2. 程式人生 > 實用技巧 >MySQL InnoDB表空間加密

MySQL InnoDB表空間加密

阿新 • • 發佈：2020-08-16

　　從 MySQL5.7.11開始，MySQL對InnoDB支援儲存在單獨表空間中的表的資料加密 。此功能為物理表空間資料檔案提供靜態加密。該加密是在引擎內部資料頁級別的加密手段，在資料頁寫入檔案系統時加密，加密用的是AES演算法，而其解密是在從檔案讀到記憶體中時進行。

1 配置加密外掛

1.1 修改配置檔案

在mysql配置檔案【mysqld】x項中新增如下內容

plugin_dir=/usr/local/mysql5.7/lib/mysql/plugin   　　#  外掛路徑，根據實際情況修改
early-plugin-load="keyring_file.so"               　　# 加密外掛
keyring_file_data=/data/mysql3306/keyring/keyring　　# 路徑不存在，需要建立
innodb_file_per_table=1    　　　　　　　　　　　　　　　# 只作用於獨立表空間

1.2 建立加密所需的路徑並配置許可權

建立時要注意 ，keyring_file_data 裡配置的keyring會在啟動時自動建立，本步驟中建立到對應目錄即可

mkdir -p   /data/mysql3306/keyring/
chown -R mysql:mysql  /data/mysql3306/keyring/
chmod 750 /data/mysql3306/keyring

1.3 重啟MySQL

重啟mysql即可，啟動後會發現注意/data/mysql3306/keyring 目錄下生成了 keyring檔案

注意，重啟後也要看一下mysql錯誤日誌裡有沒有相關錯誤資訊，如果沒有錯誤則繼續進行

1.4 檢視外掛狀態

啟動後可以檢視外掛是否生效

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS, PLUGIN_Type,PLUGIN_Library FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME LIKE 'keyring_file';
+--------------+---------------+-------------+-----------------+
| PLUGIN_NAME  | PLUGIN_STATUS | PLUGIN_Type | PLUGIN_Library  |
+--------------+---------------+-------------+-----------------+
 

| keyring_file | ACTIVE        | KEYRING     | keyring_file.so |
+--------------+---------------+-------------+-----------------+
1 row in set (0.01 sec)

或者用 show plugins命令檢視

2 測試加密表空間

2.1 建立加密的新表

建立一張新表，並新增ENCRYPTION='Y' ，加密表空間

mysql> create table  test1(
id int  primary key auto_increment, 
name varchar(20),
key name(name))
 ENCRYPTION='Y';
Query OK, 0 rows affected (0.02 sec)

此時，keyring檔案也會有變化

2.2 新增資料

向新增的測試表裡新增測試資料，並檢視

mysql> insert into  test1(id,name) values(1,'anm'),(2,'keyring');
Query OK, 2 rows affected (0.01 sec)
Records: 2  Duplicates: 0  Warnings: 0

mysql> select  * from test1;
+----+---------+
| id | name    |
+----+---------+
|  1 | anm     |
|  2 | keyring |
+----+---------+
2 rows in set (0.00 sec)

2.3修改是否加密

測試取消表空間加密

mysql> show  create table test1;
+-------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| Table | Create Table                                                                                                                                                                                                          |
+-------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| test1 | CREATE TABLE `test1` (
  `id` int(11) NOT NULL AUTO_INCREMENT,
  `name` varchar(20) DEFAULT NULL,
  PRIMARY KEY (`id`),
  KEY `name` (`name`)
) ENGINE=InnoDB AUTO_INCREMENT=3 DEFAULT CHARSET=utf8mb4 ENCRYPTION='Y' |
+-------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
1 row in set (0.00 sec)

mysql> alter table test1  ENCRYPTION='N';
Query OK, 2 rows affected (0.04 sec)
Records: 2  Duplicates: 0  Warnings: 0

mysql> show  create table test1;
+-------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| Table | Create Table                                                                                                                                                                                                          |
+-------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| test1 | CREATE TABLE `test1` (
  `id` int(11) NOT NULL AUTO_INCREMENT,
  `name` varchar(20) DEFAULT NULL,
  PRIMARY KEY (`id`),
  KEY `name` (`name`)
) ENGINE=InnoDB AUTO_INCREMENT=3 DEFAULT CHARSET=utf8mb4 ENCRYPTION='N' |
+-------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
1 row in set (0.00 sec)

mysql> select  * from test1;
+----+---------+
| id | name    |
+----+---------+
|  1 | anm     |
|  2 | keyring |
+----+---------+
2 rows in set (0.00 sec)

再配置為加密

mysql> alter table test1  ENCRYPTION='Y';
Query OK, 2 rows affected (0.03 sec)
Records: 2  Duplicates: 0  Warnings: 0

mysql> select  * from test1;
+----+---------+
| id | name    |
+----+---------+
|  1 | anm     |
|  2 | keyring |
+----+---------+
2 rows in set (0.00 sec)

