ORA-28383: cannot do a PKI certificate-based Master Key migration ORACLE 报错 故障修复 远程处理

文档解释

ORA-28383: cannot do a PKI certificate-based Master Key migration

Cause: A PKI certificate-based Master Key migration was not allowed.

Action: Execute a symmetric Master Key migration.

ORA-28383是Oracle数据库密码加密管理中的一项错误消息，在使用PKI证书时，用户尝试进行主密钥迁移时可能会遇到这个错误。

官方解释

常见案例

– 用户尝试使用一个新的PKCS #12证书中的指纹进行迁移。

– 指纹不匹配，证书无效。

– 数据库中存在多个TDE Master Key证书指纹，并且无法匹配指定的证书指纹。

正常处理方法及步骤:

1. 使用SELECT USERENCRYPTED FROM V$DATABASE检查是否正在使用TDE加密。

2. 确保新的PKI证书是有效的。

3. 检查当前PKCS #12证书指纹是否与数据库中定义的PKCS #12证书指纹是否匹配。

4. 如果PKCS #12证书指纹正确，重新尝试进行主密钥迁移。

5. 如果PKCS #12证书指纹不正确，使用如下步骤将主密钥迁移：

a. 将TDE主密钥导出到本地，该TDE主密钥将被加密并存储在密码文件中。

b. 删除原有的PKCS #12证书，或删除原有的TDE主密钥，以及TDE Master Key。

c. 将新的PKI证书导入到数据库中。

d. 使用密码文件中的TDE主密钥从新的证书进行Master Key迁移。