Transparent Data Encryption (TDE)管理

この項では、データベース・データを保護するためのTransparent Data Encryption (TDE)の管理について説明します。これには、暗号化キーおよびキーストアを処理するためのコマンド(セカンダリHSMキーを追加するためのdbaascli tde addSecondaryHsmKey、マスター・キーをローテーションするためのdbaascli tde rotateMasterKey、プラガブル・データベース内の表領域を暗号化するためのdbaascli tde encryptTablespacesInPDBなど)が含まれます。FILEとHSMベースのTDE (dbaascli tde fileToHsm、dbaascli tde hsmToFile)間の変換、キー・バージョンの管理、および様々なコマンドによるキー詳細の取得も可能です。これらのツールは、効果的な暗号化管理とデータ・セキュリティを確保します。

dbaascli tde addSecondaryHsmKey

既存のHSM (KMS)構成にセカンダリHSM (KMS)キーを追加するには、dbaascli tde addSecondaryHsmKeyコマンドを使用します。

前提条件:

rootユーザーとしてコマンドを実行します。

構文:

dbaascli tde addSecondaryHsmKey --dbname <value> --secondaryKmsKeyOCID <value>
[--executePrereqs]

パラメータ:

パラメータ 説明
--secondaryKmsKeyOCID 既存のHSM (KMS)構成に追加するセカンダリKMSキーを指定します
--dbname データベースの名前を指定します
--executePrereqs 前提条件チェックを実行して結果をレポートします。

よくある質問:

Q: dbaascli tde addSecondaryHsmKeyコマンドは何をしますか。

A: dbaascli tde addSecondaryHsmKeyコマンドは、Oracle Base Database Cloud@Customerデータベースの既存のHSM (KMS)構成にセカンダリHSM (KMS)キーを追加します。

Q: dbaascli tde addSecondaryHsmKeyコマンドを実行するのは誰ですか。

A: このコマンドは、rootユーザーとして実行する必要があります。

質問: dbaascli tde addSecondaryHsmKeyコマンドはどのマシンで実行すればよいですか。

A: このコマンドを実行するには、SSHを使用してOracle Base Database Cloud@Customer仮想マシンに接続する必要があります。

Q: このコマンドを実行するための仮想マシンへの接続の詳細情報はどこで確認できますか。

A: 接続方法については、SSHを使用した仮想マシンへの接続のガイドを参照してください。

質問: –secondaryKmsKeyOCIDオプションは何を指定していますか。

A: --secondaryKmsKeyOCIDオプションは、既存のHSM (KMS)構成に追加するセカンダリKMSキーのOCID (Oracle Cloud Identifier)を指定します。

Q: –dbnameオプションは何をしますか。

A: --dbnameオプションを使用すると、セカンダリKMSキーを追加する必要があるデータベースの名前を指定できます。これはオプションです。

質問: –precheckOnlyオプションは何を行いますか。

A: --precheckOnlyオプションをyesに設定すると、実際の変更を行わずに操作の事前チェックが実行されます。有効な値は、yesまたはnoです。

質問: 変更を行わずに事前チェックのみを実行できますか。

A: はい。--precheckOnly yesオプションを使用すると、変更を行わずに事前チェックのみを実行できます。

Q: このコマンドを実行してセカンダリHSMキーを追加する方法の例を教えてください。

A: 以下に例を示します。

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example

Q: 特定のデータベースに対してどのようにコマンドを実行するのですか。

A: 次のようにデータベース名を指定できます。

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example --dbname mydatabase

Q: 事前チェックのみでコマンドを実行するにはどうすればよいですか。

A: 事前チェックを実行するには、次の構文を使用します。

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example --precheckOnly yes

Q: コマンドが失敗した場合はどうすればよいですか?

A: rootユーザーとしてコマンドを実行し、正しいOracle Base Database Cloud@Customer仮想マシンに接続していることを確認します。また、KMSキーのOCIDを確認し、必要な権限が付与されているかどうかを確認します。

Q: セカンダリKMSキーに正しいOCIDがあるかどうかを確認するにはどうすればよいですか。

A: KMSキーのOCIDは、Oracle Cloud Infrastructureコンソールの「Key Management Service (KMS)」セクションから取得できます。

Q: 二次KMS鍵を追加するには、どのようなアクセス権が必要ですか?

A: Oracle Cloud Infrastructure for KMS操作で、関連するコンパートメントのKMSキーを管理する機能など、適切な権限が必要です。

質問: –dbnameオプションを指定せずにdbaascli tde addSecondaryHsmKeyコマンドを使用できますか。

A: はい、--dbnameオプションはオプションです。省略した場合、このコマンドは既存のHSM (KMS)構成を使用するすべてのデータベースに適用されます。

Q: 二次KMSキーを追加するとどうなりますか?

A: 2番目のKMSキーが既存の構成に追加され、暗号化キー管理の冗長性のレイヤーが追加されます。

Q: 副KMSキーを追加したら削除できますか?

A: いいえ、セカンダリKMS鍵を追加すると、削除することはできません。キーをローテーションまたは更新できるのは、将来のみです。

例: dbaascli tde addSecondaryHsmKey

dbaascli tde addSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde addSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --precheckOnly yes

dbaascli tde changePassword

別名tde_ks_passwdのTDEキーストア・パスワードおよびDBウォレット・パスワードを変更するには、dbaascli tde changePasswordコマンドを使用します。

前提条件:

rootユーザーとしてコマンドを実行します。

構文:

dbaascli tde changePassword [--dbname <value>]
  {            [--prepareStandbyBlob <value> [--blobLocation <value>]]
               | [--standbyBlobFromPrimary <value>]
  }
  [--resume [--sessionID <value>]]

パラメータ:

パラメータ 説明
--dbname データベースの名前を指定します
--prepareStandbyBlob DG環境での操作の実行に必要なアーティファクトを含むBlobファイルを生成するには、trueを指定してください。
--blobLocation DG環境でスタンバイBLOBファイルが生成されるカスタム・パス。
--standbyBlobFromPrimary スタンバイBLOBファイルの場所を指定します。このファイルはプライマリ・データベースから作成されます。これは、スタンバイ操作でのみ必須です。
--resume 前の実行を再開します。
--sessionID 特定のセッションIDを再開します。

よくある質問:

Q: dbaascli tde changePasswordコマンドは何をしますか。

A: dbaascli tde changePasswordコマンドは、Transparent Data Encryption (TDE)キーストア・パスワードと、別名tde_ks_passwdのデータベース・ウォレット・パスワードを変更します。

Q: dbaascli tde changePasswordコマンドを実行するのは誰ですか。

A: このコマンドは、rootユーザーとして実行する必要があります。

質問: dbaascli tde changePasswordコマンドはどのような場合に使用しますか。

A: このコマンドは、Oracle Base Database Cloud@CustomerデータベースのTDEキーストア・パスワードまたはDBウォレット・パスワードを変更する必要がある場合に使用します。

Q: –dbnameオプションは何をしますか。

A: --dbnameオプションは、TDEキーストア・パスワードを変更するデータベースの名前を指定します。

質問: –pdbNameオプションは何を行いますか。

A: --pdbNameオプションは、TDEキーストア・パスワードを変更する必要があるプラガブル・データベース(PDB)の名前を指定します。このオプションは、マルチテナント・データベースに使用されます。

Q: 特定のデータベースに対してこのコマンドを実行する方法の例をあげることができますか。

A: 特定のデータベースのTDEキーストア・パスワードを変更する例を次に示します:

dbaascli tde changePassword --dbname mydatabase

Q: マルチテナント・データベース内の特定のPDBに対してコマンドを実行するにはどうすればよいですか。

A: 次の構文を使用してPDB名を指定できます。

dbaascli tde changePassword --dbname mydatabase --pdbName mypdb

Q: dbaascli tde changePasswordコマンドを実行するための前提条件は何ですか。

A: rootユーザーとしてコマンドを実行し、データベースが実行されているOracle Base Database Cloud@Customer仮想マシンにアクセスできる必要があります。

Q: TDEキーストア・パスワードを変更するには、データベースを停止する必要がありますか。

A: いいえ、TDEキーストア・パスワードを変更するためにデータベースを停止する必要はありません。

Q: コマンドが失敗した場合はどうすればよいですか?

A: rootユーザーとしてコマンドを実行し、データベース名(--dbname)およびPDB名(該当する場合、--pdbName)が正しいことを確認します。

Q: TDEキーストア・パスワードの変更時に「無効なパスワード」エラーが発生した場合はどうなりますか。

A: 新しいパスワードがシステムのパスワードの複雑さの要件を満たしていること、およびプロンプトが表示されたら正しい古いパスワードを入力していることを確認してください。

Q: TDEキーストア・パスワードが正常に変更されたかどうかを確認するにはどうすればよいですか。

A: データベース・ログを確認したり、Oracle AI Database Vaultおよびキー管理ビューを使用して、TDEキーストアのパスワードの変更が成功したことを確認できます。

Q: マルチテナント・データベースおよびすべてのPDBのTDEキーストア・パスワードを一度に変更できますか。

A: いいえ。複数のPDBのパスワードを変更する必要がある場合は、各PDBに対してdbaascli tde changePasswordコマンドを個別に実行する必要があります。

Q: 新しいTDEキーストア・パスワードを忘れた場合はどうなりますか。

A: 新しいパスワードを忘れた場合は、設定に応じて、バックアップからキーストアをリストアするか、Oracleのリカバリ・プロセスに従ってキーストアをリセットする必要があります。

Q: TDEキーストア・パスワードを変更するプロセスを自動化できますか。

A: dbaascli tde changePasswordコマンド自体は自動化用に設計されていませんが、必要に応じて通常のデータベース・メンテナンス手順の一部としてスクリプト化できます。

Q: TDEキーストア・パスワードを変更する頻度はどのくらいですか。

A: Oracleでは、組織のセキュリティ・ポリシーに基づいてTDEキーストア・パスワードを定期的に変更することをお薦めします。ベスト・プラクティスには、通常、暗号化キーとキーストアのパスワードを定期的にローテーションすることが含まれます。