所以，表空間加密方式是可以線上調整的，且對資料查詢不影響。

另外，keyring_file_data也是可以動態調整的，比較簡單，就不演示了

2.4 統計表空間加密的表

想要知道哪些表的表空間加密了，可以通過資料字典表裡檢視

mysql> SELECT TABLE_SCHEMA, TABLE_NAME, CREATE_OPTIONS FROM INFORMATION_SCHEMA.TABLES WHERE  table_schema='testdb2' and CREATE_OPTIONS='ENCRYPTION="Y"';
+--------------+------------+----------------+
| TABLE_SCHEMA | TABLE_NAME | CREATE_OPTIONS |
+--------------+------------+----------------+
| testdb2      | test1      | ENCRYPTION="Y" |
+--------------+------------+----------------+
1 row in set (0.00 sec)

3. 異常處理

如果keyring檔案損壞或被誤刪除了，會出現什麼情況

3.1 備份keyring檔案

為了保險起見，先備份一下keyring檔案

[root@mha1 keyring]# cp -p keyring  keyring.bak
[root@mha1 keyring]# ll -h 
total 8.0K
-rw-r----- 1 mysql mysql 155 Aug 16 09:10 keyring
-rw-r----- 1 mysql mysql 155 Aug 16 09:10 keyring.bak

3.2 刪除keyring

直接刪除keyring檔案

[root@mha1 keyring]# rm -f keyring
[root@mha1 keyring]# ll -h 
total 4.0K
-rw-r----- 1 mysql mysql 155 Aug 16 09:10 keyring.bak

3.3 檢視資料是否正常

檢視資料及新建加密表是否成功

mysql> select  * from test1;
+----+---------+
| id | name    |
+----+---------+
|  1 | anm     |
|  2 | keyring |
+----+---------+
2 rows in set (0.00 sec)


mysql> create table  test2(id int  primary key auto_increment, name varchar(20),key name(name)) ENCRYPTION='Y';
Query OK, 0 rows affected (0.01 sec)

也就是說此時，即使keyrig檔案丟失也是可以正常操作的

3.4 重啟資料庫

重啟資料庫後，會發現，又自動生成了keyring檔案

此時再檢視加密表

mysql> select  * from test1;
ERROR 3185 (HY000): Can't find master key from keyring, please check in the server log if a keyring plugin is loaded and initialized successfully.

建立加密表

mysql> create table  test3(id int  primary key auto_increment, name varchar(20),key name(name)) ENCRYPTION='Y';
Query OK, 0 rows affected (0.02 sec)

新建表是可以的，因為此時相當於初始化的時候。

那麼再將原keyring還原，然後再重啟資料庫，會發現又能成功了

mysql> select  * from test1;
+----+---------+
| id | name    |
+----+---------+
|  1 | anm     |
|  2 | keyring |
+----+---------+
2 rows in set (0.00 sec)

4 keyring管理

4.1 定期備份

可以每日進行備份，但是備份的路徑和日常備份分開，需要還原的時候再拷貝至目標檔案

4.2 定期更新

為了考慮安全性，當懷疑key洩露時，需要進行更新。更新後原先的表依舊可以正常方案，因為更新置灰改變master encryption key 並重新加密 tablespace keys，不會對錶空間重新加密或解密。更新的方法：

--   更新 master key
mysql> ALTER INSTANCE ROTATE INNODB MASTER KEY;
Query OK, 0 rows affected (0.00 sec)

--   更新後依舊能正常訪問
mysql> select  * from test1;
+----+---------+
| id | name    |
+----+---------+
|  1 | anm     |
|  2 | keyring |
+----+---------+
2 rows in set (0.00 sec)

至此，InnoDB表空間的簡單使用就演示完畢。其中還有很多細節，可以檢視官方文件進行探索，https://dev.mysql.com/doc/refman/5.7/en/innodb-data-encryption.html。

想了解更多內容或參與技術交流可以關注微信公眾號【資料庫乾貨鋪】或進技術交流群溝通。

相關推薦

MySQL InnoDB表空間加密

　　從 MySQL5.7.11開始，MySQL對InnoDB支援儲存在單獨表空間中的表的資料加密 。此功能為物理表空間資料檔案提供靜態加密。該加密是在引擎內部資料頁級別的加密手段，在資料頁寫入檔案系統時加密，加密用的是AES演算

MySQL InnoDB表空間加密示例詳解

前言 從 MySQL5.7.11開始，MySQL對InnoDB支援儲存在單獨表空間中的表的資料加密 。此功能為物理表空間資料檔案提供靜態加密。該加密是在引擎內部資料頁級別的加密手段，在資料頁寫入檔案系統時加密，加密用的是AES演

