Gerenciamento de TDE (Transparent Data Encryption)

Esta seção abrange o gerenciamento de TDE (Transparent Data Encryption) para proteger dados de banco de dados. Inclui comandos para tratar chaves de criptografia e armazenamentos de chaves, como dbaascli tde addSecondaryHsmKey para adicionar chaves HSM secundárias, dbaascli tde rotateMasterKey para rotacionar a chave mestra e dbaascli tde encryptTablespacesInPDB para criptografar tablespaces em um banco de dados plugável. Você também pode converter entre TDE baseada em FILE e HSM (dbaascli tde fileToHsm, dbaascli tde hsmToFile), gerenciar versões de chave e recuperar detalhes de chave com vários comandos. Essas ferramentas garantem o gerenciamento eficaz da criptografia e a segurança dos dados.

dbaascli tde addSecondaryHsmKey

Para adicionar uma chave HSM (KMS) secundária à configuração HSM (KMS) existente, use o comando dbaascli tde addSecondaryHsmKey.

Pré-requisitos:

Execute o comando como usuário root.

Sintaxe:

dbaascli tde addSecondaryHsmKey --dbname <value> --secondaryKmsKeyOCID <value>
[--executePrereqs]

Parâmetros:

Parâmetro Descrição
--secondaryKmsKeyOCID Especifica a chave KMS secundária a ser adicionada à configuração do HSM (KMS) existente
--dbname especifica o nome da base de dados
--executePrereqs executar as verificações de pré-requisitos e relatar os resultados.

Perguntas Frequentes:

P: O que o comando dbaascli tde addSecondaryHsmKey faz?

R: O comando dbaascli tde addSecondaryHsmKey adiciona uma chave HSM (KMS) secundária à configuração HSM (KMS) existente para um banco de dados Oracle Base Database Cloud@Customer.

P: Quem deve executar o comando dbaascli tde addSecondaryHsmKey?

R: O comando deve ser executado como usuário do root.

P: Em qual máquina devo executar o comando dbaascli tde addSecondaryHsmKey?

R: Você precisa estabelecer conexão com uma máquina virtual do Oracle Base Database Cloud@Customer usando SSH para executar esse comando.

P: Onde posso encontrar mais detalhes sobre a conexão com uma máquina virtual para executar esse comando?

R: Você pode consultar o guia Estabelecendo Conexão com uma Máquina Virtual com SSH para obter instruções sobre como estabelecer conexão.

P: O que a opção –secondaryKmsKeyOCID especifica?

R: A opção --secondaryKmsKeyOCID especifica o OCID (Oracle Cloud Identifier) da chave KMS secundária a ser adicionada à configuração de HSM (KMS) existente.

P: O que a opção –dbname faz?

R: A opção --dbname permite que você especifique o nome do banco de dados para o qual a chave KMS secundária deve ser adicionada. Ela é opcional.

P: O que a opção –precheckOnly faz?

R: A opção --precheckOnly, quando definida como yes, executa uma pré-verificação da operação sem fazer alterações reais. Os valores inválidos são yes ou no.

P: Posso executar a pré-verificação apenas sem fazer alterações?

R: Sim, você pode usar a opção --precheckOnly yes para executar apenas a pré-verificação sem fazer alterações.

P: Você pode dar um exemplo de como executar este comando para adicionar uma chave HSM secundária?

A: Veja a seguir um exemplo:

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example

P: Como eu executo o comando para um banco de dados específico?

R: Você pode especificar o nome do banco de dados desta forma:

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example --dbname mydatabase

P: Como eu executo o comando apenas com uma pré-verificação?

R: Para executar a pré-verificação, use a seguinte sintaxe:

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example --precheckOnly yes

P: O que devo fazer se o comando falhar?

R: Certifique-se de estar executando o comando como o usuário root e de ter se conectado à máquina virtual correta do Oracle Base Database Cloud@Customer. Além disso, verifique o OCID da chave KMS e verifique se as permissões necessárias foram concedidas.

P: Como posso verificar se tenho o OCID correto para a chave KMS secundária?

R: Você pode recuperar o OCID da chave KMS na console do Oracle Cloud Infrastructure, na seção KMS (Key Management Service).

P: Quais permissões são necessárias para adicionar uma chave KMS secundária?

R: Você precisa de permissões apropriadas no Oracle Cloud Infrastructure para operações KMS, incluindo a capacidade de gerenciar chaves KMS para o compartimento relevante.

P: Posso usar o comando dbaascli tde addSecondaryHsmKey sem especificar a opção –dbname?

R: Sim, a opção --dbname é opcional. Se omitido, o comando se aplica a todos os bancos de dados usando a configuração existente do HSM (KMS).

P: O que acontece se eu adicionar uma chave KMS secundária?

R: A chave secundária do KMS será adicionada à configuração existente, fornecendo uma camada adicional de redundância de gerenciamento de chaves de criptografia.

Q: Posso remover uma chave secundária do KMS uma vez que é adicionada?

A: Não, uma vez que uma chave KMS secundária é adicionada, não pode ser removida. Você só pode rotacionar ou atualizar chaves no futuro.

Exemplo: dbaascli tde addSecondaryHsmKey,

dbaascli tde addSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde addSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --precheckOnly yes

dbaascli tde changePassword

Para alterar a senha do armazenamento de chaves TDE, bem como a senha da wallet do Banco de Dados para o alias tde_ks_passwd, use o comando dbaascli tde changePassword.

Pré-requisitos:

Execute o comando como usuário root.

Sintaxe:

dbaascli tde changePassword [--dbname <value>]
  {            [--prepareStandbyBlob <value> [--blobLocation <value>]]
               | [--standbyBlobFromPrimary <value>]
  }
  [--resume [--sessionID <value>]]

Parâmetros:

Parâmetro Descrição
--dbname especifica o nome da base de dados
--prepareStandbyBlob especifique true para gerar um arquivo blob contendo os artefatos necessários para executar a operação em um ambiente DG.
--blobLocation caminho personalizado no qual o arquivo blob stand-by será gerado em um ambiente de DG.
--standbyBlobFromPrimary especificar a localização do arquivo blob stand-by que está preparado com base no banco de dados principal. Isso só é necessário para operações stand-by.
--resume para retomar a execução anterior
--sessionID para retomar um ID de sessão específico.

Perguntas Frequentes:

P: O que o comando dbaascli tde changePassword faz?

R: O comando dbaascli tde changePassword altera a senha do armazenamento de chaves de Criptografia Transparente de Dados (TDE), bem como a senha da wallet do banco de dados para o alias tde_ks_passwd.

P: Quem deve executar o comando dbaascli tde changePassword?

R: O comando deve ser executado como usuário do root.

P: Quando devo usar o comando dbaascli tde changePassword?

R: Use este comando quando precisar alterar a senha da área de armazenamento de chaves TDE ou a senha da wallet do BD para um banco de dados Oracle Base Database Cloud@Customer.

P: O que a opção –dbname faz?

A: A opção --dbname especifica o nome do banco de dados para o qual você deseja alterar a senha da área de armazenamento de chaves TDE.

P: O que a opção –pdbName faz?

R: A opção --pdbName especifica o nome do banco de dados plugável (PDB) para o qual a senha do armazenamento de chaves de TDE precisa ser alterada. Essa opção é usada para bancos de dados multilocatários.

P: Você pode dar um exemplo de como executar este comando para um banco de dados específico?

A: Aqui está um exemplo para alterar a senha do armazenamento de chaves TDE para um banco de dados específico:

dbaascli tde changePassword --dbname mydatabase

P: Como eu executo o comando para um PDB específico em um banco de dados multitenant?

R: Você pode especificar o nome do PDB usando esta sintaxe:

dbaascli tde changePassword --dbname mydatabase --pdbName mypdb

P: Quais são os pré-requisitos para executar o comando dbaascli tde changePassword?

R: Você deve executar o comando como o usuário root e ter acesso à máquina virtual do Oracle Base Database Cloud@Customer na qual o banco de dados está em execução.

P: Preciso interromper o banco de dados para alterar a senha do armazenamento de chaves TDE?

R: Não, o banco de dados não precisa ser interrompido para alterar a senha da área de armazenamento de chaves TDE.

P: O que devo fazer se o comando falhar?

R: Certifique-se de que você esteja executando o comando como o usuário raiz e que o nome do banco de dados (--dbname) e o nome do PDB (--pdbName, se aplicável) estejam corretos.

P: E se eu receber um erro de "senha inválida" ao alterar a senha do armazenamento de chaves TDE?

R: Certifique-se de que a nova senha atenda aos requisitos de complexidade de senha do sistema e que você esteja informando a senha antiga correta, se solicitado.

P: Como verifico se a senha da área de armazenamento de chaves TDE foi alterada com sucesso?

R: Você pode verificar os logs do banco de dados ou usar as views do Oracle AI Database Vault e do Key Management para verificar se a alteração da senha do armazenamento de chaves TDE foi bem-sucedida.

P: Posso alterar a senha do armazenamento de chaves de TDE para um banco de dados multitenant e todos os PDBs de uma só vez?

R: Não, o comando dbaascli tde changePassword precisará ser executado para cada PDB individualmente se você precisar alterar a senha de vários PDBs.

P: O que acontece se eu esquecer a nova senha do armazenamento de chaves TDE?

R: Se a nova senha for esquecida, talvez você precise restaurar a área de armazenamento de chaves de um backup ou seguir o processo de recuperação da Oracle para redefini-la, dependendo da sua configuração.

P: Posso automatizar o processo de alteração da senha do armazenamento de chaves TDE?

R: Embora o próprio comando dbaascli tde changePassword não seja projetado para automação, você pode criá-lo como parte de seus procedimentos regulares de manutenção de banco de dados, se necessário.

P: Com que frequência devo alterar a senha do armazenamento de chaves TDE?

