# 数据加密最佳实践
#
# 1. 传输加密最佳实践
– 使用强加密算法：TLS 1.2或TLS 1.3
– 使用可信证书：从可信CA获取证书
– 定期更新证书：避免证书过期 学习交流加群风哥QQ113257174
– 配置证书验证：验证服务器和客户端证书
#
# 2. 存储加密最佳实践
– 使用强加密算法：AES-256
– 合理选择加密范围：只加密敏感数据
– 安全管理密钥：使用硬件安全模块（HSM）存储密钥
– 定期轮换密钥：减少密钥泄露风险
#
# 3. 备份加密最佳实践
– 对所有备份进行加密：包括全量备份和增量备份
– 使用强加密算法：AES-256
– 安全存储备份密钥：与备份数据分开存储
– 定期测试备份恢复：确保加密备份可恢复
#
# 4. 列级加密最佳实践
– 只加密敏感字段：如个人信息、财务数据
– 使用强加密算法：AES-256
– 合理使用索引：避免加密列影响查询性能
– 安全管理密钥：使用密钥管理系统
#
# 5. 密钥管理最佳实践
– 使用硬件安全模块（HSM）：提高密钥安全性
– 实施密钥轮换：定期更换密钥
– 备份密钥：确保密钥可恢复
– 限制密钥访问：只授权给必要人员
– 监控密钥使用：跟踪密钥访问情况
#
# 6. 性能优化最佳实践
– 合理配置加密参数：平衡安全和性能
– 使用硬件加速：利用CPU加密指令集
– 优化存储配置：使用SSD提高加密性能
– 合理设计表结构：减少加密对性能的影响
#
# 7. 监控与审计最佳实践
– 监控加密状态：确保加密正常工作
– 审计加密操作：记录加密相关操作
– 检测异常访问：发现可疑的加密数据访问
– 定期安全评估：评估加密安全性
#
# 8. 灾备与恢复最佳实践
– 备份加密配置：确保灾备系统有相同的加密配置
– 测试加密恢复：验证灾备系统的加密恢复能力
– 制定恢复计划：包括密钥丢失的恢复方案
– 定期演练：测试加密数据的恢复流程

# SSL/TLS配置
#
# 1. 生成SSL证书
##
# 生成私钥
$ openssl genrsa -out server.key 2048
##
# 生成证书签名请求（CSR）
$ openssl req -new -key server.key -out server.csr
##
# 自签名证书
$ openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
##
# 验证证书
$ openssl x509 -in server.crt -text -noout
#
# 2. 配置DM数据库SSL
##
# 创建SSL目录
$ mkdir -p /dm/app/ssl
$ cp server.key /dm/app/ssl/
$ cp server.crt /dm/app/ssl/
$ chmod 600 /dm/app/ssl/server.key
##
# 修改dm.ini配置文件
$ vi /dm/app/conf/dm.ini
SSL_PATH = /dm/app/ssl
SSL_CA = server.crt
SSL_CERT = server.crt
SSL_KEY = server.key
##
# 启用SSL
$ disql SYSDBA/SYSDBA
SQL> alter system set ‘SSL_ENABLE’ = 1 scope=spfile;
##
# 重启实例使参数生效
$ /dm/app/bin/DmServicefgedudb restart
#
# 3. 验证SSL配置
##
# 查看SSL配置
SQL> select * from v$parameter where name like ‘%SSL%’;
##
# 测试SSL连接
$ disql SYSDBA/SYSDBA@192.168.1.100:5236 SSL
##
# 查看连接状态
SQL> select * from v$session where user_name = ‘SYSDBA’;
#
# 4. 客户端SSL配置
##
# 复制证书到客户端
$ scp /dm/app/ssl/server.crt client:/dm/app/ssl/
##
# 配置客户端连接字符串 更多学习教程公众号风哥教程itpux_com
$ disql SYSDBA/SYSDBA@192.168.1.100:5236 SSL
##
# 配置应用程序连接
– JDBC连接字符串：jdbc:dm://192.168.1.100:5236?ssl=true&sslCA=/dm/app/ssl/server.crt
– ODBC连接：在odbc.ini中配置SSL参数
#
# 5. SSL监控与维护
##
# 监控SSL连接
SQL> select * from v$session where ssl_status = ‘Y’;
##
# 证书过期监控
– 定期检查证书过期时间
– 提前更新即将过期的证书
##
# SSL性能监控
– 监控SSL连接的响应时间
– 监控SSL连接的CPU使用率

# 传输加密性能优化
#
# 1. 硬件优化
##
# 使用支持SSL加速的硬件
– 选择支持AES-NI指令集的CPU
– 使用专用的SSL加速卡
##
# 网络优化
– 使用千兆或万兆网络
– 减少网络延迟
– 优化网络路由
#
# 2. 软件优化
##
# SSL配置优化
$ vi /dm/app/conf/dm.ini
SSL_CIPHERS = HIGH:!aNULL:!MD5
SSL_PROTOCOLS = TLSv1.2,TLSv1.3 from DB视频:www.itpux.com
##
# 连接池优化
– 配置合理的连接池大小
– 启用连接复用
– 减少连接建立频率
##
# 应用程序优化
– 使用批量操作减少网络往返
– 优化SQL语句减少数据传输量
– 使用压缩传输减少数据大小
#
# 3. 监控与调优
##
# 监控SSL性能
– 监控SSL连接数
– 监控SSL握手时间
– 监控SSL CPU使用率
##
# 调优参数
SQL> alter system set ‘SSL_BUFF_SIZE’ = 8192 scope=spfile;
SQL> alter system set ‘SSL_SESSION_CACHE_SIZE’ = 1024 scope=spfile;
##
# 重启实例使参数生效
$ /dm/app/bin/DmServicefgedudb restart
#
# 4. 最佳实践
##
# 使用会话复用
– 启用SSL会话复用
– 减少SSL握手开销
##
# 合理设置超时
– 设置适当的SSL会话超时
– 平衡安全性和性能
##
# 定期测试性能
– 定期测试SSL连接性能
– 及时发现和解决性能问题

# 透明数据加密（TDE）配置
#
# 1. 启用TDE
##
# 查看当前TDE配置
$ disql SYSDBA/SYSDBA
SQL> select * from v$parameter where name = ‘ENCRYPT’;
##
# 启用TDE
SQL> alter system set ‘ENCRYPT’ = 1 scope=spfile;
##
# 重启实例使参数生效
$ /dm/app/bin/DmServicefgedudb restart
#
# 2. 创建加密表空间
##
# 创建加密表空间
SQL> create tablespace fgedu_encrypt_tbs datafile ‘/dm/fgdata/fgedudb/fgedu_encrypt_tbs01.dbf’ size 10G encryption using ‘AES_256’ identified by “Encrypt123”;
##
# 查看表空间加密状态
SQL> select tablespace_name, encryption from dba_tablespaces where tablespace_name = ‘FGEDU_ENCRYPT_TBS’;
#
# 3. 创建加密表
##
# 在加密表空间创建表
SQL> create table fgedu.t_encrypt (id int, name varchar(50), salary number) tablespace fgedu_encrypt_tbs;
##
# 创建加密表（指定加密算法）
SQL> create table fgedu.t_encrypt2 (id int, name varchar(50), salary number) encryption using ‘AES_256’ identified by “Encrypt123”;
##
# 查看表加密状态
SQL> select table_name, tablespace_name from dba_tables where table_name like ‘T_ENCRYPT%’;
#
# 4. 加密现有表
##
# 移动表到加密表空间
SQL> alter table fgedu.t_user move tablespace fgedu_encrypt_tbs;
##
# 重建索引
SQL> alter index fgedu.pk_t_user rebuild;
#
# 5. TDE密钥管理
##
# 查看TDE密钥状态
SQL> select * from v$encrypt_info;
##
# 备份TDE密钥
SQL> backup encrypt key to ‘/dm/backup/encrypt_key.bak’ identified by “Encrypt123”;
##
# 恢复TDE密钥
SQL> restore encrypt key from ‘/dm/backup/encrypt_key.bak’ identified by “Encrypt123”;
#
# 6. TDE监控与维护
##
# 监控加密表空间使用情况
SQL> select tablespace_name, sum(bytes)/1024/1024 as used_mb from dba_data_files group by tablespace_name;