Data Guard以外の環境でTDEパスワードを変更するには

dbaascli tde changepassword --dbname
      <dbname>

Data Guard環境でTDEパスワードを変更するには

  1. プライマリ・データベースのTDEパスワードを変更します。

    dbaascli tde changepassword --dbname
      <dbname> --prepareStandbyBlob true --blobLocation
      <Location where blob file has to be generated>

  2. 作成されたスタンバイBLOBをスタンバイ・データベース環境にコピーします。

  3. スタンバイ・データベースのTDEパスワードを変更します

    dbaascli tde changepassword --dbname
     <dbname> --standbyBlobFromPrimary <Location of blob generated from
    primary>

dbaascli tde enableWalletRoot

既存のデータベースのwallet_root spfileパラメータを有効にするには、dbaascli tde enableWalletRootコマンドを使用します。

前提条件:

rootユーザーとしてコマンドを実行します。

構文:

dbaascli tde enableWalletRoot --dbname <value>
[--dbRestart <value>]
[--executePrereqs]
[--resume [--sessionID <value>]]

パラメータ:

パラメータ 説明
--dbname Oracle AI Databaseの名前を示します。
--dbrestart データベース再起動オプションを指定します。有効な値は、rollingまたはfullです。デフォルト値: rolling。dbrestart引数を渡さない場合、データベースはrolling方式で再起動します。
--precheckOnly 事前チェックのみを実行します。有効な値は、yesまたはnoです
--resume 前の実行を再開します。
--sessionID 特定のセッションIDを再開します。

よくある質問:

Q: dbaascli tde enableWalletRootコマンドは何をしますか。

A: dbaascli tde enableWalletRootコマンドは、Oracle Base Database Cloud@Customer上の既存のOracle AI Databaseに対して、spfileのwallet_rootパラメータを有効にします。

Q: dbaascli tde enableWalletRootコマンドを実行するのは誰ですか。

A: このコマンドは、rootユーザーとして実行する必要があります。

質問: dbaascli tde enableWalletRootコマンドはどのマシンで実行すればよいですか。

A: このコマンドを実行するには、SSHを使用してOracle Base Database Cloud@Customer仮想マシンに接続する必要があります。

Q: 仮想マシンに接続する手順はどこにありますか?

A: 接続の手順については、SSHを使用した仮想マシンへの接続のガイドを参照してください。

質問: –dbRestartオプションは何を行いますか。

A: --dbRestartオプションは、wallet_rootを有効にした後にデータベースを再起動する方法を指定します。有効な値は次のとおりです。

Q: –dbnameオプションは何をしますか。

A: --dbnameオプションを使用すると、wallet_rootパラメータを有効にするOracle AI Databaseの名前を指定できます。

質問: –precheckOnlyオプションは何を行いますか。

A: --precheckOnlyオプションは、実際の変更を行わずに操作の事前チェックを実行します。有効な値は、yesまたはnoです。

質問: –dbRestartオプションを指定しないとどうなりますか。

A: --dbRestartオプションを指定しない場合、データベースはデフォルトでローリング方式で再起動します。

Q: 特定のデータベースに対してwallet_rootを有効にする方法の例をあげることができますか。

A: 次に、mydatabaseという名前のデータベースに対してwallet_rootを有効にする例を示します。

dbaascli tde enableWalletRoot --dbname mydatabase

Q: wallet_rootを有効にしてデータベースの完全再起動を指定するにはどうすればよいですか。

A: 次のコマンドを使用して、データベースの完全再起動でwallet_rootを有効にできます。

dbaascli tde enableWalletRoot --dbname mydatabase --dbRestart full

Q: 事前チェックのみでコマンドを実行するにはどうすればよいですか。

A: 変更を行わずに事前チェックを実行するには、次の構文を使用します。

dbaascli tde enableWalletRoot --dbname mydatabase --precheckOnly yes

Q: dbaascli tde enableWalletRootコマンドを実行するための前提条件は何ですか。

A: rootユーザーとしてコマンドを実行し、正しいOracle Base Database Cloud@Customer仮想マシンに接続する必要があります。

Q: wallet_rootを有効にするためにデータベースを再起動する必要がありますか。

A: はい、データベースは、選択したオプションに応じて、ローリング方式(デフォルト)または完全に再起動する必要があります。

Q: コマンドが失敗した場合はどうすればよいですか?

A: rootユーザーとしてコマンドを実行していることを確認し、データベース名(--dbname)が正しいことを確認します。--precheckOnlyを使用して実行している場合は、事前チェック・エラーを確認します。

Q: コマンドの実行後にデータベースの再起動に失敗した場合はどうなりますか?

A: 正しい再起動オプション(rollingまたはfull)が使用されたことを確認し、データベース・ログにエラーがないか確認します。自動再起動が失敗した場合は、データベースを手動で再起動する必要がある場合があります。

質問: wallet_rootが正常に有効になっているかどうかを確認するにはどうすればよいですか。

A: データベースのspfileを確認するか、Oracle SQL問合せを使用してwallet_rootパラメータが有効になっていることを確認することで、変更を検証できます。

Q: データベースを再起動せずにwallet_rootを有効にできますか。

A: いいえ。データベースを再起動して、変更を有効にする必要があります。ローリング再起動またはフル再起動を選択できます。

Q: ローリング・データベースとフル・データベース再起動の違いは何ですか。

A: ローリング再起動では、データベースを一度に1つのインスタンスで再起動し、操作中はデータベースを部分的に使用可能にします。完全再起動では、データベース全体が停止して再起動されるため、完全な停止時間が発生します。

Q: 複数のデータベースに対してこのコマンドを同時に実行できますか?

A: wallet_rootを有効にするデータベースごとに、dbaascli tde enableWalletRootコマンドを個別に実行する必要があります。

Q: wallet_rootの有効化は、既存のTDEキーストア構成にどのように影響しますか。

A: wallet_rootを有効にすると、TDEキーストアの場所が新しいウォレット・ルート・ディレクトリに更新されるため、Oracle AIデータベース内の複数のキーストアおよびウォレットの管理が容易になります。

例: dbaascli tde enableWalletRoot

dbaascli tde enableWalletRoot --dbname db name --dbrestart rolling|full
dbaascli tde enableWalletRoot --dbname orcl
dbaascli tde enableWalletRoot --dbname orcl--dbrestart full

dbaascli tde encryptTablespacesInPDB

指定したPDB内のすべての表領域を暗号化するには、dbaascli tde encryptTablespacesInPDBコマンドを使用します。

前提条件:

rootユーザーとしてコマンドを実行します。

構文:

dbaascli tde encryptTablespacesInPDB --dbname <value> --pdbName <value>
[--executePrereqs]

パラメータ:

パラメータ 説明
--pdbName すべての表領域を暗号化するPDBの名前を指定します。
--dbname Oracle AI Databaseの名前を示します。
--executePrereqs 前提条件チェックを実行して結果をレポートします。

よくある質問:

Q: dbaascli tde encryptTablespacesInPDBコマンドは何をしますか。

A: dbaascli tde encryptTablespacesInPDBコマンドは、Oracle Base Database Cloud@Customer上のOracle AI Databaseの指定されたプラガブル・データベース(PDB)内のすべての表領域を暗号化します。

Q: dbaascli tde encryptTablespacesInPDBコマンドを実行するのは誰ですか。

A: このコマンドは、rootユーザーとして実行する必要があります。

質問: dbaascli tde encryptTablespacesInPDBコマンドはどのマシンで実行すればよいですか。

A: このコマンドを実行するには、SSHを使用してOracle Base Database Cloud@Customer仮想マシンに接続する必要があります。

Q: 仮想マシンに接続するための手順はどこにありますか。

A: 接続手順については、ガイドSSHを使用した仮想マシンへの接続を参照してください。

質問: –pdbNameオプションは何を指定していますか。

A: --pdbNameオプションは、表領域を暗号化する必要があるプラガブル・データベース(PDB)の名前を指定します。

Q: –dbnameオプションは何をしますか。

A: --dbnameオプションを使用すると、PDBが属するOracle AI Databaseの名前を指定できます。

質問: –precheckOnlyオプションは何を行いますか。

A: --precheckOnlyオプションは、実際の変更を行わずに暗号化操作の事前チェックを実行します。有効な値はyesまたはnoです。

質問: –useSysdbaCredentialオプションは何を行いますか。

A: --useSysdbaCredentialオプションは、操作にSYSDBA資格証明を使用するかどうかを指定します。有効な値はtrueとfalseです。

Q: 特定のPDBの表領域を暗号化する方法の例をあげることができますか。

A: mypdbという名前のPDB内のすべての表領域を暗号化する例を次に示します。

dbaascli tde encryptTablespacesInPDB --pdbName mypdb

Q: データベース内の特定のPDBの表領域はどのように暗号化するのですか。

A: 次のコマンドを使用して、PDBとデータベースの両方を指定します。

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --dbname mydatabase

Q: 暗号化を実行せずに事前チェックを実行するにはどうすればよいですか。

A: 事前チェックは、次の構文を使用してのみ実行できます。

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --precheckOnly yes

Q: SYSDBA資格証明を使用して表領域を暗号化する方法はありますか。

A: --useSysdbaCredential trueオプションを追加することで、SYSDBA資格証明を使用できます。

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --useSysdbaCredential true

Q: dbaascli tde encryptTablespacesInPDBコマンドを実行するための前提条件は何ですか。

A: rootユーザーとしてコマンドを実行し、Oracle Base Database Cloud@Customer仮想マシンにアクセスできる必要があります。

Q: 表領域を暗号化するためにデータベースを再起動する必要がありますか。

A: いいえ、このコマンドはデータベースの再起動を必要としません。暗号化は、データベースがオンラインのときに実行されます。

Q: 表領域を暗号化するにはSYSDBA資格証明が必要ですか。

A: --useSysdbaCredentialオプションを使用して指定した場合、この操作にはSYSDBA資格証明が必要になることがあります。

Q: コマンドが失敗した場合はどうすればよいですか?