R: A Oracle recomenda alterar periodicamente sua senha da área de armazenamento de chaves TDE com base nas políticas de segurança da sua organização. As melhores práticas geralmente envolvem a rotação de chaves de criptografia e senhas da área de armazenamento de chaves regularmente.

Para alterar a senha de TDE em um ambiente que não seja do Data Guard

dbaascli tde changepassword --dbname
      <dbname>

Para alterar a senha de TDE em um ambiente do Data Guard

  1. Altere a senha do TDE no banco de dados principal.

    dbaascli tde changepassword --dbname
      <dbname> --prepareStandbyBlob true --blobLocation
      <Location where blob file has to be generated>

  2. Copie o blob stand-by criado para o ambiente do banco de dados stand-by.

  3. Alterar a senha do TDE no banco do dados stand-by

    dbaascli tde changepassword --dbname
     <dbname> --standbyBlobFromPrimary <Location of blob generated from
    primary>

dbaascli tde enableWalletRoot

Para ativar o parâmetro spfile wallet_root para o banco de dados existente, use o comando dbaascli tde enableWalletRoot.

Pré-requisitos:

Execute o comando como usuário root.

Sintaxe:

dbaascli tde enableWalletRoot --dbname <value>
[--dbRestart <value>]
[--executePrereqs]
[--resume [--sessionID <value>]]

Parâmetros:

Parâmetro Descrição
--dbname especifica o nome do Oracle AI Database.
--dbrestart especifica a opção Reiniciar Banco de Dados. Os valores válidos são: rolling ou full. Valor padrão: rolling. Se você não informar o argumento dbrestart, o banco de dados será reiniciado de forma rolling.
--precheckOnly executa apenas a pré-verificação dessa operação. Os valores válidos são: yes ou no
--resume para retomar a execução anterior
--sessionID para retomar um ID de sessão específico.

Perguntas Frequentes:

P: O que o comando dbaascli tde enableWalletRoot faz?

R: O comando dbaascli tde enableWalletRoot ativa o parâmetro wallet_root no spfile para um Oracle AI Database existente no Oracle Base Database Cloud@Customer.

P: Quem deve executar o comando dbaascli tde enableWalletRoot?

R: O comando deve ser executado como usuário do root.

P: Em qual máquina devo executar o comando dbaascli tde enableWalletRoot?

R: Você deve estabelecer conexão com uma máquina virtual do Oracle Base Database Cloud@Customer usando SSH para executar este comando.

P: Onde posso encontrar instruções para me conectar à máquina virtual?

R: Você pode consultar o guia Estabelecendo Conexão com uma Máquina Virtual com SSH para obter instruções sobre a conexão.

P: O que a opção –dbRestart faz?

R: A opção --dbRestart especifica como o banco de dados deve ser reiniciado após ativar wallet_root. Os valores válidos são:

P: O que a opção –dbname faz?

R: A opção --dbname permite que você especifique o nome do Oracle AI Database para o qual o parâmetro wallet_root deve ser ativado.

P: O que a opção –precheckOnly faz?

R: A opção --precheckOnly executa uma pré-verificação da operação sem fazer alterações reais. Os valores inválidos são yes ou no.

P: O que acontece se eu não especificar a opção –dbRestart?

R: Se você não especificar a opção --dbRestart, o banco de dados será reiniciado de maneira incremental por padrão.

P: Você pode dar um exemplo de como ativar o wallet_root para um banco de dados específico?

A: Este é um exemplo para ativar wallet_root para um banco de dados chamado mydatabase:

dbaascli tde enableWalletRoot --dbname mydatabase

P: Como posso ativar o wallet_root e especificar uma reinicialização completa do banco de dados?

R: Você pode ativar o wallet_root com uma reinicialização completa do banco de dados usando o seguinte comando:

dbaascli tde enableWalletRoot --dbname mydatabase --dbRestart full

P: Como eu executo o comando apenas com uma pré-verificação?

R: Para executar uma pré-verificação sem fazer alterações, use a seguinte sintaxe:

dbaascli tde enableWalletRoot --dbname mydatabase --precheckOnly yes

P: Quais são os pré-requisitos para executar o comando dbaascli tde enableWalletRoot?

R: Você deve executar o comando como usuário do root e estar conectado à máquina virtual correta do Oracle Base Database Cloud@Customer.

P: Preciso reiniciar o banco de dados para ativar o wallet_root?

R: Sim, o banco de dados precisará ser reiniciado de maneira incremental (padrão) ou totalmente, dependendo da opção escolhida.

P: O que devo fazer se o comando falhar?

R: Certifique-se de que você esteja executando o comando como usuário raiz e verifique se o nome do banco de dados (--dbname) está correto. Verifique se há erros de pré-verificação se você estiver executando com --precheckOnly.

P: E se o banco de dados não for reiniciado após a execução do comando?

R: Verifique se a opção de reinicialização correta foi usada (rolling ou full) e verifique se há erros nos logs do banco de dados. Talvez seja necessário reiniciar manualmente o banco de dados se a reinicialização automática falhar.

P: Como posso verificar se o wallet_root foi ativado com sucesso?

R: Você pode verificar a alteração verificando o spfile do banco de dados ou usando consultas do Oracle SQL para confirmar se o parâmetro wallet_root está ativado.

P: Posso ativar o wallet_root sem reiniciar o banco de dados?

R: Não, o banco de dados precisa ser reiniciado para que a alteração entre em vigor. Você pode escolher entre uma reinicialização contínua ou uma reinicialização completa.

P: Qual é a diferença entre uma reinicialização incremental e completa do banco de dados?

R: Uma reinicialização incremental reinicia o banco de dados uma instância por vez, permitindo que o banco de dados permaneça parcialmente disponível durante a operação. Uma reinicialização completa é encerrada e reinicia todo o banco de dados, causando um período de indisponibilidade completo.

P: Posso executar este comando para vários bancos de dados simultaneamente?

R: Você precisa executar o comando dbaascli tde enableWalletRoot separadamente para cada banco de dados no qual deseja ativar o wallet_root.

P: Como a ativação do wallet_root afeta a configuração do armazenamento de chaves TDE existente?

R: A ativação de wallet_root atualiza o local da área de armazenamento de chaves TDE para o novo diretório raiz da wallet, facilitando o gerenciamento de várias áreas de armazenamento de chaves e wallets em Bancos de Dados do Oracle AI.

Exemplo: dbaascli tde enableWalletRoot

dbaascli tde enableWalletRoot --dbname db name --dbrestart rolling|full
dbaascli tde enableWalletRoot --dbname orcl
dbaascli tde enableWalletRoot --dbname orcl--dbrestart full

dbaascli tde encryptTablespacesInPDB

Para criptografar todos os tablespaces no PDB especificado, use o comando dbaascli tde encryptTablespacesInPDB.

Pré-requisitos:

Execute o comando como usuário root.

Sintaxe:

dbaascli tde encryptTablespacesInPDB --dbname <value> --pdbName <value>
[--executePrereqs]

Parâmetros:

Parâmetro Descrição
--pdbName especifica o nome do PDB para criptografar todos os tablespaces.
--dbname especifica o nome do Oracle AI Database.
--executePrereqs executar as verificações de pré-requisitos e relatar os resultados.

Perguntas Frequentes:

P: O que o comando dbaascli tde encryptTablespacesInPDB faz?

R: O comando dbaascli tde encryptTablespacesInPDB criptografa todos os tablespaces no PDB (banco de dados plugável) especificado para um Oracle AI Database no Oracle Base Database Cloud@Customer.

P: Quem deve executar o comando dbaascli tde encryptTablespacesInPDB?

R: O comando deve ser executado como usuário do root.

P: Em qual máquina devo executar o comando dbaascli tde encryptTablespacesInPDB?

R: Você precisa estabelecer conexão com uma máquina virtual do Oracle Base Database Cloud@Customer usando SSH para executar esse comando.

P: Onde posso encontrar instruções para me conectar à máquina virtual?

R: Consulte o guia Estabelecendo Conexão com uma Máquina Virtual com SSH para obter instruções de conexão.

P: O que a opção –pdbName especifica?

R: A opção --pdbName especifica o nome do banco de dados plugável (PDB) cujos tablespaces precisam ser criptografados.

P: O que a opção –dbname faz?

R: A opção --dbname permite que você especifique o nome do Oracle AI Database ao qual o PDB pertence.

P: O que a opção –precheckOnly faz?

R: A opção --precheckOnly executa uma pré-verificação da operação de criptografia sem fazer alterações reais. Os valores válidos são yes ou no.

P: O que a opção –useSysdbaCredential faz?

A: A opção --useSysdbaCredential especifica se as credenciais SYSDBA devem ser usadas para a operação. Os valores válidos são verdadeiro ou falso.

P: Você pode dar um exemplo de como criptografar tablespaces em um PDB específico?

R: Veja um exemplo para criptografar todos os tablespaces em um PDB chamado mypdb:

dbaascli tde encryptTablespacesInPDB --pdbName mypdb

P: Como criptografo tablespaces em um PDB específico em um banco de dados?

R: Use o seguinte comando para especificar o PDB e o banco de dados:

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --dbname mydatabase

P: Como faço para executar uma pré-verificação sem executar a criptografia?

R: Você só pode executar uma pré-verificação usando esta sintaxe:

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --precheckOnly yes

P: Como uso credenciais SYSDBA para criptografar os tablespaces?

R: Você pode usar as credenciais SYSDBA adicionando a opção --useSysdbaCredential true:

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --useSysdbaCredential true

P: Quais são os pré-requisitos para executar o comando dbaascli tde encryptTablespacesInPDB?

R: Você deve executar o comando como usuário do root e ter acesso à máquina virtual do Oracle Base Database Cloud@Customer.

P: Preciso reiniciar o banco de dados para criptografar os tablespaces?

