Gestion du cryptage transparent des données (TDE)

Cette section traite de la gestion du cryptage transparent des données (TDE) pour la sécurisation des données de base de données. Elle inclut des commandes permettant de gérer les clés de cryptage et les fichiers de clés d'accès, telles que dbaascli tde addSecondaryHsmKey pour ajouter des clés HSM secondaires, dbaascli tde rotateMasterKey pour effectuer la rotation de la clé maître et dbaascli tde encryptTablespacesInPDB pour crypter les tablespaces dans une base de données pluggable. Vous pouvez également effectuer une conversion entre TDE basé sur FILE et HSM (dbaascli tde fileToHsm, dbaascli tde hsmToFile), gérer les versions de clé et extraire les détails de clé à l'aide de différentes commandes. Ces outils assurent une gestion efficace du chiffrement et la sécurité des données.

dbaascli tde addSecondaryHsmKey

Pour ajouter une clé HSM (KMS) secondaire à la configuration HSM (KMS) existante, utilisez la commande dbaascli tde addSecondaryHsmKey.

Prérequis :

Exécutez la commande en tant qu'utilisateur root.

Syntaxe :

dbaascli tde addSecondaryHsmKey --dbname <value> --secondaryKmsKeyOCID <value>
[--executePrereqs]

Paramètres:

Paramètre Description
--secondaryKmsKeyOCID indique la clé KMS secondaire à ajouter à la configuration HSM (KMS) existante.
--dbname indique le nom de la base de données
--executePrereqs exécute les vérifications de prérequis et signale les résultats.

Foire aux questions:

Q : Que fait la commande dbaascli tde addSecondaryHsmKey ?

R : La commande dbaascli tde addSecondaryHsmKey ajoute une clé HSM (KMS) secondaire à la configuration HSM (KMS) existante pour une base de données Oracle Base Database Cloud@Customer.

Q : Qui doit exécuter la commande dbaascli tde addSecondaryHsmKey ?

R : la commande doit être exécutée en tant qu'utilisateur root.

Q : Sur quelle machine dois-je exécuter la commande dbaascli tde addSecondaryHsmKey ?

R : Vous devez vous connecter à une machine virtuelle Oracle Base Database Cloud@Customer à l'aide de SSH pour exécuter cette commande.

Q : Où puis-je trouver plus de détails sur la connexion à une machine virtuelle pour exécuter cette commande ?

R : Pour obtenir des instructions sur la connexion, reportez-vous au guide Connexion à une machine virtuelle avec SSH.

Q : Que spécifie l'option –secondaryKmsKeyOCID ?

R : l'option --secondaryKmsKeyOCID indique l'OCID (identificateur Oracle Cloud) de la clé KMS secondaire à ajouter à la configuration HSM (KMS) existante.

Q : Que fait l'option –dbname ?

R : L'option --dbname vous permet d'indiquer le nom de la base de données pour laquelle la clé KMS secondaire doit être ajoutée. Elle est facultative.

Q : Que fait l'option –precheckOnly ?

R : l'option --precheckOnly, lorsqu'elle est définie sur yes, exécute une prévérification de l'opération sans apporter de modifications réelles. Les valeurs valides sont yes ou no.

Q : Puis-je exécuter la prévérification uniquement sans apporter de modifications ?

R : Oui, vous pouvez utiliser l'option --precheckOnly yes pour exécuter uniquement la prévérification sans apporter de modifications.

Q : Pouvez-vous donner un exemple d'exécution de cette commande pour ajouter une clé HSM secondaire ?

R : Voici un exemple :

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example

Q : Comment exécuter la commande pour une base de données spécifique ?

R : Vous pouvez indiquer le nom de la base de données comme suit :

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example --dbname mydatabase

Q : Comment exécuter la commande avec une prévérification uniquement ?

R : Pour exécuter la prévérification, utilisez la syntaxe suivante :

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example --precheckOnly yes

Q : Que dois-je faire si la commande échoue ?

R : Assurez-vous que vous exécutez la commande en tant qu'utilisateur root et que vous êtes connecté à la machine virtuelle Oracle Base Database Cloud@Customer appropriée. Vérifiez également l'OCID de la clé KMS et vérifiez si les droits d'accès requis sont accordés.

Q : Comment vérifier si l'OCID de la clé KMS secondaire est correct ?

R : Vous pouvez extraire l'OCID de la clé KMS à partir de la console Oracle Cloud Infrastructure, sous la section KMS (Key Management Service).

Q : Quelles sont les autorisations requises pour ajouter une clé KMS secondaire ?

R : Vous devez disposer des droits d'accès appropriés dans Oracle Cloud Infrastructure pour les opérations KMS, y compris la possibilité de gérer les clés KMS pour le compartiment concerné.

Q : Puis-je utiliser la commande dbaascli tde addSecondaryHsmKey sans spécifier l'option –dbname ?

R : Oui, l'option --dbname est facultative. Si elle est omise, la commande s'applique à toutes les bases de données utilisant la configuration HSM (KMS) existante.

Q : Que se passe-t-il si j'ajoute une clé KMS secondaire ?

R : La clé KMS secondaire sera ajoutée à la configuration existante, fournissant une couche supplémentaire de redondance de gestion des clés de chiffrement.

Q : Puis-je supprimer une clé KMS secondaire une fois qu'elle a été ajoutée ?

R : Non, une fois qu'une clé KMS secondaire est ajoutée, elle ne peut pas être supprimée. Vous ne pouvez effectuer la rotation ou la mise à jour des clés que ultérieurement.

Exemple : dbaascli tde addSecondaryHsmKey

dbaascli tde addSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde addSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --precheckOnly yes

dbaascli tde changePassword

Afin de modifier le mot de passe du fichier de clés TDE et le mot de passe du portefeuille de base de données pour l'alias tde_ks_passwd, utilisez la commande dbaascli tde changePassword.

Prérequis :

Exécutez la commande en tant qu'utilisateur root.

Syntaxe :

dbaascli tde changePassword [--dbname <value>]
  {            [--prepareStandbyBlob <value> [--blobLocation <value>]]
               | [--standbyBlobFromPrimary <value>]
  }
  [--resume [--sessionID <value>]]

Paramètres:

Paramètre Description
--dbname indique le nom de la base de données
--prepareStandbyBlob indiquez true pour générer un fichier BLOB contenant les artefacts nécessaires à l'exécution de l'opération dans un environnement DG.
--blobLocation chemin personnalisé où le fichier BLOB de secours sera généré dans un environnement DG.
--standbyBlobFromPrimary indiquez l'emplacement du fichier BLOB de secours, préparé à partir de la base des données principale. Requis uniquement pour les opérations de base de données secours.
--resume pour reprendre l'exécution précédente.
--sessionID pour reprendre un ID session spécifique.

Foire aux questions:

Q : Que fait la commande dbaascli tde changePassword ?

R : La commande dbaascli tde changePassword modifie le mot de passe du fichier de clés de cryptage transparent des données (TDE) ainsi que le mot de passe du portefeuille de base de données pour l'alias tde_ks_passwd.

Q : Qui doit exécuter la commande dbaascli tde changePassword ?

R : la commande doit être exécutée en tant qu'utilisateur root.

Q : Quand dois-je utiliser la commande dbaascli tde changePassword ?

R : Utilisez cette commande lorsque vous devez modifier le mot de passe du fichier de clés TDE ou le mot de passe du portefeuille de base de données pour une base de données Oracle Base Database Cloud@Customer.

Q : Que fait l'option –dbname ?

R : L'option --dbname indique le nom de la base de données pour laquelle vous souhaitez modifier le mot de passe du fichier de clés TDE.

Q : Que fait l'option –pdbName ?

R : l'option --pdbName indique le nom de la base de données pluggable pour laquelle le mot de passe du fichier de clés TDE doit être modifié. Cette option est utilisée pour les bases de données colocatives.

Q : Pouvez-vous donner un exemple d'exécution de cette commande pour une base de données spécifique ?

R : Voici un exemple de modification du mot de passe du fichier de clés TDE pour une base de données spécifique :

dbaascli tde changePassword --dbname mydatabase

Q : Comment exécuter la commande pour une base de données pluggable spécifique dans une base de données colocative ?

R : Vous pouvez indiquer le nom de la base de données pluggable à l'aide de la syntaxe suivante :

dbaascli tde changePassword --dbname mydatabase --pdbName mypdb

Q : Quels sont les prérequis pour l'exécution de la commande dbaascli tde changePassword ?

R : Vous devez exécuter la commande en tant qu'utilisateur root et avoir accès à la machine virtuelle Oracle Base Database Cloud@Customer sur laquelle la base de données est exécutée.

Q : Dois-je arrêter la base de données pour modifier le mot de passe du fichier de clés TDE ?

R : Non, la base de données n'a pas besoin d'être arrêtée pour modifier le mot de passe du fichier de clés TDE.

Q : Que dois-je faire si la commande échoue ?

R : Assurez-vous que vous exécutez la commande en tant qu'utilisateur root et que le nom de base de données (--dbname) et le nom de base de données pluggable (--pdbName, le cas échéant) sont corrects.

Q : Que faire si j'obtiens une erreur "mot de passe non valide" lors de la modification du mot de passe du fichier de clés TDE ?

R : Assurez-vous que le nouveau mot de passe répond aux exigences de complexité du mot de passe de votre système et que vous saisissez l'ancien mot de passe correct si vous y êtes invité.

Q : Comment vérifier si le mot de passe du fichier de clés TDE a été modifié ?

R : Vous pouvez consulter les journaux de base de données ou utiliser les vues Oracle AI Database Vault et Key Management pour vérifier que la modification du mot de passe du fichier de clés TDE a réussi.

Q : Puis-je modifier le mot de passe du fichier de clés TDE pour une base de données colocative et toutes les bases de données pluggables à la fois ?

R : Non, la commande dbaascli tde changePassword doit être exécutée pour chaque base de données pluggable individuellement si vous devez modifier le mot de passe de plusieurs bases de données pluggables.

Q : Que se passe-t-il si j'oublie le nouveau mot de passe du fichier de clés TDE ?

R : Si le nouveau mot de passe est oublié, vous devrez peut-être restaurer le fichier de clés à partir d'une sauvegarde ou suivre le processus de récupération d'Oracle pour le réinitialiser, en fonction de votre configuration.

Q : Puis-je automatiser le processus de modification du mot de passe du fichier de clés TDE ?

R : Bien que la commande dbaascli tde changePassword elle-même ne soit pas conçue pour l'automatisation, vous pouvez la créer en tant que script dans le cadre de vos procédures de maintenance de base de données standard, si nécessaire.

