc?

A: Der Parameter --standbySuc wird in einer Data Guard-Umgebung verwendet. Sie gibt an, dass der Befehl in der Primärdatenbank ausgeführt werden soll, nachdem er erfolgreich in der Standbydatenbank ausgeführt wurde.

F: Was ist der Zweck des Parameters –precheckOnly?

A: Mit dem Parameter --precheckOnly können Sie nur die Vorabprüfungen für diesen Vorgang ausführen. Es validiert die Umgebung, ohne tatsächliche Änderungen vorzunehmen. Gültige Werte sind yes oder no.

F: Was steuert der Parameter –bounceDatabase?

A: Der Parameter --bounceDatabase gibt an, ob die Datenbank im Rahmen des Vorgangs rollierend neu gestartet (neu gestartet) werden soll. Dies gewährleistet minimale Ausfallzeiten, indem Teile der Datenbank einzeln neu gestartet werden.

F: Wie lege ich den primären KMS-Schlüssel für meine Datenbank fest?

A: Um den primären KMS-Schlüssel festzulegen, führen Sie den folgenden Befehl aus:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME>

F: Wie kann ich sicherstellen, dass die Operation ohne Probleme ausgeführt werden kann?

A: Führen Sie den Vorgang mit dem Parameter --precheckOnly aus, um zu prüfen, ob alle Voraussetzungen erfüllt sind:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --precheckOnly yes

F: Wie lege ich den primären KMS-Schlüssel in einer Data Guard-Umgebung fest?

A: Führen Sie zunächst den Befehl in der Standbydatenbank aus:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME>

Führen Sie dann den Befehl in der Primärdatenbank mit dem Parameter --standbySuc aus:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME> --standbySuc yes

F: Wie minimiere ich Ausfallzeiten beim Ändern des primären KMS-Schlüssels?

A: Sie können den Parameter --bounceDatabase verwenden, um einen rollierenden Neustart durchzuführen und die Ausfallzeit zu minimieren:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --bounceDatabase

F: Ist der –dbname-Parameter für alle Datenbanken erforderlich?

A: Ja, Sie müssen den Parameter --dbname angeben, um die Zieldatenbank anzugeben, für die der primäre KMS-Schlüssel festgelegt werden soll.

F: Ist die Verwendung des Parameters –standbySuc in einer Data Guard-Umgebung obligatorisch?

A: Ja, der Parameter --standbySuc muss verwendet werden, wenn der Befehl in der Primärdatenbank ausgeführt wird, nachdem er erfolgreich in der Standbydatenbank ausgeführt wurde.

F: Kann ich den Bounce-Vorgang für die Datenbank überspringen?

A: Ja, wenn Sie den Parameter --bounceDatabase nicht angeben, wird die Datenbank nicht als Teil des Vorgangs neu gestartet (neu gestartet).

F: Was muss ich tun, wenn der Befehl während der Ausführung fehlschlägt?

A: Wenn der Befehl fehlschlägt, stellen Sie Folgendes sicher:

F: Was geschieht, wenn der Vorgang in einer Data Guard-Umgebung nicht erfolgreich verläuft?

A: Stellen Sie sicher, dass der Befehl in der Standbydatenbank erfolgreich ausgeführt wurde, bevor Sie ihn in der Primärdatenbank ausführen. Prüfen Sie, ob Fehler in den Logs vorliegen, und führen Sie den Vorgang mit den korrekten Parametern erneut aus.

F: Kann ich den Befehl "dbaascli tde setPrimaryHsmKey" in einer Live-Datenbank ausführen?

A: Ja, der Befehl kann während der Ausführung der Datenbank ausgeführt werden. Wenn Sie jedoch den Parameter --bounceDatabase verwenden, wird die Datenbank im Rolling-Modus neu gestartet, wodurch die Auswirkungen minimiert werden.

F: Wie führe ich den Befehl rollierend aus, um eine vollständige Ausfallzeit zu vermeiden?

