Включение шифрования InnoDB

Для включения шифрования данных в покое для таблиц с использованием движков хранения InnoDB, сначала необходимо настроить сервер для использования плагина Управление ключами шифрования. После этого можно включить шифрование, установив системную переменную innodb_encrypt_tables для шифрования InnoDB системных и файловых табличных пространств и установив системную переменную innodb_encrypt_log для шифрования журнала переигрывания InnoDB Redo Log.

Установка этих системных переменных включает функцию шифрования для таблиц InnoDB на вашем сервере. Для использования этой функции необходимо использовать параметр таблицы ENCRYPTION_KEY_ID для указания используемого ключа шифрования и параметр таблицы ENCRYPTED для включения шифрования.

Включение шифрования для автоматически зашифрованных табличных пространств

Системная переменная innodb_encrypt_tables управляет конфигурацией автоматического шифрования таблиц InnoDB. Она имеет следующие возможные значения:

Когда innodb_encrypt_tables установлено в значение ON, таблицы InnoDB по умолчанию автоматически зашифрованы. Например, следующие операторы создают зашифрованную таблицу и подтверждают, что она зашифрована:

SET GLOBAL innodb_encryption_threads=4;

SET GLOBAL innodb_encrypt_tables=ON;

SET SESSION innodb_default_encryption_key_id=100;

CREATE TABLE tab1 (
   id int PRIMARY KEY,
   str varchar(50)
);

SELECT NAME, ENCRYPTION_SCHEME, CURRENT_KEY_ID
FROM information_schema.INNODB_TABLESPACES_ENCRYPTION
WHERE NAME='db1/tab1';
+----------+-------------------+----------------+
| NAME     | ENCRYPTION_SCHEME | CURRENT_KEY_ID |
+----------+-------------------+----------------+
| db1/tab1 |                 1 |            100 |
+----------+-------------------+----------------+

Когда innodb_encrypt_tables установлено в значение ON, незашифрованную таблицу InnoDB можно создать, установив параметр таблицы ENCRYPTED в значение NO для таблицы. Например, следующие операторы создают незашифрованную таблицу и подтверждают, что она не зашифрована:

SET GLOBAL innodb_encryption_threads=4;

SET GLOBAL innodb_encrypt_tables=ON;

SET SESSION innodb_default_encryption_key_id=100;

CREATE TABLE tab1 (
   id int PRIMARY KEY,
   str varchar(50)
) ENCRYPTED=NO;

SELECT NAME, ENCRYPTION_SCHEME, CURRENT_KEY_ID
FROM information_schema.INNODB_TABLESPACES_ENCRYPTION
WHERE NAME='db1/tab1';
+----------+-------------------+----------------+
| NAME     | ENCRYPTION_SCHEME | CURRENT_KEY_ID |
+----------+-------------------+----------------+
| db1/tab1 |                 0 |            100 |
+----------+-------------------+----------------+

Когда innodb_encrypt_tables установлено в значение FORCE, таблицы InnoDB по умолчанию автоматически зашифрованы, и создание незашифрованных таблиц InnoDB запрещено. В этом случае, если вы установите параметр таблицы ENCRYPTED в значение NO для таблицы, возникнет ошибка. Например:

SET GLOBAL innodb_encryption_threads=4;

SET GLOBAL innodb_encrypt_tables='FORCE';

SET SESSION innodb_default_encryption_key_id=100;

CREATE TABLE tab1 (
   id int PRIMARY KEY,
   str varchar(50)
) ENCRYPTED=NO;
ERROR 1005 (HY000): Can't create table `db1`.`tab1` (errno: 140 "Wrong create options")

SHOW WARNINGS;
+---------+------+----------------------------------------------------------------------+
| Level   | Code | Message                                                              |
+---------+------+----------------------------------------------------------------------+
| Warning |  140 | InnoDB: ENCRYPTED=NO implies ENCRYPTION_KEY_ID=1                     |
| Warning |  140 | InnoDB: ENCRYPTED=NO cannot be used with innodb_encrypt_tables=FORCE |
| Error   | 1005 | Can't create table `db1`.`tab1` (errno: 140 "Wrong create options")  |
| Warning | 1030 | Got error 140 "Wrong create options" from storage engine InnoDB      |
+---------+------+----------------------------------------------------------------------+
4 rows in set (0.00 sec)

Включение шифрования для вручную зашифрованных табличных пространств

Если вы не хотите автоматически шифровать каждую таблицу InnoDB, можно вручную включить шифрование только для подмножества таблиц InnoDB, которые вы хотите зашифровать. MariaDB предоставляет параметры таблиц ENCRYPTED и ENCRYPTION_KEY_ID, которые можно использовать для ручного включения шифрования для определенных таблиц InnoDB. Эти параметры таблиц могут использоваться с операторами CREATE TABLE и ALTER TABLE. Эти параметры могут использоваться только с таблицами InnoDB, у которых есть собственные файловые табличные пространства InnoDB по каждой таблице, то есть с таблицами, созданными с установкой innodb_file_per_table=ON.