Q : A quelle fréquence dois-je modifier le mot de passe du fichier de clés TDE ?

R : Oracle recommande de modifier régulièrement le mot de passe du fichier de clés TDE en fonction des stratégies de sécurité de votre organisation. Les meilleures pratiques impliquent généralement la rotation régulière des clés de chiffrement et des mots de passe de fichier de clés.

Pour modifier le mot de passe TDE dans un environnement non Data Guard :

dbaascli tde changepassword --dbname
      <dbname>

Pour modifier le mot de passe TDE dans un environnement Data Guard, procédez comme suit :

  1. Modification du mot de passe TDE dans la base de données principale.

    dbaascli tde changepassword --dbname
      <dbname> --prepareStandbyBlob true --blobLocation
      <Location where blob file has to be generated>

  2. Copiez le fichier BLOB de secours créé vers l'environnement de base de données de secours.

  3. Modification du mot de passe TDE de la base de données de secours

    dbaascli tde changepassword --dbname
     <dbname> --standbyBlobFromPrimary <Location of blob generated from
    primary>

dbaascli tde enableWalletRoot

Afin d'activer le paramètre SPFILE wallet_root pour la base de données existante, utilisez la commande dbaascli tde enableWalletRoot.

Prérequis :

Exécutez la commande en tant qu'utilisateur root.

Syntaxe :

dbaascli tde enableWalletRoot --dbname <value>
[--dbRestart <value>]
[--executePrereqs]
[--resume [--sessionID <value>]]

Paramètres:

Paramètre Description
--dbname indique le nom de l'instance Oracle AI Database.
--dbrestart indique l'option de redémarrage de la base de données. Valeurs valides : rolling ou full. Valeur par défaut : rolling. Si vous ne transmettez pas l'argument dbrestart, la base de données redémarre en mode rolling.
--precheckOnly exécute uniquement la prévérification pour cette opération. Valeurs valides : yes ou no.
--resume pour reprendre l'exécution précédente.
--sessionID pour reprendre un ID session spécifique.

Foire aux questions:

Q : Que fait la commande dbaascli tde enableWalletRoot ?

R : la commande dbaascli tde enableWalletRoot active le paramètre wallet_root dans spfile pour une base de données Oracle AI Database existante sur Oracle Base Database Cloud@Customer.

Q : Qui doit exécuter la commande dbaascli tde enableWalletRoot ?

R : la commande doit être exécutée en tant qu'utilisateur root.

Q : Sur quelle machine dois-je exécuter la commande dbaascli tde enableWalletRoot ?

R : Pour exécuter cette commande, vous devez vous connecter à une machine virtuelle Oracle Base Database Cloud@Customer à l'aide de SSH.

Q : Où puis-je trouver des instructions pour me connecter à la machine virtuelle ?

R : Pour obtenir des instructions sur la connexion, reportez-vous au guide Connexion à une machine virtuelle avec SSH.

Q : Que fait l'option –dbRestart ?

R : L'option --dbRestart indique comment la base de données doit être redémarrée après l'activation de wallet_root. Les valeurs valides sont les suivantes :

Q : Que fait l'option –dbname ?

R : l'option --dbname vous permet d'indiquer le nom de la base de données Oracle AI Database pour laquelle le paramètre wallet_root doit être activé.

Q : Que fait l'option –precheckOnly ?

R : L'option --precheckOnly exécute une prévérification de l'opération sans apporter de modifications réelles. Les valeurs valides sont yes ou no.

Q : Que se passe-t-il si je ne spécifie pas l'option –dbRestart ?

R : Si vous n'indiquez pas l'option --dbRestart, la base de données redémarre de manière non simultanée par défaut.

Q : Pouvez-vous donner un exemple de l'activation de wallet_root pour une base de données spécifique ?

R : Voici un exemple d'activation de wallet_root pour une base de données nommée mydatabase :

dbaascli tde enableWalletRoot --dbname mydatabase

Q : Comment activer wallet_root et indiquer un redémarrage complet de la base de données ?

R : Vous pouvez activer wallet_root avec un redémarrage complet de la base de données à l'aide de la commande suivante :

dbaascli tde enableWalletRoot --dbname mydatabase --dbRestart full

Q : Comment exécuter la commande avec une prévérification uniquement ?

R : Pour effectuer une prévérification sans apporter de modifications, utilisez la syntaxe suivante :

dbaascli tde enableWalletRoot --dbname mydatabase --precheckOnly yes

Q : Quels sont les prérequis pour l'exécution de la commande dbaascli tde enableWalletRoot ?

R : Vous devez exécuter la commande en tant qu'utilisateur root et être connecté à la machine virtuelle Oracle Base Database Cloud@Customer appropriée.

Q : Dois-je redémarrer la base de données pour activer wallet_root ?

R : Oui, la base de données devra redémarrer de manière non simultanée (valeur par défaut) ou entièrement, selon l'option choisie.

Q : Que dois-je faire si la commande échoue ?

R : Assurez-vous que vous exécutez la commande en tant qu'utilisateur root et vérifiez que le nom de la base de données (--dbname) est correct. Recherchez les erreurs de prévérification si vous exécutez --precheckOnly.

Q : Que faire si la base de données ne redémarre pas après l'exécution de la commande ?

R : Vérifiez que l'option de redémarrage appropriée a été utilisée (rolling ou full) et recherchez les erreurs éventuelles dans les journaux de base de données. Vous devrez peut-être redémarrer manuellement la base de données si le redémarrage automatique échoue.

Q : Comment vérifier si wallet_root a été activé ?

R : Vous pouvez vérifier la modification en consultant le fichier spfile de la base de données ou en utilisant des requêtes SQL Oracle pour vérifier que le paramètre wallet_root est activé.

Q : Puis-je activer wallet_root sans redémarrer la base de données ?

R : Non. La base de données doit redémarrer pour que la modification prenne effet. Vous pouvez choisir entre un redémarrage non simultané ou un redémarrage complet.

Q : Quelle est la différence entre un redémarrage non simultané et un redémarrage complet de la base de données ?

R : Un redémarrage non simultané redémarre la base de données une instance à la fois, ce qui permet à la base de données de rester partiellement disponible pendant l'opération. Un redémarrage complet arrête et redémarre l'ensemble de la base de données, ce qui entraîne un temps d'arrêt complet.

Q : Puis-je exécuter cette commande pour plusieurs bases de données simultanément ?

R : vous devez exécuter la commande dbaascli tde enableWalletRoot séparément pour chaque base de données sur laquelle vous souhaitez activer wallet_root.

Q : Quel est l'impact de l'activation de wallet_root sur la configuration du fichier de clés TDE existant ?

R : L'activation de wallet_root met à jour l'emplacement du fichier de clés TDE vers le nouveau répertoire racine de portefeuille, ce qui facilite la gestion de plusieurs fichiers de clés et portefeuilles dans les bases de données Oracle AI.

Exemple : dbaascli tde enableWalletRoot

dbaascli tde enableWalletRoot --dbname db name --dbrestart rolling|full
dbaascli tde enableWalletRoot --dbname orcl
dbaascli tde enableWalletRoot --dbname orcl--dbrestart full

dbaascli tde encryptTablespacesInPDB

Pour crypter tous les tablespaces dans la base de données pluggable indiquée, utilisez la commande dbaascli tde encryptTablespacesInPDB.

Prérequis :

Exécutez la commande en tant qu'utilisateur root.

Syntaxe :

dbaascli tde encryptTablespacesInPDB --dbname <value> --pdbName <value>
[--executePrereqs]

Paramètres:

Paramètre Description
--pdbName indique le nom de la base pluggable pour le cryptage de tous les tablespaces.
--dbname indique le nom de l'instance Oracle AI Database.
--executePrereqs exécute les vérifications de prérequis et signale les résultats.

Foire aux questions:

Q : Que fait la commande dbaascli tde encryptTablespacesInPDB ?

R : La commande dbaascli tde encryptTablespacesInPDB crypte tous les tablespaces de la base de données pluggable indiquée pour une base de données Oracle AI Database sur Oracle Base Database Cloud@Customer.

Q : Qui doit exécuter la commande dbaascli tde encryptTablespacesInPDB ?

R : la commande doit être exécutée en tant qu'utilisateur root.

Q : Sur quelle machine dois-je exécuter la commande dbaascli tde encryptTablespacesInPDB ?

R : Vous devez vous connecter à une machine virtuelle Oracle Base Database Cloud@Customer à l'aide de SSH pour exécuter cette commande.

Q : Où puis-je trouver des instructions pour me connecter à la machine virtuelle ?

R : Pour obtenir des instructions de connexion, reportez-vous au guide Connexion à une machine virtuelle avec SSH.

Q : Que spécifie l'option –pdbName ?

R : l'option --pdbName indique le nom de la base de données pluggable dont les tablespaces doivent être cryptés.

Q : Que fait l'option –dbname ?

R : L'option --dbname vous permet d'indiquer le nom de la base de données pluggable Oracle AI Database à laquelle elle appartient.

Q : Que fait l'option –precheckOnly ?

R : L'option --precheckOnly exécute une prévérification de l'opération de cryptage sans apporter de modifications réelles. Les valeurs valides sont yes ou no.

Q : Que fait l'option –useSysdbaCredential ?

R : L'option --useSysdbaCredential indique si les informations d'identification SYSDBA doivent être utilisées pour l'opération. Les valeurs valides sont True et False.

Q : Pouvez-vous donner un exemple de cryptage de tablespaces dans une base de données pluggable spécifique ?

R : Voici un exemple de cryptage de tous les tablespaces dans une base de données pluggable nommée mypdb :

dbaascli tde encryptTablespacesInPDB --pdbName mypdb

Q : Comment crypter des tablespaces dans une base de données pluggable spécifique au sein d'une base de données ?

R : Utilisez la commande suivante pour indiquer à la fois la base de données pluggable et la base de données :

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --dbname mydatabase

Q : Comment exécuter une prévérification sans effectuer le chiffrement ?

R : Vous pouvez exécuter une prévérification uniquement à l'aide de la syntaxe suivante :

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --precheckOnly yes

Q : Comment utiliser les informations d'identification SYSDBA pour crypter les tablespaces ?

R : Vous pouvez utiliser les informations d'identification SYSDBA en ajoutant l'option --useSysdbaCredential true :

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --useSysdbaCredential true

Q : Quels sont les prérequis pour l'exécution de la commande dbaascli tde encryptTablespacesInPDB ?

R : Vous devez exécuter la commande en tant qu'utilisateur root et avoir accès à la machine virtuelle Oracle Base Database Cloud@Customer.