##
# 监控加密表性能
– 监控加密表的查询性能
– 监控加密表的DML性能
##
# 维护加密表空间
– 定期扩展加密表空间
– 定期检查加密表空间碎片
#
# 7. TDE最佳实践
##
# 加密范围选择
– 只加密敏感数据
– 避免加密不敏感数据影响性能
##
# 密钥管理
– 使用强密钥
– 定期轮换密钥
– 安全备份密钥
##
# 性能优化
– 使用SSD存储加密数据
– 合理设置缓存大小
– 优化SQL语句

# 列级加密配置
#
# 1. 列级加密函数
##
# 加密函数
– ENCRYPT：加密数据
– DECRYPT：解密数据
– HASH：哈希函数
#
# 2. 创建加密列
##
# 创建表时指定加密列
$ disql SYSDBA/SYSDBA
SQL> create table fgedu.t_user (
id int primary key,
name varchar(50),
password varchar(100) encrypt using ‘AES_256’ identified by “Encrypt123”,
email varchar(100) encrypt using ‘AES_256’ identified by “Encrypt123”
);
##
# 修改表添加加密列
SQL> alter table fgedu.t_user add (phone varchar(20) encrypt using ‘AES_256’ identified by “Encrypt123”);
#
# 3. 使用加密列
##
# 插入数据
SQL> insert into fgedu.t_user values (1, ‘张三’, ‘password123’, ‘zhangsan@fgedu.net.cn’, ‘13800138000’);
##
# 查询数据
SQL> select id, name, decrypt(password using ‘AES_256’ identified by “Encrypt123”), decrypt(email using ‘AES_256’ identified by “Encrypt123”), decrypt(phone using ‘AES_256’ identified by “Encrypt123”) from fgedu.t_user;
##
# 更新数据
SQL> update fgedu.t_user set password = encrypt(‘newpassword123’ using ‘AES_256’ identified by “Encrypt123”) where id = 1;
#
# 4. 列级加密性能优化
##
# 索引优化
– 避免在加密列上创建索引
– 使用函数索引（如果必要）
##
# 查询优化
– 减少对加密列的查询
– 使用绑定变量减少加密/解密开销
##
# 存储优化
– 加密数据会增加存储开销
– 合理设计表结构减少存储开销
#
# 5. 列级加密最佳实践
##
# 加密范围选择
– 只加密敏感字段
– 避免加密频繁查询的字段
##
# 密钥管理
– 使用强密钥
– 定期轮换密钥
– 安全管理密钥
##
# 性能考虑
– 评估加密对性能的影响
– 平衡安全和性能
##
# 应用程序设计
– 在应用程序中处理加密/解密
– 避免在SQL中频繁使用加密/解密函数

# 密钥生成与存储
#
# 1. 密钥生成
##
# 自动生成密钥
– DM数据库自动生成TDE主密钥
– 使用随机数生成器确保密钥安全性
##
# 手动生成密钥
– 使用openssl生成密钥
$ openssl rand -hex 32 > key.txt
#
# 2. 密钥存储
##
# 文件系统存储
– 存储在安全的文件系统中
– 设置严格的文件权限
$ chmod 600 /dm/app/ssl/server.key
##
# 硬件安全模块（HSM）存储
– 使用HSM存储密钥
– 提高密钥安全性
– 防止密钥被窃取
##
# 密钥库存储
– 使用PKCS#12或JKS密钥库
– 密码保护密钥库
#
# 3. 密钥备份
##
# 备份TDE密钥
$ disql SYSDBA/SYSDBA
SQL> backup encrypt key to ‘/dm/backup/encrypt_key.bak’ identified by “Encrypt123”;
##
# 备份SSL证书和密钥
$ cp /dm/app/ssl/server.key /dm/backup/
$ cp /dm/app/ssl/server.crt /dm/backup/
##
# 备份密钥库
$ cp /dm/app/ssl/keystore.p12 /dm/backup/
#
# 4. 密钥恢复
##
# 恢复TDE密钥
SQL> restore encrypt key from ‘/dm/backup/encrypt_key.bak’ identified by “Encrypt123”;
