通透資料加密 (TDE) 管理

本節涵蓋管理用於保護資料庫資料的通透資料加密 (TDE)。它包括處理加密金鑰和金鑰存放區的命令，例如新增次要 HSM 金鑰的 dbaascli tde addSecondaryHsmKey、旋轉主要金鑰的 dbaascli tde rotateMasterKey，以及加密可插式資料庫內表格空間的 dbaascli tde encryptTablespacesInPDB。您也可以在 FILE 與 HSM 型 TDE (dbaascli tde fileToHsm、dbaascli tde hsmToFile) 之間轉換、管理金鑰版本，以及使用各種命令擷取金鑰詳細資訊。這些工具可確保有效的加密管理和資料安全性。

dbaascli tde addSecondaryHsmKey
dbaascli tde changePassword
dbaascli tde enableWalletRoot
dbaascli tde encryptTablespacesInPDB
dbaascli tde fileToHsm
dbaascli tde getHsmKeys
dbaascli tde getMkidForKeyVersionOCID
dbaascli tde getPrimaryHsmKey
dbaascli tde hsmToFile
dbaascli tde listKeys
dbaascli tde removeSecondaryHsmKey
dbaascli tde rotateMasterKey
dbaascli tde setKeyVersion
dbaascli tde setPrimaryHsmKey
dbaascli tde 狀態

dbaascli tde addSecondaryHsmKey

若要將次要 HSM (KMS) 金鑰新增至現有的 HSM (KMS) 組態，請使用 dbaascli tde addSecondaryHsmKey 命令。

先決條件：

以 root 使用者身分執行指令。

語法：

dbaascli tde addSecondaryHsmKey --dbname <value> --secondaryKmsKeyOCID <value>
[--executePrereqs]

參數：

參數	描述
`--secondaryKmsKeyOCID`	指定要新增至現有 HSM (KMS) 組態的次要 KMS 金鑰
`--dbname`	指定資料庫的名稱
`--executePrereqs`	執行先決條件檢查並報告結果。

常見問題：

問：dbaascli tde addSecondaryHsmKey 命令的功能是什麼？

答：dbaascli tde addSecondaryHsmKey 命令會將次要 HSM (KMS) 金鑰新增至 Oracle Base Database Cloud@Customer 資料庫的現有 HSM (KMS) 組態。

問：誰應該執行 dbaascli tde addSecondaryHsmKey 命令？

答：這個指令必須以 root 使用者身分執行。

問：我應該在哪台機器上執行 dbaascli tde addSecondaryHsmKey 命令？

答：您必須使用 SSH 連線至 Oracle Base Database Cloud@Customer 虛擬機器，才能執行此命令。

問：哪裡可以找到連線虛擬機器以執行此命令的詳細資訊？

答：您可以參閱使用 SSH 連線至虛擬機器指南，瞭解如何連線。

問：– secondaryKmsKeyOCID 選項指定什麼？

A：--secondaryKmsKeyOCID 選項會指定要新增至現有 HSM (KMS) 組態之次要 KMS 金鑰的 OCID (Oracle Cloud Identifier)。

問：– dbname 選項有什麼作用？

A：--dbname 選項可讓您指定要新增次要 KMS 金鑰的資料庫名稱。此為選擇性參數。

問：– precheckOnly 選項有什麼作用？

A：設為 yes 時，--precheckOnly 選項會執行作業的前置檢查，而不會進行任何實際的變更。有效值為 yes 或 no。

問：我可以只執行前置檢查而不作任何更改嗎？

答：是的，您可以使用 --precheckOnly yes 選項，只執行前置檢查而不進行變更。

問：您可以提供如何執行此指令以新增次要 HSM 金鑰的範例嗎？

A：以下為範例：

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example

問：如何針對特定資料庫執行命令？

A：您可以指定資料庫名稱，如下所示：

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example --dbname mydatabase

問：如何只使用前置檢查執行命令？

A：若要執行前置檢查，請使用下列語法：

dbaascli tde addSecondaryHsmKey --secondaryKmsKeyOCID ocid1.kms.key.oc1..example --precheckOnly yes

問：如果命令失敗，該怎麼辦？

答：請確定您以 root 使用者身分執行命令，且已連線至正確的 Oracle Base Database Cloud@Customer 虛擬機器。此外，請確認 KMS 金鑰的 OCID，並檢查是否已授予必要的權限。

問：如何檢查次要 KMS 金鑰的 OCID 是否正確？

答：您可以從 Oracle Cloud Infrastructure 主控台的「金鑰管理服務 (KMS)」區段底下擷取 KMS 金鑰的 OCID。

問：新增次要 KMS 金鑰需要哪些權限？

答：您需要在 Oracle Cloud Infrastructure 中適當的權限來進行 KMS 作業，包括管理相關區間的 KMS 金鑰。

問：我可以在不指定 – dbname 選項的情況下使用 dbaascli tde addSecondaryHsmKey 命令嗎？

A：是，--dbname 選項為選擇性選項。如果省略，此命令會套用到使用現有 HSM (KMS) 組態的所有資料庫。

問：如果新增次要 KMS 金鑰，會發生什麼情況？

答：次要 KMS 金鑰將會新增至現有的組態，提供一層額外的加密金鑰管理備援。

問：新增次要 KMS 金鑰後，是否可以將其移除？

答：不，新增次要 KMS 金鑰之後，即無法移除。您未來只能輪換或更新金鑰。

範例：dbaascli tde addSecondaryHsmKey

dbaascli tde addSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza

dbaascli tde addSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --precheckOnly yes

dbaascli tde changePassword

若要變更別名 tde_ks_passwd 的 TDE 金鑰存放區密碼和資料庫公事包密碼，請使用 dbaascli tde changePassword 命令。

先決條件：

身分為 root 使用者身分執行指令。

語法：

dbaascli tde changePassword [--dbname <value>]
  {            [--prepareStandbyBlob <value> [--blobLocation <value>]]
               | [--standbyBlobFromPrimary <value>]
  }
  [--resume [--sessionID <value>]]

參數：

參數	描述
`--dbname`	指定資料庫的名稱
`--prepareStandbyBlob`	指定 True，即可產生包含在 DG 環境中執行作業所需人工因素的 blob 檔案。
`--blobLocation`	將在 DG 環境中產生待命 blob 檔案的自訂路徑。
`--standbyBlobFromPrimary`	指定從主要資料庫準備的待命 blob 檔案位置。只有待命作業才需要此項目。
`--resume`	以繼續前一個執行作業
`--sessionID`	以繼續特定的階段作業 ID。

常見問題：

問：dbaascli tde changePassword 命令的功能是什麼？

A：dbaascli tde changePassword 命令會變更「通透資料加密 (TDE)」金鑰存放區密碼，以及別名 tde_ks_passwd 的資料庫公事包密碼。

問：誰應該執行 dbaascli tde changePassword 命令？

答：這個指令必須以 root 使用者身分執行。

問：什麼時候應該使用 dbaascli tde changePassword 命令？

答：當您需要變更 Oracle Base Database Cloud@Customer 資料庫的 TDE 金鑰存放區密碼或資料庫公事包密碼時，請使用此命令。

問：– dbname 選項有什麼作用？

A：--dbname 選項會指定您要變更 TDE 金鑰存放區密碼的資料庫名稱。

問：– pdbName 選項有什麼作用？

A：--pdbName 選項會指定必須變更 TDE 金鑰存放區密碼之可插拔資料庫 (PDB) 的名稱。此選項用於多租用戶資料庫。

問：您可以提供如何對特定資料庫執行此命令的範例嗎？

答：以下是變更特定資料庫之 TDE 金鑰存放區密碼的範例：

dbaascli tde changePassword --dbname mydatabase

問：如何針對多雲端用戶資料庫內的特定 PDB 執行命令？

A：您可以使用下列語法指定 PDB 名稱：

dbaascli tde changePassword --dbname mydatabase --pdbName mypdb

問：執行 dbaascli tde changePassword 命令有哪些先決條件？

答：您必須以 root 使用者身分執行命令，並具有執行資料庫之 Oracle Base Database Cloud@Customer 虛擬機器的存取權。

問：我是否需要停止資料庫以變更 TDE 金鑰存放區密碼？

答：不可以，無需停止資料庫以變更 TDE 金鑰庫密碼。

問：如果命令失敗，該怎麼辦？

答：請確定您以 root 使用者身分執行命令，且資料庫名稱 (--dbname) 和 PDB 名稱 (--pdbName，如果適用) 正確無誤。

問：變更 TDE 金鑰存放區密碼時，如果發生「無效的密碼」錯誤，該怎麼辦？

答：請確認新密碼符合您系統的密碼複雜性要求，並在出現提示時輸入正確的舊密碼。

問：如何檢查 TDE 金鑰存放區密碼是否已順利變更？

答：您可以查看資料庫日誌，或使用 Oracle AI Database Vault and Key Management 檢視來確認 TDE 金鑰存放區密碼變更成功。