R: Não, o comando não requer uma reinicialização do banco de dados. A criptografia é executada enquanto o banco de dados está on-line.

P: Preciso de credenciais SYSDBA para criptografar tablespaces?

R: Você pode precisar de credenciais SYSDBA para esta operação se especificado usando a opção --useSysdbaCredential.

P: O que devo fazer se o comando falhar?

R: Certifique-se de que você esteja executando o comando como usuário raiz e verifique se o nome do PDB (--pdbName) e o nome do banco de dados (--dbname) estão corretos. Você também pode executar o comando com --precheckOnly yes para verificar se há problemas antes de executar a criptografia completa.

P: O que devo fazer se a criptografia dos tablespaces falhar?

R: Verifique os logs do banco de dados e certifique-se de ter os privilégios e recursos necessários para executar a criptografia. Você também pode precisar verificar se há espaço suficiente para lidar com o processo de criptografia.

P: Como posso verificar se os tablespaces em um PDB são criptografados?

R: Você pode consultar as views do banco de dados relacionadas à criptografia, como V$ENCRYPTED_TABLESPACES, para verificar se os tablespaces foram criptografados com sucesso.

P: Como verifico se a pré-verificação foi bem-sucedida?

R: Se você executou o comando com --precheckOnly yes, poderá verificar se há avisos ou erros na saída indicando possíveis problemas com o processo de criptografia.

P: Posso criptografar os tablespaces para vários PDBs simultaneamente?

R: Não, você precisa executar o comando dbaascli tde encryptTablespacesInPDB separadamente para cada PDB.

P: Posso criptografar parcialmente alguns tablespaces em um PDB?

R: Não, este comando criptografa todos os tablespaces dentro do PDB especificado. Para criptografia parcial, você precisaria usar comandos de gerenciamento de banco de dados diferentes.

P: A criptografia de tablespaces afeta o desempenho do banco de dados?

R: A criptografia de tablespaces pode ter um impacto temporário no desempenho durante o processo de criptografia. No entanto, o impacto deve ser mínimo assim que a criptografia for concluída.

P: Posso desfazer a criptografia de tablespaces?

R: Não, uma vez que os tablespaces são criptografados, a criptografia não pode ser desfeita. Você só pode rotacionar ou recriptografar as chaves conforme necessário.

P: O que acontece se a operação for interrompida durante o processo de criptografia?

R: Se a operação for interrompida, talvez seja necessário executar o comando novamente. O sistema retomará a criptografia de onde ela parou e você poderá verificar o status usando as views do banco de dados.

Exemplo: dbaascli tde encryptTablespacesInPDB,

dbaascli tde encryptTablespacesInPDB --dbname dbname --pdbName pdb
dbaascli tde encryptTablespacesInPDB --dbname dbname --pdbName pdb --executePrereqs

dbaascli tde fileToHsm

Para converter TDE baseada em FILE em TDE baseada em HSM (KMS/OKV), use o comando dbaascli tde fileToHsm.

Pré-requisitos:

Execute o comando como usuário root.

Sintaxe:

dbaascli tde fileToHsm --kmsKeyOCID <value> --dbname <value>
[--skipPatchCheck <value>]
[--executePrereqs ]
[--primarySuc <value>]
{
    [--resume [--sessionID <value>]] | [--revert [--sessionID <value>]]
}
[--waitForCompletion <value>]

Parâmetros:

Parâmetro Descrição
--kmsKeyOCID especifica o OCID de chave KMS a ser usado para TDE. Isso só será aplicável se o KMS for selecionado para TDE
--dbname especifica o nome da base de dados
--skipPatchCheck ignorará a verificação da validação dos patches necessários se o valor informado para esse argumento for true. Valores válidos: true ou false
--executePrereqs execute as verificações de pré-requisitos e reporte os resultados.
--primarySuc Especifique essa propriedade no banco do dados stand-by do ambiente Data Guard quando o comando for executado com sucesso no banco do dados principal
--resume especifica para retomar a execução anterior
--sessionID especifica para retomar um ID da sessão específico
--revert especifica que a execução anterior será submetida a rollback
--sessionID especifica para fazer rollback de um ID específico de sessão
--waitForCompletion especificar false para executar a operação em segundo plano. Valores válidos: true ou false.

Perguntas Frequentes:

P: Qual é a finalidade do comando dbaascli tde fileToHsm?

R: O comando dbaascli tde fileToHsm é usado para converter uma TDE (Transparent Data Encryption) baseada em FILE para TDE baseada em HSM (Hardware Security Module), como KMS ou OKV, em um ambiente do Oracle AI Database Cloud Service.

P: Quem pode executar o comando dbaascli tde fileToHsm?

R: O comando deve ser executado como usuário do root.

P: Qual é a finalidade do parâmetro –kmsKeyOCID?

R: O parâmetro --kmsKeyOCID especifica o OCID da chave KMS que será usado para criptografia de TDE ao fazer a transição de TDE baseada em arquivo para TDE baseada em HSM.

P: O que o parâmetro –dbname faz?

R: O parâmetro --dbname especifica o nome do banco de dados para o qual você está convertendo o TDE de baseado em arquivo para baseado em HSM.

P: Posso ignorar a verificação de validação de patch ao converter TDE?

R: Sim, usando o parâmetro --skipPatchCheck com o valor true, você pode ignorar a verificação de validação para os patches necessários.

P: Para que é usado o parâmetro –executePrereqs?

R: O parâmetro --executePrereqs permite executar somente as pré-verificações do processo de conversão de TDE sem executar a conversão real. Os valores válidos são yes ou no.

P: O que o parâmetro –primarySuc faz em uma configuração do Data Guard?

R: O parâmetro --primarySuc é usado em um ambiente do Data Guard para indicar que o comando foi executado com sucesso no banco de dados principal. Ele deverá ser especificado no banco de dados stand-by após a conclusão da conversão principal.

P: Como retomar uma conversão de TDE anterior?

R: Você pode retomar uma conversão de TDE incompleta anteriormente usando o parâmetro --resume. Opcionalmente, você pode especificar um ID de sessão específico com --sessionID.

P: Como reverter uma conversão de TDE?

R: Para reverter uma conversão de TDE anterior, use o parâmetro --revert. Você também pode fornecer o ID de sessão específico que deseja reverter usando --sessionID.

P: Como eu especifico um ID de sessão ao retomar ou reverter uma conversão de TDE?

R: Você pode usar o parâmetro --sessionID para especificar o ID da sessão que deseja retomar ou reverter. Exemplo: --resume --sessionID <ID> ou --revert --sessionID <ID>.

P: O que acontece se eu definir –waitForCompletion como falso?

R: Se você definir --waitForCompletion como false, o processo de conversão de TDE será executado em segundo plano e o prompt de comando será retornado imediatamente. Se definido como true, o comando aguardará a conclusão do processo antes de retornar o controle ao usuário.

P: Quais são os valores válidos para o parâmetro –waitForCompletion?

A: Os valores válidos são true ou false. Definir como verdadeiro faz com que o comando aguarde até que o processo seja concluído; defini-lo como false executa o processo em segundo plano.

P: Posso executar o dbaascli TDE fileToHsm sem converter o TDE imediatamente?

R: Sim, você pode usar o parâmetro --executePrereqs yes para executar somente as pré-verificações para a conversão, sem fazer alterações na TDE.

P: Em um ambiente do Data Guard, como eu trato o banco de dados stand-by após a conversão de TDE no principal?

R: Depois de executar com sucesso a conversão no banco de dados principal, você precisará especificar --primarySuc ao executar o comando no banco de dados stand-by.

P: O que devo fazer se o processo de conversão de TDE falhar?

R: Se o processo falhar, você poderá usar o parâmetro --resume para tentar retomar de onde ele parou. Se necessário, você pode usar o parâmetro --revert para fazer rollback das alterações feitas durante a sessão com falha.

Exemplo: dbaascli tde fileToHsm –kmsKeyOCID

dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs
dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --resume

dbaascli tde getHsmKeys

Para obter detalhes da chave ativa de TDE, use o comando dbaascli tde getHsmKeys.

Pré-requisitos:

Execute o comando como usuário root.

Sintaxe:

dbaascli tde getHsmKeys
[--dbname]
[--infoFile]

Parâmetros:

Parâmetro Descrição
--dbname especifica o nome da base de dados
--infoFile especifica o caminho para o arquivo em que a lista de OCIDs será salva. A saída está no formato JSON

Perguntas Frequentes:

P: O que o comando dbaascli tde getHsmKeys faz?

R: O comando dbaascli tde getHsmKeys recupera detalhes de chaves TDE (Transparent Data Encryption) ativas do HSM (Hardware Security Module) de um banco de dados especificado.

P: Quem deve executar o comando dbaascli tde getHsmKeys?

R: O comando deve ser executado como usuário do root.

P: Em qual máquina devo executar o comando dbaascli tde getHsmKeys?

R: Você deve estabelecer conexão com uma máquina virtual do Oracle Base Database Cloud@Customer usando SSH para executar este comando.

P: Onde posso encontrar instruções para me conectar à máquina virtual?

R: Consulte o guia Estabelecendo Conexão com uma Máquina Virtual com SSH para obter instruções sobre como estabelecer conexão.

P: O que a opção –dbname faz?

R: A opção --dbname permite especificar o nome do Oracle AI Database cujos detalhes da chave de TDE você deseja recuperar.

P: O que a opção –infoFile faz?

R: A opção --infoFile especifica o caminho do arquivo em que a lista de OCIDs de chave (Identificadores do Oracle Cloud) será salva. A saída está no formato JSON.

P: Você pode fornecer um exemplo de como recuperar detalhes da chave de TDE para um banco de dados específico?

R: Veja um exemplo para obter os detalhes da chave de TDE de um banco de dados chamado mydatabase:

dbaascli tde getHsmKeys --dbname mydatabase

P: Como faço para salvar os detalhes da chave TDE em um arquivo?

