自治数据库（Autonomous Database）wallet过期处理问题咨询

是否可以规避Wallet中SSL证书过期？ #

不可以。SSL证书的有效期是证书签发机构（CA）在签发时就明确写入证书内容的固定属性，是PKI安全体系的基础规则之一，不存在合法的规避方法。任何试图绕过有效期校验的操作都会带来严重的安全风险，同时会导致依赖该证书的TLS连接、双向身份认证等业务功能直接失效。 #

官方推荐的SSL证书及过期管理方案 #

• 提前开展有效期监控：定期使用orapki工具查询钱包内证书状态，推荐执行命令orapki wallet display -wallet <你的钱包目录路径> -summary可快速获取所有证书的有效期信息，建议设置提前30~90天的过期告警规则，预留充足的证书更新时间。
• 规范证书更新操作：到期前提前向信任的CA机构申请新的证书，按照官方流程完成钱包内证书替换：
  1. 首先导入新的根/中间级可信CA证书：orapki wallet add -wallet <你的钱包目录路径> -trusted_cert -cert <CA证书文件路径>
  2. 再导入新的业务用户证书及对应私钥：orapki wallet add -wallet <你的钱包目录路径> -user_cert -cert <业务证书文件路径>
  3. 替换完成后执行命令orapki wallet display -wallet <你的钱包目录路径>验证新证书的有效期、信任链状态正常，再重启所有加载该钱包的业务服务即可完成更新。
• 自签名证书场景管理：如果使用自签名证书，建议根据业务安全要求合理设置有效期，内部使用场景推荐设置1~2年有效期，禁止设置过长有效期带来不可控的安全风险，同时单独建立自签名证书台账，统一记录有效期、使用场景等信息。
• 大规模部署自动化管理：如果存在多节点、多钱包的部署场景，推荐对接企业内部PKI系统和证书生命周期管理平台，实现证书自动巡检、自动申请、自动替换的全流程自动化，减少人工操作疏漏导致的证书过期故障。

内容的提问来源于stack exchange，提问作者Nilay Panchal