問：我可以一次變更多用戶資料庫和所有 PDB 的 TDE 金鑰存放區密碼嗎？

答：否，如果您需要變更多個 PDB 的密碼，就需要為每個 PDB 個別執行 dbaascli tde changePassword 命令。

問：如果忘記新的 TDE 金鑰存放區密碼，會發生什麼事？

答：如果忘記新密碼，您可能需要從備份回復金鑰存放區，或依照 Oracle 的復原程序加以重設 (視您的設定而定)。

問：我可以自動變更 TDE 金鑰存放區密碼的程序嗎？

答：雖然 dbaascli tde changePassword 命令本身不是針對自動化所設計，但您可以視需要在一般資料庫維護程序中編寫命令檔。

問：我應該多久變更 TDE 金鑰存放區密碼？

答：Oracle 建議根據您組織的安全性政策定期變更您的 TDE 金鑰庫密碼。最佳做法通常涉及定期輪換加密金鑰和金鑰存放區密碼。

變更非資料保全環境中的 TDE 密碼

dbaascli tde changepassword --dbname
      <dbname>

變更資料保全環境中的 TDE 密碼

變更主要資料庫中的 TDE 密碼。

dbaascli tde changepassword --dbname
      <dbname> --prepareStandbyBlob true --blobLocation
      <Location where blob file has to be generated>

將建立的待命 blob 複製到待命資料庫環境。

變更待命資料庫中的 TDE 密碼

dbaascli tde changepassword --dbname
     <dbname> --standbyBlobFromPrimary <Location of blob generated from
    primary>

dbaascli tde enableWalletRoot

若要為現有資料庫啟用 wallet_root spfile 參數，請使用 dbaascli tde enableWalletRoot 命令。

先決條件：

以 root 使用者身分執行指令。

語法：

dbaascli tde enableWalletRoot --dbname <value>
[--dbRestart <value>]
[--executePrereqs]
[--resume [--sessionID <value>]]

參數：

參數	描述
`--dbname`	指定 Oracle AI Database 的名稱。
`--dbrestart`	指定資料庫重新啟動選項。有效值為：`rolling` 或 `full`。預設值：`rolling`。如果您未傳送 `dbrestart` 引數，則資料庫會以 `rolling` 的方式重新啟動。
`--precheckOnly`	只執行這項作業的前置檢查。有效值為：`yes` 或 `no`
`--resume`	以繼續前一個執行作業
`--sessionID`	以繼續特定的階段作業 ID。

常見問題：

問：dbaascli tde enableWalletRoot 命令的功能是什麼？

答：dbaascli tde enableWalletRoot 命令可為 Oracle Base Database Cloud@Customer 上的現有 Oracle AI Database 啟用 spfile 中的 wallet_root 參數。

問：誰應該執行 dbaascli tde enableWalletRoot 命令？

答：這個指令必須以 root 使用者身分執行。

問：我應該在哪台機器上執行 dbaascli tde enableWalletRoot 命令？

答：您必須使用 SSH 連線至 Oracle Base Database Cloud@Customer 虛擬機器，才能執行此命令。

問：哪裡可以找到連線虛擬機器的指示？

答：您可以參閱使用 SSH 連線至虛擬機器指南，取得連線指示。

問：– dbRestart 選項有什麼作用？

A：--dbRestart 選項指定在啟用 wallet_root 之後應如何重新啟動資料庫。有效值為：

rolling：以滾動方式重新啟動資料庫 (預設行為)。
full：執行完整資料庫重新啟動。

問：– dbname 選項有什麼作用？

A：--dbname 選項可讓您指定應啟用 wallet_root 參數的 Oracle AI Database 名稱。

問：– precheckOnly 選項有什麼作用？

A：--precheckOnly 選項會執行作業的前置檢查，而不會進行實際的變更。有效值為 yes 或 no。

問：如果我沒有指定 – dbRestart 選項，會發生什麼事？

答：如果您未指定 --dbRestart 選項，資料庫預設會以輪流方式重新啟動。

問：您可以提供如何為特定資料庫啟用 wallet_root 的範例嗎？

答：以下為為名為 mydatabase 的資料庫啟用 wallet_root 的範例：

dbaascli tde enableWalletRoot --dbname mydatabase

問：如何啟用 wallet_root 並指定完整資料庫重新啟動？

答：您可以使用下列命令來啟用具有完整資料庫重新啟動的 wallet_root：

dbaascli tde enableWalletRoot --dbname mydatabase --dbRestart full

問：如何只使用前置檢查執行命令？

答：若要在不進行變更的情況下執行前置檢查，請使用下列語法：

dbaascli tde enableWalletRoot --dbname mydatabase --precheckOnly yes

問：執行 dbaascli tde enableWalletRoot 命令有哪些先決條件？

答：您必須以 root 使用者身分執行此命令，並連線至正確的 Oracle Base Database Cloud@Customer 虛擬機器。

問：是否需要重新啟動資料庫以啟用 wallet_root？

答：是的，根據您選擇的選項，資料庫需要以滾動方式 (預設) 或完全重新啟動。

問：如果命令失敗，該怎麼辦？

答：請確定您以 root 使用者身分執行命令，並確認資料庫名稱 (--dbname) 是否正確。如果使用 --precheckOnly 執行，請檢查是否有任何前置檢查錯誤。

問：如果資料庫在執行命令後無法重新啟動，該怎麼辦？

A：確認已使用正確的重新啟動選項 (rolling 或 full)，並檢查資料庫日誌是否有任何錯誤。如果自動重新啟動失敗，您可能需要手動重新啟動資料庫。

問：如何檢查是否已成功啟用 wallet_root？

答：您可以檢查資料庫的 spfile 或使用 Oracle SQL 查詢來確認已啟用 wallet_root 參數，以驗證變更。

問：我可以在不重新啟動資料庫的情況下啟用 wallet_root 嗎？

答：否，資料庫需要重新啟動，變更才會生效。您可以選擇輪流重新啟動或完全重新啟動。

問：滾動式資料庫重新啟動與完整資料庫重新啟動有何差異？

答：機動重新啟動一次重新啟動會重新啟動一個執行處理的資料庫，讓資料庫在作業期間保持部分可用狀態。完全重新啟動會關閉並重新啟動整個資料庫，造成完整的停機時間。

問：我可以同時對多個資料庫執行此命令嗎？

答：您必須對要啟用 wallet_root 的每個資料庫分別執行 dbaascli tde enableWalletRoot 命令。

問：如何啟用 wallet_root 會影響現有的 TDE 金鑰存放區組態？

答：啟用 wallet_root 會將 TDE 金鑰存放區位置更新到新的公事包根目錄，讓您更輕鬆地管理 Oracle AI 資料庫中的多個金鑰存放區和公事包。

範例：dbaascli tde enableWalletRoot

dbaascli tde enableWalletRoot --dbname db name --dbrestart rolling|full

dbaascli tde enableWalletRoot --dbname orcl

dbaascli tde enableWalletRoot --dbname orcl--dbrestart full

dbaascli tde encryptTablespacesInPDB

若要加密指定 PDB 中的所有表格空間，請使用 dbaascli tde encryptTablespacesInPDB 命令。

先決條件：

身分為 root 使用者執行指令。

語法：

dbaascli tde encryptTablespacesInPDB --dbname <value> --pdbName <value>
[--executePrereqs]

參數：

參數	描述
`--pdbName`	指定要加密所有表格空間的 PDB 名稱。
`--dbname`	指定 Oracle AI Database 的名稱。
`--executePrereqs`	執行先決條件檢查並報告結果。

常見問題：

問：dbaascli tde encryptTablespacesInPDB 命令的功能是什麼？

答：dbaascli tde encryptTablespacesInPDB 命令會加密 Oracle Base Database Cloud@Customer 上 Oracle AI Database 之指定可插拔資料庫 (PDB) 中的所有表格空間。

問：誰應該執行 dbaascli tde encryptTablespacesInPDB 命令？

答：這個指令必須以 root 使用者身分執行。

問：我應該在哪台機器上執行 dbaascli tde encryptTablespacesInPDB 命令？

答：您必須使用 SSH 連線至 Oracle Base Database Cloud@Customer 虛擬機器，才能執行此命令。

問：哪裡可以找到連線虛擬機器的指示？

答：請參閱使用 SSH 連線至虛擬機器指南以取得連線指示。

問：– pdbName 選項指定什麼？

A：--pdbName 選項會指定表格空間必須加密之可插拔資料庫 (PDB) 的名稱。

問：– dbname 選項有什麼作用？

答：--dbname 選項可讓您指定 PDB 所屬之 Oracle AI Database 的名稱。

問：– precheckOnly 選項有什麼作用？

A：--precheckOnly 選項會執行加密作業的前置檢查，而不會進行任何實際的變更。有效值為 yes 或 no。

問：– useSysdbaCredential 選項有什麼作用？

A：--useSysdbaCredential 選項會指定是否應使用 SYSDBA 證明資料進行作業。有效值為 true 或 false。

問：您可以提供如何加密特定 PDB 中表格空間的範例嗎？

答：以下是加密 PDB 中名為 mypdb 之所有表格空間的範例：

dbaascli tde encryptTablespacesInPDB --pdbName mypdb

問：如何加密資料庫內特定 PDB 中的表格空間？

答：使用下列命令可指定 PDB 與資料庫：

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --dbname mydatabase

問：如何在不執行加密的情況下執行前置檢查？

A：您只能使用此語法來執行前置檢查：

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --precheckOnly yes

問：如何使用 SYSDBA 證明資料來加密表格空間？

答：您可以新增 --useSysdbaCredential true 選項來使用 SYSDBA 證明資料：

dbaascli tde encryptTablespacesInPDB --pdbName mypdb --useSysdbaCredential true

問：執行 dbaascli tde encryptTablespacesInPDB 命令有哪些先決條件？

答：您必須以 root 使用者身分執行此命令，並具有 Oracle Base Database Cloud@Customer 虛擬機器的存取權。

問：是否需要重新啟動資料庫來加密表格空間？

答：否，命令不需要重新啟動資料庫。加密會在資料庫上線時執行。

問：是否需要 SYSDBA 證明資料來加密表格空間？

答：如果使用 --useSysdbaCredential 選項指定，您可能需要 SYSDBA 證明資料才能進行這項作業。

問：如果命令失敗，該怎麼辦？

答：請確定您以 root 使用者身分執行命令，並確認 PDB 名稱 (--pdbName) 和資料庫名稱 (--dbname) 正確無誤。您也可以在執行完整加密之前，使用 --precheckOnly yes 執行命令來檢查問題。