R: Você pode especificar um caminho de arquivo usando a opção --infoFile para salvar a saída no formato JSON:

dbaascli tde getHsmKeys --dbname mydatabase --infoFile /path/to/output.json

P: Quais são os pré-requisitos para executar o comando dbaascli tde getHsmKeys?

R: Você deve executar o comando como usuário do root e estar conectado à máquina virtual do Oracle Base Database Cloud@Customer.

P: Preciso de credenciais SYSDBA para recuperar detalhes da chave de TDE?

R: Não, as credenciais SYSDBA não são necessárias para executar o comando dbaascli tde getHsmKeys.

P: Em qual formato as informações de chave de TDE são salvas ao usar a opção –infoFile?

A: A saída é salva no formato JSON.

P: Quais informações estão incluídas nos detalhes da chave TDE?

R: Os detalhes incluem OCIDs de chave e outros metadados sobre as chaves de criptografia ativas armazenadas no HSM para o banco de dados especificado.

P: O que devo fazer se o comando não conseguir recuperar os detalhes da chave?

R: Certifique-se de que você esteja executando o comando como o usuário raiz e que o nome do banco de dados (--dbname) esteja correto. Verifique sua conexão com a máquina virtual do Oracle Base Database Cloud@Customer.

Q: Como posso verificar se o arquivo de saída foi criado com sucesso?

R: Você pode verificar o caminho do arquivo especificado para o arquivo JSON de saída. Se o arquivo estiver ausente, verifique se o caminho do arquivo está correto e se você tem permissões de gravação no diretório.

P: O que devo fazer se o arquivo de saída estiver vazio?

R: Certifique-se de que o banco de dados especificado contenha chaves TDE ativas e que o parâmetro --dbname esteja correto. Você também pode precisar verificar se há erros nos logs do banco de dados.

P: Posso recuperar detalhes da chave de TDE para vários bancos de dados de uma só vez?

R: Não, você deve executar o comando dbaascli tde getHsmKeys separadamente para cada banco de dados.

P: Como posso usar o arquivo de saída da opção –infoFile em outras operações?

R: Como a saída está no formato JSON, você pode fazer parsing do arquivo de forma programática ou usá-lo como entrada para outras tarefas de gerenciamento de banco de dados ou criptografia.

P: Posso obter detalhes históricos da chave de TDE usando este comando?

R: Não, o comando só recupera detalhes sobre as chaves ativas no momento no HSM.

P: Como verifico se as chaves recuperadas estão corretas?

R: Você pode verificar as chaves fazendo referência cruzada delas com a console do Oracle Cloud Infrastructure (OCI) ou usando views de banco de dados relacionadas ao gerenciamento de criptografia.

Exemplo: dbaascli tde getHsmKeys

dbaascli tde getHsmkeys --dbname dbname
dbaascli tde getHsmkeys --dbname dbname --infoFile infoFilePath

dbaascli tde getMkidForKeyVersionOCID

Para obter o ID da Chave Principal associado ao OCID da versão da chave KMS, use o comando dbaascli tde getMkidForKeyVersionOCID.

Pré-requisitos:

Execute o comando como usuário root.

Sintaxe:

dbaascli tde getMkidForKeyVersionOCID --kmsKeyVersionOCID <value>
[--dbname <value>]
[--waitForCompletion <value>]

Parâmetros:

Parâmetro Descrição
--kmsKeyVersionOCID especifica o OCID de versão de chave KMS a ser definido
--dbname especifica o nome da base de dados
--waitForCompletion especifique false para executar a operação em segundo plano. Valores válidos: true ou false.

Perguntas Frequentes:

P: Qual é a finalidade do comando dbaascli tde getMkidForKeyVersionOCID?

R: O comando dbaascli tde getMkidForKeyVersionOCID recupera o MKID (Master Key ID) associado a um OCID específico da versão da chave KMS nos ambientes do Oracle AI Database Cloud Service.

P: Quais são os pré-requisitos para executar o comando dbaascli tde getMkidForKeyVersionOCID?

A: Você deve:

P: Quem pode executar o comando dbaascli tde getMkidForKeyVersionOCID?

R: Somente o usuário root pode executar esse comando.

P: O que o parâmetro –kmsKeyVersionOCID especifica?

R: O parâmetro --kmsKeyVersionOCID especifica o OCID da versão da chave KMS para o qual você deseja recuperar o MKID (Master Key ID) associado.

P: O que o parâmetro –dbname especifica?

R: O parâmetro --dbname especifica o nome do banco de dados para o qual o OCID da versão da chave KMS está sendo consultado.

P: O parâmetro –dbname é obrigatório?

A: Não, o parâmetro --dbname é opcional. Se você não especificar um nome de banco de dados, o comando irá recuperar o MKID para o banco de dados padrão no sistema.

P: O que devo fazer se não souber o OCID da versão da chave KMS?

R: Você deve recuperar o OCID da versão da chave KMS na console de gerenciamento ou no provedor de serviços do KMS antes de usar esse comando. Sem ele, o comando não pode recuperar o MKID (Master Key ID).

P: Posso executar este comando em um ambiente que não seja o Oracle Base Database Cloud@Customer?

R: Não, esse comando é especificamente para uso em um ambiente Oracle Base Database Cloud@Customer e você precisa estabelecer conexão com uma máquina virtual usando SSH para executá-lo.

P: O que acontece se eu executar o comando sem especificar um nome de banco de dados usando –dbname?

A: Se o parâmetro --dbname não for fornecido, o comando tentará recuperar o MKID para o banco de dados padrão configurado no sistema.

P: O que devo fazer se eu encontrar um erro ao recuperar o MKID?

A: Certifique-se de que:

P: Como estabeleço conexão com a máquina virtual do Oracle Base Database Cloud@Customer?

R: Você pode se conectar à máquina virtual via SSH. Consulte a documentação do Oracle Base Database Cloud@Customer para obter etapas sobre como estabelecer conexão com segurança.

Exemplo: dbaascli tde getMkidForKeyVersionOCID,

dbaascli tde getMkidForKeyVersionOCID --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha

dbaascli tde getPrimaryHsmKey

Para obter a chave HSM (KMS) primária da configuração HSM (KMS) existente, use o comando dbaascli tde getPrimaryHsmKey.

Pré-requisitos:

Execute o comando como usuário root.

Sintaxe:

dbaascli tde getPrimaryHsmKey
[--dbname]

Parâmetros:

Parâmetro Descrição
--dbname especifica o nome da base de dados

Perguntas Frequentes:

P: Qual é a finalidade do comando dbaascli tde getPrimaryHsmKey?

R: O comando dbaascli tde getPrimaryHsmKey recupera a chave principal HSM (Hardware Security Module) da configuração KMS (Hardware Security Module) existente em um ambiente Oracle AI Database.

P: Quais são os pré-requisitos para executar o comando dbaascli tde getPrimaryHsmKey?

A: Você deve:

P: Quem pode executar o comando dbaascli tde getPrimaryHsmKey?

R: Somente o usuário root pode executar esse comando.

P: O que o parâmetro –dbname especifica neste comando?

R: O parâmetro --dbname especifica o nome do banco de dados para o qual você deseja recuperar a chave principal do HSM.

P: O parâmetro –dbname é obrigatório?

A: Não, o parâmetro --dbname é opcional. Se não for fornecido, o comando recuperará a chave principal do HSM para o banco de dados padrão no sistema.

P: O que devo fazer se não especificar um nome de banco de dados com –dbname?

R: Se o parâmetro --dbname não for especificado, o comando tentará recuperar a chave principal do HSM para o banco de dados padrão configurado no sistema.

P: Posso executar este comando em um ambiente que não seja o Oracle Base Database Cloud@Customer?

R: Não, esse comando foi projetado especificamente para uso em um ambiente Oracle Base Database Cloud@Customer, e você deve estar conectado à máquina virtual usando SSH para executá-lo.

P: Como estabeleço conexão com a máquina virtual do Oracle Base Database Cloud@Customer para executar o comando?

R: Você pode se conectar à máquina virtual via SSH. Consulte a documentação do Oracle Base Database Cloud@Customer para obter instruções sobre como estabelecer conexão com segurança.

P: O que devo verificar se encontro um erro ao recuperar a chave principal do HSM?

A: Se você encontrar um erro, verifique se:

P: Preciso interromper o banco de dados para executar o comando dbaascli tde getPrimaryHsmKey?

R: Não, o banco de dados não precisa ser interrompido para executar este comando. Você pode executá-lo enquanto o banco de dados estiver em execução.

P: Qual é a finalidade de recuperar a chave primária do HSM?

R: A recuperação da chave primária do HSM permite identificar a chave atual do HSM que está sendo usada para criptografia na configuração existente do HSM (KMS) do banco de dados.

Exemplo: dbaascli tde getPrimaryHsmKey,

dbaascli tde getPrimaryHsmKey --dbname dbname

dbaascli tde hsmToFile

Para converter TDE baseada em HSM (KMS/OKV) em TDE baseada em FILE, use o comando dbaascli tde hsmToFile.

Execute o comando como usuário root.

