Gestión del cifrado de datos transparente (TDE)

Esta sección abarca la gestión del cifrado de datos transparente (TDE) para proteger los datos de la base de datos. Incluye comandos para manejar claves de cifrado y almacenes de claves, como dbaascli tde addSecondaryHsmKey para agregar claves de HSM secundarias, dbaascli tde rotateMasterKey para rotar la clave maestra y dbaascli tde encryptTablespacesInPDB para cifrar tablespaces dentro de una base de datos conectable. También puede convertir entre TDE basado en FILE y HSM (dbaascli tde fileToHsm, dbaascli tde hsmToFile), gestionar versiones de claves y recuperar detalles de claves con varios comandos. Estas herramientas garantizan una gestión de cifrado eficaz y la seguridad de los datos.

dbaascli tde addSecondaryHsmKey

Para agregar una clave de HSM secundaria (KMS) a la configuración de HSM (KMS) existente, utilice el comando dbaascli tde addSecondaryHsmKey.

Requisitos previos:

Ejecute el comando con el usuario root.

Sintaxis:

dbaascli tde addSecondaryHsmKey --dbname <value> --secondaryKmsKeyOCID <value>
[--executePrereqs]

Parámetros:

Parámetro Descripción
--secondaryKmsKeyOCID Especifica la clave del KMS secundario que se agregará a la configuración del HSM (KMS) existente.
--dbname especifica el nombre de la base de Datos
--executePrereqs ejecuta las comprobaciones de requisitos e informa de los resultados.

Preguntas frecuentes:

P: ¿Qué hace el comando dbaascli tde addSecondaryHsmKey?

R: El comando dbaascli tde addSecondaryHsmKey agrega una clave de HSM (KMS) secundaria a la configuración de HSM (KMS) existente para una base de datos Oracle Base Database Cloud@Customer.

P: ¿Quién debe ejecutar el comando dbaascli tde addSecondaryHsmKey?

R: El comando se debe ejecutar como el usuario root.

P: ¿En qué máquina debo ejecutar el comando dbaascli tde addSecondaryHsmKey?

R: Debe conectarse a una máquina virtual de Oracle Base Database Cloud@Customer mediante SSH para ejecutar este comando.

P: ¿Dónde puedo encontrar más detalles sobre la conexión a una máquina virtual para ejecutar este comando?

R: Puede consultar la guía Conexión a una máquina virtual con SSH para obtener instrucciones sobre cómo conectarse.

P: ¿Qué especifica la opción –secondaryKmsKeyOCID?

R: La opción --secondaryKmsKeyOCID especifica el OCID (identificador de Oracle Cloud) de la clave de KMS secundaria que se agregará a la configuración de HSM (KMS) existente.

P: ¿Qué hace la opción –dbname?

R: La opción --dbname permite especificar el nombre de la base de datos para la que se debe agregar la clave de KMS secundaria. Es opcional.

P: ¿Qué hace la opción –precheckOnly?

R: La opción --precheckOnly, cuando se define en yes, ejecuta una comprobación previa de la operación sin realizar ningún cambio real. Los valores válido son yes o no.

P: ¿Puedo ejecutar la comprobación previa solo sin realizar cambios?

R: Sí, puede utilizar la opción --precheckOnly yes para ejecutar solo la comprobación previa sin realizar cambios.

P: ¿Puede dar un ejemplo de cómo ejecutar este comando para agregar una clave HSM secundaria?

A: A continuación, se muestra un ejemplo:

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example

P: ¿Cómo puedo ejecutar el comando para una base de datos específica?

R: Puede especificar el nombre de la base de datos de la siguiente manera:

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example --dbname mydatabase

P: ¿Cómo puedo ejecutar el comando solo con una comprobación previa?

R: Para ejecutar la comprobación previa, utilice la siguiente sintaxis:

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example --precheckOnly yes

P: ¿Qué debo hacer si el comando falla?

R: Asegúrese de que está ejecutando el comando como usuario root y de que se ha conectado a la máquina virtual correcta de Oracle Base Database Cloud@Customer. Además, verifique el OCID de la clave de KMS y compruebe si se otorgan los permisos necesarios.

P: ¿Cómo puedo comprobar si tengo el OCID correcto para la clave de KMS secundaria?

R: Puede recuperar el OCID de la clave de KMS desde la consola de Oracle Cloud Infrastructure, en la sección Key Management Service (KMS).

P: ¿Qué permisos se necesitan para agregar una clave de KMS secundaria?

R: Necesita los permisos adecuados en Oracle Cloud Infrastructure para las operaciones de KMS, incluida la capacidad de gestionar claves de KMS para el compartimento correspondiente.

P: ¿Puedo utilizar el comando dbaascli tde addSecondaryHsmKey sin especificar la opción –dbname?

R: Sí, la opción --dbname es opcional. Si se omite, el comando se aplica a todas las bases de datos que utilizan la configuración de HSM (KMS) existente.

P: ¿Qué sucede si agrego una clave KMS secundaria?

R: La clave KMS secundaria se agregará a la configuración existente, lo que proporciona una capa adicional de redundancia de gestión de claves de cifrado.

P: ¿Puedo eliminar una clave de KMS secundaria una vez que se agrega?

R: No, una vez que se agrega una clave de KMS secundaria, no se puede eliminar. Solo puede rotar o actualizar claves en el futuro.

Ejemplo : dbaascli tde addSecondaryHsmKey

dbaascli tde addSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde addSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --precheckOnly yes

dbaascli tde changePassword

Para cambiar la contraseña del almacén de claves de TDE y la contraseña de la cartera de base de datos para el alias tde_ks_passwd, utilice el comando dbaascli tde changePassword.

Requisitos previos:

Ejecute el comando con el usuario root.

Sintaxis:

dbaascli tde changePassword [--dbname <value>]
  {            [--prepareStandbyBlob <value> [--blobLocation <value>]]
               | [--standbyBlobFromPrimary <value>]
  }
  [--resume [--sessionID <value>]]

Parámetros:

Parámetro Descripción
--dbname especifica el nombre de la base de Datos
--prepareStandbyBlob especifique true para generar un archivo blob que contenga los artefactos necesarios para realizar la operación en un entorno de DG.
--blobLocation ruta personalizada donde se generará el archivo BLOB de base de datos en espera en un entorno de DG.
--standbyBlobFromPrimary especifique la ubicación del archivo blob de base datos en espera que se prepara a partir de la base datos principal. Solo es necesario para las operaciones de base de datos en espera.
--resume para reanudar la ejecución anterior
--sessionID para reanudar un Identificador de sesión específico.

Preguntas frecuentes:

P: ¿Qué hace el comando dbaascli tde changePassword?

R: El comando dbaascli tde changePassword cambia la contraseña del almacén de claves de cifrado de datos transparente (TDE), así como la contraseña de cartera de base de datos para el alias tde_ks_passwd.

P: ¿Quién debe ejecutar el comando dbaascli tde changePassword?

R: El comando se debe ejecutar como el usuario root.

P: ¿Cuándo debo utilizar el comando dbaascli tde changePassword?

R: Utilice este comando cuando necesite cambiar la contraseña del almacén de claves de TDE o la contraseña de cartera de base de datos para una base de datos Oracle Base Database Cloud@Customer.

P: ¿Qué hace la opción –dbname?

R: La opción --dbname especifica el nombre de la base de datos para la que desea cambiar la contraseña del almacén de claves de TDE.

P: ¿Qué hace la opción –pdbName?

R: La opción --pdbName especifica el nombre de la base de datos de conexión (PDB) para la que se debe cambiar la contraseña del almacén de claves de TDE. Esta opción se utiliza para bases de datos multi-inquilino.

P: ¿Puede dar un ejemplo de cómo ejecutar este comando para una base de datos específica?

R: A continuación, se muestra un ejemplo para cambiar la contraseña del almacén de claves de TDE para una base de datos específica:

dbaascli tde changePassword --dbname mydatabase

P: ¿Cómo puedo ejecutar el comando para una PDB específica en una base de datos multi-inquilino?

A: Puede especificar el nombre de PDB con esta sintaxis:

dbaascli tde changePassword --dbname mydatabase --pdbName mypdb

P: ¿Cuáles son los requisitos para ejecutar el comando dbaascli tde changePassword?

R: Debe ejecutar el comando como usuario root y tener acceso a la máquina virtual de Oracle Base Database Cloud@Customer donde se ejecuta la base de datos.

P: ¿Debo parar la base de datos para cambiar la contraseña del almacén de claves de TDE?

R: No, no es necesario parar la base de datos para cambiar la contraseña del almacén de claves de TDE.

P: ¿Qué debo hacer si el comando falla?

R: Asegúrese de que está ejecutando el comando como usuario raíz y de que el nombre de base de datos (--dbname) y el nombre de PDB (--pdbName, si procede) son correctos.

P: ¿Qué ocurre si obtengo un error de "contraseña no válida" al cambiar la contraseña del almacén de claves de TDE?

R: Asegúrese de que la nueva contraseña cumple con los requisitos de complejidad de la contraseña del sistema y de que está introduciendo la contraseña antigua correcta si se le solicita.

P: ¿Cómo puedo comprobar si la contraseña del almacén de claves de TDE se ha cambiado correctamente?

R: Puede comprobar los logs de la base de datos o utilizar las vistas de Oracle AI Database Vault and Key Management para verificar que el cambio de contraseña del almacén de claves de TDE se ha realizado correctamente.

P: ¿Puedo cambiar la contraseña del almacén de claves de TDE para una base de datos multi-inquilino y todas las PDB a la vez?

R: No, el comando dbaascli tde changePassword se debe ejecutar para cada PDB de forma individual si necesita cambiar la contraseña de varias PDB.

P: ¿Qué sucede si olvido la nueva contraseña del almacén de claves de TDE?

R: Si se olvida la nueva contraseña, puede que tenga que restaurar el almacén de claves a partir de una copia de seguridad o seguir el proceso de recuperación de Oracle para restablecerlo, según la configuración.

P: ¿Puedo automatizar el proceso de cambio de la contraseña del almacén de claves de TDE?

R: Aunque el comando dbaascli tde changePassword en sí no está diseñado para la automatización, puede ejecutar un script como parte de los procedimientos de mantenimiento de la base de datos normales si es necesario.