問：如果表格空間的加密失敗，該怎麼辦？

A：檢查資料庫日誌，並確定您具有執行加密所需的權限和資源。您可能也需要確認有足夠的空間可以處理加密程序。

問：如何檢查 PDB 中的表格空間是否經過加密？

答：您可以查詢與加密相關的資料庫檢視 (例如 V$ENCRYPTED_TABLESPACES)，以驗證表格空間是否已順利加密。

問：如何驗證前置檢查是否成功？

答：如果使用 --precheckOnly yes 執行命令，您可以檢查輸出是否有任何警告或錯誤，指出加密處理作業的潛在問題。

問：我可以同時加密多個 PDB 的表格空間嗎？

答：否，您必須為每個 PDB 個別執行 dbaascli tde encryptTablespacesInPDB 命令。

問：我可以對 PDB 中的某些表格空間進行部分加密嗎？

答：否，此命令會加密指定 PDB 內的所有表格空間。若要進行部分加密，您必須使用不同的資料庫管理命令。

問：加密表格空間是否影響資料庫效能？

答：加密表格空間可能會在加密處理作業期間造成暫時的效能影響。不過，加密完成後，影響應該儘量少。

問：我可以還原表格空間的加密嗎？

答：不可以，一旦表格空間經過加密，就無法還原加密。您只能視需要輪換或重新加密金鑰。

問：如果在加密過程中中斷操作，會發生什麼事？

答：如果作業中斷，您可能需要重新執行指令。系統將從關閉處繼續加密，您可使用資料庫檢視來驗證狀態。

範例：dbaascli tde encryptTablespacesInPDB

dbaascli tde encryptTablespacesInPDB --dbname dbname --pdbName pdb

dbaascli tde encryptTablespacesInPDB --dbname dbname --pdbName pdb --executePrereqs

dbaascli tde fileToHsm

若要將 FILE 型 TDE 轉換成 HSM (KMS/OKV) 型 TDE，請使用 dbaascli tde fileToHsm 命令。

先決條件：

身分為 root 使用者執行指令。

語法：

dbaascli tde fileToHsm --kmsKeyOCID <value> --dbname <value>
[--skipPatchCheck <value>]
[--executePrereqs ]
[--primarySuc <value>]
{
    [--resume [--sessionID <value>]] | [--revert [--sessionID <value>]]
}
[--waitForCompletion <value>]

參數：

參數	描述
`--kmsKeyOCID`	指定用於 TDE 的 KMS 金鑰 OCID。只有在選取 TDE 的 KMS 時才適用
`--dbname`	指定資料庫的名稱
`--skipPatchCheck`	若此引數通過的值為 `true`，則會略過必要修補程式的驗證檢查。有效值：`true` 或 `false`
`--executePrereqs`	執行先決條件檢查並報告結果。
`--primarySuc`	順利在主要資料庫執行命令後，在「資料保全」環境的待命資料庫中指定此特性
`--resume`	指定繼續先前的執行作業
`--sessionID`	指定繼續特定的階段作業 ID
`--revert`	指定倒回前次作業
`--sessionID`	指定要倒回特定的階段作業 ID
`--waitForCompletion`	指定 false 即可在背景執行作業。有效值：`true` 或 `false`。

常見問題：

問：dbaascli tde fileToHsm 命令的目的是什麼？

答：dbaascli tde fileToHsm 指令用於在 Oracle AI Database Cloud Service 環境中，將 FILE 型通透資料加密 (TDE) 轉換成硬體安全模組 (HSM) 型 TDE，例如 KMS 或 OKV。

問：誰可以執行 dbaascli tde fileToHsm 命令？

答：這個指令必須以 root 使用者身分執行。

問：– kmsKeyOCID 參數的用途為何？

A：--kmsKeyOCID 參數指定 KMS 金鑰 OCID，在從以檔案為基礎的 TDE 轉換成以 HSM 為基礎的 TDE 時，將用於 TDE 加密。

問：– dbname 參數的作用為何？

A：--dbname 參數會指定您要將 TDE 從檔案轉換成以 HSM 為基礎之資料庫的名稱。

問：轉換 TDE 時是否可以略過修正程式驗證檢查？

答：是的，使用 --skipPatchCheck 參數搭配 true 值，您可以略過必要修正程式的驗證檢查。

問：什麼是 – executePrereqs 參數用於？

答：--executePrereqs 參數可讓您只執行 TDE 轉換處理作業的前置檢查，而不執行實際的轉換。有效值為 yes 或 no。

問：在 Data Guard 設定中 – primarySuc 參數的作用為何？

A：在「資料保全」環境中使用 --primarySuc 參數，表示命令已順利在主要資料庫上執行。主要轉換完成後，應在待命資料庫上指定。

問：如何恢復先前的 TDE 轉換？

答：您可以使用 --resume 參數繼續先前未完成的 TDE 轉換。您可以選擇性地使用 --sessionID 指定特定的階段作業 ID。

問：如何回復 TDE 轉換？

答：若要回復先前的 TDE 轉換，請使用 --revert 參數。您也可以使用 --sessionID 提供要回復的特定階段作業 ID。

問：如何在繼續或回復 TDE 轉換時指定階段作業 ID？

答：您可以使用 --sessionID 參數來指定要繼續或回復之階段作業的 ID。範例：--resume --sessionID <ID> 或 --revert --sessionID <ID>。

問：如果我設定 – waitForCompletion 為假，會發生什麼事？

答：如果您將 --waitForCompletion 設為 false，TDE 轉換程序將在背景中執行，命令提示將會立即傳回。如果設為 true，命令會等候程序完成，再將控制項傳回給使用者。

Q：– waitForCompletion 參數的有效值為何？

A：有效值為 true 或 false。若設為 true，命令會等待處理作業完成；若設為 false，則會在背景中執行處理作業。

問：我可以在不立即轉換 TDE 的情況下執行 dbaascli TDE fileToHsm 嗎？

答：是的，您可以使用 --executePrereqs yes 參數僅執行轉換的前置檢查，而不對 TDE 進行任何變更。

問：在 Data Guard 環境中，在主要資料庫上轉換 TDE 之後，如何處理待命資料庫？

答：順利在主要資料庫上執行轉換之後，您必須在待命資料庫上執行命令時指定 --primarySuc。

問：如果 TDE 轉換程序失敗，該怎麼辦？

答：如果處理失敗，您可以使用 --resume 參數來嘗試從離開的位置繼續。如有必要，您可以使用 --revert 參數來倒回在失敗階段作業期間所做的變更。

範例：dbaascli tde fileToHsm – kmsKeyOCID

dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza

dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs

dbaascli tde fileToHSM --dbname dbname --kmsKeyOCID ocid1.key.oc1.eu-frankfurt-.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --resume

dbaascli tde getHsmKeys

若要取得 TDE 作用中金鑰詳細資訊，請使用 dbaascli tde getHsmKeys 命令。

先決條件：

身分為 root 使用者身分執行指令。

語法：

dbaascli tde getHsmKeys
[--dbname]
[--infoFile]

參數：

參數	描述
`--dbname`	指定資料庫的名稱
`--infoFile`	指定將儲存 OCID 清單的檔案路徑。輸出為 JSON 格式

常見問題：

問：dbaascli tde getHsmKeys 命令的功能是什麼？

A：dbaascli tde getHsmKeys 命令會從指定資料庫的「硬體安全模組 (HSM)」擷取作用中「通透資料加密 (TDE)」金鑰的詳細資訊。

問：誰應該執行 dbaascli tde getHsmKeys 命令？

答：這個指令必須以 root 使用者身分執行。

問：我應該在哪台機器上執行 dbaascli tde getHsmKeys 命令？

答：您必須使用 SSH 連線至 Oracle Base Database Cloud@Customer 虛擬機器，才能執行此命令。

問：哪裡可以找到連線虛擬機器的指示？

答：請參閱使用 SSH 連線至虛擬機器指南，以取得連線指示。

問：– dbname 選項有什麼作用？

答：--dbname 選項可讓您指定要擷取其 TDE 金鑰詳細資訊的 Oracle AI Database 名稱。

問：– infoFile 選項有什麼作用？

答：--infoFile 選項指定將儲存金鑰 OCID (Oracle Cloud ID) 清單的檔案路徑。輸出為 JSON 格式。

問：您可以提供如何擷取特定資料庫之 TDE 金鑰詳細資訊的範例嗎？

答：以下是取得名為 mydatabase 之資料庫的 TDE 金鑰詳細資訊的範例：

dbaascli tde getHsmKeys --dbname mydatabase

問：如何將 TDE 金鑰詳細資訊儲存到檔案？

A：您可以使用 --infoFile 選項指定檔案路徑，以 JSON 格式儲存輸出：

dbaascli tde getHsmKeys --dbname mydatabase --infoFile /path/to/output.json

問：執行 dbaascli tde getHsmKeys 命令有哪些先決條件？

答：您必須以 root 使用者身分執行此命令，並連線至 Oracle Base Database Cloud@Customer 虛擬機器。

問：是否需要 SYSDBA 證明資料才能擷取 TDE 金鑰詳細資訊？

答：否，不需要 SYSDBA 證明資料即可執行 dbaascli tde getHsmKeys 命令。

問：使用 – infoFile 選項時，儲存的 TDE 金鑰資訊格式為何？

A：輸出會以 JSON 格式儲存。

問：TDE 金鑰詳細資訊包含哪些資訊？

答：詳細資訊包括金鑰 OCID，以及與儲存於指定資料庫之 HSM 中之作用中加密金鑰有關的其他描述資料。

問：如果命令無法擷取金鑰詳細資訊，該怎麼辦？

答：請確定您以 root 使用者身分執行命令，且資料庫名稱 (--dbname) 正確無誤。檢查您與 Oracle Base Database Cloud@Customer 虛擬機器的連線。

