В этом разделе описывается, как установить или удалить функции хранилища ключей, которые реализованы в файле библиотеки плагинов, который также содержит плагин keyring_udf. Общую информацию об установке или удалении плагинов и загружаемых функций см. в Разделе 5.5.1, “Установка и удаление плагинов” и Разделе 5.6.1, “Установка и удаление загружаемых функций”.

Функции хранилища ключей позволяют выполнять операции управления ключами хранилища ключей, но также должен быть установлен плагин keyring_udf, так как функции не работают должным образом без него. Попытки использовать функции без плагина keyring_udf приводят к ошибке.

Для использования сервером файл библиотеки плагинов должен находиться в каталоге плагинов MySQL (каталоге, указанном переменной среды plugin_dir). При необходимости настройте расположение каталога плагинов, задав значение переменной plugin_dir при запуске сервера.

Базовое имя файла библиотеки плагинов - keyring_udf. Суффикс имени файла отличается в зависимости от платформы (например, .so для Unix и Unix-подобных систем, .dll для Windows).

Для установки плагина keyring_udf и функций хранилища ключей используйте операторы INSTALL PLUGIN и CREATE FUNCTION, скорректировав суффикс .so для вашей платформы по необходимости:

INSTALL PLUGIN keyring_udf SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_generate RETURNS INTEGER
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_fetch RETURNS STRING
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_length_fetch RETURNS INTEGER
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_type_fetch RETURNS STRING
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_store RETURNS INTEGER
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_remove RETURNS INTEGER
  SONAME 'keyring_udf.so';

Если плагин и функции используются на сервере репликации, установите их также на все реплики, чтобы избежать проблем с репликацией.

После установки, как описано выше, плагин и функции остаются установленными до их удаления. Для их удаления используйте операторы UNINSTALL PLUGIN и DROP FUNCTION:

UNINSTALL PLUGIN keyring_udf;
DROP FUNCTION keyring_key_generate;
DROP FUNCTION keyring_key_fetch;
DROP FUNCTION keyring_key_length_fetch;
DROP FUNCTION keyring_key_type_fetch;
DROP FUNCTION keyring_key_store;
DROP FUNCTION keyring_key_remove;

Перед использованием функций хранилища ключей общего назначения, установите их согласно инструкциям в Установка или удаление функций хранилища ключей общего назначения.

Функции хранилища ключей подчиняются этим ограничениям:

Чтобы создать новый случайный ключ и сохранить его в хранилище ключей, вызовите keyring_key_generate(), передав ей идентификатор ключа, тип ключа (метод шифрования) и его длину в байтах. Следующий вызов создаёт 2048-битный ключ DSA с шифрованием, имеющий имя MyKey:

mysql> SELECT keyring_key_generate('MyKey', 'DSA', 256);
+-------------------------------------------+
| keyring_key_generate('MyKey', 'DSA', 256) |
+-------------------------------------------+
|                                         1 |
+-------------------------------------------+

Возвращаемое значение 1 указывает на успех. Если ключ не может быть создан, возвращаемое значение равно NULL и произойдёт ошибка. Одна из причин этого может быть в том, что установленный плагин хранилища ключей не поддерживает указанную комбинацию типа и длины ключа; см. Раздел 6.4.4.6, «Поддерживаемые типы и длины ключей хранилища ключей».

Чтобы иметь возможность проверить возвращаемый тип независимо от того, произошла ли ошибка, используйте SELECT ... INTO @var_name и проверьте значение переменной:

mysql> SELECT keyring_key_generate('', '', -1) INTO @x;
ERROR 3188 (HY000): Function 'keyring_key_generate' failed because
underlying keyring service returned an error. Please check if a
keyring plugin is installed and that provided arguments are valid
for the keyring you are using.
mysql> SELECT @x;
+------+
| @x   |
+------+
| NULL |
+------+
mysql> SELECT keyring_key_generate('x', 'AES', 16) INTO @x;
mysql> SELECT @x;
+------+
| @x   |
+------+
|    1 |
+------+

Эта методика также применима к другим функциям хранилища ключей, которые для обозначения ошибки возвращают значение и сообщение об ошибке.