P: ¿Con qué frecuencia debo cambiar la contraseña del almacén de claves de TDE?

R: Oracle recomienda cambiar periódicamente la contraseña del almacén de claves de TDE en función de las políticas de seguridad de la organización. Las mejores prácticas suelen implicar la rotación regular de claves de cifrado y contraseñas del almacén de claves.

Para cambiar la contraseña de TDE en un entorno que no sea de Data Guard

dbaascli tde changepassword --dbname
      <dbname>

Para cambiar la contraseña de TDE en un entorno de Data Guard

  1. Cambie la contraseña de TDE en la base de datos principal.

    dbaascli tde changepassword --dbname
      <dbname> --prepareStandbyBlob true --blobLocation
      <Location where blob file has to be generated>

  2. Copie el blob de base de datos en espera creado en el entorno de base de datos en espera.

  3. Cambie la contraseña de TDE en la base de datos en espera.

    dbaascli tde changepassword --dbname
     <dbname> --standbyBlobFromPrimary <Location of blob generated from
    primary>

dbaascli tde enableWalletRoot

Para activar el parámetro spfile wallet_root de la base de datos existente, utilice el comando dbaascli tde enableWalletRoot.

Requisitos previos:

Ejecute el comando con el usuario root.

Sintaxis:

dbaascli tde enableWalletRoot --dbname <value>
[--dbRestart <value>]
[--executePrereqs]
[--resume [--sessionID <value>]]

Parámetros:

Parámetro Descripción
--dbname Especifica el nombre de Oracle AI Database.
--dbrestart Especifica la opción del reinicio de la base de Datos. Los valores válidos son: rolling o full. Valor por defecto: rolling. Si no transfiere el argumento dbrestart, la base de datos se reiniciará de manera rolling.
--precheckOnly solo ejecuta la comprobación previa de esta operación. Los valores válidos son: yes o no
--resume para reanudar la ejecución anterior
--sessionID para reanudar un Identificador de sesión específico.

Preguntas frecuentes:

P: ¿Qué hace el comando dbaascli tde enableWalletRoot?

R: El comando dbaascli tde enableWalletRoot activa el parámetro wallet_root en spfile para una instancia existente de Oracle AI Database en Oracle Base Database Cloud@Customer.

P: ¿Quién debe ejecutar el comando dbaascli tde enableWalletRoot?

R: El comando se debe ejecutar como el usuario root.

P: ¿En qué máquina debo ejecutar el comando dbaascli tde enableWalletRoot?

R: Debe conectarse a una máquina virtual de Oracle Base Database Cloud@Customer mediante SSH para ejecutar este comando.

P: ¿Dónde puedo encontrar instrucciones para conectarme a la máquina virtual?

R: Puede consultar la guía Conexión a una máquina virtual con SSH para obtener instrucciones sobre la conexión.

P: ¿Qué hace la opción –dbRestart?

R: La opción --dbRestart especifica cómo se debe reiniciar la base de datos después de activar wallet_root. Los valores válidos son:

P: ¿Qué hace la opción –dbname?

R: La opción --dbname permite especificar el nombre de la Oracle AI Database para la que se debe activar el parámetro wallet_root.

P: ¿Qué hace la opción –precheckOnly?

R: La opción --precheckOnly ejecuta una comprobación previa de la operación sin realizar cambios reales. Los valores válido son yes o no.

P: ¿Qué sucede si no especifico la opción –dbRestart?

R: Si no especifica la opción --dbRestart, la base de datos se reiniciará de forma sucesiva por defecto.

P: ¿Puede dar un ejemplo de cómo activar wallet_root para una base de datos específica?

A: A continuación, se muestra un ejemplo para activar wallet_root para una base de datos denominada mydatabase:

dbaascli tde enableWalletRoot --dbname mydatabase

P: ¿Cómo puedo activar wallet_root y especificar un reinicio completo de la base de datos?

R: Puede activar wallet_root con un reinicio completo de la base de datos mediante el siguiente comando:

dbaascli tde enableWalletRoot --dbname mydatabase --dbRestart full

P: ¿Cómo puedo ejecutar el comando solo con una comprobación previa?

R: Para realizar una comprobación previa sin realizar cambios, utilice la siguiente sintaxis:

dbaascli tde enableWalletRoot --dbname mydatabase --precheckOnly yes

P: ¿Cuáles son los requisitos para ejecutar el comando dbaascli tde enableWalletRoot?

R: Debe ejecutar el comando como usuario root y estar conectado a la máquina virtual correcta de Oracle Base Database Cloud@Customer.

P: ¿Necesito reiniciar la base de datos para activar wallet_root?

R: Sí, la base de datos tendrá que reiniciarse de forma sucesiva (por defecto) o completa, según la opción que elija.

P: ¿Qué debo hacer si el comando falla?

R: Asegúrese de que está ejecutando el comando como usuario root y verifique que el nombre de la base de datos (--dbname) es correcto. Compruebe si hay errores de comprobación previa si se está ejecutando con --precheckOnly.

P: ¿Qué ocurre si la base de datos no se reinicia después de ejecutar el comando?

R: Verifique que se ha utilizado la opción de reinicio correcta (rolling o full) y compruebe los logs de la base de datos en busca de errores. Puede que tenga que reiniciar manualmente la base de datos si falla el reinicio automático.

P: ¿Cómo puedo comprobar si wallet_root se ha activado correctamente?

R: Puede verificar el cambio comprobando el valor spfile de la base de datos o utilizando consultas SQL de Oracle para confirmar que el parámetro wallet_root está activado.

P: ¿Puedo activar wallet_root sin reiniciar la base de datos?

R: No, la base de datos debe reiniciarse para que se aplique el cambio. Puede elegir entre un reinicio sucesivo o un reinicio completo.

P: ¿Cuál es la diferencia entre un reinicio sucesivo y completo de la base de datos?

R: Un reinicio sucesivo reinicia la base de datos de una en una instancia, lo que permite que la base de datos permanezca parcialmente disponible durante la operación. Un reinicio completo cierra y reinicia toda la base de datos, lo que provoca un tiempo de inactividad completo.

P: ¿Puedo ejecutar este comando para varias bases de datos simultáneamente?

R: Debe ejecutar el comando dbaascli tde enableWalletRoot por separado para cada base de datos en la que desee activar wallet_root.

P: ¿Cómo afecta la activación de wallet_root a la configuración del almacén de claves de TDE existente?

R: Al activar wallet_root, se actualiza la ubicación del almacén de claves de TDE al nuevo directorio raíz de cartera, lo que facilita la gestión de varios almacenes de claves y carteras en bases de datos Oracle AI.

Ejemplo : dbaascli tde enableWalletRoot

dbaascli tde enableWalletRoot --dbname db name --dbrestart rolling|full
dbaascli tde enableWalletRoot --dbname orcl
dbaascli tde enableWalletRoot --dbname orcl--dbrestart full

dbaascli tde encryptTablespacesInPDB

Para cifrar todos los tablespaces en la PDB especificada, utilice el comando dbaascli tde encryptTablespacesInPDB.

Requisitos previos:

Ejecute el comando con el usuario root.

Sintaxis:

dbaascli tde encryptTablespacesInPDB --dbname <value> --pdbName <value>
[--executePrereqs]

Parámetros:

Parámetro Descripción
--pdbName Especifica el nombre de la PDB para cifrar todos los tablespaces.
--dbname especifica el nombre de Oracle AI Database.
--executePrereqs ejecuta las comprobaciones de requisitos e informa de los resultados.

Preguntas frecuentes:

P: ¿Qué hace el comando dbaascli tde encryptTablespacesInPDB?

R: El comando dbaascli tde encryptTablespacesInPDB cifra todos los tablespaces de la base de datos de conexión (PDB) especificada para Oracle AI Database en Oracle Base Database Cloud@Customer.

P: ¿Quién debe ejecutar el comando dbaascli tde encryptTablespacesInPDB?

R: El comando se debe ejecutar como el usuario root.

P: ¿En qué máquina debo ejecutar el comando dbaascli tde encryptTablespacesInPDB?

R: Debe conectarse a una máquina virtual de Oracle Base Database Cloud@Customer mediante SSH para ejecutar este comando.

P: ¿Dónde puedo encontrar instrucciones para conectarme a la máquina virtual?

R: Consulte la guía Conexión a una máquina virtual con SSH para obtener instrucciones de conexión.

P: ¿Qué especifica la opción –pdbName?

R: La opción --pdbName especifica el nombre de la base de datos de conexión (PDB) cuyos tablespaces se deben cifrar.

P: ¿Qué hace la opción –dbname?

R: La opción --dbname permite especificar el nombre de la base de datos Oracle AI Database a la que pertenece la PDB.

P: ¿Qué hace la opción –precheckOnly?

R: La opción --precheckOnly ejecuta una comprobación previa de la operación de cifrado sin realizar cambios reales. Los valores válidos son yes o no.

P: ¿Qué hace la opción –useSysdbaCredential?

R: La opción --useSysdbaCredential especifica si se deben utilizar las credenciales SYSDBA para la operación. Los valores válidos son true o false.

P: ¿Puede dar un ejemplo de cómo cifrar tablespaces en una PDB específica?

A: A continuación se muestra un ejemplo para cifrar todos los tablespaces en una PDB denominada mypdb:

dbaascli tde encryptTablespacesInPDB --pdbName mypdb

P: ¿Cómo puedo cifrar los tablespaces en una PDB específica dentro de una base de datos?

A: Utilice el siguiente comando para especificar tanto la PDB como la base de datos:

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --dbname mydatabase

P: ¿Cómo puedo ejecutar una comprobación previa sin realizar el cifrado?

R: Puede ejecutar una comprobación previa solo con esta sintaxis:

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --precheckOnly yes

P: ¿Cómo puedo utilizar las credenciales SYSDBA para cifrar los tablespaces?

R: Puede utilizar las credenciales SYSDBA agregando la opción --useSysdbaCredential true:

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --useSysdbaCredential true

P: ¿Cuáles son los requisitos para ejecutar el comando dbaascli tde encryptTablespacesInPDB?

R: Debe ejecutar el comando como usuario root y tener acceso a la máquina virtual de Oracle Base Database Cloud@Customer.

P: ¿Necesito reiniciar la base de datos para cifrar los tablespaces?