##
# 恢复SSL证书和密钥
$ cp /dm/backup/server.key /dm/app/ssl/
$ cp /dm/backup/server.crt /dm/app/ssl/
##
# 恢复密钥库
$ cp /dm/backup/keystore.p12 /dm/app/ssl/
#
# 5. 密钥存储最佳实践
##
# 物理安全
– 存储在安全的物理位置
– 限制访问权限
– 使用加密存储设备
##
# 逻辑安全
– 使用强密码保护密钥
– 定期检查密钥存储状态
– 监控密钥访问情况
##
# 灾备考虑
– 在异地存储密钥备份
– 建立密钥恢复流程
– 定期测试密钥恢复

# 密钥轮换与更新
#
# 1. 密钥轮换策略
##
# 轮换频率
– TDE主密钥：每6-12个月轮换一次
– SSL证书：每1-2年轮换一次
– 应用密钥：每3-6个月轮换一次
##
# 轮换流程
– 准备新密钥
– 测试新密钥
– 切换到新密钥
– 验证新密钥
– 废弃旧密钥
#
# 2. TDE密钥轮换
##
# 生成新TDE密钥
$ disql SYSDBA/SYSDBA
SQL> alter system set ‘ENCRYPT_KEY’ = ‘newkey’ scope=spfile;
##
# 重启实例使新密钥生效
$ /dm/app/bin/DmServicefgedudb restart
##
# 重新加密数据
– 对于表空间加密：需要重建表空间
– 对于表级加密：需要重建表
##
# 备份新密钥
SQL> backup encrypt key to ‘/dm/backup/encrypt_key_new.bak’ identified by “Encrypt123”;
#
# 3. SSL证书轮换
##
# 生成新SSL证书
$ openssl genrsa -out server_new.key 2048
$ openssl req -new -key server_new.key -out server_new.csr
$ openssl x509 -req -days 365 -in server_new.csr -signkey server_new.key -out server_new.crt
##
# 替换SSL证书
$ cp server_new.key /dm/app/ssl/server.key
$ cp server_new.crt /dm/app/ssl/server.crt
##
# 重启实例使新证书生效
$ /dm/app/bin/DmServicefgedudb restart
##
# 验证新证书
$ disql SYSDBA/SYSDBA@192.168.1.100:5236 SSL
#
# 4. 密钥轮换最佳实践
##
# 计划与准备
– 制定详细的轮换计划
– 准备回滚方案
– 通知相关人员
##
# 测试
– 在测试环境中测试轮换流程
– 验证数据可访问性
– 验证性能影响
##
# 执行
– 在维护窗口执行轮换
– 监控轮换过程
– 及时处理异常
##
# 验证
– 验证所有系统正常运行
– 验证数据加密状态
– 验证备份可恢复性
##
# 文档
– 更新密钥管理文档
– 记录轮换过程和结果
– 存储新密钥信息

#
# 传输加密案例
##
# 场景描述
某企业需要为DM数据库配置传输加密，确保客户端与服务器之间的数据传输安全。
##
# 实施步骤
# 1. 准备工作
#
# 环境检查
$ uname -a
Linux fgedu.net.cn 5.14.0-284.11.1.el9_2.x86_64 #1 SMP PREEMPT_DYNAMIC Wed Apr 12 10:12:16 EDT 2023 x86_64 x86_64 x86_64 GNU/Linux
#
# 安装OpenSSL
$ yum install openssl -y
# 2. 生成SSL证书
#
# 生成私钥
$ openssl genrsa -out server.key 2048
#
# 生成证书签名请求（CSR）
$ openssl req -new -key server.key -out server.csr
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:Beijing
Locality Name (eg, city) [Default City]:Beijing
Organization Name (eg, company) [Default Company Ltd]:FGEDU
Organizational Unit Name (eg, section) []:IT
Common Name (eg, your name or your server’s hostname) []:fgedu.net.cn
Email Address []:admin@fgedu.net.cn
#
# 自签名证书
$ openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
#
# 验证证书
$ openssl x509 -in server.crt -text -noout
# 3. 配置DM数据库SSL
#
# 创建SSL目录
$ mkdir -p /dm/app/ssl
$ cp server.key /dm/app/ssl/
$ cp server.crt /dm/app/ssl/
$ chmod 600 /dm/app/ssl/server.key
#
# 修改dm.ini配置文件
$ vi /dm/app/conf/dm.ini
SSL_PATH = /dm/app/ssl
SSL_CA = server.crt
SSL_CERT = server.crt
SSL_KEY = server.key
#
# 启用SSL
$ disql SYSDBA/SYSDBA
SQL> alter system set ‘SSL_ENABLE’ = 1 scope=spfile;
#
# 重启实例使参数生效
$ /dm/app/bin/DmServicefgedudb restart
# 4. 验证SSL配置
#
# 查看SSL配置
SQL> select * from v$parameter where name like ‘%SSL%’;
#
# 测试SSL连接
$ disql SYSDBA/SYSDBA@192.168.1.100:5236 SSL
#
# 查看连接状态
SQL> select * from v$session where user_name = ‘SYSDBA’;
# 5. 客户端配置
#
# 复制证书到客户端
$ scp /dm/app/ssl/server.crt client:/dm/app/ssl/
#
# 配置客户端连接
$ disql SYSDBA/SYSDBA@192.168.1.100:5236 SSL
#
# 配置应用程序连接
– JDBC连接字符串：jdbc:dm://192.168.1.100:5236?ssl=true&sslCA=/dm/app/ssl/server.crt
– ODBC连接：在odbc.ini中配置SSL参数
# 6. 性能测试
#
# 测试SSL连接性能
$ time disql SYSDBA/SYSDBA@192.168.1.100:5236 SSL << EOF select count(*) from fgedu.t_user; EOF # # 测试非SSL连接性能 $ time disql SYSDBA/SYSDBA@192.168.1.100:5236 << EOF select count(*) from fgedu.t_user; EOF # 7. 监控与维护 # # 监控SSL连接 SQL> select count(*) from v$session where ssl_status = ‘Y’;
#
# 证书过期监控
$ openssl x509 -in /dm/app/ssl/server.crt -dates -noout
#
# SSL性能监控
– 监控SSL连接的响应时间
– 监控SSL连接的CPU使用率
# 8. 效果评估
#
# 安全性
– 传输数据已加密
– 防止数据窃听和篡改
– 满足合规要求
#
# 性能
– SSL连接性能影响可接受
– 响应时间增加不超过10%
– CPU使用率增加不超过5%
#
# 可靠性
– SSL配置正常
– 连接稳定
– 故障处理及时

#
# 存储加密案例
##
# 场景描述
某企业需要为DM数据库配置存储加密，保护敏感数据的安全。
##
# 实施步骤
# 1. 准备工作
#
# 环境检查
$ uname -a
Linux fgedu.net.cn 5.14.0-284.11.1.el9_2.x86_64 #1 SMP PREEMPT_DYNAMIC Wed Apr 12 10:12:16 EDT 2023 x86_64 x86_64 x86_64 GNU/Linux
#
# 数据库状态检查
$ disql SYSDBA/SYSDBA
SQL> select status from v$instance;
# 2. 启用TDE
#
# 查看当前TDE配置
SQL> select * from v$parameter where name = ‘ENCRYPT’;
#
# 启用TDE
SQL> alter system set ‘ENCRYPT’ = 1 scope=spfile;
#
# 重启实例使参数生效
$ /dm/app/bin/DmServicefgedudb restart
# 3. 创建加密表空间
#
# 创建加密表空间
SQL> create tablespace fgedu_encrypt_tbs datafile ‘/dm/fgdata/fgedudb/fgedu_encrypt_tbs01.dbf’ size 10G encryption using ‘AES_256’ identified by “Encrypt123”;
