Для установки keyring_aws используйте общие инструкции, приведенные в разделе 6.4.4.1 «Установка плагина keyring», вместе со специфичной для плагина информацией о конфигурации, представленной здесь.

Библиотечный файл плагина содержит плагин keyring_aws и две загружаемые функции, keyring_aws_rotate_cmk() и keyring_aws_rotate_keys().

Для настройки keyring_aws вам необходимо получить секретный ключ доступа, который предоставляет учетные данные для взаимодействия с AWS KMS, и записать его в файл конфигурации:

Для использования во время процесса запуска сервера keyring_aws должен быть загружен с помощью параметра --early-plugin-load. Системная переменная keyring_aws_cmk_id является обязательной и настраивает идентификатор главного ключа клиента (CMK), полученный с сервера AWS KMS. Системные переменные keyring_aws_conf_file и keyring_aws_data_file необязательно настраивают расположение файлов, используемых плагином keyring_aws для получения информации о конфигурации и хранения данных. Значения по умолчанию для переменных расположения файлов зависят от платформы. Чтобы явно настроить расположения, установите значения переменных при запуске. Например, используйте эти строки в файле сервера my.cnf, скорректировав суффикс .so и расположения файлов для вашей платформы при необходимости:

[mysqld]
early-plugin-load=keyring_aws.so
keyring_aws_cmk_id='arn:aws:kms:us-west-2:111122223333:key/abcd1234-ef56-ab12-cd34-ef56abcd1234'
keyring_aws_conf_file=/usr/local/mysql/mysql-keyring/keyring_aws_conf
keyring_aws_data_file=/usr/local/mysql/mysql-keyring/keyring_aws_data

Для успешного запуска плагина keyring_aws, файл конфигурации должен существовать и содержать действительную информацию о секретном ключе доступа, инициализированную, как описано ранее. Файл хранения не обязательно должен существовать. Если он отсутствует, keyring_aws пытается создать его (а также родительский каталог, если необходимо).

Дополнительную информацию о системных переменных, используемых для настройки плагина keyring_aws, см. в разделе 6.4.4.12 «Системные переменные keyring».

Запустите сервер MySQL и установите функции, связанные с плагином keyring_aws. Это одноразовое действие, выполняемое выполнением следующих операторов, скорректировав суффикс .so для вашей платформы при необходимости:

CREATE FUNCTION keyring_aws_rotate_cmk RETURNS INTEGER
  SONAME 'keyring_aws.so';
CREATE FUNCTION keyring_aws_rotate_keys RETURNS INTEGER
  SONAME 'keyring_aws.so';

Дополнительную информацию о функциях keyring_aws см. в разделе 6.4.4.9 «Функции управления ключами keyring, специфичные для плагина».

При запуске плагин keyring_aws keyring считывает идентификатор и ключ секретного доступа AWS из файла конфигурации. Он также считывает все зашифрованные ключи, содержащиеся в файле хранения, в кэш оперативной памяти.

Во время работы keyring_aws сохраняет зашифрованные ключи в кэше оперативной памяти и использует файл хранения в качестве локального постоянного хранилища. Каждая операция keyring выполняется транзакционно: keyring_aws либо успешно изменяет кэш ключей в оперативной памяти и файл хранения keyring, либо операция завершается неудачно, и состояние keyring остается неизменным.

Чтобы гарантировать, что ключи сбрасываются только при наличии правильного файла хранения keyring, keyring_aws сохраняет контрольную сумму SHA-256 keyring в файле. Перед обновлением файла плагин проверяет, что он содержит ожидаемую контрольную сумму.

Плагин keyring_aws keyring поддерживает функции, составляющие стандартный интерфейс службы MySQL Keyring. Операции keyring, выполняемые этими функциями, доступны на двух уровнях:

Пример (использование интерфейса SQL):

SELECT keyring_key_generate('MyKey', 'AES', 32);
SELECT keyring_key_remove('MyKey');

Кроме того, функции keyring_aws_rotate_cmk() и keyring_aws_rotate_keys() «расширяют» интерфейс плагина keyring, предоставляя возможности, связанные с AWS, которые не охватываются стандартным интерфейсом службы keyring. Эти возможности доступны только при вызове этих функций с помощью SQL. Нет соответствующих функций службы ключей на языке C.

Сведения о характеристиках разрешенных значений ключей, используемых keyring_aws, см. в разделе 6.4.4.6 «Поддерживаемые типы ключей и длины keyring».

Предполагая, что плагин keyring_aws инициализируется должным образом при запуске сервера, можно изменить учетные данные, используемые для связи с AWS KMS: