ORA-28361: Como Resolver Falha de Backup em PDB Migrado para Oracle Cloud DBCS

A migração do PDB foi concluída. O ambiente está no ar. Mas na primeira janela de backup, o DBCS retorna:

ORA-28361: master key not yet set

Esse erro é silencioso durante a migração — o PDB sobe, parece funcionar, mas fica com status OPEN_NO_MASTER_KEY. E nesse estado, operações críticas como backup simplesmente falham.

Por que esse erro acontece

Quando um PDB é migrado de um ambiente on-premise sem TDE habilitado para o Oracle Cloud DBCS, ele chega ao destino sem uma master encryption key configurada.

O DBCS exige TDE ativo por padrão. Sem a master key, o PDB fica em estado OPEN_NO_MASTER_KEY, que bloqueia operações dependentes de criptografia, incluindo backup.

O banco funciona para consultas e DML normais — por isso o problema passa despercebido até o primeiro backup falhar.

O que é TDE e por que o DBCS depende dele

O Transparent Data Encryption (TDE) criptografa dados sensíveis armazenados em tabelas e tablespaces — protegendo os dados em repouso (data at rest).

O funcionamento é transparente: dados são descriptografados automaticamente na leitura. Para quem acessa os datafiles diretamente no SO — os dados permanecem ilegíveis.

No DBCS: O Oracle Database protege dados via autenticação, autorização e auditoria. Mas esses mecanismos não se aplicam aos arquivos físicos no storage. O TDE preenche essa lacuna — no ambiente cloud, onde o storage é compartilhado, ele é obrigatório.

As chaves ficam em um keystore externo ao banco — no DBCS é gerenciado automaticamente.

Como resolver: ativando a master key no PDB

Procedimento documentado nas notas oficiais do My Oracle Support:

• Doc ID 2443398.1 — [OCI-C]: Newly Created PDB Shows Wallet Error “OPEN_NO_MASTER_KEY”
• Doc ID 2469398.1 — Creating and Activating a Master Encryption Key for a PDB
• Doc ID 3028669.1 — WALLET_STATUS is OPEN_NO_MASTER_KEY in new pdb

Como verificar o status do wallet

-- Conectado no CDB como SYSDBA
SELECT name, open_mode, wallet_status
FROM v$pdbs p, v$encryption_wallet w
WHERE p.con_id = w.con_id;

Se wallet_status retornar OPEN_NO_MASTER_KEY, o problema está confirmado.

Prevenindo o problema em migrações futuras

Antes de migrar um PDB on-premise para o DBCS, verifique se o TDE está habilitado na origem. Se não estiver, ative antes da migração.

Referências

• Oracle TDE Documentation — 19c
• Oracle Key Vault Documentation
• MOS Doc ID 2443398.1, 2469398.1, 3028669.1