Sintaxe:

dbaascli tde hsmToFile
[--dbname <value>]
{
    [--prepareStandbyBlob <value> [--blobLocation <value>]
   | [--standbyBlobFromPrimary <value>]
}
]
[--skipPatchCheck <value>]
[--executePrereqs ]
[--primarySuc <value>]
{
     [--resume [--sessionID <value>]] |
     [--revert [--sessionID <value>]]
}
[--waitForCompletion <value>]

Parâmetros:

Parâmetro Descrição
--dbname especifica o nome da base de dados
--prepareStandbyBlob especifique true para gerar um arquivo blob contendo os artefatos necessários para executar a operação em um ambiente de DG.
--blobLocation local do diretório personalizado em que o arquivo blob stand-by será gerado em um ambiente DG.
--standbyBlobFromPrimary especificar a localização do arquivo blob stand-by que está preparado com base no banco de dados principal. Isto é necessário apenas para operações stand-by. ]
--skipPatchCheck ignorará a verificação da validação dos patches necessários se o valor informado para esse argumento for true. Valores válidos: true ou false
--executePrereqs executar as verificações de pré-requisitos e relatar os resultados.
--primarySuc Especifique essa propriedade no banco do dados stand-by do ambiente Data Guard quando o comando for executado com sucesso no banco do dados principal
--resume retoma a execução anterior
--sessionID especifica para retomar um ID da sessão específico
--revert especifica para fazer rollback da execução anterior
--sessionID especifica para fazer rollback de um ID específico de sessão
--waitForCompletion especifica false para executar a operação em segundo plano. Valores válidos: true ou false

Perguntas Frequentes:

P: Qual é a finalidade do comando dbaascli tde hsmToFile?

R: O comando dbaascli tde hsmToFile é usado para converter uma TDE (Transparent Data Encryption) baseada em HSM (Hardware Security Module) em uma TDE baseada em arquivo em ambientes Oracle AI Database Cloud Service.

P: Quais são os pré-requisitos para executar o comando dbaascli tde hsmToFile?

A: Você deve:

P: O que o parâmetro –dbname especifica?

R: O parâmetro --dbname especifica o nome do banco de dados para o qual você está convertendo TDE do baseado em HSM para baseado em arquivo.

P: Quando o parâmetro –primaryDBWalletTar é necessário?

R: O parâmetro --primaryDBWalletTar só é necessário ao executar a conversão hsmToFile em um banco de dados stand-by. Especifica o arquivo tar da wallet do banco de dados principal.

P: Qual é a finalidade do parâmetro –skipPatchCheck?

R: O parâmetro --skipPatchCheck permite ignorar a verificação de validação para os patches necessários. Defina isso como true para ignorar a verificação ou false para impô-la.

P: Como faço para executar somente pré-verificações para o processo de conversão sem executar a conversão real?

R: Você pode usar o parâmetro --executePrereqs e defini-lo como yes para executar somente as pré-verificações. Defina-o como no para executar a conversão completa.

P: O que o parâmetro –primarySuc faz em um ambiente do Data Guard?

R: O parâmetro --primarySuc é usado em uma configuração do Data Guard para indicar que a conversão foi executada com sucesso no banco de dados principal. Ele deve ser usado ao executar a conversão no banco de dados stand-by.

P: Como posso retomar uma conversão anterior do hsmToFile?

R: Você pode retomar uma conversão anterior usando o parâmetro --resume. Opcionalmente, você pode especificar o ID da sessão da execução anterior com --sessionID.

P: Qual é a finalidade do parâmetro –revert?

R: O parâmetro --revert é usado para fazer rollback de um processo de conversão iniciado anteriormente em caso de falha ou se você precisar desfazer a operação.

P: O que acontece se eu definir –waitForCompletion como falso?

R: Se você definir --waitForCompletion como false, a operação será executada em segundo plano, permitindo que você continue outras tarefas. Se definido como true, o comando aguardará a conclusão do processo antes de retornar o controle ao usuário.

P: O que devo fazer se precisar converter a TDE em um banco de dados stand-by em uma configuração do Data Guard?

R: Em uma configuração do Data Guard, após converter TDE no banco de dados principal, você deve executar o comando no banco de dados stand-by usando o parâmetro --primaryDBWalletTar, especificando o arquivo tar da wallet do banco de dados principal e incluir --primarySuc.

Q: O que devo fazer se eu quiser ignorar a verificação de patches necessários durante a conversão?

R: Você pode ignorar a verificação de patch usando o parâmetro --skipPatchCheck e definindo-o como true.

P: Como verifico se o sistema está pronto para a conversão do hsmToFile sem fazer alterações?

R: Você só pode executar as pré-verificações usando o parâmetro --executePrereqs e definindo-o como yes.

P: O que devo fazer se o processo de conversão for interrompido?

R: Você pode usar o parâmetro --resume para reiniciar o processo de onde ele parou. Opcionalmente, você pode especificar um ID de sessão específico com --sessionID.

P: O que devo fazer se o processo de conversão falhar?

R: Se a conversão falhar, você poderá fazer rollback do processo usando o parâmetro --revert. Além disso, revise todas as mensagens de erro e verifique os logs do sistema para obter mais detalhes.

P: Posso executar o comando dbaascli tde hsmToFile em um ambiente de Banco de Dados não Base?

R: Este comando foi projetado para uso em ambientes do Oracle Base Database Cloud@Customer. Se você não estiver usando o Base Database, verifique se está em um ambiente suportado para que o comando funcione corretamente.

Exemplo: dbaascli tde hsmToFile

dbaascli tde hsmToFile --dbname dbname
dbaascli tde hsmToFile --dbname dbname --executePrereqs
dbaascli tde hsmToFile --dbname dbname --resume

dbaascli tde listKeys

Para listar chaves principais de TDE, use o comando dbaascli tde listKeys.

Pré-requisitos:

Execute o comando como usuário root.

Sintaxe:

dbaascli tde listKeys
[--dbname <value>]
[--infoFilePath <value>]

Parâmetros:

Parâmetro Descrição
--dbname especifica o nome da base de dados
--infoFilePath especificar o caminho absoluto do arquivo para o qual os resultados serão salvos.

Perguntas Frequentes:

P: Qual é a finalidade do comando dbaascli tde listKeys?

R: O comando dbaascli tde listKeys é usado para listar todas as chaves mestras de TDE (Transparent Data Encryption) de um banco de dados especificado em um ambiente do Oracle AI Database.

P: Quais são os pré-requisitos para executar o comando dbaascli tde listKeys?

A: Você deve:

P: O que o parâmetro –file faz no comando dbaascli tde listKeys?

A: O parâmetro --file especifica o caminho do arquivo em que a lista de chaves mestras de TDE deve ser salva. Se este parâmetro não for fornecido, os resultados serão exibidos diretamente no terminal.

P: O que o parâmetro –dbname especifica?

A: O parâmetro --dbname especifica o nome do banco de dados para o qual você deseja listar as chaves principais de TDE.

P: O parâmetro –file é obrigatório?

A: Não, o parâmetro --file é opcional. Se não for fornecida, a lista de chaves TDE será mostrada na saída do terminal em vez de ser salva em um arquivo.

P: O parâmetro –dbname é obrigatório?

A: Não, o parâmetro --dbname é opcional. Se não for especificado, o comando listará as chaves principais de TDE para o banco de dados padrão configurado no sistema.

P: O que devo fazer se quiser salvar a lista de chaves em um arquivo?

R: Você deve fornecer o parâmetro --file juntamente com o caminho de arquivo desejado. Por exemplo:

dbaascli tde listKeys --file /path/to/output.txt

P: O que acontece se eu não fornecer um nome de banco de dados com –dbname?

R: Se o parâmetro --dbname não for fornecido, o comando listará as chaves mestras de TDE para o banco de dados padrão no sistema.

P: Posso usar esse comando em ambientes diferentes do Oracle Base Database Cloud@Customer?

R: Este comando foi projetado especificamente para ambientes Oracle Base Database Cloud@Customer. Verifique se você está conectado à máquina virtual apropriada para executá-lo.

P: O que devo fazer se o comando não listar chaves?

A: Certifique-se de que:

P: Posso executar o comando dbaascli tde listKeys enquanto o banco de dados está em execução?

R: Sim, o comando pode ser executado enquanto o banco de dados está em execução. Ela simplesmente lista as chaves principais de TDE e não altera o estado do banco de dados.

P: Preciso de permissões especiais para executar este comando?

R: Você deve executar esse comando como o usuário root. Sem permissões de raiz, você não poderá executar o comando.

Q: Qual é a finalidade de listar chaves mestras TDE?

R: A listagem de chaves mestras de TDE permite que você revise as chaves de criptografia que estão sendo usadas para proteger os dados do banco de dados. É essencial para monitorar e gerenciar configurações de criptografia.

P: Como estabeleço conexão com a máquina virtual do Oracle Base Database Cloud@Customer para executar o comando?

R: Você pode se conectar à máquina virtual usando SSH. Consulte a documentação do Oracle Base Database Cloud@Customer para obter instruções sobre como estabelecer uma conexão segura.

Exemplo: dbaascli tde listKeys

dbaascli tde listKeys --dbname dbname
dbaascli tde listKeys --dbname dbname --infoFilePath infoFilePath

dbaascli tde removeSecondaryHsmKey

Para remover a chave HSM (KMS) secundária da configuração HSM (KMS) existente, use o comando dbaascli tde removeSecondaryHsmKey.

Pré-requisitos:

Execute o comando como usuário root.

Sintaxe:

dbaascli tde removeSecondaryHsmKey --dbname <value>
[--confirmDeletion]
[--secondaryKmsKeyOCID]
[--executePrereqs]

Parâmetros:

Parâmetro Descrição
--dbname especifica o nome da base de dados
--confirmDeletion se não especificado, o usuário será solicitado a excluir todas as chaves HSM(KMS) existentes.
--secondaryKmsKeyOCID chave KMS secundária a ser removida da configuração existente do HSM (KMS). Se não for especificada, todas as chaves KMS secundárias serão removidas.
--executePrereqs executar as verificações de pré-requisitos e relatar os resultados.

Perguntas Frequentes:

P: Qual é a finalidade do comando dbaascli tde removeSecondaryHsmKey?

R: O comando dbaascli tde removeSecondaryHsmKey é usado para remover uma chave HSM (Hardware Security Module) secundária da configuração KMS (HSM) existente em um ambiente do Oracle AI Database.

P: Quais são os pré-requisitos para executar o comando dbaascli tde removeSecondaryHsmKey?