A: rootユーザーとしてコマンドを実行し、PDB名(--pdbName)とデータベース名(--dbname)が正しいことを確認します。完全な暗号化を実行する前に、--precheckOnly yesを指定してコマンドを実行して問題を確認することもできます。

Q: 表領域の暗号化に失敗した場合はどうすればよいですか?

A: データベース・ログを確認し、暗号化を実行するために必要な権限およびリソースがあることを確認します。また、暗号化プロセスを処理するのに十分な領域があることを確認する必要がある場合もあります。

Q: PDB内の表領域が暗号化されているかどうかを確認するにはどうすればよいですか。

A: 暗号化に関連するデータベース・ビュー(V$ENCRYPTED_TABLESPACESなど)を問い合せて、表領域が正常に暗号化されているかどうかを確認できます。

Q: 事前チェックが成功したかどうかを確認するにはどうすればよいですか?

A: --precheckOnly yesを指定してコマンドを実行した場合は、暗号化プロセスに関する潜在的な問題を示す警告またはエラーがないか出力をチェックできます。

Q: 複数のPDBの表領域を同時に暗号化できますか。

A: いいえ、PDBごとにdbaascli tde encryptTablespacesInPDBコマンドを個別に実行する必要があります。

Q: PDBの一部の表領域を部分的に暗号化できますか。

A: いいえ。このコマンドは、指定されたPDB内のすべての表領域を暗号化します。部分暗号化の場合は、異なるデータベース管理コマンドを使用する必要があります。

Q: 表領域の暗号化はデータベースのパフォーマンスに影響しますか。

A: 表領域の暗号化は、暗号化プロセス中に一時的なパフォーマンスに影響する可能性があります。ただし、暗号化が完了すると、影響は最小限に抑える必要があります。

Q: 表領域の暗号化を元に戻すことはできますか。

A: いいえ、表領域を一度暗号化すると、暗号化は元に戻せません。キーをローテーションまたは再暗号化できるのは、必要に応じてのみです。

Q: 暗号化処理中に操作が中断された場合、どうなりますか?

A: 操作が中断された場合は、コマンドの再実行が必要になることがあります。システムは、中断した場所から暗号化を再開し、データベース・ビューを使用してステータスを確認できます。

例: dbaascli tde encryptTablespacesInPDB

dbaascli tde encryptTablespacesInPDB --dbname dbname --pdbName pdb
dbaascli tde encryptTablespacesInPDB --dbname dbname --pdbName pdb --executePrereqs

dbaascli tde fileToHsm

ファイル・ベースのTDEをHSM (KMS/OKV)ベースのTDEに変換するには、dbaascli tde fileToHsmコマンドを使用します。

前提条件:

rootユーザーとしてコマンドを実行します。

構文:

dbaascli tde fileToHsm --kmsKeyOCID <value> --dbname <value>
[--skipPatchCheck <value>]
[--executePrereqs ]
[--primarySuc <value>]
{
    [--resume [--sessionID <value>]] | [--revert [--sessionID <value>]]
}
[--waitForCompletion <value>]

パラメータ:

パラメータ 説明
--kmsKeyOCID TDEに使用するKMSキーOCIDを指定します。これは、KMSがTDEに選択されている場合にのみ適用できます
--dbname データベースの名前を指定します
--skipPatchCheck この引数に渡された値がtrueの場合、必要なパッチの検証チェックがスキップされます。有効な値: trueまたはfalse
--executePrereqs 前提条件チェックを実行して結果をレポートします。
--primarySuc コマンドがプライマリ・データベースで正常に実行されると、Data Guard環境のスタンバイ・データベースでこのプロパティを指定します
--resume 前回の実行を再開するように指定します
--sessionID 特定のセッションIDを再開するように指定します。
--revert 前の実行をロールバックすることを指定します。
--sessionID 特定のセッションIDをロールバックすることを指定します。
--waitForCompletion falseを指定すると、バックグラウンドで操作が実行されます。有効な値: trueまたはfalse

よくある質問:

質問: dbaascli tde fileToHsmコマンドの目的は何ですか。

A: dbaascli tde fileToHsmコマンドは、Oracle AI Database Cloud Service環境で、FILEベースのTransparent Data Encryption (TDE)をハードウェア・セキュリティ・モジュール(HSM)ベースのTDE (KMSやOKVなど)に変換するために使用されます。

Q: dbaascli tde fileToHsmコマンドを実行できるのは誰ですか。

A: このコマンドは、rootユーザーとして実行する必要があります。

質問: –kmsKeyOCIDパラメータの目的は何ですか。

A: --kmsKeyOCIDパラメータでは、ファイルベースのTDEからHSMベースのTDEへの移行時にTDE暗号化に使用されるKMSキーOCIDを指定します。

Q: –dbnameパラメータは何をしますか。

A: --dbnameパラメータでは、TDEをファイルベースからHSMベースに変換するデータベースの名前を指定します。

質問: TDEの変換中にパッチの検証チェックをスキップできますか。

A: はい。--skipPatchCheckパラメータを値trueとともに使用すると、必要なパッチの検証チェックをスキップできます。

質問: –executePrereqsパラメータは何に使用されますか。

A: --executePrereqsパラメータを使用すると、実際の変換を実行せずに、TDE変換プロセスの事前チェックのみを実行できます。有効な値はyesまたはnoです。

Q: Data Guard設定では–primarySucパラメータは何を行いますか。

A: Data Guard環境で--primarySucパラメータを使用して、コマンドがプライマリ・データベースで正常に実行されたことを示します。プライマリ変換の完了後に、スタンバイ・データベースで指定する必要があります。

Q: 以前のTDE変換を再開するにはどうすればよいですか。

A: --resumeパラメータを使用して、以前に不完全なTDE変換を再開できます。オプションで、--sessionIDを使用して特定のセッションIDを指定できます。

Q: TDE変換を元に戻すにはどうすればよいですか。

A: 以前のTDE変換を元に戻すには、--revertパラメータを使用します。--sessionIDを使用して、元に戻す特定のセッションIDを指定することもできます。

Q: TDE変換を再開または元に戻すときにセッションIDを指定するにはどうすればよいですか。

A: --sessionIDパラメータを使用して、再開または元に戻すセッションのIDを指定できます。例: --resume --sessionID <ID>または--revert --sessionID <ID>。

質問: –waitForCompletionをfalseに設定するとどうなりますか。

A: --waitForCompletionをfalseに設定すると、TDE変換プロセスはバックグラウンドで実行され、コマンド・プロンプトはすぐに返されます。trueに設定すると、このコマンドはプロセスの終了を待ってから、制御をユーザーに返します。

質問: –waitForCompletionパラメータの有効な値は何ですか。

A: 有効な値は、trueまたはfalseです。これをtrueに設定すると、コマンドはプロセスが完了するまで待機します。falseに設定すると、プロセスはバックグラウンドで実行されます。

質問: TDEをすぐに変換せずにdbaascli TDE fileToHsmを実行できますか。

A: はい。--executePrereqs yesパラメータを使用すると、TDEを変更せずに、変換の事前チェックのみを実行できます。

Q: Data Guard環境では、プライマリでTDEを変換した後、スタンバイ・データベースをどのように処理しますか。

A: プライマリ・データベースで変換を正常に実行した後、スタンバイ・データベースでコマンドを実行するときに--primarySucを指定する必要があります。

Q: TDE変換プロセスが失敗した場合はどうすればよいですか。

A: プロセスが失敗した場合は、--resumeパラメータを使用して、中断した場所からの再開を試行できます。必要に応じて、--revertパラメータを使用して、失敗したセッション中に行われた変更をロールバックできます。

例: dbaascli tde fileToHsm–kmsKeyOCID

dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs
dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --resume

dbaascli tde getHsmKeys

TDEアクティブ・キーの詳細を取得するには、dbaascli tde getHsmKeysコマンドを使用します。

前提条件:

rootユーザーとしてコマンドを実行します。

構文:

dbaascli tde getHsmKeys
[--dbname]
[--infoFile]

パラメータ:

パラメータ 説明
--dbname データベースの名前を指定します
--infoFile OCIDsのリストが保存されるファイル・パスを指定します。出力はJSON形式です

よくある質問:

Q: dbaascli tde getHsmKeysコマンドは何をしますか。

A: dbaascli tde getHsmKeysコマンドは、指定されたデータベースのハードウェア・セキュリティ・モジュール(HSM)からアクティブなTransparent Data Encryption (TDE)キーの詳細を取得します。

Q: dbaascli tde getHsmKeysコマンドを実行するのは誰ですか。

A: このコマンドは、rootユーザーとして実行する必要があります。

質問: dbaascli tde getHsmKeysコマンドはどのマシンで実行すればよいですか。

A: このコマンドを実行するには、SSHを使用してOracle Base Database Cloud@Customer仮想マシンに接続する必要があります。

Q: 仮想マシンに接続するための手順はどこにありますか。

A: 接続の手順については、SSHを使用した仮想マシンへの接続を参照してください。

Q: –dbnameオプションは何をしますか。

A: --dbnameオプションを使用すると、TDEキーの詳細を取得するOracle AI Databaseの名前を指定できます。

質問: –infoFileオプションは何を行いますか。

A: --infoFileオプションは、キーOCIDs (Oracle Cloud識別子)のリストを保存するファイル・パスを指定します。出力はJSON形式です

Q: 特定のデータベースのTDEキー詳細を取得する方法の例をあげることができますか。

A: mydatabaseという名前のデータベースのTDEキーの詳細を取得する例を次に示します:

dbaascli tde getHsmKeys --dbname mydatabase

Q: TDEキーの詳細をファイルに保存するにはどうすればよいですか。

A: --infoFileオプションを使用してファイル・パスを指定し、出力をJSON形式で保存できます。

dbaascli tde getHsmKeys --dbname mydatabase --infoFile /path/to/output.json

Q: dbaascli tde getHsmKeysコマンドを実行するための前提条件は何ですか。

A: rootユーザーとしてコマンドを実行し、Oracle Base Database Cloud@Customer仮想マシンに接続する必要があります。

Q: TDEキーの詳細を取得するにはSYSDBA資格証明が必要ですか。

A: いいえ。dbaascli tde getHsmKeysコマンドを実行するためにSYSDBA資格証明は必要ありません。

質問: –infoFileオプションを使用するとき、TDEキー情報はどの形式で保存されますか。

A: 出力はJSON形式で保存されます。

Q: TDEキーの詳細にはどのような情報が含まれていますか。

A: 詳細には、指定されたデータベースのHSMに格納されているアクティブな暗号化キーに関するキーOCIDsおよびその他のメタデータが含まれます。

Q: コマンドで鍵の詳細を取得できない場合はどうすればよいですか?