#
# 查看表空间加密状态
SQL> select tablespace_name, encryption from dba_tablespaces where tablespace_name = ‘FGEDU_ENCRYPT_TBS’;
# 4. 创建加密表
#
# 创建加密表
SQL> create table fgedu.t_employee (
id int primary key,
name varchar(50),
id_card varchar(18) encrypt using ‘AES_256’ identified by “Encrypt123”,
salary number encrypt using ‘AES_256’ identified by “Encrypt123”,
bank_account varchar(30) encrypt using ‘AES_256’ identified by “Encrypt123”
) tablespace fgedu_encrypt_tbs;
#
# 插入测试数据
SQL> insert into fgedu.t_employee values (1, ‘张三’, ‘110101199001011234’, 10000, ‘6222021234567890123’);
SQL> insert into fgedu.t_employee values (2, ‘李四’, ‘110101199001011235’, 15000, ‘6222021234567890124’);
SQL> commit;
#
# 查询测试数据
SQL> select id, name, id_card, salary, bank_account from fgedu.t_employee;
# 5. 加密现有表
#
# 创建现有表
SQL> create table fgedu.t_customer (
id int primary key,
name varchar(50),
phone varchar(20),
address varchar(100),
credit_card varchar(16)
);
#
# 插入测试数据
SQL> insert into fgedu.t_customer values (1, ‘王五’, ‘13800138000’, ‘北京市朝阳区’, ‘1234567890123456’);
SQL> commit;
#
# 移动表到加密表空间
SQL> alter table fgedu.t_customer move tablespace fgedu_encrypt_tbs;
#
# 重建索引
SQL> alter index fgedu.pk_t_customer rebuild;
# 6. TDE密钥管理
#
# 备份TDE密钥
SQL> backup encrypt key to ‘/dm/backup/encrypt_key.bak’ identified by “Encrypt123”;
#
# 查看TDE密钥状态
SQL> select * from v$encrypt_info;
# 7. 性能测试
#
# 测试加密表查询性能
$ time disql SYSDBA/SYSDBA << EOF select * from fgedu.t_employee; EOF # # 测试非加密表查询性能 $ time disql SYSDBA/SYSDBA << EOF select * from fgedu.t_customer; EOF # 8. 监控与维护 # # 监控加密表空间使用情况 SQL> select tablespace_name, sum(bytes)/1024/1024 as used_mb from dba_data_files group by tablespace_name;
#
# 监控加密表性能
– 监控加密表的查询性能
– 监控加密表的DML性能
#
# 维护加密表空间
SQL> alter tablespace fgedu_encrypt_tbs add datafile ‘/dm/fgdata/fgedudb/fgedu_encrypt_tbs02.dbf’ size 10G;
# 9. 效果评估
#
# 安全性
– 敏感数据已加密
– 防止存储介质被窃取导致数据泄露
– 满足合规要求
#
# 性能
– 加密表性能影响可接受
– 查询性能下降不超过15%
– DML性能下降不超过10%
#
# 可靠性
– TDE配置正常
– 数据可正常访问
– 备份可正常恢复

#
# 密钥管理案例
##
# 场景描述
某企业需要为DM数据库实施密钥管理，确保加密密钥的安全性和可用性。
##
# 实施步骤
# 1. 准备工作
#
# 环境检查
$ uname -a
Linux fgedu.net.cn 5.14.0-284.11.1.el9_2.x86_64 #1 SMP PREEMPT_DYNAMIC Wed Apr 12 10:12:16 EDT 2023 x86_64 x86_64 x86_64 GNU/Linux