A: Você deve:

P: O que o parâmetro –force faz no comando dbaascli tde removeSecondaryHsmKey?

R: O parâmetro --force permite a remoção da chave secundária do HSM sem solicitar confirmação ao usuário. Se não especificado, o comando solicitará ao usuário antes de excluir qualquer chave.

P: O que o parâmetro –secondaryKmsKeyOCID especifica?

R: O parâmetro --secondaryKmsKeyOCID especifica o OCID (Oracle Cloud Identifier) da chave secundária do KMS que você deseja remover da configuração existente do HSM.

P: O que o parâmetro –dbname faz?

R: O parâmetro --dbname especifica o nome do banco de dados para o qual a chave secundária do HSM está sendo removida.

P: Qual é a finalidade do parâmetro –precheckOnly?

A: O parâmetro --precheckOnly, se definido como yes, só executará as pré-verificações para validar a prontidão para a operação de remoção sem realmente remover a chave HSM secundária. Se definido como no, a operação de remoção completa será executada.

P: O parâmetro –force é obrigatório?

A: Não, o parâmetro --force é opcional. Se não for especificado, o sistema solicitará ao usuário a confirmação antes de prosseguir com a remoção da chave.

P: O parâmetro –secondaryKmsKeyOCID é obrigatório?

R: Sim, você deve fornecer o --secondaryKmsKeyOCID para identificar a chave secundária específica do HSM que deseja remover da configuração.

P: O parâmetro –dbname é obrigatório?

A: Não, o parâmetro --dbname é opcional. Se não for especificado, o comando tentará remover a chave HSM secundária do banco de dados padrão no sistema.

P: O que devo fazer se eu quiser remover a chave HSM secundária sem prompts de usuário?

R: Você deve usar o parâmetro --force para ignorar o prompt de confirmação e remover a chave secundária do HSM diretamente:

dbaascli tde removeSecondaryHsmKey --force --secondaryKmsKeyOCID <value>

P: Como posso testar se o sistema está pronto para remover a chave secundária do HSM sem realmente removê-la?

R: Você pode usar o parâmetro --precheckOnly definido como sim para executar uma pré-verificação:

dbaascli tde removeSecondaryHsmKey --precheckOnly yes --secondaryKmsKeyOCID <value>

P: O que acontece se eu não fornecer um nome de banco de dados com –dbname?

R: Se o parâmetro --dbname não for especificado, o comando tentará remover a chave secundária do HSM do banco de dados padrão configurado no sistema.

P: O que devo verificar se o comando não remove a chave secundária do HSM?

A: Certifique-se de que:

Q: O que devo fazer se a operação de remoção falhar no meio do caminho?

R: Se a operação falhar, revise os logs de erro e tente executar o comando com --precheckOnly para garantir que o sistema esteja pronto para a operação. Se necessário, corrija os problemas antes de tentar novamente.

P: Posso executar o comando dbaascli tde removeSecondaryHsmKey enquanto o banco de dados está em execução?

R: Sim, o comando pode ser executado enquanto o banco de dados está em execução, pois não requer que o banco de dados seja interrompido.

P: Qual é a finalidade de remover uma chave HSM secundária?

R: A remoção de uma chave HSM secundária geralmente é feita quando a chave não é mais necessária ou quando você deseja gerenciar as chaves de criptografia usadas na configuração de TDE (Transparent Data Encryption).

P: Como estabeleço conexão com a máquina virtual do Oracle Base Database Cloud@Customer para executar o comando?

R: Você pode se conectar à máquina virtual usando SSH. Consulte a documentação do Oracle Base Database Cloud@Customer para obter instruções sobre como estabelecer uma conexão segura.

Exemplo: dbaascli tde removeSecondaryHsmKey,

dbaascli tde removeSecondaryHsmKey --dbname dbname
dbaascli tde removeSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde removeSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs

dbaascli tde rotateMasterKey

Para rotacionar a chave principal da criptografia de banco de dados, use o comando dbaascli tde rotateMasterKey.

Pré-requisitos:

Execute o comando como usuário root.

Sintaxe:

dbaascli tde rotateMasterKey --dbname <value>
[--rotateMasterKeyOnAllPDBs]
[--pdbName <value>]
[--executePrereqs]
[--resume [--sessionID <value>]]
{
     [--prepareStandbyBlob <value> [--blobLocation <value>]]
     | [--standbyBlobFromPrimary <value>]
 }

Parâmetros:

Parâmetro Descrição
--dbname especifica o nome do Oracle AI Database
--rotateMasterKeyOnAllPDBs especifica true para rotacionar chave mestra de todos os PDBs no CDB. Valores válidos: true ou false
--pdbName especifica o nome da PDB
--executePrereqs executa as verificações de pré-requisitos e reporta os resultados
--resume especifica para retomar a execução anterior
--sessionID especifica para retomar um ID da sessão específico
--prepareStandbyBlob especifica true para gerar um arquivo BLOB contendo os artefatos necessários para executar a operação em um ambiente de Data Guard
--blobLocation especifica o local do diretório personalizado em que o arquivo BLOB stand-by será gerado em um ambiente Data Guard
--standbyBlobFromPrimary especifica o local do arquivo BLOB stand-by, que é preparado com base no banco de dados principal. Isso só é necessário para operações stand-by.

Perguntas Frequentes:

P: Qual é a finalidade do comando dbaascli tde rotateMasterKey?

R: O comando dbaascli tde rotateMasterKey é usado para rotacionar a chave mestra usada para TDE (Transparent Data Encryption) em um Oracle AI Database. Esse processo garante que as chaves de criptografia sejam atualizadas para maior segurança.

P: Quais são os pré-requisitos para executar o comando dbaascli tde rotateMasterKey?

A: Você deve:

P: O que o parâmetro –dbname especifica?

R: O parâmetro --dbname especifica o nome do Oracle AI Database para o qual você deseja rotacionar a chave de criptografia mestra.

P: Qual é a finalidade do parâmetro –rotateMasterKeyOnAllPDBs?

R: O parâmetro --rotateMasterKeyOnAllPDBs especifica se a chave mestra deve ser rotacionada para todos os PDBs (Bancos de Dados Plugáveis) em um CDB (Banco de Dados Contêiner). Os valores válidos são verdadeiro ou falso.

P: O que o parâmetro –pdbName faz?

R: O parâmetro --pdbName especifica o nome de um PDB (Banco de Dados Plugável) específico se você quiser rotacionar a chave mestra de um PDB específico em vez de todos os PDBs.

P: O que o parâmetro –executePrereqs faz?

R: O parâmetro --executePrereqs executa verificações de pré-requisito para validar se o ambiente está pronto para a rotação de chave mestra sem executar a rotação real.

P: O que o parâmetro –resume especifica?

R: O parâmetro --resume é usado para retomar uma operação iniciada anteriormente. Você também pode fornecer um ID de sessão específico usando --sessionID para retomar uma sessão específica.

P: Qual é a finalidade do parâmetro –prepareStandbyBlob?

R: O parâmetro --prepareStandbyBlob, se definido como verdadeiro, gera um arquivo BLOB contendo os artefatos necessários para executar a rotação da chave mestra em um ambiente do Data Guard.

P: O que o parâmetro –blobLocation faz?

R: O parâmetro --blobLocation especifica um caminho de diretório personalizado no qual o arquivo BLOB stand-by será gerado. Isso é aplicável quando --prepareStandbyBlob é definido como true.

P: O que o parâmetro –standbyBlobFromPrimary especifica?

A: O parâmetro --standbyBlobFromPrimary especifica o local do arquivo BLOB stand-by que foi gerado do banco de dados principal. Esse parâmetro é usado ao executar a rotação de chave mestra em um banco de dados stand-by em um ambiente do Data Guard.

P: O parâmetro –rotateMasterKeyOnAllPDBs é obrigatório?

A: Não, o parâmetro --rotateMasterKeyOnAllPDBs é opcional. Se não for especificada, a chave mestra só será rotacionada para o banco de dados (ou PDB específico) fornecido nos parâmetros --dbname ou --pdbName.

P: O parâmetro –pdbName será necessário se eu estiver rotacionando chaves para um CDB?

R: Não, o parâmetro --pdbName só será necessário se você quiser rotacionar a chave mestra para um PDB (Banco de Dados Plugável) específico. É opcional ao rotacionar a chave para o CDB inteiro.

P: Preciso usar os parâmetros –prepareStandbyBlob e –standbyBlobFromPrimary para bancos de dados autônomos?

R: Não, esses parâmetros só são relevantes em um ambiente do Data Guard em que um banco de dados stand-by está envolvido.

P: Como posso rotacionar a chave mestra para todos os PDBs em um CDB?

R: Você deve usar o parâmetro --rotateMasterKeyOnAllPDBs definido como verdadeiro para rotacionar a chave mestra de todos os PDBs no CDB. Por exemplo:

dbaascli tde rotateMasterKey --dbname CDB_NAME --rotateMasterKeyOnAllPDBs true

P: Como faço para executar uma verificação para validar se o sistema está pronto para rotação de chave mestra sem executar a operação real?

R: Você pode usar o parâmetro --executePrereqs para executar as verificações de pré-requisito. Isso reportará quaisquer problemas que possam impedir a rotação da chave mestra:

dbaascli tde rotateMasterKey --dbname DB_NAME --executePrereqs

P: O que devo fazer se a operação for interrompida e eu quiser retomá-la?

R: Você pode usar o parâmetro --resume para retomar a operação interrompida anteriormente. Se você tiver um ID de sessão, forneça o parâmetro --sessionID:

dbaascli tde rotateMasterKey --dbname DB_NAME --resume --sessionID <value>

P: Como posso me preparar para a rotação de chaves em um ambiente do Data Guard?