Q : Dois-je redémarrer la base de données pour crypter les tablespaces ?

R : Non, la commande ne nécessite pas de redémarrage de la base de données. Le cryptage est effectué lorsque la base de données est en ligne.

Q : Ai-je besoin des informations d'identification SYSDBA pour crypter les tablespaces ?

R : Vous pouvez avoir besoin d'informations d'identification SYSDBA pour cette opération si elle est indiquée à l'aide de l'option --useSysdbaCredential.

Q : Que dois-je faire si la commande échoue ?

R : Assurez-vous que vous exécutez la commande en tant qu'utilisateur root et vérifiez que le nom de la base de données pluggable (--pdbName) et le nom de la base de données (--dbname) sont corrects. Vous pouvez également exécuter la commande avec --precheckOnly yes pour rechercher les problèmes avant d'exécuter le cryptage complet.

Q : Que dois-je faire en cas d'échec du cryptage des tablespaces ?

R : Vérifiez les journaux de base de données et assurez-vous que vous disposez des privilèges et des ressources nécessaires pour effectuer le cryptage. Vous devrez peut-être également vérifier qu'il y a suffisamment d'espace pour gérer le processus de chiffrement.

Q : Comment vérifier si les tablespaces d'une base de données pluggable sont cryptés ?

R : Vous pouvez interroger les vues de base de données liées au cryptage, telles que V$ENCRYPTED_TABLESPACES, pour vérifier si le cryptage des tablespaces a réussi.

Q : Comment vérifier si la prévérification a réussi ?

R : Si vous avez exécuté la commande avec --precheckOnly yes, vous pouvez vérifier la sortie pour tout avertissement ou erreur indiquant des problèmes potentiels avec le processus de cryptage.

Q : Puis-je crypter simultanément les tablespaces de plusieurs bases pluggables ?

R : Non, vous devez exécuter la commande dbaascli tde encryptTablespacesInPDB séparément pour chaque base de données pluggable.

Q : Puis-je crypter partiellement certains tablespaces dans une base de données pluggable ?

R : Non. Cette commande crypte tous les tablespaces de la base de données pluggable indiquée. Pour le cryptage partiel, vous devez utiliser différentes commandes de gestion de base de données.

Q : Le cryptage des tablespaces a-t-il une incidence sur les performances de la base de données ?

R : Le cryptage des tablespaces peut avoir un impact temporaire sur les performances pendant le processus de cryptage. Toutefois, l'impact doit être minime une fois le chiffrement terminé.

Q : Puis-je annuler le cryptage des tablespaces ?

R : Non. Une fois les tablespaces cryptés, le cryptage ne peut pas être annulé. Vous pouvez uniquement faire pivoter ou recrypter les clés si nécessaire.

Q : Que se passe-t-il si l'opération est interrompue pendant le processus de chiffrement ?

R : Si l'opération est interrompue, vous devrez peut-être réexécuter la commande. Le système reprend le cryptage là où il s'est arrêté et vous pouvez vérifier le statut à l'aide des vues de base de données.

Exemple : dbaascli tde encryptTablespacesInPDB

dbaascli tde encryptTablespacesInPDB --dbname dbname --pdbName pdb
dbaascli tde encryptTablespacesInPDB --dbname dbname --pdbName pdb --executePrereqs

dbaascli tde fileToHsm

Pour convertir un cryptage transparent des données basé sur FILE en cryptage transparent des données basé sur HSM (KMS/OKV), utilisez la commande dbaascli tde fileToHsm.

Prérequis :

Exécutez la commande en tant qu'utilisateur root.

Syntaxe :

dbaascli tde fileToHsm --kmsKeyOCID <value> --dbname <value>
[--skipPatchCheck <value>]
[--executePrereqs ]
[--primarySuc <value>]
{
    [--resume [--sessionID <value>]] | [--revert [--sessionID <value>]]
}
[--waitForCompletion <value>]

Paramètres:

Paramètre Description
--kmsKeyOCID indique l'OCID de clé KMS à utiliser pour le cryptage transparent des données. Applicable uniquement si KMS est sélectionné pour le cryptage transparent des données.
--dbname indique le nom de la base de données
--skipPatchCheck ignore l'opération de validation pour les patches requis si la valeur transmise pour cet argument est true. Valeurs valides : true ou false
--executePrereqs exécute les vérifications de prérequis et signale les résultats.
--primarySuc indiquer cette propriété dans la base de données de secours de l'environnement Data Guard une fois que la commande a été exécutée sur la base de données principale ;
--resume indique de reprendre l'exécution précédente
--sessionID indique de reprendre un ID spécifique de session
--revert indique que l'exécution précédente peut être annulée
--sessionID indique qu'un ID de session spécifique doit été annulé
--waitForCompletion indiquez false pour exécuter l'opération en arrière-plan. Valeurs valides : true ou false.

Foire aux questions:

Q : Quel est le but de la commande dbaascli tde fileToHsm ?

R : La commande dbaascli tde fileToHsm est utilisée pour convertir un cryptage transparent des données (TDE) basé sur FILE en TDE basé sur le module de sécurité HSM, tel que KMS ou OKV, dans un environnement Oracle AI Database Cloud Service.

Q : Qui peut exécuter la commande dbaascli tde fileToHsm ?

R : la commande doit être exécutée en tant qu'utilisateur root.

Q : Quel est le rôle du paramètre –kmsKeyOCID ?

R : le paramètre --kmsKeyOCID indique l'OCID de clé KMS qui sera utilisé pour le cryptage TDE lors de la transition d'un cryptage TDE basé sur un fichier vers un cryptage TDE basé sur HSM.

Q : Que fait le paramètre –dbname ?

R : Le paramètre --dbname indique le nom de la base de données pour laquelle vous convertissez le cryptage transparent des données à partir d'un fichier vers un système HSM.

Q : Puis-je ignorer la vérification de validation de patch lors de la conversion de TDE ?

R : Oui. En utilisant le paramètre --skipPatchCheck avec la valeur true, vous pouvez ignorer la vérification de validation des patches requis.

Q : Dans quel cas le paramètre –executePrereqs est-il utilisé ?

R : Le paramètre --executePrereqs vous permet d'exécuter uniquement les prévérifications pour le processus de conversion TDE sans effectuer la conversion réelle. Les valeurs valides sont yes ou no.

Q : Que fait le paramètre –primarySuc dans une configuration Data Guard ?

R : Le paramètre --primarySuc est utilisé dans un environnement Data Guard pour indiquer que la commande a été exécutée sur la base de données principale. Elle doit être indiquée sur la base de données de secours une fois la conversion principale terminée.

Q : Comment reprendre une conversion TDE précédente ?

R : Vous pouvez reprendre une conversion TDE précédemment incomplète à l'aide du paramètre --resume. Vous pouvez éventuellement indiquer un ID de session spécifique avec --sessionID.

Q : Comment puis-je rétablir une conversion TDE ?

R : Pour rétablir une conversion TDE précédente, utilisez le paramètre --revert. Vous pouvez également indiquer l'ID de session spécifique à rétablir à l'aide de --sessionID.

Q : Comment spécifier un ID de session lors de la reprise ou de l'annulation d'une conversion TDE ?

R : Vous pouvez utiliser le paramètre --sessionID pour indiquer l'ID de la session que vous souhaitez reprendre ou rétablir. Exemple : --resume --sessionID <ID> ou --revert --sessionID <ID>.

Q : Que se passe-t-il si j'affecte la valeur False à –waitForCompletion ?

R : Si vous définissez --waitForCompletion sur false, le processus de conversion TDE s'exécute en arrière-plan et l'invite de commande revient immédiatement. Si elle est définie sur true, la commande attend que le processus se termine avant de renvoyer le contrôle à l'utilisateur.

Q : Quelles sont les valeurs valides pour le paramètre –waitForCompletion ?

R : Les valeurs valides sont true ou false. Si elle est définie sur True, la commande attend que le processus soit terminé. Si elle est définie sur false, le processus est exécuté en arrière-plan.

Q : Puis-je exécuter dbaascli TDE fileToHsm sans convertir immédiatement le TDE ?

R : Oui, vous pouvez utiliser le paramètre --executePrereqs yes pour effectuer uniquement les prévérifications de la conversion, sans apporter de modifications au cryptage transparent des données.

Q : Dans un environnement Data Guard, comment gérer la base de données de secours après la conversion de TDE sur la base principale ?

R : une fois la conversion exécutée sur la base de données principale, vous devez indiquer --primarySuc lors de l'exécution de la commande sur la base de données de secours.

Q : Que dois-je faire si le processus de conversion TDE échoue ?

R : Si le processus échoue, vous pouvez utiliser le paramètre --resume pour tenter de reprendre là où il s'était arrêté. Si nécessaire, vous pouvez utiliser le paramètre --revert pour annuler les modifications apportées lors de la session en échec.

Exemple : dbaascli tde fileToHsm –kmsKeyOCID

dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs
dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --resume

dbaascli tde getHsmKeys

Pour obtenir les détails de la clé active TDE, utilisez la commande dbaascli tde getHsmKeys.

Prérequis :

Exécutez la commande en tant qu'utilisateur root.

Syntaxe :

dbaascli tde getHsmKeys
[--dbname]
[--infoFile]

Paramètres:

Paramètre Description
--dbname indique le nom de la base de données
--infoFile indique le chemin du fichier dans lequel la liste des OCID sera enregistrée. La sortie est au format JSON.

Foire aux questions:

Q : Que fait la commande dbaascli tde getHsmKeys ?

R : La commande dbaascli tde getHsmKeys extrait les détails des clés TDE (Transparent Data Encryption) actives à partir du module HSM (Hardware Security Module) pour une base de données spécifiée.

Q : Qui doit exécuter la commande dbaascli tde getHsmKeys ?

R : la commande doit être exécutée en tant qu'utilisateur root.

Q : Sur quelle machine dois-je exécuter la commande dbaascli tde getHsmKeys ?

R : Pour exécuter cette commande, vous devez vous connecter à une machine virtuelle Oracle Base Database Cloud@Customer à l'aide de SSH.

Q : Où puis-je trouver des instructions pour me connecter à la machine virtuelle ?

R : Pour obtenir des instructions sur la connexion, reportez-vous au guide Connexion à une machine virtuelle avec SSH.

Q : Que fait l'option –dbname ?

R : L'option --dbname vous permet d'indiquer le nom de la base de données Oracle AI Database pour laquelle vous voulez extraire les détails de clé TDE.

Q : Que fait l'option –infoFile ?

R : l'option --infoFile indique le chemin du fichier dans lequel la liste des OCID de clé (identificateurs Oracle Cloud) sera enregistrée. La sortie est au format JSON.