R: No, el comando no necesita reiniciar la base de datos. El cifrado se realiza mientras la base de datos está en línea.

P: ¿Necesito credenciales SYSDBA para cifrar tablespaces?

R: Puede que necesite credenciales SYSDBA para esta operación si se especifica mediante la opción --useSysdbaCredential.

P: ¿Qué debo hacer si el comando falla?

R: Asegúrese de que está ejecutando el comando como usuario raíz y verifique que el nombre de PDB (--pdbName) y el nombre de base de datos (--dbname) son correctos. También puede ejecutar el comando con --precheckOnly yes para comprobar si hay problemas antes de ejecutar el cifrado completo.

P: ¿Qué debo hacer si falla el cifrado de los tablespaces?

R: Compruebe los logs de la base de datos y asegúrese de que tiene los privilegios y recursos necesarios para realizar el cifrado. También puede que tenga que verificar que haya suficiente espacio para manejar el proceso de cifrado.

P: ¿Cómo puedo comprobar si los tablespaces de una PDB están cifrados?

R: Puede consultar las vistas de base de datos relacionadas con el cifrado, como V$ENCRYPTED_TABLESPACES, para verificar si los tablespaces se han cifrado correctamente.

P: ¿Cómo puedo verificar si la comprobación previa se realizó correctamente?

R: Si ha ejecutado el comando con --precheckOnly yes, puede comprobar la salida en busca de advertencias o errores que indiquen posibles problemas con el proceso de cifrado.

P: ¿Puedo cifrar los tablespaces para varias PDB a la vez?

R: No, debe ejecutar el comando dbaascli tde encryptTablespacesInPDB por separado para cada PDB.

P: ¿Puedo cifrar parcialmente algunos tablespaces en una PDB?

R: No, este comando cifra todos los tablespaces dentro de la PDB especificada. Para el cifrado parcial, tendría que utilizar diferentes comandos de gestión de bases de datos.

P: ¿El cifrado de tablespaces afecta al rendimiento de la base de datos?

R: El cifrado de tablespaces puede tener un impacto temporal en el rendimiento durante el proceso de cifrado. Sin embargo, el impacto debe ser mínimo una vez que se haya completado el cifrado.

P: ¿Puedo deshacer el cifrado de los tablespaces?

R: No, una vez que los tablespaces están cifrados, el cifrado no se puede deshacer. Solo puede rotar o volver a cifrar las claves según sea necesario.

P: ¿Qué sucede si la operación se interrumpe durante el proceso de cifrado?

R: Si la operación se interrumpe, puede que tenga que volver a ejecutar el comando. El sistema reanudará el cifrado desde donde lo dejó, y puede verificar el estado mediante vistas de base de datos.

Ejemplo: dbaascli tde encryptTablespacesInPDB

dbaascli tde encryptTablespacesInPDB --dbname dbname --pdbName pdb
dbaascli tde encryptTablespacesInPDB --dbname dbname --pdbName pdb --executePrereqs

dbaascli tde fileToHsm

Para convertir TDE basado en FILE en TDE basado en HSM (KMS/OKV), utilice el comando dbaascli tde fileToHsm.

Requisitos previos:

Ejecute el comando con el usuario root.

Sintaxis:

dbaascli tde fileToHsm --kmsKeyOCID <value> --dbname <value>
[--skipPatchCheck <value>]
[--executePrereqs ]
[--primarySuc <value>]
{
    [--resume [--sessionID <value>]] | [--revert [--sessionID <value>]]
}
[--waitForCompletion <value>]

Parámetros:

Parámetro Descripción
--kmsKeyOCID especifica el OCID de claves de KMS que se utilizará para TDE. Solo se aplica si se ha seleccionado KMS para TDE
--dbname especifica el nombre de la base de Datos
--skipPatchCheck Omite la comprobación de validación de las revisiones necesarias si el valor transferido para este argumento es true. Valores válidos: true o false
--executePrereqs ejecuta las comprobaciones de requisitos e informa de los resultados.
--primarySuc especifique esta propiedad en la base del entorno Data Guard en espera una vez que el comando se haya ejecutado correctamente en la base del datos principal
--resume Especifica que se reanude la ejecución anterior
--sessionID Especifica que se reanude un identificador de sesión específico
--revert especifica que se realice un rollback de la ejecuciones anterior
--sessionID Especifica que se realice el rollback de un identificador de sesión específico
--waitForCompletion Especificar false para ejecutar la operación en segundo plano. Valores válidos: true o false.

Preguntas frecuentes:

P: ¿Cuál es la finalidad del comando dbaascli tde fileToHsm?

R: El comando dbaascli tde fileToHsm se utiliza para convertir un cifrado de datos transparente (TDE) basado en archivos en un TDE basado en el módulo de seguridad de hardware (HSM), como KMS u OKV, en un entorno de Oracle AI Database Cloud Service.

P: ¿Quién puede ejecutar el comando dbaascli tde fileToHsm?

R: El comando se debe ejecutar como el usuario root.

P: ¿Cuál es la finalidad del parámetro –kmsKeyOCID?

R: El parámetro --kmsKeyOCID especifica el OCID de clave de KMS que se utilizará para el cifrado de TDE al realizar la transición de un TDE basado en archivos a uno basado en HSM.

P: ¿Qué hace el parámetro –dbname?

R: El parámetro --dbname especifica el nombre de la base de datos para la que va a convertir el TDE de basado en archivos a basado en HSM.

P: ¿Puedo omitir la comprobación de validación de parches al convertir TDE?

R: Sí. Al utilizar el parámetro --skipPatchCheck con el valor true, puede omitir la comprobación de validación de los parches necesarios.

P: ¿Para qué se utiliza el parámetro –executePrereqs?

R: El parámetro --executePrereqs permite ejecutar solo las comprobaciones previas para el proceso de conversión de TDE sin realizar la conversión real. Los valores válidos son yes o no.

P: ¿Qué hace el parámetro –primarySuc en una configuración de Data Guard?

R: El parámetro --primarySuc se utiliza en un entorno de Data Guard para indicar que el comando se ha ejecutado correctamente en la base de datos primaria. Se debe especificar en la base de datos en espera una vez finalizada la conversión primaria.

P: ¿Cómo reanudo una conversión anterior de TDE?

R: Puede reanudar una conversión de TDE incompleta anteriormente mediante el parámetro --resume. Opcionalmente, puede especificar un ID de sesión específico con --sessionID.

P: ¿Cómo revierto una conversión de TDE?

R: Para revertir una conversión de TDE anterior, utilice el parámetro --revert. También puede proporcionar el ID de sesión específico que desea revertir mediante --sessionID.

P: ¿Cómo puedo especificar un ID de sesión al reanudar o revertir una conversión de TDE?

R: Puede utilizar el parámetro --sessionID para especificar el ID de la sesión que desea reanudar o revertir. Ejemplo: --resume --sessionID <ID> o --revert --sessionID <ID>.

P: ¿Qué sucede si configuro –waitForCompletion en false?

R: Si define --waitForCompletion en false, el proceso de conversión de TDE se ejecutará en segundo plano y el símbolo del sistema se devolverá inmediatamente. Si se define en true, el comando esperará a que finalice el proceso antes de devolver el control al usuario.

P: ¿Cuáles son los valores válidos para el parámetro –waitForCompletion?

R: Los valores válidos son true o false. Si se define en true, el comando espera hasta que se complete el proceso; si se define en false, el proceso se ejecuta en segundo plano.

P: ¿Puedo ejecutar dbaascli TDE fileToHsm sin convertir el TDE inmediatamente?

R: Sí, puede utilizar el parámetro --executePrereqs yes para realizar solo las comprobaciones previas de la conversión, sin realizar ningún cambio en el TDE.

P: En un entorno de Data Guard, ¿cómo puedo manejar la base de datos en espera después de convertir TDE en la base de datos primaria?

R: Después de ejecutar correctamente la conversión en la base de datos primaria, debe especificar --primarySuc al ejecutar el comando en la base de datos en espera.

P: ¿Qué debo hacer si falla el proceso de conversión de TDE?

R: Si el proceso falla, puede utilizar el parámetro --resume para intentar reanudar desde donde lo dejó. Si es necesario, puede utilizar el parámetro --revert para revertir los cambios realizados durante la sesión fallida.

Ejemplo: dbaascli tde fileToHsm –kmsKeyOCID

dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs
dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --resume

dbaascli tde getHsmKeys

Para obtener los detalles de la clave activa de TDE, utilice el comando dbaascli tde getHsmKeys.

Requisitos previos:

Ejecute el comando con el usuario root.

Sintaxis:

dbaascli tde getHsmKeys
[--dbname]
[--infoFile]

Parámetros:

Parámetro Descripción
--dbname especifica el nombre de la base de Datos
--infoFile Especifica la ruta de Acceso del archivo en el que se guardará la lista de los OCID. La salida tiene el formato JSON

Preguntas frecuentes:

P: ¿Qué hace el comando dbaascli tde getHsmKeys?

R: El comando dbaascli tde getHsmKeys recupera los detalles de las claves de cifrado de datos transparente (TDE) activas del módulo de seguridad de hardware (HSM) para una base de datos especificada.

P: ¿Quién debe ejecutar el comando dbaascli tde getHsmKeys?

R: El comando se debe ejecutar como el usuario root.

P: ¿En qué máquina debo ejecutar el comando dbaascli tde getHsmKeys?

R: Debe conectarse a una máquina virtual de Oracle Base Database Cloud@Customer mediante SSH para ejecutar este comando.

P: ¿Dónde puedo encontrar instrucciones para conectarme a la máquina virtual?

R: Consulte la guía Conexión a una máquina virtual con SSH para obtener instrucciones sobre la conexión.

P: ¿Qué hace la opción –dbname?

R: La opción --dbname permite especificar el nombre de la instancia de Oracle AI Database para la que desea recuperar los detalles de clave de TDE.

P: ¿Qué hace la opción –infoFile?

R: La opción --infoFile especifica la ruta de acceso del archivo en la que se guardará la lista de OCID clave (identificadores de Oracle Cloud). La salida tiene el formato JSON.

P: ¿Puede dar un ejemplo de cómo recuperar los detalles de clave de TDE para una base de datos específica?

