管理加密關鍵碼

本文提供加密與加密金鑰的詳細資訊。

Oracle Base Database Service 會使用「通透資料加密 (TDE)」將儲存在表格和表格空間中的資料加密。

通透資料加密：

基準資料庫服務使用 TDE 來加密及解密所有使用者建立的表格空間。

加密金鑰：

您可以選擇使用自己的加密金鑰 (客戶管理的金鑰) 來加密資料庫，或使用 Oracle 管理的金鑰。基準資料庫服務預設會使用 Oracle 管理的金鑰。客戶管理的金鑰會儲存在資料庫主機外部的 OCI 保存庫中。

OCI Vault 金鑰：

在 OCI 保存庫中，「加密金鑰」是邏輯實體，其中包含一或多個用於加密和解密的金鑰版本。這些金鑰版本可由 OCI 保存庫自動產生，或從外部來源 (自備金鑰) 匯入。

必要的 IAM 原則

若要使用自己的加密金鑰來加密資料庫，您必須建立動態群組，然後將特定原則指派給客戶管理的加密金鑰群組。請參閱管理動態群組和讓安全管理員管理一般原則中的保存庫、金鑰和加密密碼主題。

建立新資料庫系統時，系統會將金鑰同時指定給容器資料庫和可插拔資料庫。

金鑰版本 (如果提供的話) 只會用於容器資料庫，而不會用於其可插拔資料庫。可插拔資料庫將會被指定自動產生的新金鑰版本。建立可插拔資料庫時，無法指定特定金鑰版本。

可插拔資料庫一律使用與容器資料庫相同的金鑰，但使用相同或不同的金鑰版本。

您可以指定任何金鑰版本，包括所選金鑰的最新版本。

資料庫預設會使用 Oracle 管理的金鑰來設定。不過，您可以選擇使用客戶管理的金鑰來設定。

輪換加密金鑰作業會為相同的金鑰產生新的金鑰版本。

您可以執行任意數目的金鑰輪換。定期輪換金鑰會限制由一個金鑰版本加密或簽署的資料量。停用的金鑰歷史記錄也會一併維護，讓您能夠輪換金鑰，並仍可解密先前金鑰加密的資料。

容器資料庫和可插拔資料庫層級的輪換金鑰彼此獨立運作。容器資料庫上的輪換金鑰作業將不會輪換可插拔資料庫中的金鑰。同樣地，一個可插拔資料庫中的金鑰也不會輪換其他可插拔資料庫或其容器資料庫中的金鑰。

為了確保使用最新版本，請從 OCI 主控台的資料庫詳細資訊頁面輪換金鑰，而非保存庫服務的主控台頁面。

注意：使用 Oracle 管理的加密資料庫無法使用輪換加密密碼。

您可以為容器資料庫與可插式資料庫建立新的金鑰版本，並加以指派。只能變更金鑰版本。無法變更金鑰。

您可以從 Oracle 管理的金鑰切換至現有資料庫上的客戶管理金鑰。不過，不支援從客戶管理的金鑰切換至 Oracle 管理的金鑰。

容器資料庫的金鑰變更後，也會自動套用到可插式資料庫。可插拔資料庫的索引鍵無法單獨變更。可插拔資料庫一律使用與容器資料庫相同的金鑰，但它們可以使用相同或不同的金鑰版本。

切換至客戶管理的金鑰時，容器資料庫與其所有可插式資料庫必須開啟，而且所有表格空間都必須處於讀取 / 寫入模式。

若要使用 OCI 主控台變更金鑰管理類型，請參閱變更資料庫的金鑰管理類型。

複製使用客戶管理加密金鑰的資料庫系統時，複製的資料庫將會使用與來源資料庫相同的金鑰版本。

來源和目標資料庫必須使用相同的金鑰，但可以有不同的金鑰版本。如果來源和目標資料庫使用不同的金鑰，則遠端複製或重新定位作業會失敗。

進行遠端複製和重新定位作業之後，便會在目標金鑰保存庫中輪換金鑰。因此，將會為目標資料庫中的遠端複製或搬移的可插拔資料庫產生新的金鑰版本。