Oracle TDE 加密既有資料欄位實戰：限制評估、效能基線、停機優化、虛副本清除、金鑰輪換全攻略

前言

對「新表新欄」啟用 TDE 極簡單，但對「既有百萬列資料的敏感欄位」加密，涉及索引限制、效能衝擊、停機時間、未加密虛副本殘留、金鑰輪換預案、查詢計劃變更等複雜議題。本文以真實諮詢案例 (百萬筆交易表加密信用卡號) 為藍本，系統記錄完整評估與實施流程。

一、限制評估：索引與完整性約束

二、效能基線測試：沙箱環境量化加密開銷

測試腳本核心邏輯 (List 1 概念)

-- 1. 建立測試表、索引、載入 50 萬筆模擬資料 (明文)
-- 2. 計時載入相同資料 (明文) → Baseline: 56.14 秒
-- 3. ALTER TABLE ... MODIFY (col ENCRYPT NO SALT)
-- 4. 清空表、重新載入相同資料 (加密) → Encrypted: 76.31 秒
-- 5. 開銷 = (76.31-56.14)/56.14 ≈ 36% (沙箱環境)
-- 6. 生產環境實測約 11% (硬體差異、併發、快取等因素)

關鍵洞見：務必在與生產相同硬體/資料量的沙箱測試，筆記本測試 (5 分鐘) 嚴重低估生產 (70 分鐘) 開銷。

三、停機時間優化：索引先刪後重建策略

對比測試 (List 2)

實施腳本

-- 1. 刪除目標欄位相關索引
DROP INDEX transactions_ndx1;

-- 2. 確保欄位為明文 (若已加密先解密)
ALTER TABLE transactions MODIFY (credit_card DECRYPT);

-- 3. 載入最新資料 (或確認現有資料為明文)

-- 4. 加密欄位 (無索引開銷)
ALTER TABLE transactions MODIFY (credit_card ENCRYPT NO SALT);

-- 5. 重建索引 (平行、無日誌)
CREATE INDEX transactions_ndx1 ON transactions(credit_card)
TABLESPACE indx_002 PARALLEL 2 NOLOGGING;

-- 6. 收集統計資訊
EXEC DBMS_STATS.GATHER_TABLE_STATS('APP_001', 'TRANSACTIONS');

四、清除未加密虛副本 (合規審計硬性要求)

Oracle 加密時將新密文寫入新區塊，舊明文區塊僅標記為可重用，**實體明文殘留於磁碟**。合規審計要求立即銷毀。

自動化腳本策略 (List 3 核心邏輯)

1. 建立新表空間 DATA_002, INDX_002。
2. 生成 ALTER TABLE ... MOVE TABLESPACE data_002、ALTER INDEX ... REBUILD TABLESPACE indx_002 腳本 (含所有受影響 Segment)。
3. 執行遷移腳本，驗證無 UNUSABLE 索引。
4. 收集統計資訊。
5. 確認舊表空間 DATA_001, INDX_001 無殘留 Segment、無用戶預設指向。
6. 修改用戶預設表空間指向新表空間。
7. DROP TABLESPACE ... INCLUDING CONTENTS KEEP DATAFILES 保留資料檔。
8. OS 層級安全銷毀資料檔：shred -n 200 -z -u /path/to/datafile.dbf (Linux/Unix)。

WHERE credit_card = 3485458104610650
-- Plan: INDEX RANGE SCAN (加密前後一致)

WHERE credit_card BETWEEN 3499990000000000 AND 3499999999999999
-- 明文: INDEX RANGE SCAN
-- 加密: TABLE ACCESS FULL (Filter: INTERNAL_FUNCTION)
-- 原因: 加密破壞順序性，B-tree 範圍掃描無意義