R: A continuación, se muestra un ejemplo para obtener los detalles de clave de TDE para una base de datos denominada mydatabase:

dbaascli tde getHsmKeys --dbname mydatabase

P: ¿Cómo puedo guardar los detalles de la clave de TDE en un archivo?

R: Puede especificar una ruta de acceso de archivo mediante la opción --infoFile para guardar la salida en formato JSON:

dbaascli tde getHsmKeys --dbname mydatabase --infoFile /path/to/output.json

P: ¿Cuáles son los requisitos para ejecutar el comando dbaascli tde getHsmKeys?

R: Debe ejecutar el comando como usuario root y estar conectado a la máquina virtual de Oracle Base Database Cloud@Customer.

P: ¿Necesito credenciales SYSDBA para recuperar los detalles de clave de TDE?

R: No, las credenciales SYSDBA no son necesarias para ejecutar el comando dbaascli tde getHsmKeys.

P: ¿En qué formato se guarda la información de clave de TDE al utilizar la opción –infoFile?

R: La salida se guarda en formato JSON.

P: ¿Qué información se incluye en los detalles clave de TDE?

R: Los detalles incluyen OCID de clave y otros metadatos sobre las claves de cifrado activas almacenadas en el HSM para la base de datos especificada.

P: ¿Qué debo hacer si el comando no puede recuperar los detalles de la clave?

R: Asegúrese de que está ejecutando el comando como usuario raíz y de que el nombre de la base de datos (--dbname) es correcto. Compruebe su conexión a la máquina virtual de Oracle Base Database Cloud@Customer.

P: ¿Cómo puedo comprobar si el archivo de salida se ha creado correctamente?

R: Puede comprobar la ruta de archivo especificada para el archivo JSON de salida. Si falta el archivo, verifique que la ruta de acceso del archivo sea correcta y que tenga permisos de escritura en el directorio.

P: ¿Qué debo hacer si el archivo de salida está vacío?

R: Asegúrese de que la base de datos especificada contiene claves de TDE activas y de que el parámetro --dbname es correcto. También puede que tenga que comprobar si hay errores en los logs de la base de datos.

P: ¿Puedo recuperar detalles de clave de TDE para varias bases de datos a la vez?

R: No, debe ejecutar el comando dbaascli tde getHsmKeys por separado para cada base de datos.

P: ¿Cómo puedo utilizar el archivo de salida de la opción –infoFile en otras operaciones?

R: Dado que la salida está en formato JSON, puede analizar el archivo mediante programación o utilizarlo como entrada para otras tareas de gestión de cifrado o base de datos.

P: ¿Puedo obtener detalles históricos de la clave de TDE con este comando?

R: No, el comando solo recupera detalles sobre las claves activas actualmente en el HSM.

P: ¿Cómo puedo verificar que las claves recuperadas son correctas?

R: Puede verificar las claves haciendo referencia cruzada con la consola de Oracle Cloud Infrastructure (OCI) o utilizando vistas de base de datos relacionadas con la gestión del cifrado.

Ejemplo: dbaascli tde getHsmKeys

dbaascli tde getHsmkeys --dbname dbname
dbaascli tde getHsmkeys --dbname dbname --infoFile infoFilePath

dbaascli tde getMkidForKeyVersionOCID

Para obtener el identificador de clave maestra asociado al OCID de versión de clave de KMS, utilice el comando dbaascli tde getMkidForKeyVersionOCID.

Requisitos previos:

Ejecute el comando con el usuario root.

Sintaxis:

dbaascli tde getMkidForKeyVersionOCID --kmsKeyVersionOCID <value>
[--dbname <value>]
[--waitForCompletion <value>]

Parámetros:

Parámetro Descripción
--kmsKeyVersionOCID especifica el OCID que se va a definir de la versión
--dbname especifica el nombre de la base de Datos
--waitForCompletion especifique false para que se ejecute la operación en segundo plano. Valores válidos: true o false.

Preguntas frecuentes:

P: ¿Cuál es la finalidad del comando dbaascli tde getMkidForKeyVersionOCID?

R: El comando dbaascli tde getMkidForKeyVersionOCID recupera el ID de clave maestra (MKID) asociado a un OCID de versión de clave de KMS específico en los entornos de Oracle AI Database Cloud Service.

P: ¿Cuáles son los requisitos para ejecutar el comando dbaascli tde getMkidForKeyVersionOCID?

A: Debe:

P: ¿Quién puede ejecutar el comando dbaascli tde getMkidForKeyVersionOCID?

R: Solo el usuario root puede ejecutar este comando.

P: ¿Qué especifica el parámetro –kmsKeyVersionOCID?

R: El parámetro --kmsKeyVersionOCID especifica el OCID de la versión de clave de KMS para el que desea recuperar el ID de clave maestra (MKID) asociado.

P: ¿Qué especifica el parámetro –dbname?

R: El parámetro --dbname especifica el nombre de la base de datos para la que se consulta el OCID de la versión de clave de KMS.

P: ¿Es obligatorio el parámetro –dbname?

R: No, el parámetro --dbname es opcional. Si no especifica un nombre de base de datos, el comando recuperará el MKID para la base de datos por defecto en el sistema.

P: ¿Qué debo hacer si no conozco el OCID de la versión de clave de KMS?

R: Debe recuperar el OCID de la versión de clave de KMS de la consola de gestión de KMS o del proveedor de servicios antes de utilizar este comando. Sin él, el comando no puede recuperar el ID de clave maestra (MKID).

P: ¿Puedo ejecutar este comando en un entorno que no sea de Oracle Base Database Cloud@Customer?

R: No, este comando se utiliza específicamente en un entorno de Oracle Base Database Cloud@Customer y necesita conectarse a una máquina virtual mediante SSH para ejecutarlo.

P: ¿Qué sucede si ejecuto el comando sin especificar un nombre de base de datos con –dbname?

R: Si no se proporciona el parámetro --dbname, el comando intentará recuperar el MKID para la base de datos por defecto configurada en el sistema.

P: ¿Qué debo hacer si encuentro un error al recuperar el MKID?

A: Asegúrese de que:

P: ¿Cómo puedo conectarme a la máquina virtual de Oracle Base Database Cloud@Customer?

R: Puede conectarse a la máquina virtual mediante SSH. Consulte la documentación de Oracle Base Database Cloud@Customer para obtener pasos sobre cómo conectarse de forma segura.

Ejemplo : dbaascli tde getMkidForKeyVersionOCID

dbaascli tde getMkidForKeyVersionOCID --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha

dbaascli tde getPrimaryHsmKey

Para obtener la clave de HSM (KMS) primaria de la configuración de HSM (KMS) existente, utilice el comando dbaascli tde getPrimaryHsmKey.

Requisitos previos:

Ejecute el comando con el usuario root.

Sintaxis:

dbaascli tde getPrimaryHsmKey
[--dbname]

Parámetros:

Parámetro Descripción
--dbname especifica el nombre de la base de Datos

Preguntas frecuentes:

P: ¿Cuál es la finalidad del comando dbaascli tde getPrimaryHsmKey?

R: El comando dbaascli tde getPrimaryHsmKey recupera la clave del módulo de seguridad de hardware (HSM) principal de la configuración de HSM (KMS) existente en un entorno de Oracle AI Database.

P: ¿Cuáles son los requisitos para ejecutar el comando dbaascli tde getPrimaryHsmKey?

A: Debe:

P: ¿Quién puede ejecutar el comando dbaascli tde getPrimaryHsmKey?

R: Solo el usuario root puede ejecutar este comando.

P: ¿Qué especifica el parámetro –dbname en este comando?

R: El parámetro --dbname especifica el nombre de la base de datos para la que desea recuperar la clave de HSM principal.

P: ¿Es obligatorio el parámetro –dbname?

R: No, el parámetro --dbname es opcional. Si no se proporciona, el comando recuperará la clave de HSM principal para la base de datos predeterminada en el sistema.

P: ¿Qué debo hacer si no especifico un nombre de base de datos con –dbname?

R: Si no se especifica el parámetro --dbname, el comando intentará recuperar la clave de HSM principal para la base de datos predeterminada configurada en el sistema.

P: ¿Puedo ejecutar este comando en un entorno que no sea de Oracle Base Database Cloud@Customer?

R: No, este comando está diseñado específicamente para su uso en un entorno de Oracle Base Database Cloud@Customer, y debe estar conectado a la máquina virtual mediante SSH para ejecutarlo.

P: ¿Cómo puedo conectarme a la máquina virtual de Oracle Base Database Cloud@Customer para ejecutar el comando?

R: Puede conectarse a la máquina virtual mediante SSH. Consulte la documentación de Oracle Base Database Cloud@Customer para obtener instrucciones sobre cómo conectarse de forma segura.

P: ¿Qué debo comprobar si encuentro un error al recuperar la clave HSM principal?

R: Si encuentra un error, asegúrese de que:

P: ¿Debo parar la base de datos para ejecutar el comando dbaascli tde getPrimaryHsmKey?

R: No, no es necesario parar la base de datos para ejecutar este comando. Puede ejecutarla mientras se ejecuta la base de datos.

P: ¿Cuál es la finalidad de recuperar la clave de HSM principal?

R: Recuperar la clave de HSM principal permite identificar la clave de HSM actual que se está utilizando para el cifrado en la configuración de HSM (KMS) existente de la base de datos.

Ejemplo: dbaascli tde getPrimaryHsmKey

dbaascli tde getPrimaryHsmKey --dbname dbname

dbaascli tde hsmToFile

Para convertir TDE basado en HSM (KMS/OKV) en TDE basado en FILE, utilice el comando dbaascli tde hsmToFile.

Ejecute el comando con el usuario root.

