一、 为什么我们需要 TDE？

在默认情况下，Oracle 数据库的数据文件、备份和导出文件都是 明文存储 的 。TDE 的核心价值在于：

• 静态数据加密 ：对磁盘文件、备份数据、导出数据进行加密 。

• 应用透明性 ：执行查询时，加密数据会自动为授权用户解密， 无需修改现有应用程序的 SQL 代码 。

• 权限隔离 ：防止操作系统用户或存储管理员未经授权直接通过文件系统访问敏感数据 。

二、 TDE 核心架构与密钥管理

TDE 采用双层加密架构，确保安全性与性能的平衡 ：

1. 数据加密密钥 (DEK) ：分为“表密钥”或“表空间密钥”，用于直接加密数据 。

2. 主加密密钥 (Master Key) ：用于加密上述数据密钥。主密钥存储在数据库外部的 Keystore （如软件钱包 Wallet）或 Oracle Key Vault (OKV) 中 。

3. 密钥轮换 ：重新键入（Re-key）主密钥是一个轻量级操作，仅需重新加密数据密钥， 无需数据库停机 。

三、 选型指南：表空间加密 vs. 列加密

在实战中，我们通常 强烈建议使用表空间加密 ：

四、 TDE 的演进亮点

• 12.2 版本 ：引入了 在线表空间加密 ，可以在不关闭数据库的情况下完成加密转换 。

• 18c/19c 版本 ：支持 PDB 隔离密钥库 ，并引入 WALLET_ROOT 参数取代传统的 sqlnet.ora 配置 。

• 21c 版本 ：进一步强化职责分离，Database Vault 规则可作用于密钥管理语句 。

五、 专家实战建议

1. 关于存储开销 ：表空间加密对存储影响极小，仅在每个数据文件增加一个数据块 。

2. 网络加密配合 ：TDE 仅保护静态数据。数据在网络传输时会解密为明文，因此必须配合 TLS 或原生网络加密 。

3. 注意“不归路” ：一旦在 ADG 环境中启用 TDE 并创建密钥，中途删除 Wallet 可能导致备库不可用或主库不稳定 。

   性能优化 ：建议适当设置 SGA 大小，并配合 Advanced Compression （高级压缩）使用，以获得更优的性能表现 。