Вы можете вручную включить или отключить шифрование для таблицы, используя параметр таблицы ENCRYPTED. Если вам нужно защитить только подмножество таблиц InnoDB с помощью шифрования, то может быть целесообразно вручную зашифровать каждую таблицу, которой требуется дополнительная защита, вместо глобального шифрования всех таблиц InnoDB с помощью innodb_encrypt_tables. Это позволяет сбалансировать безопасность и скорость, так как это означает, что накладные расходы на производительность шифрования и дешифрования применяются только к тем таблицам, которые требуют дополнительной безопасности.

Вы также можете вручную указать ключ шифрования для таблицы, используя параметр таблицы ENCRYPTION_KEY_ID. Это позволяет использовать различные ключи шифрования для различных таблиц. Например, вы можете создать таблицу с помощью оператора:

CREATE TABLE tab1 (
   id int PRIMARY KEY,
   str varchar(50)
) ENCRYPTED=YES ENCRYPTION_KEY_ID=100;

SELECT NAME, ENCRYPTION_SCHEME, CURRENT_KEY_ID
FROM information_schema.INNODB_TABLESPACES_ENCRYPTION
WHERE NAME='db1/tab1';
+----------+-------------------+----------------+
| NAME     | ENCRYPTION_SCHEME | CURRENT_KEY_ID |
+----------+-------------------+----------------+
| db1/tab1 |                 1 |            100 |
+----------+-------------------+----------------+

Если параметр таблицы ENCRYPTION_KEY_ID не указан, то таблица будет зашифрована с использованием ключа, указанного в системной переменной innodb_default_encryption_key_id. Например, вы можете создать таблицу с помощью оператора:

SET SESSION innodb_default_encryption_key_id=100;

CREATE TABLE tab1 (
   id int PRIMARY KEY,
   str varchar(50)
) ENCRYPTED=YES;

SELECT NAME, ENCRYPTION_SCHEME, CURRENT_KEY_ID
FROM information_schema.INNODB_TABLESPACES_ENCRYPTION
WHERE NAME='db1/tab1';
+----------+-------------------+----------------+
| NAME     | ENCRYPTION_SCHEME | CURRENT_KEY_ID |
+----------+-------------------+----------------+
| db1/tab1 |                 1 |            100 |
+----------+-------------------+----------------+

Если у вас есть существующая таблица и вы хотите вручную включить шифрование для этой таблицы, то это можно сделать с помощью оператора ALTER TABLE. Например:

CREATE TABLE tab1 (
   id int PRIMARY KEY,
   str varchar(50)
) ENCRYPTED=NO;

SELECT NAME, ENCRYPTION_SCHEME, CURRENT_KEY_ID
FROM information_schema.INNODB_TABLESPACES_ENCRYPTION
WHERE NAME='db1/tab1';
+----------+-------------------+----------------+
| NAME     | ENCRYPTION_SCHEME | CURRENT_KEY_ID |
+----------+-------------------+----------------+
| db1/tab1 |                 0 |            100 |
+----------+-------------------+----------------+

ALTER TABLE tab1
   ENCRYPTED=YES ENCRYPTION_KEY_ID=100;

SELECT NAME, ENCRYPTION_SCHEME, CURRENT_KEY_ID
FROM information_schema.INNODB_TABLESPACES_ENCRYPTION
WHERE NAME='db1/tab1';
+----------+-------------------+----------------+
| NAME     | ENCRYPTION_SCHEME | CURRENT_KEY_ID |
+----------+-------------------+----------------+
| db1/tab1 |                 1 |            100 |
+----------+-------------------+----------------+

Включение шифрования для временных табличных пространств

Системная переменная innodb_encrypt_temporary_tables управляет конфигурацией шифрования для временного табличного пространства. Она имеет следующие возможные значения:

Эту системную переменную можно задать в качестве аргумента командной строки для mysqld, или можно задать в соответствующей группе параметров сервера в файле конфигурации группы параметров в файле конфигурации. Например:

[mariadb]
...
innodb_encrypt_temporary_tables=ON

Включение шифрования для журнала переигрывания

InnoDB использует журнал переигрывания Redo Log при восстановлении после сбоя. По умолчанию эти события записываются в файл в незашифрованном состоянии. При настройке MariaDB для шифрования данных в покое убедитесь, что вы также включили шифрование для журнала переигрывания.

Чтобы зашифровать журнал переигрывания, сначала остановите процесс сервера. Затем установите innodb_encrypt_log в значение ON в соответствующей группе параметров сервера в файле группы параметров в файле конфигурации. Например:

[mariadb]
...
innodb_encrypt_log = ON

Затем запустите MariaDB. При повторном запуске сервер проверяет восстановление InnoDB в случае сбоя. После возвращения в онлайн-режим он начинает запись зашифрованных данных в журнал переигрывания.

См. также

• Отключение шифрования InnoDB