Q : Pouvez-vous donner un exemple de la façon d'extraire les détails de clé TDE pour une base de données spécifique ?

R : Voici un exemple d'obtention des détails de clé TDE pour une base de données nommée mydatabase :

dbaascli tde getHsmKeys --dbname mydatabase

Q : Comment enregistrer les détails de la clé TDE dans un fichier ?

R : Vous pouvez indiquer un chemin de fichier à l'aide de l'option --infoFile pour enregistrer la sortie au format JSON :

dbaascli tde getHsmKeys --dbname mydatabase --infoFile /path/to/output.json

Q : Quels sont les prérequis pour l'exécution de la commande dbaascli tde getHsmKeys ?

R : Vous devez exécuter la commande en tant qu'utilisateur root et être connecté à la machine virtuelle Oracle Base Database Cloud@Customer.

Q : Ai-je besoin des informations d'identification SYSDBA pour extraire les détails de clé TDE ?

R : Non. Les informations d'identification SYSDBA ne sont pas requises pour exécuter la commande dbaascli tde getHsmKeys.

Q : Dans quel format les informations de clé TDE sont-elles enregistrées lors de l'utilisation de l'option –infoFile ?

R : La sortie est enregistrée au format JSON.

Q : Quelles informations sont incluses dans les détails de la clé TDE ?

R : Les détails incluent des OCID de clé et d'autres métadonnées sur les clés de cryptage actives stockées dans le module HSM pour la base de données indiquée.

Q : Que dois-je faire si la commande ne parvient pas à extraire les détails de la clé ?

R : Assurez-vous que vous exécutez la commande en tant qu'utilisateur root et que le nom de la base de données (--dbname) est correct. Vérifiez votre connexion à la machine virtuelle Oracle Base Database Cloud@Customer.

Q : Comment vérifier si le fichier de sortie a été créé avec succès ?

R : Vous pouvez vérifier le chemin de fichier indiqué pour le fichier JSON de sortie. Si le fichier est manquant, vérifiez que le chemin d'accès est correct et que vous disposez des droits d'accès en écriture au répertoire.

Q : Que dois-je faire si le fichier de sortie est vide ?

R : Assurez-vous que la base de données indiquée contient des clés TDE actives et que le paramètre --dbname est correct. Vous devrez peut-être également vérifier si les journaux de base de données contiennent des erreurs.

Q : Puis-je extraire les détails de clé TDE pour plusieurs bases de données à la fois ?

R : Non, vous devez exécuter la commande dbaascli tde getHsmKeys séparément pour chaque base de données.

Q : Comment utiliser le fichier de sortie de l'option –infoFile dans d'autres opérations ?

R : Comme la sortie est au format JSON, vous pouvez analyser le fichier par programmation ou l'utiliser comme entrée pour d'autres tâches de gestion de base de données ou de cryptage.

Q : Puis-je obtenir des détails de clé TDE historiques à l'aide de cette commande ?

R : Non, la commande extrait uniquement les détails sur les clés actuellement actives dans le module HSM.

Q : Comment puis-je vérifier que les clés récupérées sont correctes ?

R : vous pouvez vérifier les clés en les faisant référence à l'aide de la console Oracle Cloud Infrastructure (OCI) ou à l'aide de vues de base de données liées à la gestion du cryptage.

Exemple : dbaascli tde getHsmKeys

dbaascli tde getHsmkeys --dbname dbname
dbaascli tde getHsmkeys --dbname dbname --infoFile infoFilePath

dbaascli tde getMkidForKeyVersionOCID

Pour obtenir l'ID de clé maître associé à l'OCID de version de clé KMS, utilisez la commande dbaascli tde getMkidForKeyVersionOCID.

Prérequis :

Exécutez la commande en tant qu'utilisateur root.

Syntaxe :

dbaascli tde getMkidForKeyVersionOCID --kmsKeyVersionOCID <value>
[--dbname <value>]
[--waitForCompletion <value>]

Paramètres:

Paramètre Description
--kmsKeyVersionOCID indique l'OCID de version de clé KMS à définir
--dbname indique le nom de la base de données
--waitForCompletion spécifie false pour exécuter l'opération en arrière-plan. Valeurs valides : true ou false.

Foire aux questions:

Q : Quel est le but de la commande dbaascli tde getMkidForKeyVersionOCID ?

R : la commande dbaascli tde getMkidForKeyVersionOCID extrait l'ID de clé maître (MKID) associé à un OCID de version de clé KMS spécifique dans les environnements Oracle AI Database Cloud Service.

Q : Quels sont les prérequis pour l'exécution de la commande dbaascli tde getMkidForKeyVersionOCID ?

R : Vous devez :

Q : Qui peut exécuter la commande dbaascli tde getMkidForKeyVersionOCID ?

R : seul l'utilisateur root peut exécuter cette commande.

Q : Que spécifie le paramètre –kmsKeyVersionOCID ?

R : le paramètre --kmsKeyVersionOCID indique l'OCID de version de clé KMS pour lequel vous voulez extraire l'ID de clé maître (MKID) associé.

Q : Que spécifie le paramètre –dbname ?

R : le paramètre --dbname indique le nom de la base de données pour laquelle l'OCID de version de clé KMS est interrogé.

Q : Le paramètre –dbname est-il obligatoire ?

R : Non. Le paramètre --dbname est facultatif. Si vous n'indiquez pas de nom de base de données, la commande extrait le MKID de la base de données par défaut sur le système.

Q : Que dois-je faire si je ne connais pas l'OCID de version de clé KMS ?

R : Vous devez extraire l'OCID de version de clé KMS de la console de gestion KMS ou du fournisseur de services avant d'utiliser cette commande. Sans elle, la commande ne peut pas récupérer l'ID de clé maître (MKID).

Q : Puis-je exécuter cette commande sur un environnement non Oracle Base Database Cloud@Customer ?

R : Non, cette commande est spécifiquement destinée à être utilisée dans un environnement Oracle Base Database Cloud@Customer et vous devez vous connecter à une machine virtuelle à l'aide de SSH pour l'exécuter.

Q : Que se passe-t-il si j'exécute la commande sans spécifier de nom de base de données à l'aide de –dbname ?

R : si le paramètre --dbname n'est pas fourni, la commande tente d'extraire le MKID pour la base de données par défaut configurée sur le système.

Q : Que dois-je faire si je rencontre une erreur lors de la récupération du MKID ?

R : Assurez-vous que :

Q : Comment me connecter à la machine virtuelle Oracle Base Database Cloud@Customer ?

R : Vous pouvez vous connecter à la machine virtuelle via SSH. Reportez-vous à la documentation Oracle Base Database Cloud@Customer pour savoir comment vous connecter en toute sécurité.

Exemple : dbaascli tde getMkidForKeyVersionOCID

dbaascli tde getMkidForKeyVersionOCID --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha

dbaascli tde getPrimaryHsmKey

Pour obtenir la clé HSM (KMS) primaire de la configuration HSM (KMS) existante, utilisez la commande dbaascli tde getPrimaryHsmKey.

Prérequis :

Exécutez la commande en tant qu'utilisateur root.

Syntaxe :

dbaascli tde getPrimaryHsmKey
[--dbname]

Paramètres:

Paramètre Description
--dbname indique le nom de la base de données

Foire aux questions:

Q : Quel est le but de la commande dbaascli tde getPrimaryHsmKey ?

R : La commande dbaascli tde getPrimaryHsmKey extrait la clé HSM (Hardware Security Module) principale de la configuration HSM (KMS) existante dans un environnement Oracle AI Database.

Q : Quels sont les prérequis pour l'exécution de la commande dbaascli tde getPrimaryHsmKey ?

R : Vous devez :

Q : Qui peut exécuter la commande dbaascli tde getPrimaryHsmKey ?

R : seul l'utilisateur root peut exécuter cette commande.

Q : Que spécifie le paramètre –dbname dans cette commande ?

R : le paramètre --dbname indique le nom de la base de données pour laquelle vous voulez extraire la clé HSM principale.

Q : Le paramètre –dbname est-il obligatoire ?

R : Non. Le paramètre --dbname est facultatif. Si elle n'est pas fournie, la commande extrait la clé HSM principale de la base de données par défaut sur le système.

Q : Que dois-je faire si je ne spécifie pas de nom de base de données avec –dbname ?

R : si le paramètre --dbname n'est pas spécifié, la commande tente d'extraire la clé HSM principale pour la base de données par défaut configurée sur le système.

Q : Puis-je exécuter cette commande sur un environnement non Oracle Base Database Cloud@Customer ?

R : Non, cette commande est spécialement conçue pour être utilisée dans un environnement Oracle Base Database Cloud@Customer et vous devez être connecté à la machine virtuelle à l'aide de SSH pour l'exécuter.

Q : Comment me connecter à la machine virtuelle Oracle Base Database Cloud@Customer pour exécuter la commande ?

R : Vous pouvez vous connecter à la machine virtuelle via SSH. Pour obtenir des instructions sur la connexion sécurisée, reportez-vous à la documentation Oracle Base Database Cloud@Customer.

Q : Que dois-je vérifier si une erreur s'est produite lors de la récupération de la clé HSM principale ?

R : Si vous rencontrez une erreur, assurez-vous que :

Q : Dois-je arrêter la base de données pour exécuter la commande dbaascli tde getPrimaryHsmKey ?

R : Non, la base de données n'a pas besoin d'être arrêtée pour exécuter cette commande. Vous pouvez l'exécuter lorsque la base de données est en cours d'exécution.

Q : Quel est le but de l'extraction de la clé HSM principale ?

R : L'extraction de la clé HSM principale vous permet d'identifier la clé HSM actuelle utilisée pour le chiffrement dans la configuration HSM (KMS) existante de la base de données.

Exemple : dbaascli tde getPrimaryHsmKey

dbaascli tde getPrimaryHsmKey --dbname dbname

dbaascli tde hsmToFile

Pour convertir un cryptage transparent des données basé sur HSM (KMS/OKV) en cryptage transparent des données basé sur FILE, utilisez la commande dbaascli tde hsmToFile.

Exécutez la commande en tant qu'utilisateur root.

