Oracle TDE - 技术栈

根据 Oracle 官方文档关于多租户架构下 TDE（透明数据加密）的配置规范，不依赖传统 sqlnet.ora 文件的联合模式（United Mode）配置 TDE 详细步骤说明。

在联合模式下，加密密钥库（Keystore/Wallet）统一存放在 CDB 根容器中并由其管理，所有联合模式下的 PDB 共享此密钥库，但每个 PDB 在其中拥有自己独立的标准主加密密钥（Master Encryption Key）。

在现代 Oracle 版本（如 19c 及以上）中，官方推荐使用内置初始化参数 WALLET_ROOT 与 TDE_CONFIGURATION 代替传统的 sqlnet.ora 路径配置。

在操作系统中创建钱包根目录
建议将此目录创建在 $ORACLE_HOME 或 $ORACLE_BASE 之外，避免在进行 OS 级别备份时将敏感的钱包文件与数据库文件备份到一起。
复制代码
```
mkdir -p /etc/ORACLE/KEYSTORES/orcl
```
以具有 SYSKM 或 ADMINISTER KEY MANAGEMENT 权限的用户登录 CDB 根容器
复制代码
```
sqlplus / as syskeyman -- 或使用具有相应权限的公共用户
```
配置静态根目录参数（需要重启数据库生效）
复制代码
```
ALTER SYSTEM SET WALLET_ROOT='/etc/ORACLE/KEYSTORES/orcl' SCOPE=SPFILE;
```
重启 CDB 数据库
复制代码
```
SHUTDOWN IMMEDIATE;
STARTUP;
```
配置动态参数以启用文件密钥库（FILE）
复制代码
```
ALTER SYSTEM SET TDE_CONFIGURATION="KEYSTORE_CONFIGURATION=FILE" SCOPE=BOTH;
```
💡 Oracle 的底层机制：设置此参数后，Oracle 会自动在 WALLET_ROOT 下隐式寻找或自动创建名为 /tde 的子目录，最终的钱包路径将自动归纳为 /etc/ORACLE/KEYSTORES/orcl/tde/ 。

说明：

2.创建AUTO_LOGIN后，wallet就会一直打开，所以不用加force keystore临时打开wallet

在联合模式下，虽然 PDB 共享 CDBroot 的钱包文件，但每个 PDB 必须在共享钱包中创建并激活属于该 PDB 专用的主加密密钥，才能正常使用 TDE 功能。

此时 TDE 环境在多租户联合模式下已全面就绪，可在 PDB 内正常执行数据加密操作。

创建新的加密表空间：

复制代码

CREATE TABLESPACE secured_ts 
DATAFILE '/u01/app/oracle/oradata/orcl/mypdb/secured_ts01.dbf' SIZE 100M 
ENCRYPTION USING 'AES256' ENCRYPT;

在线加密现有表空间：

复制代码

ALTER TABLESPACE users ENCRYPTION ONLINE ENCRYPT;

通过执行以下官方数据字典及视图查询，可时刻校验 TDE 运行健康度：

检查整体密钥库模式与状态：

复制代码

-- 预期：CON_ID 1 的 KEYSTORE_MODE 为 NONE，而其他 PDB 的 CON_ID 对应的模式应为 UNITED
SELECT CON_ID, KEYSTORE_MODE, STATUS, WALLET_TYPE FROM V$ENCRYPTION_WALLET;

验证主密钥激活状态：

复制代码

-- 在具体 PDB 容器内执行，预期输出应为 YES
SELECT MASTERKEY_ACTIVATED FROM V$DATABASE_KEY_INFO;