В этом разделе описано, как установить или удалить функции хранилища ключей, которые реализованы в файле библиотеки плагинов, который также содержит плагин keyring_udf. Для общей информации об установке или удалении плагинов и загружаемых функций см. Раздел 7.6.1, «Установка и удаление плагинов» и Раздел 7.7.1, «Установка и удаление загружаемых функций».

Функции хранилища ключей позволяют выполнять операции управления ключами хранилища ключей, но также должен быть установлен плагин keyring_udf, так как без него функции работают некорректно. Попытки использовать функции без плагина keyring_udf приводят к ошибке.

Для использования сервером, файл библиотеки плагинов должен находиться в каталоге плагинов MySQL (каталог, заданный переменной системы plugin_dir). При необходимости, конфигурируйте расположение каталога плагинов, задав значение переменной plugin_dir при запуске сервера.

Имя базового файла библиотеки плагинов — keyring_udf. Суффикс имени файла отличается в зависимости от платформы (например, .so для Unix и Unix-подобных систем, .dll для Windows).

Для установки плагина keyring_udf и функций хранилища ключей используйте операторы INSTALL PLUGIN и CREATE FUNCTION, скорректировав суффикс .so для вашей платформы при необходимости:

INSTALL PLUGIN keyring_udf SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_generate RETURNS INTEGER
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_fetch RETURNS STRING
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_length_fetch RETURNS INTEGER
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_type_fetch RETURNS STRING
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_store RETURNS INTEGER
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_remove RETURNS INTEGER
  SONAME 'keyring_udf.so';

Если плагин и функции используются на сервере репликации источника, установите их и на всех репликах, чтобы избежать проблем с репликацией.

После установки, как описано выше, плагин и функции остаются установленными до их удаления. Для их удаления используйте операторы UNINSTALL PLUGIN и DROP FUNCTION:

UNINSTALL PLUGIN keyring_udf;
DROP FUNCTION keyring_key_generate;
DROP FUNCTION keyring_key_fetch;
DROP FUNCTION keyring_key_length_fetch;
DROP FUNCTION keyring_key_type_fetch;
DROP FUNCTION keyring_key_store;
DROP FUNCTION keyring_key_remove;

Перед использованием функций общего назначения для хранения ключей, установите их в соответствии с инструкциями, приведенными в Установка или удаление функций общего назначения для хранения ключей.

Функции хранения ключей подчиняются следующим ограничениям:

Чтобы создать новый случайный ключ и сохранить его в хранилище ключей, вызовите keyring_key_generate(), передав ей идентификатор ключа, тип ключа (метод шифрования) и его длину в байтах. Следующий вызов создаёт 2048-битный ключ DSA с шифрованием с именем MyKey:

mysql> SELECT keyring_key_generate('MyKey', 'DSA', 256);
+-------------------------------------------+
| keyring_key_generate('MyKey', 'DSA', 256) |
+-------------------------------------------+
|                                         1 |
+-------------------------------------------+

Возвращаемое значение 1 указывает на успех. Если ключ не может быть создан, возвращаемое значение равно NULL, и произойдёт ошибка. Одна из причин этого может быть в том, что соответствующий плагин хранения ключей не поддерживает указанную комбинацию типа и длины ключа; см. Раздел 8.4.4.11, «Поддерживаемые типы и длины ключей хранения ключей».

Чтобы иметь возможность проверять тип возвращаемого значения независимо от того, произошла ли ошибка, используйте SELECT ... INTO @var_name и проверьте значение переменной:

mysql> SELECT keyring_key_generate('', '', -1) INTO @x;
ERROR 3188 (HY000): Function 'keyring_key_generate' failed because
underlying keyring service returned an error. Please check if a
keyring plugin is installed and that provided arguments are valid
for the keyring you are using.
mysql> SELECT @x;
+------+
| @x   |
+------+
| NULL |
+------+
mysql> SELECT keyring_key_generate('x', 'AES', 16) INTO @x;
mysql> SELECT @x;
+------+
| @x   |
+------+
|    1 |
+------+

Этот метод также применим к другим функциям хранения ключей, которые при ошибке возвращают значение и сообщение об ошибке.