MySQL 日誌 複製資料庫 InnoDB表空間模式 mysql預設資料庫

MySQL 日誌 複製資料庫 InnoDB表空間模式 mysql預設資料庫   分類 錯誤日誌 不僅記錄error資訊，還記錄warning資訊和修正資訊

關於JDBC與MySQL臨時表空間的深入解析

背景 臨時表空間用來管理資料庫排序操作以及用於儲存臨時表、中間排序結果等臨時物件，相信大家在開發中經常會遇到相關的需求，下面本文將給大家詳細JDBC與MySQL臨時表空間的相關內容，分享出來供大家參考學習，下面

MySQL 清除表空間碎片的例項詳解

MySQL 清除表空間碎片的例項詳解 碎片產生的原因 （1）表的儲存會出現碎片化，每當刪除了一行內容，該段空間就會變為空白、被留空，而在一段時間內的大量刪除操作，會使這種留空的空間變得比儲存列表內容所使用的空間

MySQL獨立表空間管理

MySQL的Innodb儲存引擎包含兩種表空間檔案模式，預設的共享表空間和每個表分離的獨立表空間，每個表都有自已獨立的表空間，每個表的資料和索引都會存在自已的表空間中，可以實現單表在不同的資料庫中移動。

談談什麼是MySQL的表空間？

今天我要跟你分享的話題是：“大家常說的表空間到底是什麼？究竟什麼又是資料表？”

MySQL的表空間是什麼

今天我要跟你分享的話題是：“大家常說的表空間到底是什麼？究竟什麼又是資料表？”

Mysql Innodb 表碎片整理

一、為什麼會產生碎片 簡單的說,刪除資料必然會在資料檔案中造成不連續的空白空間,而當插入資料時,這些空白空間則會被利用起來.於是造成了資料的儲存位置不連續,以及物理儲存順序與理論上的排序順序不同,這種是資料

InnoDB 表空間

這應該是 MySQL 原理中最底層的部分了，我們存在 MySQL 中的資料，到底在磁碟上長啥樣。你可能會說，資料不都儲存在聚簇索引中嗎？但很遺憾，你並沒有回答我的問題。我會再問你，那聚簇索引在磁碟上又長啥樣？

MySql-InnoDB表

一.表： 1.從儲存引擎的邏輯儲存結構來看，所有資料都被邏輯的存放在一個空間，稱之為表空間。表空間由段，區，頁（塊）組成。

mysql 優化表空間報錯Creating index 'PRIMARY' required more than 'innodb_online_alter_log_max_size' bytes of modification log. Please try again

背景：mysql資料庫中有幾個表的碎片率太高，浪費了儲存空間且降低了讀寫效率，需要整理。

MySQL傳輸表空間小結(r12筆記第2天)

在MySQL中如果要遷移一個表導另外一個伺服器/環境中，常規的做法就是使用備份工具備份，比如mysqldump，然後拷貝備份到目標伺服器或者環境匯入。如果某一個表資料量很大，匯出dump檔案很大的情況下，使用匯出匯入工具

MySQL判別InnoDB表是獨立表空間還是共享表空間的方法詳解

前言 InnoDB採用按表空間（tablespace)的方式進行儲存資料,預設配置情況下會有一個初始大小為10MB， 名字為ibdata1的檔案， 該檔案就是預設的表空間檔案（tablespce file），使用者可以通過引數innodb_data_file_pat

mysql innodb儲存引擎的表空間

InnoDB儲存引擎的表空間 1.共享表空間（ibdata1） 1）儲存的內容 1.系統資料 2.臨時表

Mysql線上回收undo表空間實戰記錄

1 Mysql5.6 1.1 相關引數 MySQL 5.6增加了引數innodb_undo_directory、innodb_undo_logs和innodb_undo_tablespaces這3個引數，可以把undo log從ibdata1移出來單獨存放。

MySQL 整表加密解決方案 keyring_file詳解

說明 MySql社群版從5.7.11開始支援基於表的資料加密方案，模組名為keyring_file，支援加密整張表。這種是加密方式其實是基於檔案加密的，一旦mysqld讀取key啟動後，將會解密整張表的資料，在mysql服務內，讀取的資料

MySQL slow_log表無法修改成innodb引擎詳解

背景 從mysql.slow_log 獲取慢查詢日誌很慢，該表是csv表，沒有索引。 想新增索引來加速訪問，而csv引擎不能新增索引（csv引擎儲存是以逗號分割的文字來儲存的），只能改儲存引擎來新增索引了

MySQL 5.7臨時表空間如何玩才能不掉坑裡詳解

導讀 MySQL 5.7的目標是成為釋出以來最安全的MySQL伺服器，其在SSL/TLS和全面安全開發方面有一些重要的改變。

InnoDB 型別MySql恢復表結構與資料

前提：儲存了需要恢復資料庫的檔案 .frm 和 .ibd 檔案 條件：InnoDB 型別的 恢復表結構