A: rootユーザーとしてコマンドを実行し、データベース名(--dbname)が正しいことを確認してください。Oracle Base Database Cloud@Customer仮想マシンへの接続を確認します。

Q: 出力ファイルが正常に作成されたかどうかはどのように確認すればよいですか?

A: 出力JSONファイルの指定されたファイル・パスを確認できます。ファイルが見つからない場合は、ファイル・パスが正しいこと、およびディレクトリへの書込み権限があることを確認します。

Q: 出力ファイルが空の場合はどうしたらいいですか?

A: 指定したデータベースにアクティブなTDEキーが含まれていること、および--dbnameパラメータが正しいことを確認してください。また、データベース・ログにエラーがあるかどうかを確認する必要もあります。

Q: 複数のデータベースのTDEキー詳細を一度に取得できますか。

A: いいえ、データベースごとにdbaascli tde getHsmKeysコマンドを個別に実行する必要があります。

質問: 他の操作で–infoFileオプションの出力ファイルを使用するにはどうすればよいですか。

A: 出力はJSON形式であるため、ファイルをプログラム的に解析するか、他のデータベースまたは暗号化管理タスクの入力として使用できます。

Q: このコマンドを使用してTDEキーの詳細の履歴を取得できますか。

A: いいえ。このコマンドは、HSM内の現在アクティブなキーに関する詳細のみを取得します。

Q: 取得した鍵が正しいことを確認するにはどうすればよいですか?

A: Oracle Cloud Infrastructure (OCI)コンソールで相互参照するか、暗号化管理に関連するデータベース・ビューを使用して、キーを検証できます。

例: dbaascli tde getHsmKeys

dbaascli tde getHsmkeys --dbname dbname
dbaascli tde getHsmkeys --dbname dbname --infoFile infoFilePath

dbaascli tde getMkidForKeyVersionOCID

KMSキー・バージョンOCIDに関連付けられたマスター・キーIDを取得するには、dbaascli tde getMkidForKeyVersionOCIDコマンドを使用します。

前提条件:

rootユーザーとしてコマンドを実行します。

構文:

dbaascli tde getMkidForKeyVersionOCID --kmsKeyVersionOCID <value>
[--dbname <value>]
[--waitForCompletion <value>]

パラメータ:

パラメータ 説明
--kmsKeyVersionOCID 設定するKMSキー・バージョンOCIDを指定します
--dbname データベースの名前を指定します
--waitForCompletion falseを指定して、バックグラウンドで操作を実行します。有効な値: trueまたはfalse。

よくある質問:

質問: dbaascli tde getMkidForKeyVersionOCIDコマンドの目的は何ですか。

A: dbaascli tde getMkidForKeyVersionOCIDコマンドは、Oracle AI Database Cloud Service環境の特定のKMSキー・バージョンOCIDに関連付けられたマスター・キーID (MKID)を取得します。

Q: dbaascli tde getMkidForKeyVersionOCIDコマンドを実行するための前提条件は何ですか。

A: 次のことを行う必要があります。

Q: dbaascli tde getMkidForKeyVersionOCIDコマンドを実行できるのは誰ですか。

A: このコマンドを実行できるのは、rootユーザーのみです。

Q: –kmsKeyVersionOCIDパラメータは何を指定していますか。

A: --kmsKeyVersionOCIDパラメータは、関連付けられたマスター・キーID (MKID)を取得するKMSキー・バージョンのOCIDを指定します。

Q: –dbnameパラメータは何を指定していますか。

A: --dbnameパラメータは、KMSキー・バージョンのOCIDを問い合せるデータベースの名前を指定します。

Q: –dbnameパラメータは必須ですか。

A: いいえ、--dbnameパラメータはオプションです。データベース名を指定しない場合、このコマンドはシステム上のデフォルト・データベースのMKIDを取得します。

Q: KMSキー・バージョンのOCIDがわからない場合はどうすればよいですか。

A: このコマンドを使用する前に、KMS管理コンソールまたはサービス・プロバイダからKMSキー・バージョンのOCIDを取得する必要があります。これがないと、このコマンドはマスター・キーID (MKID)を取得できません。

Q: このコマンドは、Oracle Base Database Cloud@Customer以外の環境で実行できますか。

A: いいえ、このコマンドはOracle Base Database Cloud@Customer環境での使用に特化しており、SSHを使用して仮想マシンに接続して実行する必要があります。

Q: –dbnameを使用してデータベース名を指定せずにコマンドを実行するとどうなりますか。

A: --dbnameパラメータが指定されていない場合、このコマンドは、システムで構成されているデフォルト・データベースのMKIDの取得を試行します。

Q:MKIDの取得中にエラーが発生した場合はどうすればよいですか?

A: 次のことを確認してください。

Q: Oracle Base Database Cloud@Customer仮想マシンにはどのように接続するのですか。

A: SSH経由で仮想マシンに接続できます。安全な接続方法のステップは、Oracle Base Database Cloud@Customerのドキュメントを参照してください。

例: dbaascli tde getMkidForKeyVersionOCID

dbaascli tde getMkidForKeyVersionOCID --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha

dbaascli tde getPrimaryHsmKey

既存のHSM (KMS)構成からプライマリHSM (KMS)キーを取得するには、dbaascli tde getPrimaryHsmKeyコマンドを使用します。

前提条件:

rootユーザーとしてコマンドを実行します。

構文:

dbaascli tde getPrimaryHsmKey
[--dbname]

パラメータ:

パラメータ 説明
--dbname データベースの名前を指定します

よくある質問:

質問: dbaascli tde getPrimaryHsmKeyコマンドの目的は何ですか。

A: dbaascli tde getPrimaryHsmKeyコマンドは、Oracle AI Database環境の既存のHSM (KMS)構成からプライマリHardware Security Module (HSM)キーを取得します。

Q: dbaascli tde getPrimaryHsmKeyコマンドを実行するための前提条件は何ですか。

A: 次のことを行う必要があります。

Q: dbaascli tde getPrimaryHsmKeyコマンドを実行できるのは誰ですか。

A: rootユーザーのみがこのコマンドを実行できます。

Q: このコマンドで–dbnameパラメータは何を指定していますか。

A: --dbnameパラメータは、プライマリHSMキーを取得するデータベースの名前を指定します。

Q: –dbnameパラメータは必須ですか。

A: いいえ、--dbnameパラメータはオプションです。指定しない場合、このコマンドはシステム上のデフォルト・データベースの主キーHSMキーを取得します。

Q: –dbnameでデータベース名を指定しない場合はどうすればよいですか?

A: --dbnameパラメータが指定されていない場合、このコマンドは、システムで構成されているデフォルト・データベースのプライマリHSMキーの取得を試行します。

Q: このコマンドは、Oracle Base Database Cloud@Customer以外の環境で実行できますか。

A: いいえ、このコマンドはOracle Base Database Cloud@Customer環境で使用するために特別に設計されており、実行するにはSSHを使用して仮想マシンに接続する必要があります。

Q: コマンドを実行するには、どのようにしてOracle Base Database Cloud@Customer仮想マシンに接続しますか。

A: SSH経由で仮想マシンに接続できます。セキュアに接続する方法については、Oracle Base Database Cloud@Customerのドキュメントを参照してください。

Q: プライマリHSMキーの取得中にエラーが発生した場合、何を確認する必要がありますか。

A: エラーが発生した場合は、次のことを確認してください。

質問: dbaascli tde getPrimaryHsmKeyコマンドを実行するには、データベースを停止する必要がありますか。

A: いいえ、このコマンドを実行するためにデータベースを停止する必要はありません。データベースの実行中に実行できます。

Q: プライマリHSMキーを取得する目的は何ですか。

A: プライマリHSMキーを取得すると、データベースの既存のHSM (KMS)構成で暗号化に使用されている現在のHSMキーを識別できます。

例: dbaascli tde getPrimaryHsmKey

dbaascli tde getPrimaryHsmKey --dbname dbname

dbaascli tde hsmToFile

HSM (KMS/OKV)ベースのTDEをファイル・ベースのTDEに変換するには、dbaascli tde hsmToFileコマンドを使用します。

rootユーザーとしてコマンドを実行します。

構文:

dbaascli tde hsmToFile
[--dbname <value>]
{
    [--prepareStandbyBlob <value> [--blobLocation <value>]
   | [--standbyBlobFromPrimary <value>]
}
]
[--skipPatchCheck <value>]
[--executePrereqs ]
[--primarySuc <value>]
{
     [--resume [--sessionID <value>]] |
     [--revert [--sessionID <value>]]
}
[--waitForCompletion <value>]

パラメータ:

パラメータ 説明
--dbname データベースの名前を指定します
--prepareStandbyBlob trueは、DG環境での操作の実行に必要なアーティファクトを含むBlobファイルを生成する場合に指定します。
--blobLocation DG環境でスタンバイBLOBファイルが生成されるカスタム・ディレクトリの場所。
--standbyBlobFromPrimary スタンバイBLOBファイルの場所を指定します。このファイルはプライマリ・データベースから作成されます。これは、スタンバイ操作でのみ必須です。
--skipPatchCheck この引数に渡された値がtrueの場合、必要なパッチの検証チェックがスキップされます。有効な値: trueまたはfalse
--executePrereqs 前提条件チェックを実行して結果をレポートします。
--primarySuc コマンドがプライマリ・データベースで正常に実行されると、Data Guard環境のスタンバイ・データベースでこのプロパティを指定します
--resume 前回の実行を再開します
--sessionID 特定のセッションIDを再開するように指定します。
--revert 前回の実行をロールバックするように指定します
--sessionID 特定のセッションIDをロールバックすることを指定します。
--waitForCompletion falseは、バックグラウンドで操作を実行するように指定します。有効な値: trueまたはfalse

よくある質問:

質問: dbaascli tde hsmToFileコマンドの目的は何ですか。

A: dbaascli tde hsmToFileコマンドは、Oracle AI Database Cloud Service環境でハードウェア・セキュリティ・モジュール(HSM)ベースのTransparent Data Encryption (TDE)をファイルベースのTDEに変換するために使用されます。

Q: dbaascli tde hsmToFileコマンドを実行するための前提条件は何ですか。

A: 次のことを行う必要があります。

Q: –dbnameパラメータは何を指定していますか。

A: --dbnameパラメータは、TDEをHSMベースからファイルベースに変換するデータベースの名前を指定します。

質問: –primaryDBWalletTarパラメータはいつ必要ですか。

A: --primaryDBWalletTarパラメータは、スタンバイ・データベースでhsmToFile変換を実行する場合にのみ必要です。プライマリ・データベースのウォレットのtarファイルを指定します。

質問: –skipPatchCheckパラメータの目的は何ですか。

A: --skipPatchCheckパラメータを使用すると、必要なパッチの検証チェックをスキップできます。これをtrueに設定するとチェックがスキップされ、falseに設定するとチェックが強制されます。

質問: 実際の変換を実行せずに、変換プロセスの事前チェックのみを実行するにはどうすればよいですか。

A: --executePrereqsパラメータを使用し、それをyesに設定して、事前チェックのみを実行できます。完全変換を実行するには、これをnoに設定します。

Q: Data Guard環境では–primarySucパラメータは何を行いますか。

A: Data Guard設定で--primarySucパラメータを使用して、変換がプライマリ・データベースで正常に実行されたことを示します。これは、スタンバイ・データベースで変換を実行するときに使用する必要があります。

質問: 以前のhsmToFile変換を再開するにはどうすればよいですか。

A: --resumeパラメータを使用して、以前の変換を再開できます。オプションで、--sessionIDを使用して前の実行のセッションIDを指定できます。

Q: –revertパラメータの目的は何ですか。

A: --revertパラメータは、障害発生時または操作を元に戻す必要がある場合に、以前に開始された変換プロセスをロールバックするために使用されます。

質問: –waitForCompletionをfalseに設定するとどうなりますか。

A: --waitForCompletionをfalseに設定すると、操作はバックグラウンドで実行されるため、他のタスクを続行できます。trueに設定すると、このコマンドはプロセスが完了するまで待機してから、制御をユーザーに返します。

Q: Data Guard設定でスタンバイ・データベースのTDEを変換する必要がある場合はどうすればよいですか。

A: Data Guard設定では、プライマリ・データベースでTDEを変換した後、--primaryDBWalletTarパラメータを使用してスタンバイ・データベースでコマンドを実行し、プライマリ・データベースからウォレットtarファイルを指定し、--primarySucを含める必要があります。

Q: 変換中に必要なパッチのチェックをスキップする場合はどうすればよいですか。

A: --skipPatchCheckパラメータを使用してtrueに設定することで、パッチ・チェックをスキップできます。

Q: システムが変更を行わずにhsmToFile変換の準備ができているかどうかを確認するにはどうすればよいですか。

A: --executePrereqsパラメータを使用してyesに設定することで、事前チェックのみを実行できます。

Q: 変換プロセスが中断された場合はどうすればよいですか?

A: --resumeパラメータを使用して、プロセスを停止した場所からプロセスを再起動できます。オプションで、--sessionIDを使用して特定のセッションIDを指定できます。

Q: 変換プロセスが失敗した場合はどうすればよいですか?

A: 変換に失敗した場合は、--revertパラメータを使用してプロセスをロールバックできます。さらに、エラー・メッセージを確認し、システム・ログで詳細を確認してください。

Q: ベース・データベース以外の環境でdbaascli tde hsmToFileコマンドを実行できますか。

A: このコマンドは、Oracle Base Database Cloud@Customer環境で使用するように設計されています。ベース・データベースを使用していない場合は、コマンドが正しく動作するように、サポートされている環境にいることを確認してください。

例: dbaascli tde hsmToFile

dbaascli tde hsmToFile --dbname dbname
dbaascli tde hsmToFile --dbname dbname --executePrereqs
dbaascli tde hsmToFile --dbname dbname --resume

dbaascli tde listKeys

TDEマスター・キーをリストするには、dbaascli tde listKeysコマンドを使用します。

前提条件:

rootユーザーとしてコマンドを実行します。

構文:

dbaascli tde listKeys
[--dbname <value>]
[--infoFilePath <value>]

パラメータ:

パラメータ 説明
--dbname データベースの名前を指定します
--infoFilePath 結果を保存するファイルの絶対パスを指定してください。

よくある質問:

質問: dbaascli tde listKeysコマンドの目的は何ですか。

A: dbaascli tde listKeysコマンドは、Oracle AI Database環境で指定したデータベースのすべてのTransparent Data Encryption (TDE)マスター・キーをリストするために使用します。

Q: dbaascli tde listKeysコマンドを実行するための前提条件は何ですか。

A: 次のことを行う必要があります。

Q: dbaascli tde listKeysコマンドで–fileパラメータは何をしますか。

A: --fileパラメータは、TDEマスター・キーのリストを保存するファイル・パスを指定します。このパラメータを指定しない場合、結果は端末に直接表示されます。

Q: –dbnameパラメータは何を指定していますか。

A: --dbnameパラメータは、TDEマスター・キーをリストするデータベースの名前を指定します。

Q: –fileパラメータは必須ですか。

A: いいえ、--fileパラメータはオプションです。指定しない場合、TDEキーのリストはファイルに保存されるのではなく、端末出力に表示されます。

Q: –dbnameパラメータは必須ですか。

A: いいえ、--dbnameパラメータはオプションです。指定しない場合、このコマンドは、システムで構成されているデフォルト・データベースのTDEマスター・キーをリストします。

Q: キーのリストをファイルに保存するにはどうすればよいですか?

A: --fileパラメータを目的のファイル・パスとともに指定する必要があります。たとえば:

dbaascli tde listKeys --file /path/to/output.txt

Q: –dbnameでデータベース名を指定しないとどうなりますか。

A: --dbnameパラメータが指定されていない場合、コマンドはシステム上のデフォルト・データベースのTDEマスター・キーをリストします。

Q: このコマンドは、Oracle Base Database Cloud@Customer以外の環境で使用できますか。

A: このコマンドは、Oracle Base Database Cloud@Customer環境専用に設計されています。適切な仮想マシンに接続して実行していることを確認します。

Q: コマンドがキーのリストに失敗した場合はどうすればよいですか?

A: 次のことを確認してください。

Q: データベースの実行中にdbaascli tde listKeysコマンドを実行できますか。

A: はい、このコマンドはデータベースの実行中に実行できます。TDEマスター・キーをリストするだけで、データベースの状態は変更されません。

Q: このコマンドを実行するには特別な権限が必要ですか。

A: このコマンドは、rootユーザーとして実行する必要があります。root権限がない場合、このコマンドは実行できません。

Q: TDEマスター・キーをリストする目的は何ですか。

A: TDEマスター・キーをリストすると、データベースのデータの保護に使用されている暗号化キーを確認できます。暗号化設定の監視および管理には不可欠です。

Q: コマンドを実行するには、どのようにしてOracle Base Database Cloud@Customer仮想マシンに接続しますか。

A: SSHを使用して仮想マシンに接続できます。セキュアな接続を確立する方法については、Oracle Base Database Cloud@Customerのドキュメントを参照してください。

例: dbaascli tde listKeys

dbaascli tde listKeys --dbname dbname
dbaascli tde listKeys --dbname dbname --infoFilePath infoFilePath

dbaascli tde removeSecondaryHsmKey

既存のHSM (KMS)構成からセカンダリHSM (KMS)キーを削除するには、dbaascli tde removeSecondaryHsmKeyコマンドを使用します。

前提条件:

rootユーザーとしてコマンドを実行します。

構文:

dbaascli tde removeSecondaryHsmKey --dbname <value>
[--confirmDeletion]
[--secondaryKmsKeyOCID]
[--executePrereqs]

パラメータ:

パラメータ 説明
--dbname データベースの名前を指定します
--confirmDeletion 指定しない場合、既存のすべてのHSM(KMS)キーの削除中に、ユーザーがプロンプトが表示されます。
--secondaryKmsKeyOCID 2次KMSキーは、既存のHSM (KMS)構成から削除します。指定しない場合、すべてのセカンダリKMSキーが削除されます。
--executePrereqs 前提条件チェックを実行して結果をレポートします。

よくある質問:

質問: dbaascli tde removeSecondaryHsmKeyコマンドの目的は何ですか。

A: dbaascli tde removeSecondaryHsmKeyコマンドは、Oracle AI Database環境の既存のHSM (KMS)構成からセカンダリ・ハードウェア・セキュリティ・モジュール(HSM)キーを削除するために使用します。