Sintaxis:

dbaascli tde hsmToFile
[--dbname <value>]
{
    [--prepareStandbyBlob <value> [--blobLocation <value>]
   | [--standbyBlobFromPrimary <value>]
}
]
[--skipPatchCheck <value>]
[--executePrereqs ]
[--primarySuc <value>]
{
     [--resume [--sessionID <value>]] |
     [--revert [--sessionID <value>]]
}
[--waitForCompletion <value>]

Parámetros:

Parámetro Descripción
--dbname especifica el nombre de la base de Datos
--prepareStandbyBlob especifique true para generar un archivo blob que contenga los artefactos necesarios para realizar la operación en un entorno de DG.
--blobLocation ubicación del directorio personalizado donde se generará el archivo blob de base de datos de base de datos en espera en un entorno DG.
--standbyBlobFromPrimary especifique la ubicación del archivo blob de base datos en espera que se prepara a partir de la base datos principal. Solo es necesario para las operaciones de base de datos en espera.
--skipPatchCheck Omite la comprobación de validación de las revisiones necesarias si el valor transferido para este argumento es true. Valores válidos: true o false
--executePrereqs ejecuta las comprobaciones de requisitos e informa de los resultados.
--primarySuc especifique esta propiedad en la base del entorno Data Guard en espera una vez que el comando se haya ejecutado correctamente en la base del datos principal
--resume reanuda la ejecución anterior
--sessionID Especifica que se reanude un identificador de sesión específico
--revert Especifica que se realice un rollback de la ejecución anterior
--sessionID Especifica que se realice el rollback de un identificador de sesión específico
--waitForCompletion false especifica para que se ejecute la operación en segundo plano. Valores válidos: true o false

Preguntas frecuentes:

P: ¿Cuál es la finalidad del comando dbaascli tde hsmToFile?

R: El comando dbaascli tde hsmToFile se utiliza para convertir un cifrado de datos transparente (TDE) basado en el módulo de seguridad de hardware (HSM) en un TDE basado en archivos en entornos de Oracle AI Database Cloud Service.

P: ¿Cuáles son los requisitos para ejecutar el comando dbaascli tde hsmToFile?

A: Debe:

P: ¿Qué especifica el parámetro –dbname?

R: El parámetro --dbname especifica el nombre de la base de datos para la que va a convertir TDE de basado en HSM a basado en archivos.

P: ¿Cuándo es necesario el parámetro –primaryDBWalletTar?

R: El parámetro --primaryDBWalletTar solo es necesario al realizar la conversión hsmToFile en una base de datos en espera. Especifica el archivo tar de la cartera de la base de datos primaria.

P: ¿Cuál es la finalidad del parámetro –skipPatchCheck?

R: El parámetro --skipPatchCheck permite omitir la comprobación de validación de los parches necesarios. Defina esta opción en true para omitir la comprobación o en false para aplicarla.

P: ¿Cómo puedo ejecutar solo comprobaciones previas para el proceso de conversión sin realizar la conversión real?

R: Puede utilizar el parámetro --executePrereqs y definirlo en yes para ejecutar solo las comprobaciones previas. Defínalo en no para realizar la conversión completa.

P: ¿Qué hace el parámetro –primarySuc en un entorno de Data Guard?

R: El parámetro --primarySuc se utiliza en una configuración de Data Guard para indicar que la conversión se ha ejecutado correctamente en la base de datos primaria. Se debe utilizar al ejecutar la conversión en la base de datos en espera.

P: ¿Cómo puedo reanudar una conversión anterior de hsmToFile?

R: Puede reanudar una conversión anterior mediante el parámetro --resume. Opcionalmente, puede especificar el ID de sesión de la ejecución anterior con --sessionID.

P: ¿Cuál es el propósito del parámetro –revert?

R: El parámetro --revert se utiliza para realizar un rollback de un proceso de conversión iniciado anteriormente en caso de fallo o si necesita deshacer la operación.

P: ¿Qué sucede si configuro –waitForCompletion en false?

R: Si define --waitForCompletion en false, la operación se ejecutará en segundo plano, lo que le permitirá continuar con otras tareas. Si se define en true, el comando esperará a que se complete el proceso antes de devolver el control al usuario.

P: ¿Qué debo hacer si necesito convertir el TDE en una base de datos en espera en una configuración de Data Guard?

R: En una configuración de Data Guard, después de convertir TDE en la base de datos primaria, debe ejecutar el comando en la base de datos en espera mediante el parámetro --primaryDBWalletTar, especificando el archivo tar de cartera de la base de datos primaria e incluir --primarySuc.

P: ¿Qué debo hacer si quiero omitir la comprobación de los parches necesarios durante la conversión?

R: Puede omitir la comprobación de parches mediante el parámetro --skipPatchCheck y definirlo en true.

P: ¿Cómo puedo comprobar si el sistema está listo para la conversión hsmToFile sin realizar cambios?

R: Sólo puede realizar las comprobaciones previas mediante el parámetro --executePrereqs y definiéndolo en yes.

P: ¿Qué debo hacer si se interrumpe el proceso de conversión?

R: Puede utilizar el parámetro --resume para reiniciar el proceso desde donde lo dejó. Opcionalmente, puede especificar un ID de sesión concreto con --sessionID.

P: ¿Qué debo hacer si el proceso de conversión falla?

R: Si la conversión falla, puede realizar un rollback del proceso mediante el parámetro --revert. Además, revise los mensajes de error y compruebe los registros del sistema para obtener más información.

P: ¿Puedo ejecutar el comando dbaascli tde hsmToFile en un entorno de base de datos no base?

R: Este comando está diseñado para su uso en entornos de Oracle Base Database Cloud@Customer. Si no utiliza Base Database, asegúrese de que se encuentra en un entorno soportado para que el comando funcione correctamente.

Ejemplo : dbaascli tde hsmToFile

dbaascli tde hsmToFile --dbname dbname
dbaascli tde hsmToFile --dbname dbname --executePrereqs
dbaascli tde hsmToFile --dbname dbname --resume

dbaascli tde listKeys

Para mostrar las claves maestras de TDE, utilice el comando dbaascli tde listKeys.

Requisitos previos:

Ejecute el comando con el usuario root.

Sintaxis:

dbaascli tde listKeys
[--dbname <value>]
[--infoFilePath <value>]

Parámetros:

Parámetro Descripción
--dbname especifica el nombre de la base de Datos
--infoFilePath especificar la ruta de acceso absoluta del archivo donde se guardarán los resultados.

Preguntas frecuentes:

P: ¿Cuál es la finalidad del comando dbaascli tde listKeys?

R: El comando dbaascli tde listKeys se utiliza para mostrar todas las claves maestras de cifrado de datos transparente (TDE) para una base de datos especificada en un entorno de Oracle AI Database.

P: ¿Cuáles son los requisitos para ejecutar el comando dbaascli tde listKeys?

A: Debe:

P: ¿Qué hace el parámetro –file en el comando dbaascli tde listKeys?

R: El parámetro --file especifica la ruta de archivo en la que se debe guardar la lista de claves maestras de TDE. Si no se proporciona este parámetro, los resultados se mostrarán directamente en el terminal.

P: ¿Qué especifica el parámetro –dbname?

R: El parámetro --dbname especifica el nombre de la base de datos para la que desea mostrar las claves maestras de TDE.

P: ¿Es obligatorio el parámetro –file?

R: No, el parámetro --file es opcional. Si no se proporciona, la lista de claves de TDE se mostrará en la salida del terminal en lugar de guardarse en un archivo.

P: ¿Es obligatorio el parámetro –dbname?

R: No, el parámetro --dbname es opcional. Si no se especifica, el comando mostrará las claves maestras de TDE para la base de datos por defecto configurada en el sistema.

P: ¿Qué debo hacer si quiero guardar la lista de claves en un archivo?

R: Debe proporcionar el parámetro --file junto con la ruta de archivo deseada. Por ejemplo:

dbaascli tde listKeys --file /path/to/output.txt

P: ¿Qué sucede si no proporciono un nombre de base de datos con –dbname?

R: Si no se proporciona el parámetro --dbname, el comando mostrará las claves maestras de TDE para la base de datos por defecto en el sistema.

P: ¿Puedo utilizar este comando en entornos que no sean Oracle Base Database Cloud@Customer?

R: Este comando está diseñado específicamente para entornos de Oracle Base Database Cloud@Customer. Asegúrese de que está conectado a la máquina virtual adecuada para ejecutarla.

P: ¿Qué debo hacer si el comando no muestra las claves?

A: Asegúrese de que:

P: ¿Puedo ejecutar el comando dbaascli tde listKeys mientras se ejecuta la base de datos?

R: Sí, el comando se puede ejecutar mientras se ejecuta la base de datos. Simplemente muestra las claves maestras de TDE y no modifica el estado de la base de datos.

P: ¿Necesito permisos especiales para ejecutar este comando?

R: Debe ejecutar este comando como el usuario root. Sin permisos root, no podrá ejecutar el comando.

P: ¿Cuál es el propósito de enumerar las claves maestras de TDE?

R: La lista de claves maestras de TDE permite revisar las claves de cifrado que se utilizan para proteger los datos de la base de datos. Es esencial para supervisar y gestionar la configuración de cifrado.

P: ¿Cómo puedo conectarme a la máquina virtual de Oracle Base Database Cloud@Customer para ejecutar el comando?

R: Puede conectarse a la máquina virtual mediante SSH. Consulte la documentación de Oracle Base Database Cloud@Customer para obtener instrucciones sobre cómo establecer una conexión segura.

Ejemplo : dbaascli tde listKeys

dbaascli tde listKeys --dbname dbname
dbaascli tde listKeys --dbname dbname --infoFilePath infoFilePath

dbaascli tde removeSecondaryHsmKey

Para eliminar la clave de HSM (KMS) secundaria de la configuración de HSM (KMS) existente, utilice el comando dbaascli tde removeSecondaryHsmKey.

Requisitos previos:

Ejecute el comando con el usuario root.

Sintaxis:

dbaascli tde removeSecondaryHsmKey --dbname <value>
[--confirmDeletion]
[--secondaryKmsKeyOCID]
[--executePrereqs]

Parámetros:

Parámetro Descripción
--dbname especifica el nombre de la base de Datos
--confirmDeletion si no se especifica, se le pedirá al usuario al suprimir todas las claves de HSM(KMS) existentes.
--secondaryKmsKeyOCID Clave KMS secundaria que se eliminará de las configuraciones de HSM(KMS) existentes. Si no se especifica, se eliminarán todas las claves de KMS secundarias.
--executePrereqs ejecuta las comprobaciones de requisitos e informa de los resultados.

Preguntas frecuentes:

P: ¿Cuál es la finalidad del comando dbaascli tde removeSecondaryHsmKey?

R: El comando dbaascli tde removeSecondaryHsmKey se utiliza para eliminar una clave secundaria del módulo de seguridad de hardware (HSM) de la configuración de HSM (KMS) existente en un entorno de Oracle AI Database.