問：如何檢查輸出檔是否已成功建立？

答：您可以檢查輸出 JSON 檔案的指定檔案路徑。如果缺少檔案，請確認檔案路徑正確無誤，且您有寫入目錄的權限。

問：如果輸出檔是空的，該怎麼辦？

A：確定指定的資料庫包含作用中的 TDE 金鑰，以及 --dbname 參數是否正確。您也可能需要檢查資料庫日誌中是否有任何錯誤。

問：我可以一次擷取多個資料庫的 TDE 金鑰詳細資訊嗎？

答：否，您必須分別為每個資料庫執行 dbaascli tde getHsmKeys 命令。

問：如何在其他作業中使用 – infoFile 選項的輸出檔？

答：由於輸出為 JSON 格式，因此您可以用程式設計方式剖析檔案，或使用該檔案作為其他資料庫或加密管理工作的輸入。

問：我可以使用此命令取得歷史 TDE 金鑰詳細資訊嗎？

A：否，命令只會擷取 HSM 中目前作用中金鑰的詳細資訊。

問：如何驗證擷取的金鑰是否正確？

答：您可以透過與 Oracle Cloud Infrastructure (OCI) 主控台交互參考金鑰，或使用與加密管理相關的資料庫檢視來驗證金鑰。

範例：dbaascli tde getHsmKeys

dbaascli tde getHsmkeys --dbname dbname

dbaascli tde getHsmkeys --dbname dbname --infoFile infoFilePath

dbaascli tde getMkidForKeyVersionOCID

若要取得與 KMS 金鑰版本 OCID 關聯的主要金鑰 ID，請使用 dbaascli tde getMkidForKeyVersionOCID 命令。

先決條件：

以 root 使用者身分執行指令。

語法：

dbaascli tde getMkidForKeyVersionOCID --kmsKeyVersionOCID <value>
[--dbname <value>]
[--waitForCompletion <value>]

參數：

參數	描述
`--kmsKeyVersionOCID`	指定要設定的 KMS 金鑰版本 OCID
`--dbname`	指定資料庫的名稱
`--waitForCompletion`	指定 `false` 即可在背景執行作業。有效值為：`true` 或 `false`。

常見問題：

問：dbaascli tde getMkidForKeyVersionOCID 命令的目的是什麼？

答：dbaascli tde getMkidForKeyVersionOCID 命令會擷取與 Oracle AI Database Cloud Service 環境中特定 KMS 金鑰版本 OCID 關聯的「主要金鑰 ID (MKID)」。

問：執行 dbaascli tde getMkidForKeyVersionOCID 命令有哪些先決條件？

答：你必須：

身分為 root 使用者執行指令。
透過 SSH 連線至 Oracle Base Database Cloud@Customer 虛擬機器。

問：誰可以執行 dbaascli tde getMkidForKeyVersionOCID 命令？

答：只有 root 使用者可以執行此命令。

問：– kmsKeyVersionOCID 參數指定什麼？

答：--kmsKeyVersionOCID 參數會指定您要擷取關聯之「主要金鑰 ID (MKID)」的 KMS 金鑰版本 OCID。

問：– dbname 參數指定什麼？

答：--dbname 參數會指定查詢 KMS 金鑰版本 OCID 的資料庫名稱。

問：– dbname 參數是必要的嗎？

答：否，--dbname 參數是選擇性的。如果您未指定資料庫名稱，則命令會擷取系統上預設資料庫的 MKID。

問：如果我不知道 KMS 金鑰版本 OCID，該怎麼辦？

答：您必須先從 KMS 管理主控台或服務提供者擷取 KMS 金鑰版本 OCID，才能使用此指令。如果沒有，命令就無法擷取主索引鍵 ID (MKID)。

問：我可以在非 Oracle Base Database Cloud@Customer 環境中執行此命令嗎？

答：否，此命令是專門用於 Oracle Base Database Cloud@Customer 環境，您必須使用 SSH 連線至虛擬機器才能執行。

問：如果沒有使用 – dbname 指定資料庫名稱，執行命令會發生什麼事？

A：如果未提供 --dbname 參數，則命令會嘗試擷取系統上設定之預設資料庫的 MKID。

問：如果在擷取 MKID 時發生錯誤，該怎麼辦？

答：確保：

您以 root 使用者身分執行命令。
您已正確連線至 Oracle Base Database Cloud@Customer 虛擬機器。
您提供的 KMS 金鑰版本 OCID 有效。如果錯誤持續存在，請檢查系統記錄以取得詳細資訊。

問：如何連線至 Oracle Base Database Cloud@Customer 虛擬機器？

答：您可以透過 SSH 連線到虛擬機器。如需有關如何安全連線的步驟，請參閱 Oracle Base Database Cloud@Customer 文件。

範例：dbaascli tde getMkidForKeyVersionOCID

dbaascli tde getMkidForKeyVersionOCID --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha

dbaascli tde getPrimaryHsmKey

若要從現有的 HSM (KMS) 組態取得主要 HSM (KMS) 金鑰，請使用 dbaascli tde getPrimaryHsmKey 命令。

先決條件：

以 root 使用者身分執行指令。

語法：

dbaascli tde getPrimaryHsmKey
[--dbname]

參數：

參數	描述
`--dbname`	指定資料庫的名稱

常見問題：

問：dbaascli tde getPrimaryHsmKey 命令的目的是什麼？

答：dbaascli tde getPrimaryHsmKey 命令會從 Oracle AI Database 環境中的現有 HSM (KMS) 組態擷取主要「硬體安全模組 (HSM)」金鑰。

問：執行 dbaascli tde getPrimaryHsmKey 命令有哪些先決條件？

答：你必須：

以 root 使用者身分執行指令。
透過 SSH 連線至 Oracle Base Database Cloud@Customer 虛擬機器。

問：誰可以執行 dbaascli tde getPrimaryHsmKey 命令？

答：只有 root 使用者可以執行此命令。

問：此命令中指定的 – dbname 參數為何？

A：--dbname 參數會指定要擷取其主要 HSM 金鑰的資料庫名稱。

問：– dbname 參數是必要的嗎？

答：否，--dbname 參數是選擇性的。若未提供，則命令會擷取系統上預設資料庫的主要 HSM 金鑰。

問：如果我沒有使用 – dbname 指定資料庫名稱，該怎麼辦？

A：如果未指定 --dbname 參數，則命令會嘗試擷取系統上設定之預設資料庫的主要 HSM 金鑰。

問：我可以在非 Oracle Base Database Cloud@Customer 環境中執行此命令嗎？

答：否，此命令是專為在 Oracle Base Database Cloud@Customer 環境中使用而設計，您必須使用 SSH 連線至虛擬機器才能執行。

問：如何連線至 Oracle Base Database Cloud@Customer 虛擬機器來執行命令？

答：您可以透過 SSH 連線到虛擬機器。請參閱 Oracle Base Database Cloud@Customer 文件，以取得如何安全連線的指示。

問：如果在擷取主要 HSM 金鑰時發生錯誤，該怎麼辦？

A：如果發生錯誤，請確定：

您以 root 使用者身分執行命令。
您已正確連線至 Oracle Base Database Cloud@Customer 虛擬機器。
資料庫名稱 (如果指定) 有效。如果問題持續存在，請查閱系統記錄或錯誤訊息以瞭解詳細資訊。

問：是否需要停止資料庫才能執行 dbaascli tde getPrimaryHsmKey 命令？

答：否，資料庫不需要停止才能執行此命令。您可以在資料庫執行時執行資料庫。

問：擷取主要 HSM 金鑰的目的是什麼？

A：擷取主要 HSM 金鑰可讓您識別資料庫現有 HSM (KMS) 組態中目前用於加密的 HSM 金鑰。

範例：dbaascli tde getPrimaryHsmKey

dbaascli tde getPrimaryHsmKey --dbname dbname

dbaascli tde hsmToFile

若要將 HSM (KMS/OKV) 型 TDE 轉換成 FILE 型 TDE，請使用 dbaascli tde hsmToFile 命令。

身分為 root 使用者執行指令。

語法：

dbaascli tde hsmToFile
[--dbname <value>]
{
    [--prepareStandbyBlob <value> [--blobLocation <value>]
   | [--standbyBlobFromPrimary <value>]
}
]
[--skipPatchCheck <value>]
[--executePrereqs ]
[--primarySuc <value>]
{
     [--resume [--sessionID <value>]] |
     [--revert [--sessionID <value>]]
}
[--waitForCompletion <value>]