Q: dbaascli tde removeSecondaryHsmKeyコマンドを実行するための前提条件は何ですか。

A: 次のことを行う必要があります。

質問: dbaascli tde removeSecondaryHsmKeyコマンドで–forceパラメータは何を行いますか。

A: --forceパラメータを使用すると、ユーザーに確認を求めることなく、セカンダリHSMキーを削除できます。指定されていない場合は、キーを削除する前にユーザーにプロンプトが表示されます。

Q: –secondaryKmsKeyOCIDパラメータは何を指定していますか。

A: --secondaryKmsKeyOCIDパラメータは、既存のHSM構成から削除するセカンダリKMSキーのOCID (Oracle Cloud Identifier)を指定します。

Q: –dbnameパラメータは何をしますか。

A: --dbnameパラメータは、セカンダリHSMキーを削除するデータベースの名前を指定します。

質問: –precheckOnlyパラメータの目的は何ですか。

A: --precheckOnlyパラメータをyesに設定すると、セカンダリHSMキーを実際に削除せずに、削除操作の準備状況を検証する事前チェックのみが実行されます。noに設定すると、完全な削除操作が実行されます。

Q: –forceパラメータは必須ですか。

A: いいえ、--forceパラメータはオプションです。指定されていない場合、ユーザーは、鍵の削除を続行する前に確認を求められます。

質問: –secondaryKmsKeyOCIDパラメータは必須ですか。

A: はい。--secondaryKmsKeyOCIDを指定して、構成から削除する特定のセカンダリHSMキーを識別する必要があります。

Q: –dbnameパラメータは必須ですか。

A: いいえ、--dbnameパラメータはオプションです。指定しない場合、このコマンドは、システムのデフォルト・データベースからセカンダリHSMキーを削除しようとします。

質問: ユーザー・プロンプトなしでセカンダリHSMキーを削除する場合はどうすればよいですか。

A: 確認プロンプトをバイパスし、セカンダリHSMキーを直接削除するには、--forceパラメータを使用する必要があります。

dbaascli tde removeSecondaryHsmKey --force --secondaryKmsKeyOCID <value>

Q: 実際にHSMキーを削除せずに、システムがセカンダリHSMキーを削除する準備ができているかどうかをテストするにはどうすればよいですか。

A: yesに設定された--precheckOnlyパラメータを使用して、事前チェックを実行できます。

dbaascli tde removeSecondaryHsmKey --precheckOnly yes --secondaryKmsKeyOCID <value>

Q: –dbnameでデータベース名を指定しないとどうなりますか。

A: --dbnameパラメータが指定されていない場合、このコマンドは、システムで構成されているデフォルト・データベースからセカンダリHSMキーを削除しようとします。

Q: コマンドでセカンダリHSMキーの削除に失敗した場合は、何をチェックしますか。

A: 次のことを確認してください。

Q: 撤去操作が失敗した場合はどうすればいいですか?

A: 操作が失敗した場合は、エラー・ログを確認し、--precheckOnlyを指定してコマンドを実行して、システムが操作の準備ができていることを確認します。必要に応じて、再試行する前に問題を修正します。

Q: データベースの実行中にdbaascli tde removeSecondaryHsmKeyコマンドを実行できますか。

A: はい、データベースを停止する必要がないため、データベースの実行中にコマンドを実行できます。

Q: セカンダリHSMキーを削除する目的は何ですか。

A: セカンダリHSMキーの削除は、通常、キーが不要になった場合、またはTDE (Transparent Data Encryption)構成で使用される暗号化キーを管理する場合に実行されます。

Q: コマンドを実行するには、どのようにしてOracle Base Database Cloud@Customer仮想マシンに接続しますか。

A: SSHを使用して仮想マシンに接続できます。セキュアな接続を確立する手順は、Oracle Base Database Cloud@Customerのドキュメントを参照してください。

例: dbaascli tde removeSecondaryHsmKey

dbaascli tde removeSecondaryHsmKey --dbname dbname
dbaascli tde removeSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde removeSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs

dbaascli tde rotateMasterKey

データベース暗号化用にマスター・キーをローテーションするには、dbaascli tde rotateMasterKeyコマンドを使用します。

前提条件:

rootユーザーとしてコマンドを実行します。

構文:

dbaascli tde rotateMasterKey --dbname <value>
[--rotateMasterKeyOnAllPDBs]
[--pdbName <value>]
[--executePrereqs]
[--resume [--sessionID <value>]]
{
     [--prepareStandbyBlob <value> [--blobLocation <value>]]
     | [--standbyBlobFromPrimary <value>]
 }

パラメータ:

パラメータ 説明
--dbname Oracle AI Databaseの名前を指定します
--rotateMasterKeyOnAllPDBs trueを指定して、CDB内のすべてのPDBのマスター・キーをローテーションします。有効な値: trueまたはfalse
--pdbName PDBの名前を指定します。
--executePrereqs 前提条件のチェックを実行して結果をレポートします
--resume 前回の実行を再開するように指定します
--sessionID 特定のセッションIDを再開するように指定します。
--prepareStandbyBlob Data Guard環境で操作を実行するために必要なアーティファクトを含むBLOBファイルを生成するtrueを指定します
--blobLocation スタンバイBLOBファイルがData Guard環境で生成されるカスタム・ディレクトリの場所を指定します
--standbyBlobFromPrimary プライマリ・データベースから準備されるスタンバイBLOBファイルの場所を指定します。これは、スタンバイ操作でのみ必須です。

よくある質問:

質問: dbaascli tde rotateMasterKeyコマンドの目的は何ですか。

A: dbaascli tde rotateMasterKeyコマンドは、Oracle AI DatabaseでTransparent Data Encryption (TDE)に使用されるマスター・キーをローテーションするために使用します。このプロセスにより、セキュリティを向上させるために暗号化キーが更新されます。

Q: dbaascli tde rotateMasterKeyコマンドを実行するための前提条件は何ですか。

A: 次のことを行う必要があります。

Q: –dbnameパラメータは何を指定していますか。

A: --dbnameパラメータは、マスター暗号化キーをローテーションするOracle AI Databaseの名前を指定します。

質問: –rotateMasterKeyOnAllPDBsパラメータの目的は何ですか。

A: --rotateMasterKeyOnAllPDBsパラメータは、コンテナ・データベース(CDB)内のすべてのプラガブル・データベース(PDB)のマスター・キーをローテーションするかどうかを指定します。有効な値はtrueとfalseです。

質問: –pdbNameパラメータは何を行いますか。

A: --pdbNameパラメータは、すべてのPDBではなく特定のPDBのマスター・キーをローテーションする場合、特定のプラガブル・データベース(PDB)の名前を指定します。

質問: –executePrereqsパラメータは何を行いますか。

A: --executePrereqsパラメータは、実際のローテーションを実行せずに、環境がマスター・キー・ローテーションの準備ができているかどうかを検証するために前提条件チェックを実行します。

Q: –resumeパラメータは何を指定していますか。

A: --resumeパラメータは、以前に開始した操作を再開するために使用されます。--sessionIDを使用して特定のセッションIDを指定して、特定のセッションを再開することもできます。

質問: –prepareStandbyBlobパラメータの目的は何ですか。

A: --prepareStandbyBlobパラメータをtrueに設定すると、Data Guard環境でマスター・キー・ローテーションを実行するために必要なアーティファクトを含むBLOBファイルが生成されます。

質問: –blobLocationパラメータは何を行いますか。

A: --blobLocationパラメータは、スタンバイBLOBファイルが生成されるカスタム・ディレクトリ・パスを指定します。これは、--prepareStandbyBlobがtrueに設定されている場合に適用されます。

Q: –standbyBlobFromPrimaryパラメータは何を指定していますか。

A: --standbyBlobFromPrimaryパラメータは、プライマリ・データベースから生成されたスタンバイBLOBファイルの場所を指定します。このパラメータは、Data Guard環境でスタンバイ・データベースでマスター・キー・ローテーションを実行する場合に使用されます。

質問: –rotateMasterKeyOnAllPDBsパラメータは必須ですか。

A: いいえ、--rotateMasterKeyOnAllPDBsパラメータはオプションです。指定しない場合、マスター・キーは、--dbnameまたは--pdbNameパラメータで指定されたデータベース(または特定のPDB)に対してのみローテーションされます。

質問: CDBのキーをローテーションする場合、–pdbNameパラメータは必要ですか。

A: いいえ。--pdbNameパラメータは、特定のプラガブル・データベース(PDB)のマスター・キーをローテーションする場合にのみ必要です。CDB全体のキーをローテーションする場合はオプションです。

質問: スタンドアロン・データベースに–prepareStandbyBlobおよび–standbyBlobFromPrimaryパラメータを使用する必要がありますか。

A: いいえ、これらのパラメータは、スタンバイ・データベースが含まれるData Guard環境でのみ関連します。

Q: CDB内のすべてのPDBのマスター・キーをローテーションするにはどうすればよいですか。

A: --rotateMasterKeyOnAllPDBsパラメータをtrueに設定して、CDB内のすべてのPDBのマスター・キーをローテーションする必要があります。たとえば:

dbaascli tde rotateMasterKey --dbname CDB_NAME --rotateMasterKeyOnAllPDBs true

質問: 実際の操作を実行せずに、システムがマスター・キー・ローテーションの準備ができていることを検証するためのチェックを実行するにはどうすればよいですか。

A: --executePrereqsパラメータを使用して、前提条件チェックを実行できます。これにより、マスター・キーのローテーションを妨げる可能性のある問題が報告されます。

dbaascli tde rotateMasterKey --dbname DB_NAME --executePrereqs

Q: 操作が中断され、再開する場合はどうすればよいですか?