P: ¿Cuáles son los requisitos para ejecutar el comando dbaascli tde removeSecondaryHsmKey?

A: Debe:

P: ¿Qué hace el parámetro –force en el comando dbaascli tde removeSecondaryHsmKey?

R: El parámetro --force permite la eliminación de la clave HSM secundaria sin solicitar al usuario la confirmación. Si no se especifica, el comando pedirá al usuario antes de suprimir las claves.

P: ¿Qué especifica el parámetro –secondaryKmsKeyOCID?

R: El parámetro --secondaryKmsKeyOCID especifica el OCID (identificador de Oracle Cloud) de la clave de KMS secundaria que desea eliminar de la configuración de HSM existente.

P: ¿Qué hace el parámetro –dbname?

R: El parámetro --dbname especifica el nombre de la base de datos para la que se va a eliminar la clave HSM secundaria.

P: ¿Cuál es la finalidad del parámetro –precheckOnly?

R: El parámetro --precheckOnly, si se define en yes, solo ejecutará las comprobaciones previas para validar la preparación para la operación de eliminación sin eliminar realmente la clave HSM secundaria. Si se define en no, se realiza la operación de eliminación completa.

P: ¿Es obligatorio el parámetro –force?

R: No, el parámetro --force es opcional. Si no se especifica, el sistema solicitará al usuario la confirmación antes de continuar con la eliminación de claves.

P: ¿Es obligatorio el parámetro –secondaryKmsKeyOCID?

R: Sí, debe proporcionar --secondaryKmsKeyOCID para identificar la clave de HSM secundaria específica que desea eliminar de la configuración.

P: ¿Es obligatorio el parámetro –dbname?

R: No, el parámetro --dbname es opcional. Si no se especifica, el comando intentará eliminar la clave HSM secundaria de la base de datos predeterminada del sistema.

P: ¿Qué debo hacer si quiero eliminar la clave HSM secundaria sin ninguna petición de datos de usuario?

R: Debe utilizar el parámetro --force para omitir la petición de confirmación y eliminar la clave de HSM secundaria directamente:

dbaascli tde removeSecondaryHsmKey --force --secondaryKmsKeyOCID <value>

P: ¿Cómo puedo probar si el sistema está listo para eliminar la clave HSM secundaria sin eliminarla realmente?

R: Puede utilizar el parámetro --precheckOnly definido en Yes para realizar una comprobación previa:

dbaascli tde removeSecondaryHsmKey --precheckOnly yes --secondaryKmsKeyOCID <value>

P: ¿Qué sucede si no proporciono un nombre de base de datos con –dbname?

R: Si no se especifica el parámetro --dbname, el comando intentará eliminar la clave HSM secundaria de la base de datos predeterminada configurada en el sistema.

P: ¿Qué debo comprobar si el comando no puede eliminar la clave HSM secundaria?

A: Asegúrese de que:

P: ¿Qué debo hacer si la operación de extracción falla a través de la parte?

R: Si la operación falla, revise los logs de errores e intente ejecutar el comando con --precheckOnly para asegurarse de que el sistema esté listo para la operación. Si es necesario, corrija los problemas antes de volver a intentarlo.

P: ¿Puedo ejecutar el comando dbaascli tde removeSecondaryHsmKey mientras se ejecuta la base de datos?

R: Sí, el comando se puede ejecutar mientras la base de datos se está ejecutando, ya que no necesita que la base de datos se pare.

P: ¿Cuál es el propósito de eliminar una clave HSM secundaria?

R: La eliminación de una clave HSM secundaria normalmente se realiza cuando la clave ya no es necesaria o cuando desea gestionar las claves de cifrado utilizadas en la configuración de TDE (Cifrado de datos transparente).

P: ¿Cómo puedo conectarme a la máquina virtual de Oracle Base Database Cloud@Customer para ejecutar el comando?

R: Puede conectarse a la máquina virtual mediante SSH. Consulte la documentación de Oracle Base Database Cloud@Customer para obtener instrucciones sobre cómo establecer una conexión segura.

Ejemplo : dbaascli tde removeSecondaryHsmKey

dbaascli tde removeSecondaryHsmKey --dbname dbname
dbaascli tde removeSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde removeSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs

dbaascli tde rotateMasterKey

Para rotar la clave maestra para el cifrado de la base de datos, utilice el comando dbaascli tde rotateMasterKey.

Requisitos previos:

Ejecute el comando con el usuario root.

Sintaxis:

dbaascli tde rotateMasterKey --dbname <value>
[--rotateMasterKeyOnAllPDBs]
[--pdbName <value>]
[--executePrereqs]
[--resume [--sessionID <value>]]
{
     [--prepareStandbyBlob <value> [--blobLocation <value>]]
     | [--standbyBlobFromPrimary <value>]
 }

Parámetros:

Parámetro Descripción
--dbname especifica el nombre de Oracle AI Database.
--rotateMasterKeyOnAllPDBs Especifica true para rotar la clave maestra de todas las PDB en la CDB. Valores válidos: true o false
--pdbName especifica el nombre de la PDB
--executePrereqs ejecuta las comprobaciones de los requisitos e informa de los resultados
--resume Especifica que se reanude la ejecución anterior
--sessionID Especifica que se reanude un identificador de sesión específico
--prepareStandbyBlob Especifica true para generar un archivo BLOB que contiene los artefactos necesarios para realizar la operación en un entorno de Data Guard
--blobLocation especifica la ubicación del directorio personalizado del que se generará la base de datos en espera en un entorno de Data Guard
--standbyBlobFromPrimary Especifica la ubicación del archivo BLOB en espera, que se prepara a partir de la Base de Datos Principal. Solo es necesario para las operaciones de base de datos en espera.

Preguntas frecuentes:

P: ¿Cuál es la finalidad del comando dbaascli tde rotateMasterKey?

R: El comando dbaascli tde rotateMasterKey se utiliza para rotar la clave maestra utilizada para el cifrado de datos transparente (TDE) en una instancia de Oracle AI Database. Este proceso garantiza que las claves de cifrado se actualicen para mejorar la seguridad.

P: ¿Cuáles son los requisitos para ejecutar el comando dbaascli tde rotateMasterKey?

A: Debe:

P: ¿Qué especifica el parámetro –dbname?

R: El parámetro --dbname especifica el nombre de la instancia de Oracle AI Database para la que desea rotar la clave de cifrado maestra.

P: ¿Cuál es la finalidad del parámetro –rotateMasterKeyOnAllPDBs?

R: El parámetro --rotateMasterKeyOnAllPDBs especifica si se debe rotar la clave maestra para todas las bases de datos conectables (PDB) en una base de datos de contenedor (CDB). Los valores válidos son true o false.

P: ¿Qué hace el parámetro –pdbName?

R: El parámetro --pdbName especifica el nombre de una base de datos de conexión (PDB) concreta si desea rotar la clave maestra para una PDB específica en lugar de todas las PDB.

P: ¿Qué hace el parámetro –executePrereqs?

R: El parámetro --executePrereqs ejecuta comprobaciones de requisitos para validar si el entorno está listo para la rotación de la clave maestra sin realizar la rotación real.

P: ¿Qué especifica el parámetro –resume?

R: El parámetro --resume se utiliza para reanudar una operación iniciada anteriormente. También puede proporcionar un ID de sesión específico mediante --sessionID para reanudar una sesión concreta.

P: ¿Cuál es la finalidad del parámetro –prepareStandbyBlob?

R: El parámetro --prepareStandbyBlob, si se define en true, genera un archivo BLOB que contiene los artefactos necesarios para realizar la rotación de clave maestra en un entorno de Data Guard.

P: ¿Qué hace el parámetro –blobLocation?

R: El parámetro --blobLocation especifica una ruta de acceso de directorio personalizada en la que se generará el archivo BLOB en espera. Esto se aplica cuando --prepareStandbyBlob se define en true.

P: ¿Qué especifica el parámetro –standbyBlobFromPrimary?

R: El parámetro --standbyBlobFromPrimary especifica la ubicación del archivo BLOB en espera que se ha generado a partir de la base de datos primaria. Este parámetro se utiliza al realizar la rotación de la clave maestra en una base de datos en espera en un entorno de Data Guard.

P: ¿Es obligatorio el parámetro –rotateMasterKeyOnAllPDBs?

R: No, el parámetro --rotateMasterKeyOnAllPDBs es opcional. Si no se especifica, la clave maestra solo se rotará para la base de datos (o PDB específica) proporcionada en los parámetros --dbname o --pdbName.

P: ¿Es necesario el parámetro –pdbName si estoy girando claves para una CDB?

R: No, el parámetro --pdbName solo es necesario si desea rotar la clave maestra para una base de datos de conexión (PDB) específica. Es opcional cuando se gira la clave para toda la CDB.

P: ¿Necesito utilizar los parámetros –prepareStandbyBlob y –standbyBlobFromPrimary para bases de datos autónomas?

R: No, estos parámetros solo son relevantes en un entorno de Data Guard en el que esté implicada una base de datos en espera.

P: ¿Cómo puedo rotar la clave maestra para todas las PDB en una CDB?

R: Debe utilizar el parámetro --rotateMasterKeyOnAllPDBs definido en true para rotar la clave maestra para todas las PDB de la CDB. Por ejemplo:

dbaascli tde rotateMasterKey --dbname CDB_NAME --rotateMasterKeyOnAllPDBs true

P: ¿Cómo puedo ejecutar una comprobación para validar que el sistema está listo para la rotación de la clave maestra sin realizar la operación real?

R: Puede utilizar el parámetro --executePrereqs para ejecutar las comprobaciones de requisitos. Esto informará cualquier problema que pueda impedir la rotación de la clave maestra:

dbaascli tde rotateMasterKey --dbname DB_NAME --executePrereqs

P: ¿Qué debo hacer si la operación se interrumpió y quiero reanudarla?

R: Puede utilizar el parámetro --resume para reanudar la operación interrumpida anteriormente. Si tiene un ID de sesión, proporciónelo con el parámetro --sessionID:

dbaascli tde rotateMasterKey --dbname DB_NAME --resume --sessionID <value>

P: ¿Cómo puedo prepararme para la rotación de claves en un entorno de Data Guard?