參數：

參數	描述
`--dbname`	指定資料庫的名稱
`--prepareStandbyBlob`	指定 `true`，以產生內含在 DG 環境中執行作業所需人工因素的 blob 檔案。
`--blobLocation`	將在 DG 環境中產生待命 blob 檔案的自訂目錄位置。
`--standbyBlobFromPrimary`	指定從主要資料庫準備的待命 blob 檔案位置。只有待命作業才需要此項目。]
`--skipPatchCheck`	若此引數通過的值為 `true`，則會略過必要修補程式的驗證檢查。有效值：`true` 或 `false`
`--executePrereqs`	執行先決條件檢查並報告結果。
`--primarySuc`	順利在主要資料庫執行命令後，在「資料保全」環境的待命資料庫中指定此特性
`--resume`	繼續上一次執行
`--sessionID`	指定繼續特定的階段作業 ID
`--revert`	指定倒回上一個執行
`--sessionID`	指定要倒回特定的階段作業 ID
`--waitForCompletion`	指定 `false` 可在背景執行作業。有效值：`true` 或 `false`

常見問題：

問：dbaascli tde hsmToFile 命令的目的是什麼？

答：dbaascli tde hsmToFile 指令用於將硬體安全模組 (HSM) 型通透資料加密 (TDE) 轉換為 Oracle AI Database Cloud Service 環境中的以檔案為基礎的 TDE。

問：執行 dbaascli tde hsmToFile 命令有哪些先決條件？

答：你必須：

以 root 使用者身分執行指令。
請確定已在資料庫環境中設定必要的權限和組態。

問：– dbname 參數指定什麼？

A：--dbname 參數會指定您要將 TDE 從 HSM 轉換為以檔案為基礎的資料庫名稱。

問：何時需要 – primaryDBWalletTar 參數？

答：只有在對待命資料庫執行 hsmToFile 轉換時，才需要 --primaryDBWalletTar 參數。它會指定主要資料庫公事包的 tar 檔案。

問：– skipPatchCheck 參數的用途為何？

答：--skipPatchCheck 參數可讓您略過必要修正程式的驗證檢查。將此選項設為 true 以略過檢查，或將 false 強制執行檢查。

問：如何只執行轉換程序的前置檢查而不執行實際轉換？

答：您可以使用 --executePrereqs 參數並將其設為 yes，只執行前置檢查。將其設為 no 以執行完整轉換。

問：在 Data Guard 環境中 – primarySuc 參數的作用為何？

A：在「資料保全」設定中使用 --primarySuc 參數，表示已順利在主要資料庫上執行轉換。在待命資料庫上執行轉換時，應該使用它。

問：如何恢復上一個 hsmToFile 轉換？

答：您可以使用 --resume 參數繼續先前的轉換。您可以選擇使用 --sessionID 來指定上一次執行的階段作業 ID。

問：– revert 參數的目的是什麼？

答：--revert 參數是用來在發生失敗或需要還原作業時，倒回先前起始的轉換處理作業。

問：如果我設定 – waitForCompletion 為假，會發生什麼事？

答：如果您將 --waitForCompletion 設為 false，作業將會在背景中執行，讓您繼續其他作業。如果設為 true，命令會等候程序完成，再將控制項傳回給使用者。

問：如果需要在 Data Guard 設定中轉換待命資料庫中的 TDE，該怎麼辦？

答：在「資料保全」設定中，在主要資料庫上轉換 TDE 之後，您必須使用 --primaryDBWalletTar 參數在待命資料庫上執行命令、指定主要資料庫的公事包 tar 檔案，以及包含 --primarySuc。

問：如果我想在轉換過程中略過檢查所需的修補程式，該怎麼辦？

答：您可以使用 --skipPatchCheck 參數略過修正程式檢查，並將其設為 true。

問：如何檢查系統是否已準備好進行 hsmToFile 轉換而不作任何變更？

答：您只能使用 --executePrereqs 參數執行前置檢查，並將其設定為 yes。

問：如果轉換過程被中斷，該怎麼辦？

答：您可以使用 --resume 參數，從其離開的位置重新啟動程序。您可以選擇性地使用 --sessionID 來指定特定的階段作業 ID。

問：如果轉換過程失敗，該怎麼辦？

答：如果轉換失敗，您可以使用 --revert 參數倒回程序。此外，請複查任何錯誤訊息，並查看系統日誌瞭解詳細資訊。

問：我可以在非基礎資料庫環境中執行 dbaascli tde hsmToFile 命令嗎？

答：此命令是專為在 Oracle Base Database Cloud@Customer 環境中使用而設計。若未使用「基準資料庫」，請確定您位於支援的環境中，命令才能正常運作。

範例：dbaascli tde hsmToFile

dbaascli tde hsmToFile --dbname dbname

dbaascli tde hsmToFile --dbname dbname --executePrereqs

dbaascli tde hsmToFile --dbname dbname --resume

dbaascli tde listKeys

若要列出 TDE 主要金鑰，請使用 dbaascli tde listKeys 命令。

先決條件：

以 root 使用者身分執行指令。

語法：

dbaascli tde listKeys
[--dbname <value>]
[--infoFilePath <value>]

參數：

參數	描述
`--dbname`	指定資料庫的名稱
`--infoFilePath`	指定將儲存結果之檔案的絕對路徑。

常見問題：

問：dbaascli tde listKeys 命令的目的是什麼？

答：dbaascli tde listKeys 命令用於列出 Oracle AI Database 環境中指定之資料庫的所有通透資料加密 (TDE) 主要金鑰。

問：執行 dbaascli tde listKeys 命令有哪些先決條件？

答：你必須：

身分為 root 使用者執行指令。
使用 SSH 連線至 Oracle Base Database Cloud@Customer 虛擬機器。

問：dbaascli tde listKeys 命令中的 – file 參數功能為何？

A：--file 參數指定應儲存 TDE 主要金鑰清單的檔案路徑。若未提供此參數，結果將直接顯示在終端機中。

問：– dbname 參數指定什麼？

A：--dbname 參數會指定您要列出 TDE 主要金鑰的資料庫名稱。

問：-file 參數是否為必填？

答：否，--file 參數是選擇性的。若未提供，終端機輸出將顯示 TDE 金鑰清單，而不是儲存到檔案中。

問：– dbname 參數是必要的嗎？

答：否，--dbname 參數是選擇性的。若未指定，此命令將會列出系統上設定之預設資料庫的 TDE 主要金鑰。

問：如果我要將金鑰清單儲存到檔案，該怎麼辦？

答：您應該提供 --file 參數以及所需的檔案路徑。舉例而言：

dbaascli tde listKeys --file /path/to/output.txt

問：如果沒有提供 – dbname 的資料庫名稱，會發生什麼事？

A：如果未提供 --dbname 參數，則命令會列出系統上預設資料庫的 TDE 主要金鑰。

問：我可以在 Oracle Base Database Cloud@Customer 以外的環境中使用此命令嗎？

答：此命令是專為 Oracle Base Database Cloud@Customer 環境所設計。請確定您已連線至適當的虛擬機器來執行它。

問：如果指令無法列出按鍵，該怎麼辦？

答：確保：

您以 root 使用者身分執行命令。
您已連線到 Oracle Base Database Cloud@Customer 虛擬機器。
資料庫名稱 (如果指定) 正確。請查看錯誤訊息和日誌，瞭解有關失敗的詳細資訊。

問：資料庫執行時，是否可以執行 dbaascli tde listKeys 命令？

答：是的，您可以在執行資料庫時執行命令。它只會列出 TDE 主要金鑰，不會更改資料庫的狀態。

問：我需要特殊權限才能執行此指令嗎？

答：您必須以 root 使用者身分執行此命令。若無 root 權限，您將無法執行指令。

問：列出 TDE 主要金鑰的目的是什麼？

答：列出 TDE 主要金鑰可讓您複查用於保護資料庫資料的加密金鑰。對於監督與管理加密設定值而言非常重要。

問：如何連線至 Oracle Base Database Cloud@Customer 虛擬機器來執行命令？

答：您可以使用 SSH 連線至虛擬機器。如需有關如何建立安全連線的指示，請參閱 Oracle Base Database Cloud@Customer 文件。

範例：dbaascli tde listKeys

dbaascli tde listKeys --dbname dbname

dbaascli tde listKeys --dbname dbname --infoFilePath infoFilePath

dbaascli tde removeSecondaryHsmKey

若要從現有的 HSM (KMS) 配置移除次要 HSM (KMS) 金鑰，請使用 dbaascli tde removeSecondaryHsmKey 指令。

先決條件：

身分為 root 使用者執行指令。

語法：

dbaascli tde removeSecondaryHsmKey --dbname <value>
[--confirmDeletion]
[--secondaryKmsKeyOCID]
[--executePrereqs]

參數：

參數	描述
`--dbname`	指定資料庫的名稱
`--confirmDeletion`	若未指定，刪除所有現有 HSM (KMS) 金鑰時將會提示使用者。
`--secondaryKmsKeyOCID`	要從現有 HSM (KMS) 組態移除的次要 KMS 金鑰。如果未指定，所有的次要 KMS 金鑰將被移除。
`--executePrereqs`	執行先決條件檢查並報告結果。

常見問題：

問：dbaascli tde removeSecondaryHsmKey 命令的目的是什麼？

答：dbaascli tde removeSecondaryHsmKey 指令用於從 Oracle AI Database 環境中的現有 HSM (KMS) 組態中移除次要硬體安全模組 (HSM) 金鑰。