R: Você deve usar o parâmetro --prepareStandbyBlob para gerar um arquivo BLOB que contenha os artefatos necessários para rotacionar a chave mestra em um ambiente stand-by:

dbaascli tde rotateMasterKey --dbname DB_NAME --prepareStandbyBlob true --blobLocation /path/to/blob

P: Como aplico o arquivo BLOB stand-by do banco de dados principal ao girar chaves em um banco de dados stand-by?

A: Use o parâmetro --standbyBlobFromPrimary para especificar o local do arquivo BLOB que foi preparado no banco de dados principal:

dbaascli tde rotateMasterKey --dbname DB_NAME --standbyBlobFromPrimary /path/to/blob

P: O que devo verificar se a rotação da chave mestra falha?

A: Certifique-se de que:

P: O que devo fazer se a operação não for concluída com sucesso em um ambiente do Data Guard?

R: Certifique-se de que o arquivo BLOB do banco de dados principal tenha sido preparado corretamente usando --prepareStandbyBlob e, em seguida, use --standbyBlobFromPrimary para aplicá-lo no banco de dados stand-by.

P: Posso executar o comando dbaascli tde rotateMasterKey enquanto o banco de dados está em execução?

R: Sim, o comando pode ser executado enquanto o banco de dados está em execução. No entanto, recomenda-se executar verificações de pré-requisitos com antecedência usando a opção --executePrereqs.

P: Por que é importante girar a chave mestra?

R: A rotação da chave mestra melhora a segurança do banco de dados, garantindo que as chaves de criptografia usadas para proteção de dados sejam atualizadas periodicamente, reduzindo o risco de comprometimento de chaves.

P: Preciso reiniciar o banco de dados após girar a chave mestra?

R: Não, a reinicialização do banco de dados não é necessária após a rotação da chave mestra. A rotação de chaves entrará em vigor imediatamente sem qualquer interrupção do serviço.

dbaascli tde setKeyVersion

Para definir a versão da chave primária a ser usada no DB/CDB ou no PDB, use o comando dbaascli tde setKeyVersion.

Execute o comando como usuário root.

Sintaxe:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <value>
[--pdbName <value>]
[--masterKeyID <value>]
[--standbySuc]
[--executePrereqs]
[--waitForCompletion <value>]

Parâmetros:

Parâmetro Descrição
--kmsKeyVersionOCID especifica o OCID de versão de chave KMS a ser definido.
--dbname especifica o nome da base de dados.
--pdbName nome do PDB para usar o OCID da versão da chave.
--masterKeyID especifica o ID da chave mestra do OCID da versão de chave fornecida. Isso se aplica ao ambiente do Data Guard.
--standbySuc especificar essa propriedade no banco do dados principal do ambiente do Data Guard uma vez executado com sucesso no banco do dados stand-by
--executePrereqs executar as verificações de pré-requisitos e relatar os resultados.
--waitForCompletion especifique false para executar a operação em segundo plano. Valores válidos: true ou false

Perguntas Frequentes:

P: Qual é a finalidade do comando dbaascli tde setKeyVersion?

R: O comando dbaascli tde setKeyVersion é usado para definir a versão da chave de criptografia principal que deve ser usada para TDE (Transparent Data Encryption) em um banco de dados ou PDB (Pluggable Database). Isso permite que a versão específica de uma chave KMS seja designada ao banco de dados.

P: Quais são os pré-requisitos para usar o comando dbaascli tde setKeyVersion?

R: Você deve executar o comando como o usuário root e garantir que esteja conectado a uma máquina virtual do Oracle Base Database Cloud@Customer.

P: O que o parâmetro –kmsKeyVersionOCID especifica?

R: O parâmetro --kmsKeyVersionOCID especifica o OCID da versão da chave KMS (Oracle Cloud Identifier) que você deseja definir para o banco de dados ou o PDB.

P: O que o parâmetro –dbname especifica?

R: O parâmetro --dbname especifica o nome do Oracle AI Database para o qual a versão da chave será definida.

P: Qual é a finalidade do parâmetro –pdbName?

R: O parâmetro --pdbName especifica o nome do PDB (Banco de Dados Plugável) em um CDB (Banco de Dados Contêiner) no qual você deseja definir a versão da chave KMS específica.

P: Para que é usado o parâmetro –masterKeyID?

R: O parâmetro --masterKeyID especifica o ID da chave mestra associado ao OCID da versão da chave KMS fornecida. Isso é particularmente importante em um ambiente do Data Guard.

P: Qual é a função do parâmetro –standbySuc?

A: O parâmetro --standbySuc é usado em um ambiente do Data Guard. Especifica que essa propriedade deve ser definida no banco de dados principal após a execução bem-sucedida do comando no banco de dados stand-by.

P: O que o parâmetro –executePrereqs faz?

A: O parâmetro --executePrereqs especifica se as verificações de pré-requisitos devem ser executadas antes da execução da operação. Os valores válidos são yes ou no.

P: O que o parâmetro –waitForCompletion controla?

R: O parâmetro --waitForCompletion determina se a operação será executada de forma síncrona (aguardando a conclusão) ou assíncrona (em segundo plano). Os valores válidos são true ou false.

P: O parâmetro –pdbName é necessário se estiver definindo a versão da chave para um CDB?

R: Não, o parâmetro --pdbName só será necessário se você estiver definindo a versão da chave para um PDB (Banco de Dados Plugável) específico. Ele será opcional se você estiver definindo a versão da chave para todo o Banco de Dados Contêiner (CDB).

P: O parâmetro –masterKeyID é necessário para ambientes que não são do Data Guard?

R: Não, o parâmetro --masterKeyID geralmente só é usado em ambientes do Data Guard. Para bancos de dados stand-alone, este parâmetro não é obrigatório.

P: Como defino a versão da chave para um banco de dados?

R: Você pode definir a versão da chave para um banco de dados executando:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <DB_NAME>

P: Como defino a versão da chave para um PDB específico?

R: Para definir a versão da chave de um PDB (Banco de Dados Plugável) específico, use o parâmetro --pdbName com o nome do banco de dados:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <DB_NAME> --pdbName <PDB_NAME>

P: Como posso garantir que todos os pré-requisitos sejam atendidos antes de definir a versão da chave?

R: Você pode executar as verificações de pré-requisitos usando o parâmetro --executePrereqs:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --executePrereqs yes

P: Como defino a versão da chave em um ambiente do Data Guard?

R: Em um ambiente do Data Guard, você deve:

P: Como posso executar a operação em segundo plano sem esperar que ela seja concluída?

R: Você pode executar a operação de forma assíncrona definindo --waitForCompletion como false:

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --waitForCompletion false

P: O que devo fazer se a versão da chave não for definida?

A: Certifique-se de que:

P: O que devo verificar se a operação não foi concluída com sucesso em um ambiente do Data Guard?

R: Certifique-se de que o parâmetro --masterKeyID esteja especificado corretamente ao executar o comando no banco de dados stand-by. Uma vez concluído no stand-by, o parâmetro --standbySuc deverá ser usado ao executar o comando no banco de dados principal.

P: Posso executar o comando dbaascli tde setKeyVersion enquanto o banco de dados está em execução?

R: Sim, o comando pode ser executado enquanto o banco de dados está em execução. No entanto, é recomendável executar as verificações de pré-requisito usando --executePrereqs.

P: Por que é importante definir a versão correta da chave KMS para um banco de dados?

R: A definição da versão correta da chave KMS garante que o banco de dados esteja usando a versão apropriada da chave de criptografia para TDE, o que ajuda a manter a segurança dos dados e a conformidade com as políticas organizacionais.

P: O que acontece se eu usar o OCID errado da versão da chave KMS?

R: Se um OCID incorreto da versão da chave KMS for usado, a criptografia poderá falhar e o banco de dados não poderá usar a chave incorreta para operações de criptografia. Certifique-se de que o OCID correto da versão da chave seja fornecido.

P: Preciso reiniciar o banco de dados após definir a versão da chave?

R: Não, a reinicialização do banco de dados não é necessária após a definição da versão da chave. A nova versão da chave entrará em vigor imediatamente sem exigir uma reinicialização.

Exemplo: dbaascli tde setKeyVersion

dbaascli tde setKeyVersion --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha
dbaascli tde setKeyVersion --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha --executePrereqs
dbaascli tde setKeyVersion --dbname dbname --pdbName pdb --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha

dbaascli tde setPrimaryHsmKey

Para alterar a chave HSM (KMS) primária para a configuração HSM (KMS) existente, use o comando dbaascli tde setPrimaryHsmKey.

Execute o comando como usuário root.

Sintaxe:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <value> --dbname <value>
[--allStandbyPrepared]
[--bounceDatabase]
[--executePrereqs]
[--resume [--sessionID <value>]]

Parâmetros:

Parâmetro Descrição
--primaryKmsKeyOCID especifica a chave KMS primária a ser definida
--dbname especifica o nome da base de dados
--allStandbyPrepared especifique para confirmar se a operação foi executada com sucesso em todos os bancos e dados stand-by.
--bounceDatabase especificar este flag para fazer bounce de banco de dados incremental para esta operação
--executePrereqs executar as verificações de pré-requisitos e relatar os resultados.
--resume para retomar a execução anterior
--sessionID para retomar um ID de sessão específico.

Perguntas Frequentes:

P: Qual é a finalidade do comando dbaascli tde setPrimaryHsmKey?

R: O comando dbaascli tde setPrimaryHsmKey é usado para alterar a chave primária HSM (Hardware Security Module) ou KMS (Key Management Service) em uma configuração HSM/KMS existente para TDE (Transparent Data Encryption).

P: Quais são os pré-requisitos para executar o comando dbaascli tde setPrimaryHsmKey?

R: O comando deve ser executado como usuário do root e o ambiente deve ser uma máquina virtual do Oracle Base Database Cloud@Customer.

P: O que o parâmetro –primaryKmsKeyOCID especifica?