Идентификатор, переданный функции keyring_key_generate(), предоставляет способ обращения к ключу в последующих вызовах функций. Например, используйте идентификатор ключа для получения его типа в виде строки или длины в байтах в виде целого числа:

mysql> SELECT keyring_key_type_fetch('MyKey');
+---------------------------------+
| keyring_key_type_fetch('MyKey') |
+---------------------------------+
| DSA                             |
+---------------------------------+
mysql> SELECT keyring_key_length_fetch('MyKey');
+-----------------------------------+
| keyring_key_length_fetch('MyKey') |
+-----------------------------------+
|                               256 |
+-----------------------------------+

Чтобы получить значение ключа, передайте идентификатор ключа функции keyring_key_fetch(). В следующем примере используется функция HEX() для отображения значения ключа, поскольку оно может содержать непечатаемые символы. В примере используется короткий ключ для краткости, но следует помнить, что более длинные ключи обеспечивают лучшую безопасность:

mysql> SELECT keyring_key_generate('MyShortKey', 'DSA', 8);
+----------------------------------------------+
| keyring_key_generate('MyShortKey', 'DSA', 8) |
+----------------------------------------------+
|                                            1 |
+----------------------------------------------+
mysql> SELECT HEX(keyring_key_fetch('MyShortKey'));
+--------------------------------------+
| HEX(keyring_key_fetch('MyShortKey')) |
+--------------------------------------+
| 1DB3B0FC3328A24C                     |
+--------------------------------------+

Функции хранилища ключей обрабатывают идентификаторы, типы и значения ключей как двоичные строки, поэтому сравнения чувствительны к регистру. Например, идентификаторы MyKey и mykey относятся к разным ключам.

Чтобы удалить ключ, передайте идентификатор ключа функции keyring_key_remove():

mysql> SELECT keyring_key_remove('MyKey');
+-----------------------------+
| keyring_key_remove('MyKey') |
+-----------------------------+
|                           1 |
+-----------------------------+

Чтобы зашифровать и сохранить предоставленный вами ключ, передайте идентификатор, тип и значение ключа функции keyring_key_store():

mysql> SELECT keyring_key_store('AES_key', 'AES', 'Secret string');
+------------------------------------------------------+
| keyring_key_store('AES_key', 'AES', 'Secret string') |
+------------------------------------------------------+
|                                                    1 |
+------------------------------------------------------+

Как отмечалось ранее, пользователь должен обладать глобальным EXECUTE правом для вызова функций хранилища ключей, и пользователь, который изначально сохраняет ключ в хранилище, должен быть тем же пользователем, который выполняет последующие операции с ключом позже, как определяется из значения CURRENT_USER() для каждого вызова функции. Чтобы разрешить пользователям, не имеющим глобального EXECUTE права или не являющимся «владельцем» ключа, выполнять операции с ключом, воспользуйтесь этой техникой:

Эта методика позволяет совместно использовать ключи между пользователями и предоставляет администраторам баз данных более точный контроль над тем, кто и какие операции может выполнять с ключами, не предоставляя глобальных прав.

Следующий пример показывает, как настроить общий ключ с именем SharedKey, который принадлежит администратору базы данных, и хранимую функцию get_shared_key(), которая обеспечивает доступ к текущему значению ключа. Значение может быть получено любым пользователем с EXECUTE правом на эту функцию, которая создана в схеме key_schema.

Из учётной записи администратора MySQL ('root'@'localhost' в данном примере) создайте административную схему и хранимую функцию для доступа к ключу:

mysql> CREATE SCHEMA key_schema;

mysql> CREATE DEFINER = 'root'@'localhost'
       FUNCTION key_schema.get_shared_key()
       RETURNS BLOB READS SQL DATA
       RETURN keyring_key_fetch('SharedKey');

Из учётной записи администратора убедитесь, что общий ключ существует:

mysql> SELECT keyring_key_generate('SharedKey', 'DSA', 8);
+---------------------------------------------+
| keyring_key_generate('SharedKey', 'DSA', 8) |
+---------------------------------------------+
|                                           1 |
+---------------------------------------------+

Из учётной записи администратора создайте обычную учётную запись, которой нужно предоставить доступ к ключу:

mysql> CREATE USER 'key_user'@'localhost'
       IDENTIFIED BY 'key_user_pwd';

Из учётной записи key_user проверьте, что без соответствующего EXECUTE права новая учётная запись не может получить доступ к общему ключу:

mysql> SELECT HEX(key_schema.get_shared_key());
ERROR 1370 (42000): execute command denied to user 'key_user'@'localhost'
for routine 'key_schema.get_shared_key'

Из учётной записи администратора предоставьте EXECUTE пользователю key_user для хранимой функции:

mysql> GRANT EXECUTE ON FUNCTION key_schema.get_shared_key
       TO 'key_user'@'localhost';

Из учётной записи key_user проверьте, что теперь ключ доступен:

mysql> SELECT HEX(key_schema.get_shared_key());
+----------------------------------+
| HEX(key_schema.get_shared_key()) |
+----------------------------------+
| 9BAFB9E75CEEB013                 |
+----------------------------------+

В этом разделе описывается назначение, последовательность вызова и возвращаемое значение каждой функции кольца ключей общего назначения. Информацию об условиях, при которых можно вызывать эти функции, см. в разделе Использование функций кольца ключей общего назначения.