問：執行 dbaascli tde removeSecondaryHsmKey 命令有哪些先決條件？

答：你必須：

以 root 使用者身分執行指令。
使用 SSH 連線至 Oracle Base Database Cloud@Customer 虛擬機器。

問：dbaascli tde removeSecondaryHsmKey 命令中的 – force 參數如何運作？

A：--force 參數允許移除次要 HSM 金鑰，而不提示使用者確認。若未指定，命令會在刪除任何金鑰之前先提示使用者。

問：– secondaryKmsKeyOCID 參數指定什麼？

答：--secondaryKmsKeyOCID 參數會指定您要從現有 HSM 組態移除之次要 KMS 金鑰的 OCID (Oracle Cloud Identifier)。

問：– dbname 參數的作用為何？

A：--dbname 參數會指定要移除次要 HSM 金鑰的資料庫名稱。

問：– precheckOnly 參數的用途為何？

答：--precheckOnly 參數 (如果設為 yes) 只會執行前置檢查來驗證移除作業的整備度，而不實際移除次要 HSM 金鑰。如果設為 no，則會執行完整的移除作業。

Q：– force 參數是否為必填？

答：否，--force 參數是選擇性的。如果未指定，系統會先提示使用者確認，再繼續移除金鑰。

問：– secondaryKmsKeyOCID 參數是否為必要參數？

答：是的，您必須提供 --secondaryKmsKeyOCID 以識別要從組態中移除的特定次要 HSM 金鑰。

問：– dbname 參數是必要的嗎？

答：否，--dbname 參數是選擇性的。若未指定，命令將嘗試從系統上的預設資料庫中移除次要 HSM 金鑰。

問：如果我想移除次要 HSM 金鑰而沒有任何使用者提示，該怎麼辦？

答：您應使用 --force 參數來略過確認提示，並直接移除次要 HSM 金鑰：

dbaascli tde removeSecondaryHsmKey --force --secondaryKmsKeyOCID <value>

問：如何測試系統是否已準備好移除次要 HSM 金鑰而不實際移除它？

A：您可以使用設為 yes 的 --precheckOnly 參數來執行前置檢查：

dbaascli tde removeSecondaryHsmKey --precheckOnly yes --secondaryKmsKeyOCID <value>

問：如果沒有提供 – dbname 的資料庫名稱，會發生什麼事？

A：如果未指定 --dbname 參數，則命令會嘗試從系統上設定的預設資料庫中移除次要 HSM 金鑰。

問：我該如何檢查指令是否無法移除次要 HSM 金鑰？

答：確保：

您以 root 使用者身分執行命令。
您已連線到 Oracle Base Database Cloud@Customer 虛擬機器。
提供正確的 --secondaryKmsKeyOCID 和 --dbname 值。請查看錯誤訊息和日誌，瞭解有關失敗的詳細資訊。

問：如果拆卸操作通過，我該怎麼辦？

答：如果作業失敗，請複查錯誤日誌，然後嘗試使用 --precheckOnly 執行命令，以確保系統已準備好進行作業。如果需要，請先更正所有問題後再重試。

問：資料庫執行時，是否可以執行 dbaascli tde removeSecondaryHsmKey 命令？

答：是的，您可以在資料庫執行時執行命令，因為它不需要停止資料庫。

問：移除次要 HSM 金鑰的目的是什麼？

答：移除次要 HSM 金鑰通常會在不再需要該金鑰或想要管理 TDE (通透資料加密) 組態中使用的加密金鑰時完成。

問：如何連線至 Oracle Base Database Cloud@Customer 虛擬機器來執行命令？

答：您可以使用 SSH 連線至虛擬機器。如需有關建立安全連線的指示，請參閱 Oracle Base Database Cloud@Customer 文件。

範例：dbaascli tde removeSecondaryHsmKey

dbaascli tde removeSecondaryHsmKey --dbname dbname

dbaascli tde removeSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza

dbaascli tde removeSecondaryHsmKey --dbname dbname --secondaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs

dbaascli tde rotateMasterKey

若要循環資料庫加密的主要金鑰，請使用 dbaascli tde rotateMasterKey 命令。

先決條件：

以 root 使用者身分執行指令。

語法：

dbaascli tde rotateMasterKey --dbname <value>
[--rotateMasterKeyOnAllPDBs]
[--pdbName <value>]
[--executePrereqs]
[--resume [--sessionID <value>]]
{
     [--prepareStandbyBlob <value> [--blobLocation <value>]]
     | [--standbyBlobFromPrimary <value>]
 }

參數：

參數	描述
`--dbname`	指定 Oracle AI Database 的名稱
`--rotateMasterKeyOnAllPDBs`	指定 `true`，即可旋轉 CDB 中所有 PDB 的主要金鑰。有效值：`true` 或 `false`
`--pdbName`	指定 PDB 的名稱
`--executePrereqs`	執行先決檢查並報告結果。
`--resume`	指定繼續先前的執行作業
`--sessionID`	指定繼續特定的階段作業 ID
`--prepareStandbyBlob`	指定 `true`，以產生 BLOB 檔案，其中包含在「資料保全」環境中執行作業所需的構件
`--blobLocation`	指定將在「資料保全」環境中產生待命 BLOB 檔案的自訂目錄位置
`--standbyBlobFromPrimary`	指定從主要資料庫準備的待命 BLOB 檔案位置。只有待命作業才需要此項目。

常見問題：

問：dbaascli tde rotateMasterKey 命令的目的是什麼？

答：dbaascli tde rotateMasterKey 命令用於輪替 Oracle AI Database 中用於通透資料加密 (TDE) 的主要金鑰。此程序可確保加密金鑰的更新安全。

問：執行 dbaascli tde rotateMasterKey 命令有哪些先決條件？

答：你必須：

以 root 使用者身分執行指令。
請確定 TDE 的資料庫設定正確。

問：– dbname 參數指定什麼？

答：--dbname 參數會指定要為其輪換主要加密金鑰的 Oracle AI Database 名稱。

問：– rotateMasterKeyOnAllPDBs 參數的用途為何？

A：--rotateMasterKeyOnAllPDBs 參數指定是否輪換容器資料庫 (CDB) 中所有可插拔資料庫 (PDB) 的主要金鑰。有效值為 true 或 false。

問：– pdbName 參數的功能是什麼？

答：如果您要為特定 PDB (而非所有 PDB) 循環主要金鑰，--pdbName 參數會指定特定可插拔資料庫 (PDB) 的名稱。

問：– executePrereqs 參數的功能是什麼？

A：--executePrereqs 參數會執行先決條件檢查，以驗證環境是否已準備好進行主要金鑰輪換，而不執行實際輪換。

問：– resume 參數指定什麼？

答：--resume 參數是用來繼續先前啟動的作業。您也可以使用 --sessionID 來繼續特定階段作業，以提供特定的階段作業 ID。

問：– prepareStandbyBlob 參數的用途為何？

A：--prepareStandbyBlob 參數若設為 true，會產生包含必要使用者自建物件的 BLOB 檔案，以便在「資料保全」環境中執行主要金鑰輪換。

問：– blobLocation 參數的功能是什麼？

A：--blobLocation 參數指定將產生待命 BLOB 檔案的自訂目錄路徑。當 --prepareStandbyBlob 設為 true 時適用。

問：– standbyBlobFromPrimary 參數指定什麼？

A：--standbyBlobFromPrimary 參數會指定從主要資料庫產生的待命 BLOB 檔案位置。在「資料保全」環境的待命資料庫上執行主要金鑰輪換時，會使用此參數。

問：– rotateMasterKeyOnAllPDBs 參數是否為必要參數？

答：否，--rotateMasterKeyOnAllPDBs 參數是選擇性的。如果未指定主要金鑰，則只會針對 --dbname 或 --pdbName 參數中提供的資料庫 (或特定 PDB) 輪換主要金鑰。

問：如果我要輪換 CDB 的金鑰，是否需要 -pdbName 參數？

答：否，只有在您要旋轉特定「可插拔資料庫 (PDB)」的主要金鑰時，才需要 --pdbName 參數。為整個 CDB 輪換金鑰時，這是選擇性的。

問：是否需要針對獨立資料庫使用 – prepareStandbyBlob 和 – standbyBlobFromPrimary 參數？

答：否，這些參數僅與涉及待命資料庫的資料保全環境相關。

問：如何為 CDB 中的所有 PDB 輪換主要金鑰？

答：您應使用 --rotateMasterKeyOnAllPDBs 參數設為 true，為 CDB 中的所有 PDB 循環主索引鍵。舉例而言：

dbaascli tde rotateMasterKey --dbname CDB_NAME --rotateMasterKeyOnAllPDBs true

問：如何執行檢查來驗證系統是否已準備好進行主金鑰輪換，而不執行實際作業？

答：您可以使用 --executePrereqs 參數來執行先決條件檢查。這會報告任何可能阻止主要金鑰輪換的問題：

dbaascli tde rotateMasterKey --dbname DB_NAME --executePrereqs

問：如果操作被中斷，我要恢復它，該怎麼辦？

答：您可以使用 --resume 參數繼續先前中斷的作業。如果您有階段作業 ID，請提供 --sessionID 參數：

dbaascli tde rotateMasterKey --dbname DB_NAME --resume --sessionID <value>

問：如何在 Data Guard 環境中準備金鑰輪換？

A：您應該使用 --prepareStandbyBlob 參數來產生 BLOB 檔案，其中包含用於在待命環境中循環主要金鑰的必要使用者自建物件：

dbaascli tde rotateMasterKey --dbname DB_NAME --prepareStandbyBlob true --blobLocation /path/to/blob

