MySQL 5.7 TDE

Posted 2020-12-31 Xuty

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了MySQL 5.7 TDE相关的知识，希望对你有一定的参考价值。

一. 简介
二. 配置
三. 使用
四. 限制
五. 还原测试
六. 性能测试
七.秘钥备份
八.参考文献

一. 简介

mysql 5.7之后支持通过mysql keyring（一种两层加密架构，由一个master key和多个tablespace key组成；当InnoDB表被加密的时候，其实是对tablespace key加密并存储在表空间文件头里，当访问被加密的InnoDB表的时候，InnoDB使用master key进行解密）对独立表空间中的InnoDB表的数据进行加密，来提升物理文件的安全性。

【企业版与非企业版插件区别】

MySQL Enterprise Edition offers the keyring_okv plugin,When InnoDB tablespace encryption uses OKV for encryption key management, the feature is referred to as “MySQL Enterprise Transparent Data Encryption (TDE)”.

non-enterprise editions of MySQL uses the keyring_file plugin for encryption key management.

【加密方式为AES】
InnoDB tablespace encryption supports the Advanced Encryption Standard (AES) block-based encryption algorithm

【加密键】
tablespace key
master key rotation

Only one keyring plugin should be enabled at a time. Enabling multiple keyring plugins is not supported.

二. 配置

MySQL 5.7.11之后，所有版本包含keyring_file插件
MySQL 5.7.12之后，企业版包含keyring_okv插件
MySQL 5.7.13之后，所有版本包含key管理的SQL接口（UDF，用户定义函数）

【配置文件】在my.cnf里添加2行
early-plugin-load=keyring_file.so
keyring_file_data=/usr/local/mysql/keyring/keyring

【添加目录】
Linux > mkdir -p /usr/local/mysql/keyring
Linux > chown -R mysql:mysql /usr/local/mysql/keyring/
Linux > chmod 750 /usr/local/mysql/keyring/

【安装插件】
mysql> INSTALL PLUGIN keyring_file soname ‘keyring_file.so‘;

【卸载插件】忽略
mysql > UNINSTALL PLUGIN keyring_file;

【秘钥备份】
Linux > mkdir /root/backup
Linux > cp /usr/local/mysql/keyring/keyring /root/backup

【插件检查】
mysql > show plugins ; 查看插件是否启用

【旋转主加密密钥】
mysql > ALTER INSTANCE ROTATE INNODB MASTER KEY;

三. 使用

【加密表创建】
CREATE TABLE t1 (c1 INT) ENCRYPTION=‘Y‘;

【查看所有加密表】
select * from information_schema.tables where create_options like ‘%ENCRYPTION%="y"%‘;

【修改表加密】
ALTER TABLE t1 ENCRYPTION=‘Y‘;
ALTER TABLE t1 ENCRYPTION=‘N‘;

【查看秘钥】
show variables like ‘%keyring%‘;

四. 限制

InnoDB表空间加密限制

高级加密标准（AES）是唯一支持的加密算法。 InnoDB表空间加密为表空间密钥加密和密码分组链接（CBC）块加密模式使用电子密码本（ECB）块加密模式进行数据加密。
支持改变表的ENCRYPTION属性ALGORITHM = COPY操作。 ALGORITHM = INPLACE不支持。
InnoDB表空间加密仅支持存储在单独表空间的InnoDB表。存储在其他InnoDB表空间类型（包括常规表空间，系统表空间，撤消日志表空间和临时表空间）中的表不支持加密。
无法将加密表从单独表空间移动或复制到不支持的InnoDB表空间类型。
表空间加密仅适用于表空间中的数据。数据在重做日志，撤消日志或二进制日志中不加密。
直接从keyring_file插件迁移到keyring_okv插件目前不受支持。更改密钥环插件需要解密表，卸载当前的密钥环插件，安装和配置其他密钥环插件，并重新加密表。

五. 还原测试

备注：发现master key在线删除后，加密表还是可以访问，所以猜测，每次mysql启动时候会调用master key对加密表进行解密，而不是实时解密，实际通过观察errorlog中启动流程发现确实如此。

【mysqldump】备份文件可以还原到开启加密插件的mysql实例上,会自动生成master key

【xtranbackup】在没有master key的情况下，不可以打开加密表，可以打开非加密表。

【物理备份】在没有master key的情况下，不可以打开加密表，可以打开非加密表。
【物理备份】在有master key的情况下，可以打开加密表。

[ERROR] InnoDB: Encryption can‘t find master key, please check the keyring plugin is loaded.
[ERROR] InnoDB: Encryption information in datafile: ./test/emp.ibd can‘t be decrypted , please confirm the keyfile is match and keyring plugin is loaded.

【丢失master key 或 master key错误】

[ERROR] InnoDB: Encryption information in datafile: ./test/emp.ibd can‘t be decrypted , please confirm the keyfile is match and keyring plugin is loaded.
[Warning] InnoDB: Ignoring tablespace `test/emp` because it could not be opened.