oracle 19c的tde是运行时按需启用功能，需完成wallet_root配置、密钥库open、主密钥set及权限设置四步闭环；未open密钥库直接set key会报ora-28365。
Oracle 19c 的 TDE（Transparent Data Encryption）不是安装时“启用”的特性，而是数据库创建后、通过配置密钥库（wallet）和主密钥（master key）按需启用的运行时功能。安装过程本身不涉及 TDE 开关——它默认就存在，但完全不可用，直到你显式完成密钥库路径、权限、OPEN 状态和主密钥四步闭环。
WALLET_ROOT 必须在数据库启动前设为绝对路径并重启
Oracle 19c 废弃了 ENCRYPTION_WALLET_LOCATION，只认 WALLET_ROOT 参数。不设它，TDE 操作会 fallback 到不可靠的默认路径（如 $ORACLE_BASE/admin/$DB_UNIQUE_NAME/wallet），尤其在 CDB/PDB 或 RAC 下极易错位。
-
ALTER SYSTEM SET WALLET_ROOT='/u01/app/oracle/admin/ORCL/wallet' SCOPE=SPFILE;—— 路径必须是绝对路径，不能是软链或环境变量 - Oracle 用户对该目录需有读写权限：
chmod 700 /u01/app/oracle/admin/ORCL/wallet，属主为oracle:oinstall - 必须重启数据库才生效；验证用：
SHOW PARAMETER WALLET_ROOT和SELECT WRL_PARAMETER FROM V$ENCRYPTION_WALLET;，两者应一致 - 若仍为空，补上：
ALTER SYSTEM SET TDE_CONFIGURATION="KEYSTORE_CONFIGURATION=FILE" SCOPE=SPFILE;
ADMINISTER KEY MANAGEMENT OPEN 和 SET KEY 顺序不能颠倒
执行 CREATE KEYSTORE 只生成 ewallet.p12，wallet 状态仍是 CLOSED。此时直接 SET KEY 必报 ORA-28365: wallet is not open——这不是密码错误，是根本没打开密钥库。
- 先打开：
ADMINISTER KEY MANAGEMENT SET KEYSTORE OPEN IDENTIFIED BY "Oracle123"; - 再设主密钥：
ADMINISTER KEY MANAGEMENT SET KEY FORCE KEYSTORE IDENTIFIED BY "Oracle123" WITH BACKUP; - 生产环境推荐 auto-login：
ADMINISTER KEY MANAGEMENT CREATE AUTO_LOGIN KEYSTORE FROM KEYSTORE '/u01/app/oracle/admin/ORCL/wallet' IDENTIFIED BY "Oracle123";，会生成cwallet.sso，必须与ewallet.p12同目录、权限600 - 验证：
SELECT STATUS, WALLET_TYPE FROM V$ENCRYPTION_WALLET;—— 正常应为OPEN且WALLET_TYPE是AUTOLOGIN或PASSWORD
ALTER TABLESPACE ENCRYPTION 只对新写入数据块生效
TDE 表空间加密不是全量重写工具。执行 ALTER TABLESPACE users ENCRYPTION USING 'AES256' ENCRYPT; 后，V$ENCRYPTED_TABLESPACES 显示已启用，但老数据块仍是明文——这是设计行为，不是 bug。
- 仅后续
INSERT/UPDATE产生的新数据块自动加密 - 存量数据需手动重写：对大表可执行
ALTER TABLE t MOVE或DBMS_REDEFINITION，但会引发锁和 I/O 峰值 - 系统表空间（
SYSTEM、SYSAUX、UNDO、TEMP）不支持加密，会报ORA-44001 - 加密操作必须在对应容器中执行：CDB root 中设置密钥库后，PDB 需单独
ALTER SESSION SET CONTAINER=pdb1;再执行ALTER TABLESPACE
最容易被忽略的是：密钥库路径权限（chmod 700）、RAC 各节点 WALLET_ROOT 值一致性、以及 SET KEY 前未 OPEN 这个硬性顺序。哪怕所有命令都敲对了，只要 wallet 处于 CLOSED 状态，任何加密操作都会卡在 ORA-28365。
