OCI测试数据库TDE文件夹冗余cwallet/ewallet文件成因及删除安全性咨询

冗余文件的常见成因 #

• 密钥轮换操作：每次执行ALTER SYSTEM SET ENCRYPTION KEY轮换TDE主密钥时，Oracle会生成带时间戳后缀的钱包版本文件（比如ewallet_202406011545.p12），旧版本会保留在钱包目录中。
• 钱包频繁操作：重启数据库、手动开关钱包、重新加密钱包这类操作，都可能触发额外的历史文件生成。
• OCI自动化任务：OCI的部分自动化管理任务（比如备份前的密钥校验、自动密钥轮换策略），会在后台生成临时或历史钱包文件。

冗余文件是否可安全删除？ #

完全可以，仅需保留cwallet.sso和ewallet.p12这两个当前活跃的主文件，其余带后缀的历史文件都能安全删除：

• 这两个主文件存储着数据库当前使用的最新加密密钥，历史文件仅用于兼容旧加密数据的回溯，测试环境中如果没有恢复旧备份的需求，留着没有实际作用。
• 完全符合Data Guard跨区域复制对钱包目录的要求。

删除前的必要准备 #

1. 确认钱包处于正常打开状态：

   SELECT status FROM v$encryption_wallet;
   

   输出应为OPEN（主库）或OPEN_NO_MASTER_KEY（备库）。
2. 将cwallet.sso和ewallet.p12备份到其他安全目录，防止误删主文件。

快速删除命令示例 #

# 获取钱包路径并进入目录
WALLET_DIR=$(cat $ORACLE_HOME/network/admin/sqlnet.ora | grep WALLET_LOCATION | grep -v "#" | awk -F'=' '{gsub(/[()"]/,"",$2); print $2}')
cd $WALLET_DIR
# 删除除主文件外的所有冗余文件
rm -f !(cwallet.sso|ewallet.p12)

后续预防建议 #

• 定期清理钱包目录，比如密钥轮换后顺手删除旧文件。
• 按需调整TDE密钥轮换频率，避免过于频繁的轮换生成大量历史文件。
• 检查OCI自动化任务配置，关闭不必要的钱包操作触发项。

内容的提问来源于stack exchange，提问作者elahren