R: O parâmetro --primaryKmsKeyOCID especifica o OCID (Oracle Cloud Identifier) da chave KMS principal a ser definida para o ambiente de TDE.

P: Qual é a função do parâmetro –dbname?

R: O parâmetro --dbname especifica o nome do Oracle AI Database para o qual a chave principal HSM/KMS será definida.

P: O que o parâmetro –standbySuc faz?

A: O parâmetro --standbySuc é usado em um ambiente do Data Guard. Especifica que o comando deve ser executado no banco de dados principal após sua execução bem-sucedida no banco de dados stand-by.

P: Qual é a finalidade do parâmetro –precheckOnly?

R: O parâmetro --precheckOnly permite que você execute apenas as pré-verificações desta operação. Ele valida o ambiente sem fazer alterações reais. Os valores válidos são yes ou no.

P: O que o parâmetro –bounceDatabase controla?

A: O parâmetro --bounceDatabase especifica se o banco de dados deve ser devolvido (reiniciado) de maneira incremental como parte da operação. Isso garante um tempo de inatividade mínimo reiniciando partes do banco de dados um por um.

P: Como defino a chave KMS primária para o meu banco de dados?

R: Para definir a chave primária do KMS, execute o seguinte comando:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME>

Q: Como posso assegurar-me de que a operação possa ser executada sem nenhum problema?

R: Execute a operação com o parâmetro --precheckOnly para verificar se todos os pré-requisitos foram atendidos:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --precheckOnly yes

P: Como defino a chave KMS primária em um ambiente do Data Guard?

R: Primeiro, execute o comando no banco de dados stand-by:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME>

Em seguida, execute o comando no banco de dados principal com o parâmetro --standbySuc:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME> --standbySuc yes

P: Como minimizo o tempo de inatividade ao alterar a chave principal do KMS?

R: Você pode usar o parâmetro --bounceDatabase para executar uma reinicialização incremental, minimizando o tempo de inatividade:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --bounceDatabase

P: O parâmetro –dbname é necessário para todos os bancos de dados?

R: Sim, você deve especificar o parâmetro --dbname para indicar o banco de dados de destino para o qual a chave primária do KMS deve ser definida.

P: É obrigatório usar o parâmetro –standbySuc em um ambiente do Data Guard?

R: Sim, o parâmetro --standbySuc deve ser usado ao executar o comando no banco de dados principal após executá-lo com sucesso no banco de dados stand-by.

P: Posso ignorar a operação de bounce para o banco de dados?

R: Sim, se você não especificar o parâmetro --bounceDatabase, o banco de dados não será devolvido (reiniciado) como parte da operação.

P: O que devo fazer se o comando falhar durante a execução?

A: Se o comando falhar, certifique-se de:

P: E se a operação falhar em um ambiente do Data Guard?

R: Certifique-se de que o comando tenha sido executado com sucesso no banco de dados stand-by antes de executá-lo no principal. Verifique se há erros nos logs e execute novamente a operação com os parâmetros corretos.

P: Posso executar o comando dbaascli tde setPrimaryHsmKey em um banco de dados ativo?

R: Sim, o comando pode ser executado enquanto o banco de dados estiver ativo. No entanto, o uso do parâmetro --bounceDatabase reiniciará o banco de dados de forma incremental, o que minimizará o impacto.

P: Como eu executo o comando de maneira incremental para evitar o tempo de inatividade completo?

R: Use o parâmetro --bounceDatabase para executar uma reinicialização incremental do banco de dados ao alterar a chave KMS principal:

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --bounceDatabase

P: Qual é a importância de alterar a chave primária do KMS?

R: A alteração da chave KMS primária garante que o banco de dados use uma chave de criptografia atualizada ou diferente para TDE (Transparent Data Encryption). Isso pode ser necessário por motivos de segurança ou conformidade.

Q: Com que frequência a chave primária do KMS deve ser girada ou alterada?

R: Embora não haja uma regra estrita, as organizações podem rotacionar a chave principal do KMS com base em políticas de segurança, como intervalos de rotação de chaves ou requisitos de conformidade.

P: O que acontece se a chave primária do KMS estiver definida incorretamente?

R: Se o OCID da chave incorreto estiver definido, as operações de criptografia de banco de dados poderão falhar, e talvez você precise reverter para a chave correta ou corrigir a configuração definindo o OCID da chave KMS correto.

P: Preciso reiniciar o banco de dados após alterar a chave primária do KMS?

R: Não, não é necessário reiniciar o banco de dados, a menos que você opte por usar o parâmetro --bounceDatabase, que reiniciará automaticamente o banco de dados para aplicar a alteração.

Exemplo: dbaascli tde setPrimaryHsmKey

dbaascli tde setPrimaryHsmKey --dbname dbname --primaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza
dbaascli tde setPrimaryHsmKey --dbname dbname --primaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs

dbaascli tde status

Para exibir informações sobre o armazenamento de chaves do banco de dados especificado, use o comando dbaascli tde status.

Pré-requisitos:

Execute o comando como usuário oracle.

Sintaxe:

dbaascli tde status --dbname dbname

Parâmetros:

Parâmetro Descrição
--dbname especifica o nome da base de dados que você deseja verificar.

A saída do comando inclui o tipo e o status do armazenamento de chaves.

Perguntas Frequentes:

P: O que o comando dbaascli tde status faz?

R: O comando dbaascli tde status exibe informações sobre o armazenamento de chaves de um banco de dados especificado. Isso inclui detalhes sobre o tipo de armazenamento de chaves e seu status.

P: Quem deve executar o comando dbaascli tde status?

R: O comando deve ser executado como o usuário oracle.

P: Onde o comando dbaascli tde status deve ser executado?

R: O comando deve ser executado em uma máquina virtual do Oracle Base Database Cloud@Customer. Você deve se conectar à máquina virtual via SSH para executar o utilitário.

P: Qual é a função do parâmetro –dbname?

A: O parâmetro --dbname especifica o nome do banco de dados para o qual o status da área de armazenamento de chaves de TDE será verificado.

P: Quais informações o comando dbaascli tde status retorna?

R: A saída do comando inclui o tipo de armazenamento de chaves (por exemplo, baseado em HSM ou em arquivo) e o status atual do armazenamento de chaves, como se ele está aberto, fechado ou em algum outro estado.

P: Como posso saber se o armazenamento de chaves está aberto ou fechado usando o comando dbaascli tde status?

R: O status da área de armazenamento de chaves, incluindo se ela está aberta ou fechada, faz parte da saída retornada pelo comando dbaascli tde status.

P: Como verifico o status do armazenamento de chaves TDE para um banco de dados específico?

A: Para verificar o status da área de armazenamento de chaves TDE para um banco de dados específico, execute:

dbaascli tde status --dbname <DB_NAME>

P: Posso verificar o status do armazenamento de chaves para vários bancos de dados?

R: Sim, mas você precisa executar o comando separadamente para cada banco de dados, especificando seu nome usando o parâmetro --dbname.

P: O comando dbaascli tde status pode ser executado como usuário raiz?

R: Não, o comando deve ser executado como o usuário oracle, não como o usuário root.

P: Preciso de permissões especiais para executar o comando dbaascli tde status?

R: Sim, você precisa ter privilégios de usuário da oracle e estar conectado a uma máquina virtual do Oracle Base Database Cloud@Customer para executar o comando.

P: O que devo fazer se eu receber um erro ao executar o comando dbaascli tde status?

R: Certifique-se de estar executando o comando como o usuário oracle e verifique se você tem as permissões necessárias e se está conectado à máquina virtual correta.

Q: Como eu sei que tipo de armazenamento de chaves meu banco de dados está usando?

R: O tipo de armazenamento de chaves, como se é baseado em arquivo ou baseado em HSM/KMS, é exibido na saída do comando dbaascli tde status.

P: O que devo fazer se o armazenamento de chaves estiver fechado?

R: Se a área de armazenamento de chaves estiver fechada, talvez seja necessário abri-la manualmente, dependendo da operação que você está tentando executar. O processo exato dependerá do tipo de armazenamento de chaves e do seu ambiente.

P: Posso exibir o status do armazenamento de chaves para um CDB (Banco de Dados Contêiner) ou PDB (Banco de Dados Plugável)?

R: Sim, especificando o nome do banco de dados apropriado usando o parâmetro --dbname, você pode exibir o status do armazenamento de chaves para CDBs e PDBs.

P: O que significa se o comando retornar um erro sobre a conectividade do banco de dados?

R: Isso pode indicar um problema com a conexão com o banco de dados ou um problema com o seu ambiente. Certifique-se de que o banco de dados esteja em execução e acessível e verifique sua conexão SSH com a máquina virtual do Oracle Base Database Cloud@Customer.

P: O que acontece se o nome do banco de dados estiver incorreto?

R: Se o parâmetro --dbname especificar um banco de dados incorreto ou inexistente, o comando falhará e você receberá uma mensagem de erro indicando o problema.

P: Como diagnostico problemas se o status da área de armazenamento de chaves indica um estado inesperado?

R: Se o status do armazenamento de chaves indicar um estado inesperado, revise os logs do banco de dados para obter mais detalhes e verifique a configuração do armazenamento de chaves para garantir que ele esteja configurado corretamente.

P: Posso automatizar a verificação do status da área de armazenamento de chaves para fins de monitoramento?

R: Sim, você pode criar script do comando dbaascli tde status para verificar o status do armazenamento de chaves periodicamente ou integrá-lo às suas ferramentas de monitoramento de banco de dados.

P: Como verifico se a Criptografia Transparente de Dados (TDE) está ativada corretamente?

R: Você pode verificar se a TDE está ativada corretamente verificando o status do armazenamento de chaves usando o comando dbaascli tde status. Um armazenamento de chaves válido e aberto indica que a TDE está configurada corretamente.

Exemplo: status de dbaascli tde

dbaascli tde status --dbname dbname