R: Debe utilizar el parámetro --prepareStandbyBlob para generar un archivo BLOB que contenga los artefactos necesarios para rotar la clave maestra en un entorno en espera:

dbaascli tde rotateMasterKey --dbname DB_NAME --prepareStandbyBlob true --blobLocation /path/to/blob

P: ¿Cómo se aplica el archivo BLOB en espera de la base de datos primaria al rotar claves en una base de datos en espera?

R: Utilice el parámetro --standbyBlobFromPrimary para especificar la ubicación del archivo BLOB que se ha preparado en la base de datos primaria:

dbaascli tde rotateMasterKey --dbname DB_NAME --standbyBlobFromPrimary /path/to/blob

P: ¿Qué debo comprobar si falla la rotación de la clave maestra?

A: Asegúrese de que:

P: ¿Qué debo hacer si la operación no se completa correctamente en un entorno de Data Guard?

R: Asegúrese de que el archivo BLOB de la base de datos primaria se ha preparado correctamente mediante --prepareStandbyBlob y, a continuación, utilice --standbyBlobFromPrimary para aplicarlo en la base de datos en espera.

P: ¿Puedo ejecutar el comando dbaascli tde rotateMasterKey mientras se ejecuta la base de datos?

R: Sí, el comando se puede ejecutar mientras se ejecuta la base de datos. Sin embargo, se recomienda ejecutar comprobaciones de requisitos de antemano mediante la opción --executePrereqs.

P: ¿Por qué es importante rotar la llave maestra?

R: La rotación de la clave maestra mejora la seguridad de la base de datos al garantizar que las claves de cifrado utilizadas para la protección de datos se actualicen periódicamente, lo que reduce el riesgo de que la clave se vea comprometida.

P: ¿Necesito reiniciar la base de datos después de rotar la clave maestra?

R: No, no es necesario reiniciar la base de datos después de rotar la clave maestra. La rotación de claves surtirá efecto inmediatamente sin ninguna interrupción del servicio.

dbaascli tde setKeyVersion

Para definir la versión de la clave primaria que se utilizará en la DB/CDB o en la PDB, utilice el comando dbaascli tde setKeyVersion.

Ejecute el comando con el usuario root.

Sintaxis:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <value>
[--pdbName <value>]
[--masterKeyID <value>]
[--standbySuc]
[--executePrereqs]
[--waitForCompletion <value>]

Parámetros:

Parámetro Descripción
--kmsKeyVersionOCID Especifica el OCID que se va a definir.
--dbname Especifica el nombre de la base datos.
--pdbName nombre de la PDB que usará el OCID para la versión del clave.
--masterKeyID Especifica el identificador de clave maestra del OCID a la versión del clave proporcionado. Esto se aplica al entorno de Data Guard.
--standbySuc especifique esta propiedad en la base del entorno Data Guard una vez que el comando se haya ejecutado correctamente en la base del entorno en espera
--executePrereqs ejecuta las comprobaciones de requisitos e informa de los resultados.
--waitForCompletion especifique false para que se ejecute la operación en segundo plano. Valores válidos: true o false

Preguntas frecuentes:

P: ¿Cuál es la finalidad del comando dbaascli tde setKeyVersion?

R: El comando dbaascli tde setKeyVersion se utiliza para definir la versión de la clave de cifrado primaria que se debe utilizar para el cifrado de datos transparente (TDE) en una base de datos o una base de datos conectable (PDB). Esto permite que la versión específica de una clave de KMS se asigne a la base de datos.

P: ¿Cuáles son los requisitos para utilizar el comando dbaascli tde setKeyVersion?

R: Debe ejecutar el comando como usuario root y asegurarse de que está conectado a una máquina virtual de Oracle Base Database Cloud@Customer.

P: ¿Qué especifica el parámetro –kmsKeyVersionOCID?

R: El parámetro --kmsKeyVersionOCID especifica el OCID de versión de clave de KMS (identificador de Oracle Cloud) que desea definir para la base de datos o PDB.

P: ¿Qué especifica el parámetro –dbname?

R: El parámetro --dbname especifica el nombre de la instancia de Oracle AI Database para la que se definirá la versión de clave.

P: ¿Cuál es la finalidad del parámetro –pdbName?

R: El parámetro --pdbName especifica el nombre de la base de datos de conexión (PDB) en una base de datos de contenedores (CDB) en la que desea definir la versión de clave de KMS específica.

P: ¿Para qué se utiliza el parámetro –masterKeyID?

R: El parámetro --masterKeyID especifica el ID de clave maestra que está asociado al OCID de versión de clave de KMS proporcionado. Esto es especialmente importante en un entorno de Data Guard.

P: ¿Cuál es el rol del parámetro –standbySuc?

R: El parámetro --standbySuc se utiliza en un entorno de Data Guard. Especifica que esta propiedad se debe definir en la base de datos primaria después de ejecutar correctamente el comando en la base de datos en espera.

P: ¿Qué hace el parámetro –executePrereqs?

R: El parámetro --executePrereqs especifica si se deben ejecutar las comprobaciones de requisitos antes de ejecutar la operación. Los valores válidos son yes o no.

P: ¿Qué controla el parámetro –waitForCompletion?

R: El parámetro --waitForCompletion determina si la operación se ejecutará de forma síncrona (en espera de finalización) o asíncrona (en segundo plano). Los valores válidos son true o false.

P: ¿Es necesario el parámetro –pdbName si se define la versión de clave para una CDB?

R: No, el parámetro --pdbName solo es necesario si está definiendo la versión de clave para una base de datos de conexión (PDB) específica. Es opcional si está definiendo la versión de clave para toda la base de datos de contenedores (CDB).

P: ¿Es necesario el parámetro –masterKeyID para entornos que no sean de Data Guard?

R: No, el parámetro --masterKeyID solo se utiliza normalmente en entornos de Data Guard. Para bases de datos independientes, este parámetro no es necesario.

P: ¿Cómo puedo definir la versión de clave para una base de datos?

R: Puede definir la versión de clave para una base de datos ejecutando:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <DB_NAME>

P: ¿Cómo puedo definir la versión de clave para una PDB específica?

A: Para definir la versión de clave para una base de datos de conexión (PDB) específica, utilice el parámetro --pdbName junto con el nombre de la base de datos:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <DB_NAME> --pdbName <PDB_NAME>

P: ¿Cómo puedo asegurarme de que se cumplen todos los requisitos previos antes de definir la versión de la clave?

R: Puede ejecutar las comprobaciones de requisitos mediante el parámetro --executePrereqs:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --executePrereqs yes

P: ¿Cómo puedo definir la versión de clave en un entorno de Data Guard?

R: En un entorno de Data Guard, debe:

P: ¿Cómo puedo ejecutar la operación en segundo plano sin esperar a que se complete?

R: Puede ejecutar la operación de forma asíncrona definiendo --waitForCompletion en false:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --waitForCompletion false

P: ¿Qué debo hacer si la versión de la clave no se configura?

A: Asegúrese de que:

P: ¿Qué debo comprobar si la operación no se completa correctamente en un entorno de Data Guard?

R: Asegúrese de que el parámetro --masterKeyID se ha especificado correctamente al ejecutar el comando en la base de datos en espera. Una vez terminado en la base de datos en espera, se debe utilizar el parámetro --standbySuc al ejecutar el comando en la base de datos primaria.

P: ¿Puedo ejecutar el comando dbaascli tde setKeyVersion mientras se ejecuta la base de datos?

R: Sí, el comando se puede ejecutar mientras se ejecuta la base de datos. Sin embargo, se recomienda ejecutar las comprobaciones de requisitos de antemano mediante --executePrereqs.

P: ¿Por qué es importante establecer la versión correcta de la clave de KMS para una base de datos?

R: La definición de la versión de clave de KMS correcta garantiza que la base de datos utilice la versión de clave de cifrado adecuada para TDE, lo que ayuda a mantener la seguridad de los datos y el cumplimiento de las políticas organizativas.

P: ¿Qué sucede si utilizo un OCID de versión de clave de KMS incorrecto?

R: Si se utiliza un OCID de versión de clave de KMS incorrecto, el cifrado puede fallar y la base de datos no podrá utilizar la clave incorrecta para las operaciones de cifrado. Debe asegurarse de que se proporciona el OCID de la versión de clave correcta.

P: ¿Necesito reiniciar la base de datos después de definir la versión de la clave?

R: No, no es necesario reiniciar la base de datos después de definir la versión de la clave. La nueva versión de clave se aplicará inmediatamente sin necesidad de reiniciar.

Ejemplo : dbaascli tde setKeyVersion

dbaascli tde setKeyVersion --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha
dbaascli tde setKeyVersion --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha --executePrereqs
dbaascli tde setKeyVersion --dbname dbname --pdbName pdb --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha

dbaascli tde setPrimaryHsmKey

Para cambiar la clave de HSM (KMS) primaria para la configuración de HSM (KMS) existente, utilice el comando dbaascli tde setPrimaryHsmKey.

Ejecute el comando con el usuario root.

Sintaxis:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <value> --dbname <value>
[--allStandbyPrepared]
[--bounceDatabase]
[--executePrereqs]
[--resume [--sessionID <value>]]

Parámetros:

Parámetro Descripción
--primaryKmsKeyOCID especifica la clave primaria de KMS que se debe definir
--dbname especifica el nombre de la base de Datos
--allStandbyPrepared Especificar para confirmar que la operación se ha ejecutado correctamente en todas las bases en espera.
--bounceDatabase especifique este indicador para realizar el reinicio sucesivo de las bases de datos para esta operación
--executePrereqs ejecuta las comprobaciones de requisitos e informa de los resultados.
--resume para reanudar la ejecución anterior
--sessionID para reanudar un Identificador de sesión específico.

Preguntas frecuentes:

P: ¿Cuál es la finalidad del comando dbaascli tde setPrimaryHsmKey?

R: El comando dbaascli tde setPrimaryHsmKey se utiliza para cambiar la clave de HSM (módulo de seguridad de hardware) o KMS (servicio de gestión de claves) principal en una configuración de HSM/KMS existente para el cifrado de datos transparente (TDE).

P: ¿Cuáles son los requisitos para ejecutar el comando dbaascli tde setPrimaryHsmKey?

R: El comando se debe ejecutar como usuario root y el entorno debe ser una máquina virtual de Oracle Base Database Cloud@Customer.