A: Verwenden Sie den Parameter --bounceDatabase, um einen rollierenden Neustart der Datenbank durchzuführen und gleichzeitig den primären KMS-Schlüssel zu ändern:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --bounceDatabase

Q: Was ist die Bedeutung der Änderung des primären KMS-Schlüssels?

A: Wenn Sie den primären KMS-Schlüssel ändern, wird sichergestellt, dass die Datenbank einen aktualisierten oder anderen Verschlüsselungsschlüssel für Transparent Data Encryption (TDE) verwendet. Dies kann aus Sicherheits- oder Compliancegründen erforderlich sein.

F: Wie oft sollte der primäre KMS-Schlüssel gedreht oder geändert werden?

A: Obwohl es keine strenge Regel gibt, können Organisationen den primären KMS-Schlüssel basierend auf Sicherheits-Policys rotieren, wie z. B. Schlüsselrotationsintervallen oder Complianceanforderungen.

F: Was passiert, wenn der primäre KMS-Schlüssel falsch eingestellt ist?

A: Wenn die falsche Schlüssel-OCID festgelegt ist, können Datenbankverschlüsselungsvorgänge fehlschlagen. Möglicherweise müssen Sie den richtigen Schlüssel wiederherstellen oder die Konfiguration korrigieren, indem Sie die richtige KMS-Schlüssel-OCID festlegen.

F: Muss ich die Datenbank neu starten, nachdem ich den primären KMS-Schlüssel geändert habe?

A: Nein, Sie müssen die Datenbank erst neu starten, wenn Sie den Parameter --bounceDatabase verwenden, der die Datenbank automatisch neu startet, um die Änderung anzuwenden.

Beispiel: dbaascli tde setPrimaryHsmKey

dbaascli tde setPrimaryHsmKey --dbname dbname --primaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde setPrimaryHsmKey --dbname dbname --primaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs

dbaascli tde status

Um Informationen zum Keystore für die angegebene Datenbank anzuzeigen, verwenden Sie den Befehl dbaascli tde status.

Voraussetzungen:

Führen Sie den Befehl als Benutzer oracle aus.

Syntax:

dbaascli tde status --dbname dbname

Parameter:

Parameter Beschreibung
--dbname Gibt den Namen der zu prüfenden Datenbank ein.

Die Ausgabe des Befehls enthält den Keystore-Typ und den Status des Keystores.

Häufig gestellte Fragen:

F: Was bewirkt der tde-Statusbefehl dbaascli?

A: Der Befehl dbaascli tde status zeigt Informationen zum Keystore für eine angegebene Datenbank an. Dazu gehören Details zum Keystore-Typ und dessen Status.

F: Wer sollte den Befehl "dbaascli tde status" ausführen?

A: Der Befehl muss als Benutzer oracle ausgeführt werden.

F: Wo soll der tde-Statusbefehl dbaascli ausgeführt werden?

A: Der Befehl muss auf einer virtuellen Oracle Base Database Cloud@Customer-Maschine ausgeführt werden. Um das Utility auszuführen, müssen Sie über SSH eine Verbindung zur virtuellen Maschine herstellen.

F: Welche Funktion hat der Parameter –dbname?

A: Der Parameter --dbname gibt den Namen der Datenbank an, für die der TDE-Keystore-Status geprüft wird.

F: Welche Informationen werden vom Befehl "dbaascli tde status" zurückgegeben?

A: Die Ausgabe des Befehls enthält den Typ des Keystores (z.B. HSM-basiert oder dateibasiert) und den aktuellen Status des Keystores, z.B. ob er geöffnet, geschlossen oder in einem anderen Status ist.

F: Woher weiß ich, ob der Keystore mit dem Befehl "dbaascli tde status" geöffnet oder geschlossen ist?

A: Der Status des Keystores, einschließlich der Angabe, ob er geöffnet oder geschlossen ist, ist Teil der Ausgabe, die vom Befehl dbaascli tde status zurückgegeben wird.

F: Wie überprüfe ich den Status des TDE-Keystores für eine bestimmte Datenbank?