Syntaxe :

dbaascli tde hsmToFile
[--dbname <value>]
{
    [--prepareStandbyBlob <value> [--blobLocation <value>]
   | [--standbyBlobFromPrimary <value>]
}
]
[--skipPatchCheck <value>]
[--executePrereqs ]
[--primarySuc <value>]
{
     [--resume [--sessionID <value>]] |
     [--revert [--sessionID <value>]]
}
[--waitForCompletion <value>]

Paramètres:

Paramètre Description
--dbname indique le nom de la base de données
--prepareStandbyBlob indiquez true pour générer un fichier BLOB contenant les artefacts nécessaires à l'exécution de l'opération dans un environnement DG.
--blobLocation emplacement de répertoire personnalisé où le fichier BLOB de secours sera généré dans un environnement DG.
--standbyBlobFromPrimary indiquez l'emplacement du fichier BLOB de secours, préparé à partir de la base des données principale. Requis uniquement pour les opérations de base de données de secours. ]
--skipPatchCheck ignore l'opération de validation pour les patches requis si la valeur transmise pour cet argument est true. Valeurs valides : true ou false
--executePrereqs exécute les vérifications de prérequis et signale les résultats.
--primarySuc indiquer cette propriété dans la base de données de secours de l'environnement Data Guard une fois que la commande a été exécutée sur la base de données principale ;
--resume reprend l'exécution précédente.
--sessionID indique de reprendre un ID spécifique de session
--revert indique d'annuler l'exécution précédente.
--sessionID indique qu'un ID de session spécifique doit été annulé
--waitForCompletion indique false pour exécuter l'opération en arrière-plan. Valeurs valides : true ou false

Foire aux questions:

Q : Quel est le but de la commande dbaascli tde hsmToFile ?

R : La commande dbaascli tde hsmToFile permet de convertir un cryptage transparent des données (TDE) basé sur un module de sécurité HSM en un cryptage TDE basé sur des fichiers dans les environnements Oracle AI Database Cloud Service.

Q : Quels sont les prérequis pour l'exécution de la commande dbaascli tde hsmToFile ?

R : Vous devez :

Q : Que spécifie le paramètre –dbname ?

R : Le paramètre --dbname indique le nom de la base de données pour laquelle vous convertissez TDE à partir de HSM en base de fichier.

Q : Quand le paramètre –primaryDBWalletTar est-il requis ?

R : Le paramètre --primaryDBWalletTar est requis uniquement lors de la conversion hsmToFile sur une base de données de secours. Il indique le fichier tar du portefeuille de la base de données principale.

Q : Quel est le rôle du paramètre –skipPatchCheck ?

R : Le paramètre --skipPatchCheck vous permet d'ignorer la vérification de validation des patches requis. Définissez cette valeur sur true pour ignorer la vérification ou sur false pour l'appliquer.

Q : Comment exécuter uniquement des prévérifications pour le processus de conversion sans effectuer la conversion réelle ?

R : Vous pouvez utiliser le paramètre --executePrereqs et le définir sur yes pour exécuter uniquement les prévérifications. Définissez-le sur no pour effectuer la conversion complète.

Q : Que fait le paramètre –primarySuc dans un environnement Data Guard ?

R : Le paramètre --primarySuc est utilisé dans une configuration Data Guard pour indiquer que la conversion a été exécutée sur la base de données principale. Il doit être utilisé lors de l'exécution de la conversion sur la base de données de secours.

Q : Comment puis-je reprendre une conversion hsmToFile précédente ?

R : Vous pouvez reprendre une conversion précédente à l'aide du paramètre --resume. Vous pouvez éventuellement indiquer l'ID de session de l'exécution précédente avec --sessionID.

Q : Quel est le but du paramètre –revert ?

R : Le paramètre --revert permet d'annuler un processus de conversion lancé précédemment en cas d'échec ou si vous devez annuler l'opération.

Q : Que se passe-t-il si j'affecte la valeur False à –waitForCompletion ?

R : Si vous définissez --waitForCompletion sur false, l'opération sera exécutée en arrière-plan, ce qui vous permettra de poursuivre d'autres tâches. Si elle est définie sur true, la commande attend que le processus se termine avant de renvoyer le contrôle à l'utilisateur.

Q : Que dois-je faire si je dois convertir le TDE dans une base de données de secours dans une configuration Data Guard ?

R : Dans une configuration Data Guard, après la conversion de TDE sur la base de données principale, vous devez exécuter la commande sur la base de données de secours à l'aide du paramètre --primaryDBWalletTar, en indiquant le fichier tar du portefeuille à partir de la base de données principale et en incluant --primarySuc.

Q : Que dois-je faire si je veux ignorer la vérification des patches requis pendant la conversion ?

R : vous pouvez ignorer la vérification de patch en utilisant le paramètre --skipPatchCheck et en le définissant sur true.

Q : Comment vérifier si le système est prêt pour la conversion hsmToFile sans apporter de modifications ?

R : Vous pouvez effectuer uniquement les prévérifications en utilisant le paramètre --executePrereqs et en le définissant sur yes.

Q : Que dois-je faire si le processus de conversion est interrompu ?

R : Vous pouvez utiliser le paramètre --resume pour redémarrer le processus à partir duquel il s'est arrêté. Vous pouvez éventuellement indiquer un ID de session particulier avec --sessionID.

Q : Que dois-je faire si le processus de conversion échoue ?

R : Si la conversion échoue, vous pouvez annuler le processus à l'aide du paramètre --revert. En outre, consultez les éventuels messages d'erreur et consultez les journaux système pour plus de détails.

Q : Puis-je exécuter la commande dbaascli tde hsmToFile sur un environnement autre que Base Database ?

R : Cette commande est conçue pour être utilisée dans les environnements Oracle Base Database Cloud@Customer. Si vous n'utilisez pas Base Database, assurez-vous que vous êtes dans un environnement pris en charge pour que la commande fonctionne correctement.

Exemple : dbaascli tde hsmToFile

dbaascli tde hsmToFile --dbname dbname
dbaascli tde hsmToFile --dbname dbname --executePrereqs
dbaascli tde hsmToFile --dbname dbname --resume

dbaascli tde listKeys

Pour répertorier les clés maître TDE, utilisez la commande dbaascli tde listKeys.

Prérequis :

Exécutez la commande en tant qu'utilisateur root.

Syntaxe :

dbaascli tde listKeys
[--dbname <value>]
[--infoFilePath <value>]

Paramètres:

Paramètre Description
--dbname indique le nom de la base de données
--infoFilePath permet d'indiquer le chemin absolu du fichier dans lequel les résultats sont enregistrés.

Foire aux questions:

Q : Quel est le but de la commande dbaascli tde listKeys ?

R : La commande dbaascli tde listKeys permet de répertorier toutes les clés maître de cryptage transparent des données (TDE) d'une base de données spécifiée dans un environnement Oracle AI Database.

Q : Quels sont les prérequis pour l'exécution de la commande dbaascli tde listKeys ?

R : Vous devez :

Q : Que fait le paramètre –file dans la commande dbaascli tde listKeys ?

R : Le paramètre --file indique le chemin du fichier dans lequel la liste des clés maître TDE doit être enregistrée. Si ce paramètre n'est pas fourni, les résultats s'affichent directement dans le terminal.

Q : Que spécifie le paramètre –dbname ?

R : Le paramètre --dbname indique le nom de la base de données pour laquelle vous voulez répertorier les clés maître TDE.

Q : Le paramètre –file est-il obligatoire ?

R : Non. Le paramètre --file est facultatif. Si elle n'est pas fournie, la liste des clés TDE sera affichée dans la sortie du terminal au lieu d'être enregistrée dans un fichier.

Q : Le paramètre –dbname est-il obligatoire ?

R : Non. Le paramètre --dbname est facultatif. Si elle n'est pas spécifiée, la commande répertorie les clés maître TDE pour la base de données par défaut configurée sur le système.

Q : Que dois-je faire si je veux enregistrer la liste des clés dans un fichier ?

R : Vous devez fournir le paramètre --file avec le chemin de fichier souhaité. Exemple :

dbaascli tde listKeys --file /path/to/output.txt

Q : Que se passe-t-il si je ne fournis pas de nom de base de données avec –dbname ?

R : si le paramètre --dbname n'est pas fourni, la commande répertorie les clés maître TDE de la base de données par défaut sur le système.

Q : Puis-je utiliser cette commande dans des environnements autres qu'Oracle Base Database Cloud@Customer ?

R : Cette commande est conçue spécifiquement pour les environnements Oracle Base Database Cloud@Customer. Assurez-vous que vous êtes connecté à la machine virtuelle appropriée pour l'exécuter.

Q : Que dois-je faire si la commande ne répertorie pas les clés ?

R : Assurez-vous que :

Q : Puis-je exécuter la commande dbaascli tde listKeys alors que la base de données est en cours d'exécution ?

R : Oui, la commande peut être exécutée pendant l'exécution de la base de données. Il répertorie simplement les clés maître TDE et ne modifie pas l'état de la base de données.

Q : Ai-je besoin d'autorisations spéciales pour exécuter cette commande ?

R : Vous devez exécuter cette commande en tant qu'utilisateur root. Sans droits d'accès root, vous ne pourrez pas exécuter la commande.

Q : Quel est le but de la liste des clés principales TDE ?

R : La liste des clés principales TDE vous permet de vérifier les clés de cryptage utilisées pour protéger les données de votre base de données. Il est essentiel pour la surveillance et la gestion des paramètres de chiffrement.

Q : Comment me connecter à la machine virtuelle Oracle Base Database Cloud@Customer pour exécuter la commande ?

R : Vous pouvez vous connecter à la machine virtuelle à l'aide de SSH. Pour obtenir des instructions sur l'établissement d'une connexion sécurisée, reportez-vous à la documentation Oracle Base Database Cloud@Customer.

Exemple : dbaascli tde listKeys

dbaascli tde listKeys --dbname dbname
dbaascli tde listKeys --dbname dbname --infoFilePath infoFilePath

dbaascli tde removeSecondaryHsmKey

Pour enlever une clé HSM (KMS) secondaire de la configuration HSM (KMS) existante, utilisez la commande dbaascli tde removeSecondaryHsmKey.

Prérequis :

Exécutez la commande en tant qu'utilisateur root.

Syntaxe :

dbaascli tde removeSecondaryHsmKey --dbname <value>
[--confirmDeletion]
[--secondaryKmsKeyOCID]
[--executePrereqs]

Paramètres:

Paramètre Description
--dbname indique le nom de la base de données
--confirmDeletion si non indiqué, l'utilisateur sera invité à effectuer l'action lors de la suppression de toutes les clés HSM(KMS) existantes.
--secondaryKmsKeyOCID clé KMS secondaire à enlever de cette configuration HSM (KMS) existante. Si aucune valeur n'est indiquée, toutes les clés KMS secondaires sont enlevées.
--executePrereqs exécute les vérifications de prérequis et signale les résultats.

Foire aux questions:

Q : Quel est le but de la commande dbaascli tde removeSecondaryHsmKey ?

