初めてTDEの設定をしてみたので、忘れないように手順をアウトプットしておきます。
はじめに
「データベースに格納するデータを暗号化する」方式はいくつかあり、どのタイミングで暗号化するかの観点で大きく3つに分けられます。
- アプリケーションで暗号化してからデータベースに格納
- データベースの暗号化機能を利用 ← この記事で扱う内容
- ストレージの暗号化機能を利用
今日はデータベース暗号化機能、Oracle Databaseにおける透過的データ暗号化（TDE）の手順を書いていきます。
透過的データ暗号化（TDE）とは
特徴
- アプリケーションからは透過的にデータの暗号化・復号することでき、既存のアプリケーション (SQL)を改修する必要ない
- Oracle Databaseのデータファイルやバックアップファイルの物理的な盗難リスクに対して安全にデータを保護
より詳細な説明が欲しい方はAdvanced Securityガイドをご確認下さい
環境
Oracle Linux8
Oracle Database19
※PDB構成の場合は、以下の2つのマスター暗号鍵の管理方法が有りますが、今回は統一モードで実施していきます。
-
統一モード：CDBで作成した１つのキーストアー内にPDBそれぞれのマスター暗号鍵が格納される
-
分離モード：PDBごとに専用のキーストアを作成し、マスター暗号鍵を格納する
手順
CDBでキーストアとマスター暗号鍵した後に、PDBでCDBをのキーストアをオープンして、PDBのマスター暗号鍵を作成する流れになります。
①walletディレクトリを作成
-
$ORACLE_BASE/admin/<SID>/walletを作成,確認
[oracle@devdays-23c ~]$ mkdir -p $ORACLE_BASE/admin/FREE/wallet
[oracle@devdays-23c ~]$ cd /opt/oracle/admin
[oracle@devdays-23c admin]$ ls
FREE
[oracle@devdays-23c admin]$ cd FREE/
[oracle@devdays-23c FREE]$ ls
dpdump pfile wallet xdb_wallet
ちなみに、SIDの値がわからない場合は以下のように確認ができる
[oracle@devdays-23c ~]$ sqlplus / as sysdba
SQL*Plus: Release 23.0.0.0.0 - Production on Fri Apr 12 00:26:38 2024
Version 23.3.0.23.09
Copyright (c) 1982, 2023, Oracle. All rights reserved.
Connected to:
Oracle Database 23c Free Release 23.0.0.0.0 - Develop, Learn, and Run for Free
Version 23.3.0.23.09
SQL> SELECT host_name, instance_name FROM v$instance;
HOST_NAME
----------------------------------------------------------------
INSTANCE_NAME
----------------
devdays-23c
FREE
②初期化パラメータファイルのWALLET_ROOTを指定
-
ALTER SYSTEM SET WALLET_ROOT="$ORACLE_BASE/admin/<SID>/wallet" SCOPE=spfile
を実行する
[oracle@devdays-23c ~]$ sqlplus / as sysdba
SQL*Plus: Release 23.0.0.0.0 - Production on Fri Apr 12 00:32:13 2024
Version 23.3.0.23.09
Copyright (c) 1982, 2023, Oracle. All rights reserved.
Connected to:
Oracle Database 23c Free Release 23.0.0.0.0 - Develop, Learn, and Run for Free
Version 23.3.0.23.09
SQL> ALTER SYSTEM SET WALLET_ROOT="$ORACLE_BASE/admin/FREE/wallet" SCOPE=spfile;
System altered.
③Databaseの再起動
SQL> shutdown immediate
Database closed.
Database dismounted.
ORACLE instance shut down.
SQL> startup
ORACLE instance started.
Total System Global Area 1603679416 bytes
Fixed Size 5313720 bytes
Variable Size 436207616 bytes
Database Buffers 1157627904 bytes
Redo Buffers 4530176 bytes
Database mounted.
Database opened.
④初期化パラメータファイルのKEYSTORE_CONFIGURATION を指定
-
ALTER SYSTEM SET TDE_CONFIGURATION="KEYSTORE_CONFIGURATION=FILE" SCOPE=both
を実行する
SQL> ALTER SYSTEM SET TDE_CONFIGURATION="KEYSTORE_CONFIGURATION=FILE" SCOPE=both;
System altered.
⑤CDBにキーストアとマスター暗号鍵を作成
-
ADMINISTER KEY MANAGEMENT CREATE KEYSTORE IDENTIFIED BY “<パスワード>”を実行 -
ADMINISTER KEY MANAGEMENT SET KEYSTORE OPEN IDENTIFIED BY “<パスワード>”を実行 -
ADMINISTER KEY MANAGEMENT SET KEY USING TAG 'TDE KEY' IDENTIFIED BY “<パスワード>” WITH BACKUPを実行
SQL> ADMINISTER KEY MANAGEMENT CREATE KEYSTORE IDENTIFIED BY “WelCome123#123#”;
keystore altered.
SQL> ADMINISTER KEY MANAGEMENT SET KEYSTORE OPEN IDENTIFIED BY “WelCome123#123#”;
keystore altered.
SQL> ADMINISTER KEY MANAGEMENT SET KEY USING TAG 'TDE KEY' IDENTIFIED BY “WelCome123#123#” WITH BACKUP;
keystore altered.
SQL>
作成したキーストアを確認
$ORACLE_BASE/admin/<SID>/wallet/tde内にewallet.p12というキーストアが作成される
⑥PDBにログイン
SQL> alter session set container = FREEPDB1 ;
Session altered.
SQL> show con_name
CON_NAME
------------------------------
FREEPDB1
⑦CDBのキーストアをオープンして、PDBのマスター暗号鍵を作成PDBにログイン
-
ADMINISTER KEY MANAGEMENT SET KEYSTORE OPEN IDENTIFIED BY “<パスワード>” WITH BACKUPを実行 -
ADMINISTER KEY MANAGEMENT SET KEY USING TAG 'TDE KEY' IDENTIFIED BY “<パスワード>” WITH BACKUPを実行
SQL> ADMINISTER KEY MANAGEMENT SET KEYSTORE OPEN IDENTIFIED BY "WelCome123#123#";
keystore altered.
SQL> ADMINISTER KEY MANAGEMENT SET KEY USING TAG 'TDE KEY' IDENTIFIED BY "WelCome123#123#" WITH BACKUP;
keystore altered.
⑧自動ログイン・キーストアの作成
(※この設定をしないとデータベース起動時に毎回キーストアを手動でOPENしなければならない)
SQL> ADMINISTER KEY MANAGEMENT CREATE AUTO_LOGIN KEYSTORE FROM KEYSTORE IDENTIFIED BY "WelCome123#123#";
keystore altered.
※作成が完了すると、$ORACLE_BASE/admin/<SID>/wallet/tdeにcwallet.ssoという自動ログイン・キーストアが作成される
以上で、暗号化できました。実際にデータファイルをstringsコマンドで叩いてみると暗号化されているのが確認できます。
ありがとうございました。