問：在待命資料庫上輪換金鑰時，如何從主要資料庫套用待命 BLOB 檔案？

A：使用 --standbyBlobFromPrimary 參數指定主要資料庫上準備之 BLOB 檔案的位置：

dbaascli tde rotateMasterKey --dbname DB_NAME --standbyBlobFromPrimary /path/to/blob

問：我應該如何檢查主要金鑰輪換是否失敗？

答：確保：

您以 root 使用者身分執行命令。
資料庫名稱 (--dbname) 正確。
已使用 --executePrereqs 執行所有先決條件檢查以確保整備度。請複查錯誤日誌以取得有關失敗的更多詳細資訊。

問：如果在 Data Guard 環境中無法順利完成作業，該怎麼辦？

答：確定主要資料庫的 BLOB 檔案已使用 --prepareStandbyBlob 正確準備，然後使用 --standbyBlobFromPrimary 將它套用至待命資料庫。

問：資料庫執行時，是否可以執行 dbaascli tde rotateMasterKey 命令？

答：是的，您可以在執行資料庫時執行命令。不過，建議您先使用 --executePrereqs 選項執行先決條件檢查。

問：為什麼輪換主鍵很重要？

答：輪換主金鑰可確保定期更新用於資料保護的加密金鑰，進而降低金鑰洩漏的風險，進而改善資料庫安全性。

問：輪換主金鑰後，是否需要重新啟動資料庫？

答：否，在輪換主金鑰後，不需要重新啟動資料庫。金鑰輪換將立即生效，不會發生任何服務中斷的情形。

dbaascli tde setKeyVersion

若要設定資料庫 /CDB 或 PDB 中所要使用的主索引鍵版本，請使用 dbaascli tde setKeyVersion 命令。

身分為 root 使用者執行指令。

語法：

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <value>
[--pdbName <value>]
[--masterKeyID <value>]
[--standbySuc]
[--executePrereqs]
[--waitForCompletion <value>]

參數：

參數	描述
`--kmsKeyVersionOCID`	指定要設定的 KMS 金鑰版本 OCID。
`--dbname`	指定資料庫的名稱。
`--pdbName`	要使用金鑰版本 OCID 的 PDB 名稱。
`--masterKeyID`	指定指定之金鑰版本 OCID 的主要金鑰 ID。這適用於資料保全環境。
`--standbySuc`	順利在待命資料庫執行命令後，在「資料保全」環境的主要資料庫中指定此特性
`--executePrereqs`	執行先決條件檢查並報告結果。
`--waitForCompletion`	指定 `false` 即可在背景執行作業。有效值：`true` 或 `false`

常見問題：

問：dbaascli tde setKeyVersion 命令的目的是什麼？

答：dbaascli tde setKeyVersion 命令用於設定資料庫或可插拔資料庫 (PDB) 中「通透資料加密 (TDE)」應使用的主要加密金鑰版本。這允許將特定版本的 KMS 金鑰指定給資料庫。

Q：dbaascli tde setKeyVersion 命令有哪些先決條件？

答：您必須以 root 使用者身分執行此命令，並確定您已連線到 Oracle Base Database Cloud@Customer 虛擬機器。

問：– kmsKeyVersionOCID 參數指定什麼？

答：--kmsKeyVersionOCID 參數會指定您要為資料庫或 PDB 設定的 KMS 金鑰版本 OCID (Oracle Cloud Identifier)。

問：– dbname 參數指定什麼？

答：--dbname 參數會指定將設定金鑰版本的 Oracle AI Database 名稱。

問：– pdbName 參數的用途為何？

A：--pdbName 參數會指定容器資料庫 (CDB) 中要設定特定 KMS 金鑰版本的可插拔資料庫 (PDB) 的名稱。

問：什麼是 – masterKeyID 參數用於？

答：--masterKeyID 參數指定與指定之 KMS 金鑰版本 OCID 關聯的主要金鑰 ID。這在資料保全環境中尤其重要。

問：– standbySuc 參數的角色為何？

A：在「資料保全」環境中使用 --standbySuc 參數。它指定在待命資料庫上順利執行命令之後，應在主要資料庫上設定此特性。

問：– executePrereqs 參數的功能是什麼？

A：--executePrereqs 參數會指定是否在執行作業之前先執行先決條件檢查。有效值為 yes 或 no。

問：– waitForCompletion 參數控制是什麼？

A：--waitForCompletion 參數會決定作業是要同步執行 (等待完成) 還是非同步執行 (在背景中)。有效值為 true 或 false。

問：如果設定 CDB 的金鑰版本，是否需要 -pdbName 參數？

答：否，只有在您設定特定可插拔資料庫 (PDB) 的金鑰版本時，才需要 --pdbName 參數。若是設定整個容器資料庫 (CDB) 的金鑰版本，則為選擇性。

問：非 Data Guard 環境是否需要 -masterKeyID 參數？

答：否，--masterKeyID 參數通常只用於 Data Guard 環境中。若為獨立資料庫，則不需要此參數。

問：如何設定資料庫的金鑰版本？

A：您可以執行以下動作來設定資料庫的金鑰版本：

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <DB_NAME>

問：如何設定特定 PDB 的金鑰版本？

答：若要設定特定可插拔資料庫 (PDB) 的金鑰版本，請使用 --pdbName 參數以及資料庫名稱：

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <DB_NAME> --pdbName <PDB_NAME>

問：在設定金鑰版本之前，如何確保符合所有先決條件？

答：您可以使用 --executePrereqs 參數來執行先決條件檢查：

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --executePrereqs yes

問：如何在 Data Guard 環境中設定金鑰版本？

答：在資料保全環境中，您應該：

在待命資料庫上執行命令：

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --masterKeyID <keyID> --dbname <DB_NAME>

順利在待命資料庫上執行命令之後，請使用 --standbySuc 參數在主要資料庫上執行命令：
```
dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --dbname <DB_NAME> --standbySuc yes
```

問：如何在背景執行操作而不等待它完成？

答：您可以將 --waitForCompletion 設為 false，以非同步方式執行作業：

dbaascli tde setKeyVersion --kmsKeyVersionOCID <value> --waitForCompletion false

問：如果金鑰版本設定失敗，該怎麼辦？

答：確保：

您以 root 使用者身分執行命令。
KMS 金鑰版本 OCID 正確。
已使用 --executePrereqs 執行所有先決條件檢查以確保整備度。複查錯誤日誌以取得特定明細，並視需要重新執行作業。

問：我應該如何檢查 Data Guard 環境中是否無法順利完成作業？

A：在待命資料庫上執行命令時，請確定正確指定 --masterKeyID 參數。在待命資料庫上完成之後，在主要資料庫上執行命令時，應該使用 --standbySuc 參數。

問：資料庫執行時，是否可以執行 dbaascli tde setKeyVersion 命令？

答：是的，您可以在執行資料庫時執行命令。不過，建議您先使用 --executePrereqs 執行先決條件檢查。

問：為何為資料庫設定正確的 KMS 金鑰版本很重要？

A：設定正確的 KMS 金鑰版本可確保資料庫使用適合的 TDE 加密金鑰版本，以協助維持資料安全性並符合組織原則規範。

問：如果我使用錯誤的 KMS 金鑰版本 OCID，會發生什麼事？

A：如果使用的 KMS 金鑰版本 OCID 不正確，加密可能會失敗，而且資料庫將無法使用不正確的金鑰進行加密作業。您應該確定提供的金鑰版本 OCID 正確。

問：設定金鑰版本後，是否需要重新啟動資料庫？

答：否，在設定金鑰版本後，不需要重新啟動資料庫。新的金鑰版本將立即生效，不需要重新啟動。

範例：dbaascli tde setKeyVersion

dbaascli tde setKeyVersion --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha

dbaascli tde setKeyVersion --dbname dbname --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha --executePrereqs

dbaascli tde setKeyVersion --dbname dbname --pdbName pdb --kmsKeyVersionOCID ocid1.keyversion.oc1.eu-frankfurt-1.bjqnwclvaafak.bc4hmd3olgaaa.abtheljsyxtgn4vzi2bbpcej6a7abcwvylkd2lx56lu2s6iwnxwgigu23nha

dbaascli tde setPrimaryHsmKey

若要變更現有 HSM (KMS) 配置的主要 HSM (KMS) 金鑰，請使用 dbaascli tde setPrimaryHsmKey 指令。

以 root 使用者身分執行指令。

語法：

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <value> --dbname <value>
[--allStandbyPrepared]
[--bounceDatabase]
[--executePrereqs]
[--resume [--sessionID <value>]]

參數：

參數	描述
`--primaryKmsKeyOCID`	指定要設定的主要 KMS 金鑰
`--dbname`	指定資料庫的名稱
`--allStandbyPrepared`	指定以確認已順利在所有待命資料庫執行作業。
`--bounceDatabase`	指定此旗標，以執行此作業的資料庫退回
`--executePrereqs`	執行先決條件檢查並報告結果。
`--resume`	以繼續前一個執行作業
`--sessionID`	以繼續特定的階段作業 ID。

常見問題：

問：dbaascli tde setPrimaryHsmKey 命令的目的是什麼？

A：dbaascli tde setPrimaryHsmKey 指令是用來變更現有 HSM/KMS 組態中「通透資料加密 (TDE)」的主要 HSM (硬體安全模組) 或 KMS (金鑰管理服務) 金鑰。