P: ¿Qué especifica el parámetro –primaryKmsKeyOCID?

R: El parámetro --primaryKmsKeyOCID especifica el OCID (identificador de Oracle Cloud) de la clave de KMS primaria que se va a definir para el entorno de TDE.

P: ¿Cuál es la función del parámetro –dbname?

R: El parámetro --dbname especifica el nombre de la instancia de Oracle AI Database para la que se definirá la clave HSM/KMS principal.

P: ¿Qué hace el parámetro –standbySuc?

R: El parámetro --standbySuc se utiliza en un entorno de Data Guard. Especifica que el comando se debe ejecutar en la base de datos primaria después de ejecutarlo correctamente en la base de datos en espera.

P: ¿Cuál es la finalidad del parámetro –precheckOnly?

R: El parámetro --precheckOnly permite ejecutar solo las comprobaciones previas de esta operación. Valida el entorno sin realizar ningún cambio real. Los valores válidos son yes o no.

P: ¿Qué controla el parámetro –bounceDatabase?

R: El parámetro --bounceDatabase especifica si la base de datos se debe devolver (reiniciar) de forma sucesiva como parte de la operación. Esto garantiza un tiempo de inactividad mínimo reiniciando partes de la base de datos una por una.

P: ¿Cómo puedo definir la clave de KMS principal para mi base de datos?

R: Para definir la clave de KMS principal, ejecute el siguiente comando:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME>

P: ¿Cómo puedo asegurarme de que la operación se puede ejecutar sin ningún problema?

R: Ejecute la operación con el parámetro --precheckOnly para verificar que se cumplen todos los requisitos:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --precheckOnly yes

P: ¿Cómo puedo definir la clave de KMS primaria en un entorno de Data Guard?

R: En primer lugar, ejecute el comando en la base de datos en espera:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME>

A continuación, ejecute el comando en la base de datos primaria con el parámetro --standbySuc:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME> --standbySuc yes

P: ¿Cómo puedo minimizar el tiempo de inactividad al cambiar la clave de KMS principal?

R: Puede utilizar el parámetro --bounceDatabase para realizar un reinicio sucesivo, minimizando el tiempo de inactividad:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --bounceDatabase

P: ¿Es necesario el parámetro –dbname para todas las bases de datos?

R: Sí, debe especificar el parámetro --dbname para indicar la base de datos de destino para la que se debe definir la clave de KMS principal.

P: ¿Es obligatorio utilizar el parámetro –standbySuc en un entorno de Data Guard?

R: Sí, se debe utilizar el parámetro --standbySuc al ejecutar el comando en la base de datos primaria después de ejecutarlo correctamente en la base de datos en espera.

P: ¿Puedo omitir la operación de devolución para la base de datos?

R: Sí, si no especifica el parámetro --bounceDatabase, la base de datos no se reiniciará (se reiniciará) como parte de la operación.

P: ¿Qué debo hacer si el comando falla durante la ejecución?

R: Si el comando falla, asegúrese de lo siguiente:

P: ¿Qué ocurre si la operación falla en un entorno de Data Guard?

R: Asegúrese de que el comando se ha ejecutado correctamente en la base de datos en espera antes de ejecutarlo en la base de datos primaria. Compruebe si hay errores en los logs y vuelva a ejecutar la operación con los parámetros correctos.

P: ¿Puedo ejecutar el comando dbaascli tde setPrimaryHsmKey en una base de datos activa?

R: Sí, el comando se puede ejecutar mientras la base de datos está activa. Sin embargo, el uso del parámetro --bounceDatabase reiniciará la base de datos de forma sucesiva, lo que minimiza el impacto.

P: ¿Cómo puedo ejecutar el comando de forma sucesiva para evitar el tiempo de inactividad completo?

R: Utilice el parámetro --bounceDatabase para realizar un reinicio sucesivo de la base de datos al cambiar la clave de KMS principal:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --bounceDatabase

P: ¿Cuál es la importancia de cambiar la clave primaria de KMS?

R: Cambiar la clave de KMS primaria garantiza que la base de datos utilice una clave de cifrado actualizada o diferente para el cifrado de datos transparente (TDE). Esto puede ser necesario por razones de seguridad o cumplimiento.

P: ¿Con qué frecuencia se debe rotar o cambiar la clave de KMS principal?

R: Si bien no existe una regla estricta, las organizaciones pueden rotar la clave de KMS principal según las políticas de seguridad, como los intervalos de rotación de claves o los requisitos de cumplimiento.

P: ¿Qué sucede si la clave de KMS principal está configurada incorrectamente?

R: Si se define el OCID de clave incorrecta, pueden fallar las operaciones de cifrado de la base de datos y puede que necesite revertir a la clave correcta o rectificar la configuración definiendo el OCID de clave de KMS correcto.

P: ¿Necesito reiniciar la base de datos después de cambiar la clave de KMS principal?

R: No, no es necesario reiniciar la base de datos a menos que decida utilizar el parámetro --bounceDatabase, que reiniciará automáticamente la base de datos para aplicar el cambio.

Ejemplo: dbaascli tde setPrimaryHsmKey

dbaascli tde setPrimaryHsmKey --dbname dbname --primaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde setPrimaryHsmKey --dbname dbname --primaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs

dbaascli tde status

Para mostrar información sobre el almacén de claves de la base de datos especificada, utilice el comando dbaascli tde status.

Requisitos previos:

Ejecute el comando con el usuario oracle.

Sintaxis:

dbaascli tde status --dbname dbname

Parámetros:

Parámetro Descripción
--dbname 0 especifica el nombre de la base que desea comprobar.

La salida del comando incluye el tipo de almacén de claves y el estado del almacén de claves.

Preguntas frecuentes:

P: ¿Qué hace el comando dbaascli tde status?

R: El comando dbaascli tde status muestra información sobre el almacén de claves para una base de datos especificada. Esto incluye detalles sobre el tipo de almacén de claves y su estado.

P: ¿Quién debe ejecutar el comando dbaascli tde status?

R: El comando se debe ejecutar como usuario oracle.

P: ¿Dónde se debe ejecutar el comando dbaascli tde status?

R: El comando se debe ejecutar en una máquina virtual de Oracle Base Database Cloud@Customer. Debe conectarse a la máquina virtual mediante SSH para ejecutar la utilidad.

P: ¿Cuál es la función del parámetro –dbname?

R: El parámetro --dbname especifica el nombre de la base de datos para la que se comprobará el estado del almacén de claves de TDE.

P: ¿Qué información devuelve el comando dbaascli tde status?

R: La salida del comando incluye el tipo de almacén de claves (por ejemplo, basado en HSM o basado en archivos) y el estado actual del almacén de claves, como si está abierto, cerrado o en algún otro estado.

P: ¿Cómo puedo saber si el almacén de claves está abierto o cerrado mediante el comando dbaascli tde status?

R: El estado del almacén de claves, incluido si está abierto o cerrado, forma parte de la salida devuelta por el comando dbaascli tde status.

P: ¿Cómo puedo comprobar el estado del almacén de claves de TDE para una base de datos específica?

A: Para comprobar el estado del almacén de claves de TDE para una base de datos específica, ejecute:

dbaascli tde status --dbname <DB_NAME>

P: ¿Puedo comprobar el estado del almacén de claves para varias bases de datos?

R: Sí, pero debe ejecutar el comando por separado para cada base de datos, especificando su nombre mediante el parámetro --dbname.

P: ¿Se puede ejecutar el comando dbaascli tde status como usuario root?

R: No, el comando se debe ejecutar como usuario oracle, no como usuario root.

P: ¿Necesito permisos especiales para ejecutar el comando dbaascli tde status?

R: Sí, debe tener privilegios de usuario de oracle y estar conectado a una máquina virtual de Oracle Base Database Cloud@Customer para ejecutar el comando.

P: ¿Qué debo hacer si aparece un error al ejecutar el comando dbaascli tde status?

R: Asegúrese de que está ejecutando el comando como usuario oracle, verifique que tiene los permisos necesarios y que está conectado a la máquina virtual correcta.

P: ¿Cómo puedo saber qué tipo de almacén de claves está utilizando mi base de datos?

R: El tipo de almacén de claves, como si está basado en archivos o en HSM/KMS, se muestra en la salida del comando dbaascli tde status.

P: ¿Qué debo hacer si el almacén de claves está cerrado?

R: Si el almacén de claves está cerrado, puede que tenga que abrirlo manualmente, según la operación que esté intentando realizar. El proceso exacto dependerá del tipo de almacén de claves y de su entorno.

P: ¿Puedo ver el estado del almacén de claves de una CDB (base de datos de contenedores) o PDB (base de datos conectable)?

R: Sí. Al especificar el nombre de base de datos adecuado mediante el parámetro --dbname, puede ver el estado del almacén de claves tanto para CDB como para PDB.

P: ¿Qué significa si el comando devuelve un error sobre la conectividad de la base de datos?

R: Esto podría indicar un problema con la conexión a la base de datos o un problema con el entorno. Asegúrese de que la base de datos se está ejecutando y de que es accesible, y verifique su conexión SSH a la máquina virtual de Oracle Base Database Cloud@Customer.

P: ¿Qué sucede si el nombre de la base de datos es incorrecto?

R: Si el parámetro --dbname especifica una base de datos incorrecta o inexistente, el comando fallará y recibirá un mensaje de error que indica el problema.

P: ¿Cómo puedo solucionar los problemas si el estado del almacén de claves indica un estado inesperado?

R: Si el estado del almacén de claves indica un estado inesperado, revise los logs de la base de datos para obtener más detalles y compruebe la configuración del almacén de claves para asegurarse de que está correctamente configurado.

P: ¿Puedo automatizar la comprobación del estado del almacén de claves para fines de supervisión?

R: Sí, puede ejecutar un script en el comando dbaascli tde status para comprobar el estado del almacén de claves periódicamente o integrarlo en las herramientas de supervisión de la base de datos.

P: ¿Cómo puedo verificar que el cifrado de datos transparente (TDE) está activado correctamente?

R: Puede verificar que TDE esté activado correctamente comprobando el estado del almacén de claves mediante el comando dbaascli tde status. Un almacén de claves válido y abierto indica que TDE está configurado correctamente.

Ejemplo: dbaascli tde status

dbaascli tde status --dbname dbname