A: --resumeパラメータを使用して、以前に中断した操作を再開できます。セッションIDがある場合は、--sessionIDパラメータを指定します。

dbaascli tde rotateMasterKey --dbname DB_NAME --resume --sessionID <value>

Q: Data Guard環境でキー・ローテーションを準備するには、どうすればいいですか。

A: --prepareStandbyBlobパラメータを使用して、スタンバイ環境でマスター・キーをローテーションするために必要なアーティファクトを含むBLOBファイルを生成する必要があります。

dbaascli tde rotateMasterKey --dbname DB_NAME --prepareStandbyBlob true --blobLocation /path/to/blob

Q: スタンバイ・データベースでキーをローテーションするときに、プライマリ・データベースからスタンバイBLOBファイルを適用するにはどうすればよいですか。

A: --standbyBlobFromPrimaryパラメータを使用して、プライマリ・データベースで準備されたBLOBファイルの場所を指定します。

dbaascli tde rotateMasterKey --dbname DB_NAME --standbyBlobFromPrimary /path/to/blob

Q: マスターキーのローテーションが失敗した場合、何をチェックすべきですか?

A: 次のことを確認してください。

Q: Data Guard環境で操作が正常に完了しない場合はどうすればよいですか?

A: プライマリ・データベースのBLOBファイルが--prepareStandbyBlobを使用して正しく準備されていることを確認してから、--standbyBlobFromPrimaryを使用してスタンバイ・データベースに適用します。

Q: データベースの実行中にdbaascli tde rotateMasterKeyコマンドを実行できますか。

A: はい、このコマンドはデータベースの実行中に実行できます。ただし、事前に--executePrereqsオプションを使用して前提条件チェックを実行することをお薦めします。

Q: マスターキーを回転させることが重要なのはなぜですか?

A: マスター・キーをローテーションすると、データ保護に使用される暗号化キーが定期的に更新され、キーが危険にさらされるリスクが軽減されるため、データベース・セキュリティが向上します。

Q: マスターキーをローテーションした後、データベースを再起動する必要がありますか?

A: いいえ、マスター・キーをローテーションした後にデータベースを再起動する必要はありません。キーのローテーションは、サービスの中断なしにただちに有効になります。

dbaascli tde setKeyVersion

DB/CDBまたはPDBで使用する主キーのバージョンを設定するには、dbaascli tde setKeyVersionコマンドを使用します。

rootユーザーとしてコマンドを実行します。

構文:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <value>
[--pdbName <value>]
[--masterKeyID <value>]
[--standbySuc]
[--executePrereqs]
[--waitForCompletion <value>]

パラメータ:

パラメータ 説明
--kmsKeyVersionOCID 設定するKMSキー・バージョンOCIDを指定します。
--dbname データベースの名前を指定します。
--pdbName キー・バージョンOCIDを使用するPDBの名前。
--masterKeyID 指定したキー・バージョンOCIDのマスター・キーIDを指定します。これは、Data Guard環境に適用されます。
--standbySuc コマンドがスタンバイ・データベース上で正常に実行されると、Data Guard環境のプライマリ・データベースでこのプロパティを指定します
--executePrereqs 前提条件チェックを実行して結果をレポートします。
--waitForCompletion falseを指定して、バックグラウンドで操作を実行します。有効な値: trueまたはfalse

よくある質問:

質問: dbaascli tde setKeyVersionコマンドの目的は何ですか。

A: dbaascli tde setKeyVersionコマンドは、データベースまたはプラガブル・データベース(PDB)のTransparent Data Encryption (TDE)に使用される主キーのバージョンを設定するために使用します。これにより、特定のバージョンのKMSキーをデータベースに割り当てることができます。

Q: dbaascli tde setKeyVersionコマンドを使用するための前提条件は何ですか。

A: rootユーザーとしてコマンドを実行し、Oracle Base Database Cloud@Customer仮想マシンに接続していることを確認する必要があります。

Q: –kmsKeyVersionOCIDパラメータは何を指定していますか。

A: --kmsKeyVersionOCIDパラメータでは、データベースまたはPDBに設定するKMSキー・バージョンのOCID (Oracle Cloud Identifier)を指定します。

Q: –dbnameパラメータは何を指定していますか。

A: --dbnameパラメータは、キー・バージョンが設定されるOracle AI Databaseの名前を指定します。

質問: –pdbNameパラメータの目的は何ですか。

A: --pdbNameパラメータは、特定のKMSキー・バージョンを設定するコンテナ・データベース(CDB)内のプラガブル・データベース(PDB)の名前を指定します。

質問: –masterKeyIDパラメータは何に使用されますか。

A: --masterKeyIDパラメータは、指定されたKMSキー・バージョンのOCIDに関連付けられているマスター・キーIDを指定します。これは、Data Guard環境で特に重要です。

質問: –standbySucパラメータのロールは何ですか。

A: --standbySucパラメータは、Data Guard環境で使用されます。スタンバイ・データベースでコマンドを正常に実行した後、このプロパティをプライマリ・データベースに設定するように指定します。

質問: –executePrereqsパラメータは何を行いますか。

A: --executePrereqsパラメータは、操作を実行する前に前提条件チェックを実行するかどうかを指定します。有効な値はyesまたはnoです。

Q: –waitForCompletionパラメータは何を制御しますか。

A: --waitForCompletionパラメータは、操作を同期的に(完了を待って)実行するか、非同期的に(バックグラウンドで)実行するかを決定します。有効な値は、trueまたはfalseです。

質問: CDBのキー・バージョンを設定する場合、–pdbNameパラメータは必要ですか。

A: いいえ。--pdbNameパラメータは、特定のプラガブル・データベース(PDB)のキー・バージョンを設定する場合にのみ必要です。コンテナ・データベース(CDB)全体のキー・バージョンを設定する場合はオプションです。

Q: Data Guard以外の環境では–masterKeyIDパラメータは必要ですか。

A: いいえ。通常、--masterKeyIDパラメータはData Guard環境でのみ使用されます。スタンドアロン・データベースの場合、このパラメータは必要ありません。

Q: データベースのキーバージョンはどのように設定するのですか?

A: 次のコマンドを実行して、データベースのキー・バージョンを設定できます。

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <DB_NAME>

Q: 特定のPDBのキー・バージョンを設定するにはどうすればよいですか。

A: 特定のプラガブル・データベース(PDB)のキー・バージョンを設定するには、データベース名とともに--pdbNameパラメータを使用します。

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <DB_NAME> --pdbName <PDB_NAME>

Q: キー・バージョンを設定する前に、すべての前提条件が満たされていることを確認するにはどうすればよいですか。

A: --executePrereqsパラメータを使用して前提条件チェックを実行できます。

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --executePrereqs yes

Q: Data Guard環境でキー・バージョンを設定するにはどうすればいいですか。

A: Data Guard環境では、次のことを行う必要があります。

Q: 操作が完了するのを待たずにバックグラウンドで操作を実行するにはどうすればよいですか?

A: --waitForCompletionをfalseに設定することで、操作を非同期で実行できます。

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --waitForCompletion false

Q: キーバージョンの設定に失敗した場合はどうすればよいですか?

A: 次のことを確認してください。

Q: Data Guard環境で操作が正常に完了していないかどうかを確認するにはどうすればよいですか?

A: スタンバイ・データベースでコマンドを実行するときに、--masterKeyIDパラメータが正しく指定されていることを確認します。スタンバイで完了したら、プライマリ・データベースでコマンドを実行するときに--standbySucパラメータを使用する必要があります。

Q: データベースの実行中にdbaascli tde setKeyVersionコマンドを実行できますか。

A: はい、このコマンドはデータベースの実行中に実行できます。ただし、事前に--executePrereqsを使用して前提条件チェックを実行することをお薦めします。

Q: データベースに正しいKMSキー・バージョンを設定することが重要なのはなぜですか。

A: 正しいKMSキー・バージョンを設定すると、データベースがTDEに適切な暗号化キー・バージョンを使用していることが保証され、データ・セキュリティの維持および組織ポリシーへの準拠に役立ちます。

Q: 間違ったKMSキーバージョンのOCIDを使用するとどうなりますか?

A: 正しくないKMSキー・バージョンのOCIDが使用されている場合、暗号化は失敗し、データベースは不正なキーを暗号化操作に使用できなくなります。正しいキー・バージョンのOCIDが指定されていることを確認する必要があります。

Q: キーのバージョンを設定した後、データベースを再起動する必要がありますか?

A: いいえ。キー・バージョンを設定した後は、データベースを再起動する必要はありません。新しいキー・バージョンは、再起動しなくてもすぐに有効になります。

例: dbaascli tde setKeyVersion

dbaascli tde setKeyVersion --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha
dbaascli tde setKeyVersion --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha --executePrereqs
dbaascli tde setKeyVersion --dbname dbname --pdbName pdb --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha

dbaascli tde setPrimaryHsmKey

既存のHSM (KMS)構成のプライマリHSM (KMS)キーを変更するには、dbaascli tde setPrimaryHsmKeyコマンドを使用します。

rootユーザーとしてコマンドを実行します。

構文:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <value> --dbname <value>
[--allStandbyPrepared]
[--bounceDatabase]
[--executePrereqs]
[--resume [--sessionID <value>]]

パラメータ:

パラメータ 説明
--primaryKmsKeyOCID 設定するプライマリKMSキーを指定します
--dbname データベースの名前を指定します
--allStandbyPrepared すべてのスタンバイ・データベースで操作が正常に実行されたことを確認するように指定する。
--bounceDatabase この操作に対してローリング・データベース・バウンスを実行するには、このフラグを指定してください
--executePrereqs 前提条件チェックを実行して結果をレポートします。
--resume 前の実行を再開します。
--sessionID 特定のセッションIDを再開します。

よくある質問:

質問: dbaascli tde setPrimaryHsmKeyコマンドの目的は何ですか。

A: dbaascli tde setPrimaryHsmKeyコマンドは、Transparent Data Encryption (TDE)の既存のHSM/KMS構成のプライマリHSM (Hardware Security Module)またはKMS (Key Management Service)キーを変更するために使用します。

Q: dbaascli tde setPrimaryHsmKeyコマンドを実行するための前提条件は何ですか。

A: コマンドはrootユーザーとして実行する必要があり、環境はOracle Base Database Cloud@Customer仮想マシンである必要があります。

Q: –primaryKmsKeyOCIDパラメータは何を指定していますか。

A: --primaryKmsKeyOCIDパラメータは、TDE環境に設定するプライマリKMSキーのOCID (Oracle Cloud Identifier)を指定します。

Q: –dbnameパラメータの関数は何ですか。

A: --dbnameパラメータは、プライマリHSM/KMSキーが設定されるOracle AI Databaseの名前を指定します。

質問: –standbySucパラメータは何を行いますか。

A: --standbySucパラメータは、Data Guard環境で使用されます。コマンドをスタンバイ・データベースで正常に実行した後に、プライマリ・データベースで実行するように指定します。

質問: –precheckOnlyパラメータの目的は何ですか。

A: --precheckOnlyパラメータを使用すると、この操作の事前チェックのみを実行できます。これは、実際の変更を行わずに環境を検証します。有効な値はyesまたはnoです。

Q: –bounceDatabaseパラメータは何を制御しますか。

A: --bounceDatabaseパラメータは、操作の一部としてデータベースをローリング方式でバウンス(再起動)するかどうかを指定します。これにより、データベースの一部を1つずつ再起動することで、停止時間が最小限に抑えられます。

Q: データベースのプライマリKMS鍵を設定する方法を教えてください。

A: 主キーKMS鍵を設定するには、次のコマンドを実行します。

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME>

Q: 問題なく操作を実行できるようにするにはどうすればよいですか?