#
# 密钥存储目录准备
$ mkdir -p /dm/keys
$ chmod 700 /dm/keys
# 2. 密钥生成
#
# 生成SSL密钥和证书
$ openssl genrsa -out /dm/keys/server.key 2048
$ openssl req -new -key /dm/keys/server.key -out /dm/keys/server.csr
$ openssl x509 -req -days 365 -in /dm/keys/server.csr -signkey /dm/keys/server.key -out /dm/keys/server.crt
#
# 生成TDE密钥（自动）
$ disql SYSDBA/SYSDBA
SQL> alter system set ‘ENCRYPT’ = 1 scope=spfile;
$ /dm/app/bin/DmServicefgedudb restart
# 3. 密钥存储
#
# SSL密钥存储
$ cp /dm/keys/server.key /dm/app/ssl/
$ cp /dm/keys/server.crt /dm/app/ssl/
$ chmod 600 /dm/app/ssl/server.key
#
# TDE密钥存储
– DM数据库自动存储TDE密钥
– 定期备份TDE密钥
# 4. 密钥备份
#
# 备份SSL密钥和证书
$ mkdir -p /dm/backup/keys
$ cp /dm/keys/server.key /dm/backup/keys/
$ cp /dm/keys/server.crt /dm/backup/keys/
$ chmod 600 /dm/backup/keys/server.key
#
# 备份TDE密钥
SQL> backup encrypt key to ‘/dm/backup/keys/encrypt_key.bak’ identified by “Encrypt123”;
#
# 异地备份
$ scp -r /dm/backup/keys/ remote:/dm/backup/keys/
# 5. 密钥轮换
#
# SSL证书轮换
##
# 生成新SSL证书
$ openssl genrsa -out /dm/keys/server_new.key 2048
$ openssl req -new -key /dm/keys/server_new.key -out /dm/keys/server_new.csr
$ openssl x509 -req -days 365 -in /dm/keys/server_new.csr -signkey /dm/keys/server_new.key -out /dm/keys/server_new.crt
##
# 替换SSL证书
$ cp /dm/keys/server_new.key /dm/app/ssl/server.key
$ cp /dm/keys/server_new.crt /dm/app/ssl/server.crt
##
# 重启实例使新证书生效
$ /dm/app/bin/DmServicefgedudb restart
#
# TDE密钥轮换
##
# 生成新TDE密钥
SQL> alter system set ‘ENCRYPT_KEY’ = ‘newkey’ scope=spfile;
##
# 重启实例使新密钥生效
$ /dm/app/bin/DmServicefgedudb restart
##
# 备份新TDE密钥
SQL> backup encrypt key to ‘/dm/backup/keys/encrypt_key_new.bak’ identified by “Encrypt123”;
# 6. 密钥恢复
#
# SSL证书恢复
$ cp /dm/backup/keys/server.key /dm/app/ssl/
$ cp /dm/backup/keys/server.crt /dm/app/ssl/
$ /dm/app/bin/DmServicefgedudb restart
#
# TDE密钥恢复
SQL> restore encrypt key from ‘/dm/backup/keys/encrypt_key.bak’ identified by “Encrypt123”;
# 7. 密钥监控与审计
#
# 监控密钥状态
– 监控SSL证书过期时间
– 监控TDE密钥状态
#
# 审计密钥操作
– 启用密钥操作审计
– 记录密钥轮换和备份操作
#
# 定期检查
– 定期检查密钥存储状态
– 定期测试密钥恢复流程
# 8. 效果评估
#
# 安全性
– 密钥存储安全
– 密钥备份完整
– 密钥轮换及时
#
# 可靠性
– 密钥可正常使用
– 密钥可正常恢复
– 密钥操作可审计
#
# 合规性
– 满足行业合规要求
– 满足法规要求
– 符合安全最佳实践