Tablespace'i TDE ile şifrele (yeni ve mevcut tablespace, online/offline)

Komut

-- On kosul: keystore OPEN ve master key set edilmis olmali (v$encryption_wallet.status = 'OPEN')

-- 1) Yeni sifreli tablespace:
CREATE TABLESPACE musteri_enc
  DATAFILE '+DATA' SIZE 1G AUTOEXTEND ON NEXT 256M MAXSIZE 20G
  ENCRYPTION USING 'AES256' ENCRYPT;

-- 2a) Mevcut tablespace'i ONLINE sifrele (12.2+, gecici olarak ek alan ister):
ALTER TABLESPACE musteri_data ENCRYPTION ONLINE USING 'AES256' ENCRYPT;
-- OMF degilse: ... ENCRYPT FILE_NAME_CONVERT = ('musteri_data01.dbf', 'musteri_data01_enc.dbf');

-- 2b) OFFLINE donusum (ek alan istemez, tablespace bu surede erisilemez):
ALTER TABLESPACE musteri_data OFFLINE NORMAL;
ALTER TABLESPACE musteri_data ENCRYPTION OFFLINE ENCRYPT;
ALTER TABLESPACE musteri_data ONLINE;

-- 3) Ilerleme ve durum:
SELECT t.name AS tablespace_name, e.encryptionalg, e.status, e.con_id
FROM   v$encrypted_tablespaces e
  JOIN v$tablespace t ON t.ts# = e.ts# AND t.con_id = e.con_id;
SELECT tablespace_name, encrypted FROM dba_tablespaces ORDER BY tablespace_name;

Ne yapar?

Tablespace şifrelemesi, datafile'lara yazılan tüm blokları şifreler; buffer cache'te veri açık olduğu için uygulama ve SQL'de değişiklik gerekmez. Online dönüşüm datafile'ın şifreli kopyasını oluşturup DML sürerken yerine geçirir; offline dönüşüm blokları yerinde şifreler.

Ne zaman kullanılır?

Hassas veri içeren uygulama tablespace'lerini at-rest şifrelemek, yeni şifreli tablespace'e veri taşımak, denetim bulgusunu kapatmak için.

Dikkat

On-prem'de Advanced Security opsiyonu (ek lisans) gerekir. Online dönüşüm, şifrelenen datafile boyutu kadar ek alan ve yoğun I/O-redo üretir; Data Guard'da standby da aynı işlemi yapar. Offline dönüşüm Data Guard standby'da ayrıca çalıştırılmalıdır. SYSTEM/SYSAUX/UNDO şifrelemesi 12.2+ online yapılabilir ama ek dikkat ister. Şifreli tablespace'in yedekleri keystore olmadan geri yüklenemez.