R : La commande dbaascli tde removeSecondaryHsmKey permet de supprimer une clé HSM (Hardware Security Module) secondaire de la configuration HSM (KMS) existante dans un environnement Oracle AI Database.

Q : Quels sont les prérequis pour l'exécution de la commande dbaascli tde removeSecondaryHsmKey ?

R : Vous devez :

Q : Que fait le paramètre –force dans la commande dbaascli tde removeSecondaryHsmKey ?

R : Le paramètre --force permet de supprimer la clé HSM secondaire sans inviter l'utilisateur à confirmer. Si aucune clé n'est indiquée, la commande invite l'utilisateur à la supprimer.

Q : Que spécifie le paramètre –secondaryKmsKeyOCID ?

R : le paramètre --secondaryKmsKeyOCID indique l'OCID (identificateur Oracle Cloud) de la clé KMS secondaire à enlever de la configuration HSM existante.

Q : Que fait le paramètre –dbname ?

R : Le paramètre --dbname indique le nom de la base de données pour laquelle la clé HSM secondaire est en cours de suppression.

Q : Quel est le rôle du paramètre –precheckOnly ?

R : si le paramètre --precheckOnly est défini sur yes, les prévérifications seront uniquement exécutées pour valider la préparation de l'opération de suppression sans enlever réellement la clé HSM secondaire. Si elle est définie sur no, l'opération de suppression complète est effectuée.

Q : Le paramètre –force est-il obligatoire ?

R : Non. Le paramètre --force est facultatif. S'il n'est pas spécifié, le système invite l'utilisateur à confirmer avant de procéder à la suppression de la clé.

Q : Le paramètre –secondaryKmsKeyOCID est-il obligatoire ?

R : Oui, vous devez fournir --secondaryKmsKeyOCID pour identifier la clé HSM secondaire spécifique que vous souhaitez supprimer de la configuration.

Q : Le paramètre –dbname est-il obligatoire ?

R : Non. Le paramètre --dbname est facultatif. Si elle n'est pas spécifiée, la commande tente de supprimer la clé HSM secondaire de la base de données par défaut sur le système.

Q : Que dois-je faire si je souhaite supprimer la clé HSM secondaire sans invite utilisateur ?

R : Vous devez utiliser le paramètre --force pour ignorer l'invite de confirmation et supprimer directement la clé HSM secondaire :

dbaascli tde removeSecondaryHsmKey --force --secondaryKmsKeyOCID <value>

Q : Comment puis-je vérifier si le système est prêt à retirer la clé HSM secondaire sans réellement la retirer ?

R : Vous pouvez utiliser le paramètre --precheckOnly défini sur Oui pour effectuer une prévérification :

dbaascli tde removeSecondaryHsmKey --precheckOnly yes --secondaryKmsKeyOCID <value>

Q : Que se passe-t-il si je ne fournis pas de nom de base de données avec –dbname ?

R : si le paramètre --dbname n'est pas spécifié, la commande tente de supprimer la clé HSM secondaire de la base de données par défaut configurée sur le système.

Q : Que dois-je vérifier si la commande ne supprime pas la clé HSM secondaire ?

R : Assurez-vous que :

Q : Que dois-je faire si l'opération de retrait échoue à mi-chemin ?

R : Si l'opération échoue, consultez les journaux d'erreurs et essayez d'exécuter la commande avec --precheckOnly pour vous assurer que le système est prêt pour l'opération. Si nécessaire, corrigez les problèmes avant de réessayer.

Q : Puis-je exécuter la commande dbaascli tde removeSecondaryHsmKey alors que la base de données est en cours d'exécution ?

R : Oui, la commande peut être exécutée pendant l'exécution de la base de données, car elle ne nécessite pas l'arrêt de la base de données.

Q : Quel est le but de la suppression d'une clé HSM secondaire ?

R : La suppression d'une clé HSM secondaire est généralement effectuée lorsque la clé n'est plus nécessaire ou lorsque vous souhaitez gérer les clés de cryptage utilisées dans votre configuration TDE (Transparent Data Encryption).

Q : Comment me connecter à la machine virtuelle Oracle Base Database Cloud@Customer pour exécuter la commande ?

R : Vous pouvez vous connecter à la machine virtuelle à l'aide de SSH. Pour obtenir des instructions sur l'établissement d'une connexion sécurisée, reportez-vous à la documentation Oracle Base Database Cloud@Customer.

Exemple : dbaascli tde removeSecondaryHsmKey

dbaascli tde removeSecondaryHsmKey --dbname dbname
dbaascli tde removeSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde removeSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs

dbaascli tde rotateMasterKey

Afin d'effectuer la rotation de la clé maître pour le cryptage de base de données, utilisez la commande dbaascli tde rotateMasterKey.

Prérequis :

Exécutez la commande en tant qu'utilisateur root.

Syntaxe :

dbaascli tde rotateMasterKey --dbname <value>
[--rotateMasterKeyOnAllPDBs]
[--pdbName <value>]
[--executePrereqs]
[--resume [--sessionID <value>]]
{
     [--prepareStandbyBlob <value> [--blobLocation <value>]]
     | [--standbyBlobFromPrimary <value>]
 }

Paramètres:

Paramètre Description
--dbname indique le nom de l'instance Oracle AI Database
--rotateMasterKeyOnAllPDBs indique true pour effectuer la rotation de la clé maître de toutes les bases de données pluggables de la base de donnée Conteneur. Valeurs valides : true ou false
--pdbName indique le nom de la base de données pluggable.
--executePrereqs exécute les contrôles de prérequis et signale les résultats
--resume indique de reprendre l'exécution précédente
--sessionID indique de reprendre un ID spécifique de session
--prepareStandbyBlob indique true pour générer un fichier BLOB contenant les artefacts nécessaires à l'opération dans un environnement Data Guard.
--blobLocation indique l'emplacement du répertoire personnalisé où le fichier BLOB de secours sera généré dans un environnement Data Guard.
--standbyBlobFromPrimary indique l'emplacement du fichier BLOB de la base des données de secours, préparé à partir de la base des données principale. Requis uniquement pour les opérations de base de données secours.

Foire aux questions:

Q : Quel est le but de la commande dbaascli tde rotateMasterKey ?

R : La commande dbaascli tde rotateMasterKey permet de faire pivoter la clé maître utilisée pour le cryptage transparent des données (TDE) dans une base de données Oracle AI Database. Ce processus garantit que les clés de cryptage sont mises à jour pour une meilleure sécurité.

Q : Quels sont les prérequis pour l'exécution de la commande dbaascli tde rotateMasterKey ?

R : Vous devez :

Q : Que spécifie le paramètre –dbname ?

R : le paramètre --dbname indique le nom de la base de données Oracle AI Database pour laquelle effectuer la rotation de la clé de cryptage maître.

Q : Quel est le rôle du paramètre –rotateMasterKeyOnAllPDBs ?

R : le paramètre --rotateMasterKeyOnAllPDBs indique si la clé maître doit faire l'objet d'une rotation pour toutes les bases de données pluggables dans une base de données Conteneur. Les valeurs valides sont True et False.

Q : Que fait le paramètre –pdbName ?

R : le paramètre --pdbName indique le nom d'une base de données pluggable particulière si vous souhaitez effectuer la rotation de la clé maître pour une base de données pluggable spécifique plutôt que pour toutes les bases de données pluggables.

Q : Que fait le paramètre –executePrereqs ?

R : Le paramètre --executePrereqs exécute des vérifications de prérequis pour vérifier si l'environnement est prêt pour la rotation de la clé maître sans effectuer la rotation réelle.

Q : Que spécifie le paramètre –resume ?

R : Le paramètre --resume est utilisé pour reprendre une opération précédemment démarrée. Vous pouvez également fournir un ID de session spécifique à l'aide de --sessionID pour reprendre une session particulière.

Q : Quel est le rôle du paramètre –prepareStandbyBlob ?

R : Si le paramètre --prepareStandbyBlob est défini sur True, il génère un fichier BLOB contenant les artefacts nécessaires pour effectuer la rotation de la clé maître dans un environnement Data Guard.

Q : Que fait le paramètre –blobLocation ?

R : Le paramètre --blobLocation indique un chemin de répertoire personnalisé dans lequel le fichier BLOB de secours sera généré. Ceci s'applique lorsque --prepareStandbyBlob est défini sur true.

Q : Que spécifie le paramètre –standbyBlobFromPrimary ?

R : Le paramètre --standbyBlobFromPrimary indique l'emplacement du fichier BLOB de secours généré à partir de la base de données principale. Ce paramètre est utilisé lors de la rotation de la clé maître sur une base de données de secours dans un environnement Data Guard.

Q : Le paramètre –rotateMasterKeyOnAllPDBs est-il obligatoire ?

R : Non. Le paramètre --rotateMasterKeyOnAllPDBs est facultatif. Si elle n'est pas indiquée, la clé maître est uniquement pivotée pour la base de données (ou la base de données pluggable spécifique) fournie dans les paramètres --dbname ou --pdbName.

Q : Le paramètre –pdbName est-il requis si je fais pivoter les clés d'une base de données Conteneur ?

R : Non. Le paramètre --pdbName n'est requis que si vous voulez effectuer la rotation de la clé maître pour une base de données pluggable spécifique. Elle est facultative lors de la rotation de la clé pour l'ensemble de la base de données Conteneur.

Q : Dois-je utiliser les paramètres –prepareStandbyBlob et –standbyBlobFromPrimary pour les bases de données autonomes ?

R : Non, ces paramètres ne sont pertinents que dans un environnement Data Guard où une base de données de secours est impliquée.

Q : Comment faire pivoter la clé maître de toutes les bases de données pluggables d'une base de données Conteneur ?

R : Vous devez utiliser le paramètre --rotateMasterKeyOnAllPDBs défini sur True pour faire pivoter la clé maître de toutes les bases de données pluggables de la base de données Conteneur. Exemple :

dbaascli tde rotateMasterKey --dbname CDB_NAME --rotateMasterKeyOnAllPDBs true

Q : Comment puis-je exécuter une vérification pour vérifier que le système est prêt pour la rotation de la clé maître sans effectuer l'opération réelle ?

R : Vous pouvez utiliser le paramètre --executePrereqs pour exécuter les vérifications de prérequis. Cela signale tous les problèmes susceptibles d'empêcher la rotation de la clé maître :

dbaascli tde rotateMasterKey --dbname DB_NAME --executePrereqs

Q : Que dois-je faire si l'opération a été interrompue et que je veux la reprendre ?