Идентификатор, переданный в keyring_key_generate(), предоставляет способ ссылки на ключ в последующих вызовах функций. Например, используйте идентификатор ключа для получения его типа как строки или его длины в байтах как целого числа:

mysql> SELECT keyring_key_type_fetch('MyKey');
+---------------------------------+
| keyring_key_type_fetch('MyKey') |
+---------------------------------+
| DSA                             |
+---------------------------------+
mysql> SELECT keyring_key_length_fetch('MyKey');
+-----------------------------------+
| keyring_key_length_fetch('MyKey') |
+-----------------------------------+
|                               256 |
+-----------------------------------+

Чтобы получить значение ключа, передайте идентификатор ключа функции keyring_key_fetch(). В следующем примере используется HEX() для отображения значения ключа, так как оно может содержать непечатаемые символы. В примере также используется короткий ключ для краткости, но имейте в виду, что более длинные ключи обеспечивают лучшую безопасность:

mysql> SELECT keyring_key_generate('MyShortKey', 'DSA', 8);
+----------------------------------------------+
| keyring_key_generate('MyShortKey', 'DSA', 8) |
+----------------------------------------------+
|                                            1 |
+----------------------------------------------+
mysql> SELECT HEX(keyring_key_fetch('MyShortKey'));
+--------------------------------------+
| HEX(keyring_key_fetch('MyShortKey')) |
+--------------------------------------+
| 1DB3B0FC3328A24C                     |
+--------------------------------------+

Функции хранения ключей обрабатывают идентификаторы, типы и значения ключей как двоичные строки, поэтому сравнения чувствительны к регистру. Например, идентификаторы MyKey и mykey относятся к разным ключам.

Чтобы удалить ключ, передайте его идентификатор функции keyring_key_remove():

mysql> SELECT keyring_key_remove('MyKey');
+-----------------------------+
| keyring_key_remove('MyKey') |
+-----------------------------+
|                           1 |
+-----------------------------+

Чтобы зашифровать и сохранить предоставленный вами ключ, передайте идентификатор, тип и значение ключа функции keyring_key_store():

mysql> SELECT keyring_key_store('AES_key', 'AES', 'Secret string');
+------------------------------------------------------+
| keyring_key_store('AES_key', 'AES', 'Secret string') |
+------------------------------------------------------+
|                                                    1 |
+------------------------------------------------------+

Как указано ранее, пользователь должен обладать глобальным правом доступа EXECUTE для вызова функций хранения ключей, и пользователь, который первоначально сохраняет ключ в хранилище, должен быть тем же пользователем, который выполняет последующие операции с ключом позже, как определяется значением CURRENT_USER() для каждого вызова функции. Для разрешения операций с ключами пользователям, которые не обладают глобальным правом доступа EXECUTE или которые могут не быть владельцем ключа, воспользуйтесь этим методом:

Этот метод позволяет ключам быть общими для пользователей и предоставляет администраторам баз данных более тонкую настройку управления тем, кто может что делать с ключами, без необходимости предоставления глобальных прав.

Следующий пример показывает, как настроить общий ключ с именем SharedKey, принадлежащий администратору базы данных, и хранимую функцию get_shared_key(), которая обеспечивает доступ к текущему значению ключа. Значение может быть получено любым пользователем с правом доступа EXECUTE для этой функции, которая создана в схеме key_schema.

Из учётной записи администратора MySQL ('root'@'localhost' в данном примере) создайте административную схему и хранимую функцию для доступа к ключу:

mysql> CREATE SCHEMA key_schema;

mysql> CREATE DEFINER = 'root'@'localhost'
       FUNCTION key_schema.get_shared_key()
       RETURNS BLOB READS SQL DATA
       RETURN keyring_key_fetch('SharedKey');

Из учётной записи администратора убедитесь, что общий ключ существует:

mysql> SELECT keyring_key_generate('SharedKey', 'DSA', 8);
+---------------------------------------------+
| keyring_key_generate('SharedKey', 'DSA', 8) |
+---------------------------------------------+
|                                           1 |
+---------------------------------------------+

Из учётной записи администратора создайте обычную учётную запись, которому будет предоставлен доступ к ключу:

mysql> CREATE USER 'key_user'@'localhost'
       IDENTIFIED BY 'key_user_pwd';

Из учётной записи key_user проверьте, что без соответствующего права доступа EXECUTE новая учётная запись не может получить доступ к общему ключу:

mysql> SELECT HEX(key_schema.get_shared_key());
ERROR 1370 (42000): execute command denied to user 'key_user'@'localhost'
for routine 'key_schema.get_shared_key'

Из учётной записи администратора предоставьте право доступа EXECUTE пользователю key_user для хранимой функции:

mysql> GRANT EXECUTE ON FUNCTION key_schema.get_shared_key
       TO 'key_user'@'localhost';

Из учётной записи key_user проверьте, что ключ теперь доступен:

mysql> SELECT HEX(key_schema.get_shared_key());
+----------------------------------+
| HEX(key_schema.get_shared_key()) |
+----------------------------------+
| 9BAFB9E75CEEB013                 |
+----------------------------------+

В этом разделе описывается назначение, последовательность вызова и возвращаемое значение каждой функции кольца ключей общего назначения. Информация об условиях, при которых можно вызывать эти функции, приведена в разделе Использование функций кольца ключей общего назначения.