A: --precheckOnlyパラメータを指定して操作を実行し、すべての前提条件が満たされていることを確認します。

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --precheckOnly yes

Q: Data Guard環境で主キーを設定する方法を教えてください。

A: まず、スタンバイ・データベースで次のコマンドを実行します。

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME>

次に、--standbySucパラメータを指定してプライマリ・データベースでコマンドを実行します。

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME> --standbySuc yes

Q: プライマリKMSキーの変更中に停止時間を最小限に抑えるにはどうすればよいですか?

A: --bounceDatabaseパラメータを使用してローリング再起動を実行し、停止時間を最小限に抑えることができます。

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --bounceDatabase

質問: –dbnameパラメータはすべてのデータベースに必要ですか。

A: はい。--dbnameパラメータを指定して、プライマリKMSキーを設定する必要があるターゲット・データベースを指定する必要があります。

Q: Data Guard環境で–standbySucパラメータを使用することは必須ですか。

A: はい。スタンバイ・データベースでコマンドを正常に実行した後、プライマリ・データベースでコマンドを実行するときに、--standbySucパラメータを使用する必要があります。

Q: データベースのバウンス操作をスキップできますか。

A: はい。--bounceDatabaseパラメータを指定しない場合、データベースは操作の一部としてバウンス(再起動)されません。

Q: 実行中にコマンドが失敗した場合はどうすればよいですか?

A: コマンドが失敗した場合は、次のことを確認してください。

Q: Data Guard環境で操作が失敗した場合はどうなりますか。

A: コマンドがプライマリ・データベースで実行される前に、スタンバイ・データベースで正常に実行されていることを確認します。ログのエラーを確認し、正しいパラメータを指定して操作を再実行してください。

質問: ライブ・データベースでdbaascli tde setPrimaryHsmKeyコマンドを実行できますか。

A: はい、このコマンドはデータベースの稼働中に実行できます。ただし、--bounceDatabaseパラメータを使用すると、ローリング方式でデータベースを再起動し、影響を最小限に抑えます。

Q: 完全なダウンタイムを回避するためにローリング方式でコマンドを実行するにはどうすればよいですか?

A: --bounceDatabaseパラメータを使用して、プライマリKMSキーの変更中にデータベースのローリング再起動を実行します。

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --bounceDatabase

Q: 主キーを変更することの重要性は何ですか?

A: プライマリKMSキーを変更すると、データベースでTransparent Data Encryption (TDE)の更新された暗号化キーまたは別の暗号化キーが使用されます。これは、セキュリティまたはコンプライアンスの理由で必要になる場合があります。

Q: プライマリKMSキーをローテーションまたは変更する頻度はどのくらいですか?

A: 厳密なルールはありませんが、組織はキー・ローテーション間隔やコンプライアンス要件などのセキュリティ・ポリシーに基づいてプライマリKMSキーをローテーションできます。

Q: プライマリKMS鍵が正しく設定されていない場合はどうなりますか。

A: 不正なキーOCIDが設定されている場合、データベースの暗号化操作が失敗する可能性があり、正しいキーに戻すか、正しいKMSキーOCIDを設定して構成を修正する必要がある場合があります。

Q: プライマリKMSキーを変更した後、データベースを再起動する必要がありますか。

A: いいえ。--bounceDatabaseパラメータを使用しないかぎり、データベースを再起動する必要はありません。これにより、変更を適用するためにデータベースが自動的に再起動されます。

例: dbaascli tde setPrimaryHsmKey

dbaascli tde setPrimaryHsmKey --dbname dbname --primaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde setPrimaryHsmKey --dbname dbname --primaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs

dbaascli tde status

指定したデータベースのキーストアに関する情報を表示するには、dbaascli tde statusコマンドを使用します。

前提条件:

oracleユーザーとしてコマンドを実行します。

構文:

dbaascli tde status --dbname dbname

パラメータ:

パラメータ 説明
--dbname チェックするデータベースの名前を指定します。

このコマンドからの出力には、キーストアのタイプおよびキーストアのステータスが含まれます。

よくある質問:

Q: dbaascli tde statusコマンドは何をしますか。

A: dbaascli tde statusコマンドは、指定されたデータベースのキーストアに関する情報を表示します。これには、キーストアのタイプとそのステータスに関する詳細が含まれます。

Q: dbaascli tde statusコマンドを実行するのは誰ですか。

A: このコマンドは、oracleユーザーとして実行する必要があります。

Q: dbaascli tde statusコマンドはどこで実行しますか。

A: このコマンドは、Oracle Base Database Cloud@Customer仮想マシンで実行する必要があります。ユーティリティを実行するには、SSHを介して仮想マシンに接続する必要があります。

Q: –dbnameパラメータの関数は何ですか。

A: --dbnameパラメータは、TDEキーストア・ステータスをチェックするデータベースの名前を指定します。

Q: dbaascli tde statusコマンドで返される情報は何ですか。

A: コマンドの出力には、キーストアのタイプ(HSMベース、ファイルベースなど)と、キーストアの現在のステータス(オープン状態、クローズ状態、その他の状態など)が含まれます。

Q: dbaascli tde statusコマンドを使用して、キーストアがオープンまたはクローズされているかどうかを確認するにはどうすればよいですか。

A: キーストアのステータス(開いているか閉じているかなど)は、dbaascli tde statusコマンドによって返される出力の一部です。

Q: 特定のデータベースのTDEキーストアのステータスを確認するにはどうすればよいですか。

A: 特定のデータベースのTDEキーストア・ステータスを確認するには、次を実行します。

dbaascli tde status --dbname <DB_NAME>

Q: 複数のデータベースのキーストアのステータスを確認できますか。

A: はい。ただし、--dbnameパラメータを使用して名前を指定して、データベースごとに個別にコマンドを実行する必要があります。

質問: dbaascli tde statusコマンドはrootユーザーとして実行できますか。

A: いいえ、このコマンドは、rootユーザーではなく、oracleユーザーとして実行する必要があります。

Q: dbaascli tde statusコマンドを実行するには、特別な権限が必要ですか。

A: はい。コマンドを実行するには、oracleユーザー権限を持ち、Oracle Base Database Cloud@Customer仮想マシンに接続する必要があります。

Q: dbaascli tde statusコマンドの実行時にエラーが発生した場合はどうすればよいですか。

A: oracleユーザーとしてコマンドを実行し、必要な権限があり、正しい仮想マシンに接続されていることを確認します。

Q: データベースが使用しているキーストアのタイプを確認するにはどうすればよいですか。

A: キーストアのタイプ(ファイルベースかHSM/KMSベースかなど)が、dbaascli tde statusコマンドの出力に表示されます。

Q: キーストアがクローズされている場合はどうすればよいですか。

A: キーストアが閉じている場合は、実行しようとしている操作に応じて、キーストアを手動で開く必要がある場合があります。正確なプロセスは、キーストア・タイプおよび環境によって異なります。

Q: CDB (コンテナ・データベース)またはPDB (プラガブル・データベース)のキーストア・ステータスを表示できますか。

A: はい。--dbnameパラメータを使用して適切なデータベース名を指定することで、CDBとPDBの両方のキーストア・ステータスを表示できます。

Q: コマンドでデータベース接続に関するエラーが返された場合、どういう意味ですか。

A: これは、データベースへの接続に問題があるか、または環境の問題を示している可能性があります。データベースが実行中でアクセス可能であることを確認し、Oracle Base Database Cloud@Customer仮想マシンへのSSH接続を確認します。

Q: データベース名が正しくない場合はどうなりますか?

A: --dbnameパラメータで不正なデータベースまたは存在しないデータベースが指定されている場合、コマンドは失敗し、問題を示すエラー・メッセージが表示されます。

Q: キーストアのステータスが予期しない状態を示している場合、どのようにトラブルシューティングしますか。

A: キーストアのステータスが予期しない状態を示している場合は、データベース・ログで詳細を確認し、キーストアの構成を調べて、正しく設定されていることを確認します。

Q: 監視目的でキーストア・ステータスのチェックを自動化できますか。

A: はい、dbaascli tde statusコマンドをスクリプト化して、キーストアのステータスを定期的に確認したり、データベース監視ツールに統合したりできます。

Q: Transparent Data Encryption (TDE)が正しく有効になっていることを確認するにはどうすればよいですか。

A: dbaascli tde statusコマンドを使用してキーストアのステータスを確認することで、TDEが正しく有効になっていることを確認できます。有効なオープン・キーストアは、TDEが正しく構成されていることを示します。

例: dbaascli tde status

dbaascli tde status --dbname dbname