R : Vous pouvez utiliser le paramètre --resume pour reprendre l'opération précédemment interrompue. Si vous disposez d'un ID de session, indiquez-le avec le paramètre --sessionID :

dbaascli tde rotateMasterKey --dbname DB_NAME --resume --sessionID <value>

Q : Comment préparer la rotation des clés dans un environnement Data Guard ?

R : Vous devez utiliser le paramètre --prepareStandbyBlob pour générer un fichier BLOB contenant les artefacts requis pour la rotation de la clé maître dans un environnement de secours :

dbaascli tde rotateMasterKey --dbname DB_NAME --prepareStandbyBlob true --blobLocation /path/to/blob

Q : Comment appliquer le fichier BLOB de secours à partir de la base de données principale lors de la rotation des clés sur une base de données de secours ?

R : Utilisez le paramètre --standbyBlobFromPrimary pour indiquer l'emplacement du fichier BLOB préparé sur la base de données principale :

dbaascli tde rotateMasterKey --dbname DB_NAME --standbyBlobFromPrimary /path/to/blob

Q : Que dois-je vérifier si la rotation de la clé maître échoue ?

R : Assurez-vous que :

Q : Que dois-je faire si l'opération ne se termine pas correctement dans un environnement Data Guard ?

R : Assurez-vous que le fichier BLOB de la base de données principale a été préparé correctement à l'aide de --prepareStandbyBlob, puis utilisez --standbyBlobFromPrimary pour l'appliquer à la base de données de secours.

Q : Puis-je exécuter la commande dbaascli tde rotateMasterKey alors que la base de données est en cours d'exécution ?

R : Oui, la commande peut être exécutée pendant l'exécution de la base de données. Toutefois, il est recommandé d'exécuter préalablement les vérifications de prérequis à l'aide de l'option --executePrereqs.

Q : Pourquoi la rotation de la clé maître est-elle importante ?

R : La rotation de la clé maître améliore la sécurité de la base de données en veillant à ce que les clés de cryptage utilisées pour la protection des données soient régulièrement mises à jour, ce qui réduit le risque de compromission des clés.

Q : Dois-je redémarrer la base de données après la rotation de la clé maître ?

R : Non. Le redémarrage de la base de données n'est pas nécessaire après la rotation de la clé maître. La rotation des clés prendra effet immédiatement sans interruption de service.

dbaascli tde setKeyVersion

Pour définir la version de la clé primaire à utiliser dans la base de données, la base de données Conteneur ou la base de données pluggable, utilisez la commande dbaascli tde setKeyVersion.

Exécutez la commande en tant qu'utilisateur root.

Syntaxe :

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <value>
[--pdbName <value>]
[--masterKeyID <value>]
[--standbySuc]
[--executePrereqs]
[--waitForCompletion <value>]

Paramètres:

Paramètre Description
--kmsKeyVersionOCID indique l'OCID de version de clé KMS à définir.
--dbname indique le nom de la base.
--pdbName nom de la base pluggable devant utiliser l'OCID de version d'une clé.
--masterKeyID indique l'ID de clé maître de l'OCID de version de clé donné. Applicable à l'environnement Data Guard.
--standbySuc indiquer cette propriété dans la base de données principale de l'environnement Data Guard une fois que la commande a été exécutée sur la base de données de secours ;
--executePrereqs exécute les vérifications de prérequis et signale les résultats.
--waitForCompletion spécifie false pour exécuter l'opération en arrière-plan. Valeurs valides : true ou false

Foire aux questions:

Q : Quel est le but de la commande dbaascli tde setKeyVersion ?

R : La commande dbaascli tde setKeyVersion permet de définir la version de la clé de cryptage principale qui doit être utilisée pour le cryptage transparent des données dans une base de données ou une base de données pluggable. La version spécifique d'une clé KMS peut ainsi être affectée à la base de données.

Q : Quels sont les prérequis pour utiliser la commande dbaascli tde setKeyVersion ?

R : Vous devez exécuter la commande en tant qu'utilisateur root et vous assurer que vous êtes connecté à une machine virtuelle Oracle Base Database Cloud@Customer.

Q : Que spécifie le paramètre –kmsKeyVersionOCID ?

R : le paramètre --kmsKeyVersionOCID indique l'OCID de version de clé KMS (identificateur Oracle Cloud) à définir pour la base de données ou la base de données pluggable.

Q : Que spécifie le paramètre –dbname ?

R : le paramètre --dbname indique le nom de la base de données Oracle AI Database pour laquelle la version de clé sera définie.

Q : Quel est le rôle du paramètre –pdbName ?

R : le paramètre --pdbName indique le nom de la base de données pluggable dans une base de données Conteneur dans laquelle définir la version de clé KMS spécifique.

Q : Dans quel cas le paramètre –masterKeyID est-il utilisé ?

R : le paramètre --masterKeyID indique l'ID de clé maître associé à l'OCID de version de clé KMS indiqué. Cela est particulièrement important dans un environnement Data Guard.

Q : Quel est le rôle du paramètre –standbySuc ?

R : Le paramètre --standbySuc est utilisé dans un environnement Data Guard. Elle indique que cette propriété doit être définie sur la base de données principale après l'exécution de la commande sur la base de données de secours.

Q : Que fait le paramètre –executePrereqs ?

R : Le paramètre --executePrereqs indique si les vérifications de prérequis doivent être exécutées avant l'opération. Les valeurs valides sont yes ou no.

Q : Que contrôle le paramètre –waitForCompletion ?

R : Le paramètre --waitForCompletion détermine si l'opération sera exécutée de manière synchrone (en attente de fin) ou asynchrone (en arrière-plan). Les valeurs valides sont true ou false.

Q : Le paramètre –pdbName est-il requis si vous définissez la version de clé d'une base de données Conteneur ?

R : Non, le paramètre --pdbName n'est requis que si vous définissez la version de clé pour une base de données pluggable spécifique. Cette option est facultative si vous définissez la version de la clé pour l'ensemble de la base de données Conteneur.

Q : Le paramètre –masterKeyID est-il nécessaire pour les environnements autres que Data Guard ?

R : Non. En général, le paramètre --masterKeyID est utilisé uniquement dans les environnements Data Guard. Pour les bases de données autonomes, ce paramètre n'est pas obligatoire.

Q : Comment définir la version de clé d'une base de données ?

R : Vous pouvez définir la version de clé d'une base de données en exécutant :

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <DB_NAME>

Q : Comment définir la version de clé d'une base de données pluggable spécifique ?

R : Pour définir la version de clé d'une base de données pluggable spécifique, utilisez le paramètre --pdbName avec le nom de la base de données :

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <DB_NAME> --pdbName <PDB_NAME>

Q : Comment puis-je m'assurer que tous les prérequis sont respectés avant de définir la version de clé ?

R : Vous pouvez exécuter les vérifications de prérequis à l'aide du paramètre --executePrereqs :

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --executePrereqs yes

Q : Comment définir la version de clé dans un environnement Data Guard ?

R : Dans un environnement Data Guard, vous devez :

Q : Comment puis-je exécuter l'opération en arrière-plan sans attendre qu'elle se termine ?

R : Vous pouvez exécuter l'opération de manière asynchrone en définissant --waitForCompletion sur false :

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --waitForCompletion false

Q : Que dois-je faire si la version de clé n'est pas définie ?

R : Assurez-vous que :

Q : Que dois-je vérifier si l'opération ne se termine pas correctement dans un environnement Data Guard ?

R : assurez-vous que le paramètre --masterKeyID est correctement indiqué lors de l'exécution de la commande sur la base de données de secours. Une fois terminé sur la base de données de secours, le paramètre --standbySuc doit être utilisé lors de l'exécution de la commande sur la base de données principale.

Q : Puis-je exécuter la commande dbaascli tde setKeyVersion alors que la base de données est en cours d'exécution ?

R : Oui, la commande peut être exécutée pendant l'exécution de la base de données. Toutefois, il est recommandé d'exécuter au préalable les vérifications de prérequis à l'aide de --executePrereqs.

Q : Pourquoi est-il important de définir la bonne version de clé KMS pour une base de données ?

R : La définition de la bonne version de clé KMS garantit que la base de données utilise la version de clé de cryptage appropriée pour TDE, ce qui permet de maintenir la sécurité des données et la conformité aux stratégies organisationnelles.

Q : Que se passe-t-il si j'utilise l'OCID de version de clé KMS incorrect ?

R : Si un OCID de version de clé KMS incorrect est utilisé, le cryptage risque d'échouer et la base de données ne pourra pas utiliser la clé incorrecte pour les opérations de cryptage. Vous devez vous assurer que l'OCID de version de clé indiqué est correct.

Q : Dois-je redémarrer la base de données après avoir défini la version de clé ?

R : Non. Le redémarrage de la base de données n'est pas nécessaire après la définition de la version de clé. La nouvelle version de clé prendra effet immédiatement sans nécessiter de redémarrage.

Exemple : dbaascli tde setKeyVersion

dbaascli tde setKeyVersion --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha
dbaascli tde setKeyVersion --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha --executePrereqs
dbaascli tde setKeyVersion --dbname dbname --pdbName pdb --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha

dbaascli tde setPrimaryHsmKey

Pour modifier la clé HSM (KMS) primaire de la configuration HSM (KMS) existante, utilisez la commande dbaascli tde setPrimaryHsmKey.

Exécutez la commande en tant qu'utilisateur root.

Syntaxe :

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <value> --dbname <value>
[--allStandbyPrepared]
[--bounceDatabase]
[--executePrereqs]
[--resume [--sessionID <value>]]

Paramètres:

Paramètre Description
--primaryKmsKeyOCID indique la clé KMS primaire à définir
--dbname indique le nom de la base de données
--allStandbyPrepared permet d'indiquer que l'opération a été exécutée sur toutes les bases de données de secours.
--bounceDatabase spécifiant cet indicateur pour effectuer un redémarrage non simultané de la base de données pour cette opération
--executePrereqs exécute les vérifications de prérequis et signale les résultats.
--resume pour reprendre l'exécution précédente.
--sessionID pour reprendre un ID session spécifique.

Foire aux questions:

Q : Quel est le but de la commande dbaascli tde setPrimaryHsmKey ?

R : La commande dbaascli tde setPrimaryHsmKey permet de modifier la clé HSM principale (Hardware Security Module) ou KMS (Key Management Service) dans une configuration HSM/KMS existante pour le cryptage transparent des données (TDE).

Q : Quels sont les prérequis pour l'exécution de la commande dbaascli tde setPrimaryHsmKey ?

R : La commande doit être exécutée en tant qu'utilisateur root et l'environnement doit être une machine virtuelle Oracle Base Database Cloud@Customer.