A: Um den TDE-Keystore-Status für eine bestimmte Datenbank zu prüfen, führen Sie folgenden Befehl aus:

dbaascli tde status --dbname <DB_NAME>

F: Kann ich den Status des Keystores für mehrere Datenbanken prüfen?

A: Ja, aber Sie müssen den Befehl für jede Datenbank separat ausführen und seinen Namen mit dem Parameter --dbname angeben.

F: Kann der tde-Statusbefehl dbaascli als Root-Benutzer ausgeführt werden?

A: Nein, der Befehl muss als Benutzer oracle und nicht als Benutzer root ausgeführt werden.

F: Benötige ich spezielle Berechtigungen, um den Befehl "dbaascli tde status" auszuführen?

A: Ja, Sie benötigen oracle-Benutzerberechtigungen und müssen mit einer virtuellen Oracle Base Database Cloud@Customer-Maschine verbunden sein, um den Befehl auszuführen.

F: Was soll ich tun, wenn beim Ausführen des Befehls dbaascli tde status ein Fehler auftritt?

A: Stellen Sie sicher, dass Sie den Befehl als Benutzer oracle ausführen und prüfen, ob Sie über die erforderlichen Berechtigungen verfügen und mit der richtigen virtuellen Maschine verbunden sind.

F: Woher weiß ich, welche Art von Keystore meine Datenbank verwendet?

A: Der Keystore-Typ, z.B. dateibasiert oder HSM/KMS-basiert, wird in der Ausgabe des Befehls dbaascli tde status angezeigt.

F: Was muss ich tun, wenn der Keystore geschlossen ist?

A: Wenn der Keystore geschlossen ist, müssen Sie ihn je nach Vorgang, den Sie ausführen möchten, möglicherweise manuell öffnen. Der genaue Prozess hängt vom Keystore-Typ und Ihrer Umgebung ab.

F: Kann ich den Keystore-Status für eine CDB (Containerdatenbank) oder PDB (Integrierbare Datenbank) anzeigen?

A: Ja. Wenn Sie den entsprechenden Datenbanknamen mit dem Parameter --dbname angeben, können Sie den Keystore-Status sowohl für CDBs als auch für PDBs anzeigen.

F: Was bedeutet es, wenn der Befehl einen Fehler bezüglich der Datenbankkonnektivität zurückgibt?

A: Dies kann auf ein Problem mit der Verbindung zur Datenbank oder auf ein Problem mit Ihrer Umgebung hinweisen. Stellen Sie sicher, dass die Datenbank ausgeführt wird und darauf zugegriffen werden kann, und prüfen Sie Ihre SSH-Verbindung zur virtuellen Maschine von Oracle Base Database Cloud@Customer.

F: Was passiert, wenn der Datenbankname falsch ist?

A: Wenn der Parameter --dbname eine falsche oder nicht vorhandene Datenbank angibt, verläuft der Befehl nicht erfolgreich, und Sie erhalten eine Fehlermeldung, die das Problem anzeigt.

F: Wie kann ich Fehler beheben, wenn der Keystore-Status einen unerwarteten Status angibt?

A: Wenn der Keystore-Status einen unerwarteten Status angibt, prüfen Sie die Datenbanklogs auf weitere Details, und prüfen Sie die Konfiguration des Keystores, um sicherzustellen, dass er ordnungsgemäß eingerichtet ist.

F: Kann ich die Überprüfung des Keystore-Status zu Überwachungszwecken automatisieren?

A: Ja, Sie können das Skript für den Befehl dbaascli tde status erstellen, um den Keystore-Status regelmäßig zu prüfen oder ihn in die Datenbanküberwachungstools zu integrieren.

F: Wie kann ich prüfen, ob Transparent Data Encryption (TDE) korrekt aktiviert ist?

A: Sie können prüfen, ob TDE korrekt aktiviert ist, indem Sie den Status des Keystores mit dem Befehl dbaascli tde status prüfen. Ein gültiger und offener Keystore gibt an, dass TDE ordnungsgemäß konfiguriert ist.

Beispiel: dbaascli tde status

dbaascli tde status --dbname dbname