問：執行 dbaascli tde setPrimaryHsmKey 命令有哪些先決條件？

答：指令必須以 root 使用者身分執行，且環境應為 Oracle Base Database Cloud@Customer 虛擬機器。

問：– primaryKmsKeyOCID 參數指定什麼？

A：--primaryKmsKeyOCID 參數會指定要為 TDE 環境設定之主要 KMS 金鑰的 OCID (Oracle Cloud Identifier)。

問：– dbname 參數的功能是什麼？

答：--dbname 參數會指定將設定主要 HSM/KMS 金鑰的 Oracle AI Database 名稱。

問：– standbySuc 參數的功能是什麼？

A：在「資料保全」環境中使用 --standbySuc 參數。它指定在待命資料庫上順利執行命令之後，應在主要資料庫上執行該命令。

問：– precheckOnly 參數的用途為何？

答：--precheckOnly 參數可讓您只執行這項作業的前置檢查。它會驗證環境，不會進行任何實際變更。有效值為 yes 或 no。

問：– bounceDatabase 參數控制是什麼？

A：--bounceDatabase 參數指定資料庫是否應以輪流方式退回 (重新啟動) 作為作業的一部分。這可藉由逐一重新啟動資料庫的部分，確保最短的停機時間。

問：如何為我的資料庫設定主要 KMS 金鑰？

答：若要設定主要 KMS 金鑰，請執行下列指令：

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME>

問：如何確保在沒有問題的情況下執行操作？

A：使用 --precheckOnly 參數執行作業，以確認符合所有先決條件：

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --precheckOnly yes

Q：如何在 Data Guard 環境中設定主要 KMS 金鑰？

A：首先，在待命資料庫上執行命令：

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME>

然後，使用 --standbySuc 參數在主要資料庫上執行命令：

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --dbname <DB_NAME> --standbySuc yes

問：如何將停機時間降到最低，同時變更主要 KMS 金鑰？

A：您可以使用 --bounceDatabase 參數來執行輪流重新啟動，將停止工作時間降到最低：

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --bounceDatabase

問：所有資料庫是否都需要 – dbname 參數？

答：是的，您應該指定 --dbname 參數來指示應設定主要 KMS 金鑰的目標資料庫。

問：在 Data Guard 環境中是否必須使用 – standbySuc 參數？

答：是的，在待命資料庫上順利執行命令後，在主要資料庫上執行命令時，必須使用 --standbySuc 參數。

問：我可以跳過資料庫的退件操作嗎？

答：是的，如果您未指定 --bounceDatabase 參數，資料庫在作業中將不會被退回 (重新啟動)。

問：如果命令在執行時失敗，該怎麼辦？

A：如果命令失敗，請確定：

您是以 root 使用者的身分執行。
提供正確的 --primaryKmsKeyOCID 和 --dbname 值。
環境會通過所有先決條件檢查 (使用 --precheckOnly 執行)。

問：如果在 Data Guard 環境中作業失敗，該怎麼辦？

A：在主要資料庫上執行命令之前，請先確定已順利在待命資料庫上執行該命令。檢查日誌中的錯誤，並使用正確的參數重新執行作業。

問：我可以在即時資料庫上執行 dbaascli tde setPrimaryHsmKey 命令嗎？

答：是的，可以在資料庫上線時執行命令。不過，使用 --bounceDatabase 參數將會以輪流方式重新啟動資料庫，以將影響降到最低。

問：如何以滾動方式執行命令以避免完全停機？

A：在變更主要 KMS 金鑰時，使用 --bounceDatabase 參數執行資料庫輪流重新啟動：

dbaascli tde setPrimaryHsmKey --primaryKmsKeyOCID <key_OCID> --bounceDatabase

問：更改主 KMS 鍵的重要性是什麼？

A：變更主要 KMS 金鑰可確保資料庫針對通透資料加密 (TDE) 使用更新或不同的加密金鑰。基於安全性或規範原因，這可能是必要的。

問：主要 KMS 金鑰應多久旋轉或變更一次？

答：雖然沒有嚴格規則，但組織可以根據安全原則 (例如金鑰輪替間隔或規範需求) 來輪換主要 KMS 金鑰。

問：如果主要 KMS 金鑰設定不正確，會發生什麼事？

答：如果設定的金鑰 OCID 不正確，資料庫加密作業可能會失敗，您可能需要回復成正確的金鑰，或透過設定正確的 KMS 金鑰 OCID 來修正組態。

問：變更主要 KMS 金鑰後，是否需要重新啟動資料庫？

答：否，您不需要重新啟動資料庫，除非您選擇使用 --bounceDatabase 參數，這樣會自動重新啟動資料庫以套用變更。

範例：dbaascli tde setPrimaryHsmKey

dbaascli tde setPrimaryHsmKey --dbname dbname --primaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza

dbaascli tde setPrimaryHsmKey --dbname dbname --primaryKmsKeyOCID ocid1.key.oc1.eu-frankfurt-1.bjqnwclvaafak.abtheljsgfxa2xe5prvlzdxtygoiqpm2pu2afgta54krxwllk5uxainvvxza --executePrereqs

dbaascli tde 狀態

若要顯示指定資料庫之金鑰存放區的相關資訊，請使用 dbaascli tde status 命令。

先決條件：

以 oracle 使用者身分執行指令。

語法：

dbaascli tde status --dbname dbname

參數：

參數	描述
`--dbname`	指定要檢查之資料庫的名稱。

命令的輸出包含金鑰存放區的類型，以及金鑰存放區的狀態。

常見問題：

問：dbaascli tde 狀態命令是什麼？

A：dbaascli tde status 命令會顯示指定資料庫之金鑰存放區的相關資訊。這包括金鑰存放區類型的詳細資訊及其狀態。

問：誰應該執行 dbaascli tde 狀態命令？

A：命令必須以 oracle 使用者身分執行。

問：dbaascli tde status 命令應該在哪裡執行？

答：該命令應在 Oracle Base Database Cloud@Customer 虛擬機器上執行。您必須透過 SSH 連線至虛擬機器，才能執行公用程式。

問：– dbname 參數的功能是什麼？

A：--dbname 參數會指定將檢查 TDE 金鑰存放區狀態的資料庫名稱。

問：dbaascli tde status 命令傳回什麼資訊？

A：命令的輸出包括金鑰存放區類型 (例如 HSM 型或檔案型)，以及金鑰存放區的目前狀態，例如金鑰存放區是開啟、關閉還是其他狀態。

問：如何使用 dbaascli tde status 命令來知道金鑰存放區是開啟還是關閉？

A：金鑰存放區的狀態 (包括是否開啟或關閉) 是 dbaascli tde status 命令傳回之輸出的一部分。

問：如何檢查特定資料庫的 TDE 金鑰存放區狀態？

答：若要檢查特定資料庫的 TDE 金鑰存放區狀態，請執行：

dbaascli tde status --dbname <DB_NAME>

問：我可以檢查多個資料庫的金鑰庫狀態嗎？

答：是的，但您需要為每個資料庫分別執行命令，使用 --dbname 參數指定其名稱。

問：dbaascli tde status 命令可以用 root 使用者身分執行嗎？

答：否，命令應該以 oracle 使用者身分執行，而不是以 root 使用者身分執行。

問：我需要特殊權限才能執行 dbaascli tde 狀態指令嗎？

答：是的，您必須擁有 oracle 使用者權限，並連線到 Oracle Base Database Cloud@Customer 虛擬機器，才能執行此命令。

問：如果在執行 dbaascli tde 狀態命令時發生錯誤，該怎麼辦？

答：請確定您以 oracle 使用者身分執行命令，並確認您具有必要的權限，且已連線至正確的虛擬機器。

問：如何知道我的資料庫使用的金鑰存放區類型？

A：金鑰存放區的類型 (例如以檔案為基礎或以 HSM/KMS 為基礎) 會顯示在 dbaascli tde status 命令的輸出中。

問：如果關閉金鑰庫，該怎麼辦？

答：如果金鑰庫已關閉，您可能需要手動開啟它，視您嘗試執行的作業而定。確切的程序將取決於金鑰存放區類型和您的環境。

問：是否可以檢視 CDB (容器資料庫) 或 PDB (可插拔資料庫) 的金鑰存放區狀態？

答：是，使用 --dbname 參數指定適當的資料庫名稱，即可檢視 CDB 和 PDB 的金鑰存放區狀態。

問：如果命令傳回有關資料庫連線的錯誤，代表什麼意思？

答：這可能表示資料庫連線發生問題，或您的環境發生問題。請確定資料庫在執行中且可供存取，並驗證您與 Oracle Base Database Cloud@Customer 虛擬機器的 SSH 連線。

問：如果資料庫名稱不正確會發生什麼事？

答：如果 --dbname 參數指定不正確或不存在的資料庫，命令將會失敗，您將會收到指出問題的錯誤訊息。

問：如果金鑰存放區狀態顯示未預期的狀態，該如何進行疑難排解？

A：如果金鑰存放區狀態指出未預期的狀態，請複查資料庫日誌以瞭解詳細資訊，並檢查金鑰存放區的組態，以確保金鑰存放區已正確設定。

問：我可以自動檢查金鑰庫狀態以進行監控嗎？

答：是的，您可以編寫 dbaascli tde status 命令以定期檢查金鑰存放區狀態，或將其整合至您的資料庫監督工具中。

問：如何驗證是否已正確啟用通透資料加密 (TDE)？

A：您可以使用 dbaascli tde status 命令檢查金鑰存放區的狀態，以確認 TDE 是否正確啟用。有效且開啟的金鑰存放區指示 TDE 已正確設定。

範例：dbaascli tde status

dbaascli tde status --dbname dbname