Q : Que spécifie le paramètre –primaryKmsKeyOCID ?

R : le paramètre --primaryKmsKeyOCID indique l'OCID (identificateur Oracle Cloud) de la clé KMS principale à définir pour l'environnement TDE.

Q : Quelle est la fonction du paramètre –dbname ?

R : le paramètre --dbname indique le nom de la base de données Oracle AI Database pour laquelle la clé HSM/KMS principale sera définie.

Q : Que fait le paramètre –standbySuc ?

R : Le paramètre --standbySuc est utilisé dans un environnement Data Guard. Elle indique que la commande doit être exécutée sur la base de données principale après son exécution sur la base de données de secours.

Q : Quel est le rôle du paramètre –precheckOnly ?

R : Le paramètre --precheckOnly vous permet d'exécuter uniquement les prévérifications pour cette opération. Il valide l'environnement sans apporter de modifications réelles. Les valeurs valides sont yes ou no.

Q : Que contrôle le paramètre –bounceDatabase ?

R : Le paramètre --bounceDatabase indique si la base de données doit être retournée (redémarrée) de manière non simultanée dans le cadre de l'opération. Cela garantit un temps d'arrêt minimal en redémarrant une à une des parties de la base de données.

Q : Comment définir la clé KMS principale pour ma base de données ?

R : Pour définir la clé KMS principale, exécutez la commande suivante :

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME>

Q : Comment puis-je m'assurer que l'opération peut être exécutée sans aucun problème ?

R : exécutez l'opération avec le paramètre --precheckOnly pour vérifier que tous les prérequis sont respectés :

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --precheckOnly yes

Q : Comment définir la clé KMS principale dans un environnement Data Guard ?

R : Exécutez d'abord la commande sur la base de données de secours :

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME>

Exécutez ensuite la commande sur la base de données principale avec le paramètre --standbySuc :

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME> --standbySuc yes

Q : Comment réduire les temps d'arrêt lors de la modification de la clé KMS principale ?

R : Vous pouvez utiliser le paramètre --bounceDatabase pour effectuer un redémarrage non simultané, ce qui réduit les temps d'arrêt :

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --bounceDatabase

Q : Le paramètre –dbname est-il requis pour toutes les bases de données ?

R : Oui, vous devez indiquer le paramètre --dbname pour indiquer la base de données cible pour laquelle la clé KMS principale doit être définie.

Q : Est-il obligatoire d'utiliser le paramètre –standbySuc dans un environnement Data Guard ?

R : Oui. Le paramètre --standbySuc doit être utilisé lors de l'exécution de la commande sur la base de données principale après son exécution sur la base de données de secours.

Q : Puis-je ignorer l'opération de redémarrage de la base de données ?

R : Oui. Si vous n'indiquez pas le paramètre --bounceDatabase, la base de données ne sera pas renvoyée (redémarrée) dans le cadre de l'opération.

Q : Que dois-je faire si la commande échoue pendant l'exécution ?

R : Si la commande échoue, assurez-vous :

Q : Que se passe-t-il si l'opération échoue dans un environnement Data Guard ?

R : Assurez-vous que la commande a été exécutée sur la base de données de secours avant de l'exécuter sur la base de données principale. Recherchez les erreurs dans les journaux et réexécutez l'opération avec les paramètres corrects.

Q : Puis-je exécuter la commande dbaascli tde setPrimaryHsmKey sur une base de données active ?

R : Oui, la commande peut être exécutée pendant que la base de données est active. Cependant, l'utilisation du paramètre --bounceDatabase permet de redémarrer la base de données de manière non simultanée, ce qui réduit l'impact.

Q : Comment exécuter la commande de manière non simultanée pour éviter un temps d'arrêt complet ?

R : Utilisez le paramètre --bounceDatabase pour effectuer un redémarrage non simultané de la base de données lors de la modification de la clé KMS principale :

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --bounceDatabase

Q : Quelle est l'importance de la modification de la clé KMS primaire ?

R : La modification de la clé KMS principale garantit que la base de données utilise une clé de cryptage mise à jour ou différente pour le cryptage transparent des données (TDE). Cela peut être nécessaire pour des raisons de sécurité ou de conformité.

Q : A quelle fréquence la clé KMS principale doit-elle faire l'objet d'une rotation ou d'une modification ?

R : Bien qu'il n'existe pas de règle stricte, les organisations peuvent effectuer une rotation de la clé KMS principale en fonction de stratégies de sécurité, telles que des intervalles de rotation des clés ou des exigences de conformité.

Q : Que se passe-t-il si la clé KMS principale est définie de manière incorrecte ?

R : Si l'OCID de clé incorrect est défini, les opérations de cryptage de base de données peuvent échouer et vous devrez peut-être rétablir la clé correcte ou rectifier la configuration en définissant l'OCID de clé KMS correct.

Q : Dois-je redémarrer la base de données après avoir modifié la clé KMS principale ?

R : Non, vous n'avez pas besoin de redémarrer la base de données, sauf si vous choisissez d'utiliser le paramètre --bounceDatabase, qui redémarre automatiquement la base de données pour appliquer la modification.

Exemple : dbaascli tde setPrimaryHsmKey

dbaascli tde setPrimaryHsmKey --dbname dbname --primaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde setPrimaryHsmKey --dbname dbname --primaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs

dbaascli tde status

Afin d'afficher les informations relatives au fichier de clés pour la base de données spécifiée, utilisez la commande dbaascli tde status.

Prérequis :

Exécutez la commande en tant qu'utilisateur oracle.

Syntaxe :

dbaascli tde status --dbname dbname

Paramètres:

Paramètre Description
--dbname indique le nom de la base de données à vérifier.

La sortie de la commande inclut le type et le statut du fichier de clés.

Foire aux questions:

Q : Que fait la commande dbaascli tde status ?

R : La commande dbaascli tde status affiche des informations sur le fichier de clés d'une base de données spécifiée. Cela inclut des détails sur le type de fichier de clés et son statut.

Q : Qui doit exécuter la commande dbaascli tde status ?

R : la commande doit être exécutée en tant qu'utilisateur oracle.

Q : Où doit être exécutée la commande dbaascli tde status ?

R : La commande doit être exécutée sur une machine virtuelle Oracle Base Database Cloud@Customer. Vous devez vous connecter à la machine virtuelle via SSH pour exécuter l'utilitaire.

Q : Quelle est la fonction du paramètre –dbname ?

R : Le paramètre --dbname indique le nom de la base de données pour laquelle le statut du fichier de clés TDE sera vérifié.

Q : Quelles informations la commande dbaascli tde status renvoie-t-elle ?

R : La sortie de la commande inclut le type de fichier de clés (par exemple, basé sur HSM ou sur un fichier) et le statut actuel du fichier de clés, par exemple s'il est ouvert, fermé ou dans un autre état.

Q : Comment savoir si le fichier de clés est ouvert ou fermé à l'aide de la commande dbaascli tde status ?

R : le statut du fichier de clés, qu'il soit ouvert ou fermé, fait partie de la sortie renvoyée par la commande dbaascli tde status.

Q : Comment vérifier le statut du fichier de clés TDE pour une base de données spécifique ?

R : Pour vérifier le statut du fichier de clés TDE pour une base de données spécifique, exécutez la commande suivante :

dbaascli tde status --dbname <DB_NAME>

Q : Puis-je vérifier le statut du fichier de clés pour plusieurs bases de données ?

R : Oui, mais vous devez exécuter la commande séparément pour chaque base de données, en indiquant son nom à l'aide du paramètre --dbname.

Q : La commande dbaascli tde status peut-elle être exécutée en tant qu'utilisateur root ?

R : Non. La commande doit être exécutée en tant qu'utilisateur oracle, et non en tant qu'utilisateur root.

Q : Ai-je besoin de droits d'accès spéciaux pour exécuter la commande dbaascli tde status ?

R : Oui, vous devez disposer des privilèges utilisateur oracle et être connecté à une machine virtuelle Oracle Base Database Cloud@Customer pour exécuter la commande.

Q : Que dois-je faire si j'obtiens une erreur lors de l'exécution de la commande dbaascli tde status ?

R : assurez-vous que vous exécutez la commande en tant qu'utilisateur oracle, et vérifiez que vous disposez des droits d'accès nécessaires et que vous êtes connecté à la machine virtuelle appropriée.

Q : Comment savoir quel type de fichier de clés utilise ma base de données ?

R : Le type de fichier de clés, par exemple s'il est basé sur un fichier ou sur HSM/KMS, est affiché dans la sortie de la commande dbaascli tde status.

Q : Que dois-je faire si le fichier de clés est fermé ?

R : Si le fichier de clés est fermé, vous devrez peut-être l'ouvrir manuellement, en fonction de l'opération que vous essayez d'effectuer. Le processus exact dépendra du type de fichier de clés et de votre environnement.

Q : Puis-je afficher le statut d'un fichier de clés pour une base de données Conteneur ou une base de données pluggable ?

R : Oui. En indiquant le nom de base de données approprié à l'aide du paramètre --dbname, vous pouvez visualiser le statut du fichier de clés pour les bases de données Conteneur et les bases de données pluggables.

Q : Que signifie la commande si elle renvoie une erreur concernant la connectivité de la base de données ?

R : Cela peut indiquer un problème avec la connexion à la base de données ou un problème avec votre environnement. Assurez-vous que la base de données est en cours d'exécution et accessible, et vérifiez votre connexion SSH à la machine virtuelle Oracle Base Database Cloud@Customer.

Q : Que se passe-t-il si le nom de la base de données est incorrect ?

R : si le paramètre --dbname indique une base de données incorrecte ou inexistante, la commande échoue et vous recevez un message d'erreur indiquant le problème.

Q : Comment puis-je résoudre le problème si le statut du fichier de clés indique un état inattendu ?

R : Si le statut du fichier de clés indique un état inattendu, consultez les journaux de base de données pour plus de détails et vérifiez la configuration du fichier de clés pour vous assurer qu'il est correctement configuré.

Q : Puis-je automatiser la vérification du statut du fichier de clés à des fins de surveillance ?

R : Oui, vous pouvez créer un script pour la commande dbaascli tde status afin de vérifier régulièrement le statut du fichier de clés ou de l'intégrer à vos outils de surveillance de base de données.

Q : Comment vérifier que le cryptage transparent des données (TDE) est correctement activé ?

R : Vous pouvez vérifier que TDE est correctement activé en vérifiant le statut du fichier de clés à l'aide de la commande dbaascli tde status. Un fichier de clés valide et ouvert indique que TDE est correctement configuré.

Exemple : dbaascli tde status

dbaascli tde status --dbname dbname