Oracle 19cでTDE自動ログインウォレットを構成する方法

この記事では、Oracle Database 19cにおいて透過的データ暗号化(TDE: Transparent Data Encryption)を有効にし、自動ログインウォレット(Auto Login Wallet)を構成する手順について詳しく解説します。

Oracle 19cで自動ログインウォレットを構成するには、spfile/pfileにいくつかのパラメータを事前に設定しておく必要があります。

ステップ1:ASMにウォレットフォルダを作成する

必要に応じて、ウォレット用のディレクトリを作成します。通常、ウォレットディレクトリは ASM または $ORACLE_BASE/admin/db_unique_name/wallet 配下に配置します。理想的には、ウォレットディレクトリは空の状態であるべきです。

./grid.env -- ASMファイルシステム用の環境ファイル
asmcmd

ステップ2:パラメータファイルにウォレット情報を設定する

pfileまたはspfileにて WALLET_ROOT および TDE_CONFIGURATION パラメータを設定することで、キーストアの場所とタイプを構成する必要があります。

. ./clprod.env

ステップ3:データベースを再起動する

コンテナデータベース(CDB)の環境をセットします。

. clprod.env
sqlplus '/as sysdba'
show con_name;

出力例:

CON_NAME
------------------------------
CDB$ROOT

CLPROD> shut immediate
Database closed.
Database dismounted.
ORACLE instance shut down.

CLPROD> startup
ORACLE instance started.
Total System Global Area 16106127360 bytes
Fixed Size 35621984 bytes
Variable Size 1017607903 bytes
Database Buffers 534432665431 bytes
Redo Buffers 9817655 bytes
Database mounted.
Database opened.

RAC環境の場合は、srvctlコマンドを使用します。

srvctl status database -d CLPROD
srvctl stop database -d CLPROD
srvctl start database -d CLPROD

ステップ4:ウォレットのステータスを確認する

ウォレットが正しく認識されているか、V$ENCRYPTION_WALLET ビューなどでステータスを確認します。

ステップ5:コンテナ(CDB)用のKEYSTOREを作成する

コンテナデータベースの環境をセットします。

. clprod.env

CDB$ROOTに接続した状態で、ADMINISTER KEY MANAGEMENT CREATE KEYSTORE 文を使用してソフトウェアキーストアを作成します。

ステップ6:PDB用にKEYSTOREをオープンする

コンテナデータベースの環境をセットします。

. clprod.env

ADMINISTER KEY MANAGEMENT SET KEYSTORE OPEN を実行し、PDBからもキーストアへアクセスできるようにします。

ステップ7:自動ログイン(またはローカル自動ログイン)ソフトウェアキーストアを作成する

コンテナデータベースの環境をセットします。

. clprod.env

ADMINISTER KEY MANAGEMENT CREATE AUTO_LOGIN KEYSTORE FROM KEYSTORE を実行して、自動ログインキーストア(cwallet.sso)を生成します。ローカル自動ログインの場合は LOCAL_AUTO_LOGIN を指定します。

ステップ8:データベースを再起動する

sqlplus '/as sysdba'
CLPROD> shut immediate
Database closed.
Database dismounted.
ORACLE instance shut down.

CLPROD> startup
ORACLE instance started.
Total System Global Area 16106127360 bytes
Fixed Size 35621984 bytes
Variable Size 1017607903 bytes
Database Buffers 534432665431 bytes
Redo Buffers 9817655 bytes
Database mounted.
Database opened.

RAC環境の場合:

srvctl status database -d CLPROD
srvctl stop database -d CLPROD
srvctl start database -d CLPROD

ステップ9:自動ログインの動作を検証する

データベース再起動後にキーストアが自動的にオープンされることを確認します。V$ENCRYPTION_WALLET のSTATUSが OPEN(自動ログインの場合は OPEN_NO_MASTER_KEY 以外)になっていることをチェックしてください。

ステップ10:CDBの一時表領域を再作成する

暗号化対応のため、CDB側の一時表領域(temp tablespace)を削除して再作成します。

ステップ11:すべてのコンテナ表領域に対してTDEを有効にする

CDB配下の各表領域に対して暗号化を適用していきます。

ステップ12:PDB(prod)の一時表領域を削除・再作成する

PDB側の一時表領域も同様に、削除して再作成します。

ステップ13:アプリケーションサービスを再起動する

暗号化の影響を反映させるため、接続中のアプリケーションサービスを再起動します。

ステップ14:表領域暗号化を開始する

a)VNC上のターミナルNo.1で以下のコマンドを実行する

監視用スクリプトなどを起動し、暗号化の進捗状況を確認できるようにします。

b)VNC上のターミナルNo.2で以下のコマンドを実行する

encrypt_prod_tspaces2.sql を編集・更新し、実行することで他の表領域の暗号化を開始します。

c)APPSUNDO表領域とSYSTEM表領域は最後に個別に処理する

APPSUNDO表領域およびSYSTEM表領域の暗号化は、必ず他のすべての表領域の暗号化が完全に完了した後に行ってください。

d)暗号化プロセスでエラーが発生した場合の対処法

暗号化プロセスがエラーで中断された場合は、以下のコマンドを使用して暗号化プロセスを再開する必要があります。

-- 失敗した暗号化を再開するコマンド
ALTER TABLESPACE <tablespace_name> ENCRYPTION ONLINE ENCRYPT;

まとめ:TDEによるセキュリティ強化のメリット

データを暗号化すると、許可されたユーザーやアプリケーションがアクセスする際に透過的に復号化されます。TDEは、ストレージメディアやデータファイルが盗難に遭った場合でも、メディア上に保存されたデータ(いわゆる「静止データ:Data at Rest」)を保護するのに役立ちます。

• データの安全性向上: 一部のツールはデフォルトでは暗号化を行わないため、TDEによる明示的な暗号化が重要です。
• データベース全体の暗号化: SYSTEM、SYSAUX、TEMP、UNDOといった内部データまで隠蔽できます。
• OMFが不要に: 表領域のオンライン暗号化を使用すれば、OMF(Oracle Managed Files)は必須ではなくなります。
• キーストアのクローズが可能: SYSTEM、SYSAUX、UNDOが暗号化されていても、キーストアを閉じることができます。

参考ドキュメント(MOS Note):2586100.1 / 2559570.1

ご意見やご質問がある場合は、フィードバックフォームからお気軽にお寄せください。また、私たちとの対話も歓迎します。