Mysql enterprise Encryption Faqat tanlangan tijorat nashrlarida mavjud

Ogohlantirish

Shifrlash kalitlarini boshqarish uchun component_keyring_fileva component_keyring_encrypted_filekomponentlari, keyring_fileva keyring_encrypted_fileplaginlari me'yoriy hujjatlarga muvofiqlik yechimi sifatida mo'ljallanmagan. PCI, FIPS va boshqalar kabi xavfsizlik standartlari kalitlar omborida yoki apparat xavfsizlik modullarida (HSM) shifrlash kalitlarini himoya qilish, boshqarish va himoya qilish uchun kalitlarni boshqarish tizimlaridan foydalanishni talab qiladi.

Xavfsiz va mustahkam shifrlash kalitlarini boshqarish yechimi xavfsizlik va turli xavfsizlik standartlariga muvofiqligi uchun juda muhimdir. Ma'lumotni dam olishda shifrlash xususiyati markazlashtirilgan kalitlarni boshqarish yechimidan foydalanganda, bu xususiyat " MySQL Enterprise Transparent Data Encryption (TDE) " deb nomlanadi .

Ma'lumotni dam olishda shifrlash xususiyati Kengaytirilgan shifrlash standarti (AES) blokiga asoslangan shifrlash algoritmini qo'llab-quvvatlaydi. U jadval maydoni kalitlarini shifrlash uchun Elektron kod kitobi (ECB) blok shifrlash rejimidan va ma'lumotlarni shifrlash uchun Cipher Block Chaining (CBC) blok shifrlash rejimidan foydalanadi.

Dam olish vaqtidagi maʼlumotlarni shifrlash funksiyasi haqida tez-tez beriladigan savollar uchun “MySQL 8.0 tez-tez soʻraladigan savollar: InnoDB maʼlumotlarini dam olishda shifrlash ” A.17 boʻlimiga qarang .

Shifrlash uchun zarur shartlar

• 
  Keyring komponenti yoki plagin ishga tushirilganda o'rnatilishi va sozlanishi kerak. Erta yuklash komponent yoki plaginni InnoDBsaqlash mexanizmi ishga tushirilgunga qadar mavjud bo'lishini ta'minlaydi . Kalitlarni o'rnatish va sozlash bo'yicha ko'rsatmalar uchun 6.4.4 bo'limiga qarang , "MySQL kalitlari" . Ko'rsatmalar tanlangan komponent yoki plaginning faolligini qanday ta'minlash kerakligini ko'rsatadi.
  

Bir vaqtning o'zida faqat bitta kalit komponent yoki plagin yoqilgan bo'lishi kerak. Bir nechta kalit komponentlar yoki plaginlarni yoqish qo'llab-quvvatlanmaydi va natijalar kutilgandek bo'lmasligi mumkin.

Muhim

MySQL misolida shifrlangan jadval maydonlari yaratilgandan so'ng, shifrlangan jadval maydonini yaratishda yuklangan kalitlar komponenti yoki plagin ishga tushirilganda ham yuklanishi kerak. Bu bajarilmasa, serverni ishga tushirishda va InnoDBqayta tiklashda xatolar yuzaga keladi .

• 
  Ishlab chiqarish maʼlumotlarini shifrlashda asosiy shifrlash kalitini yoʻqotmaslik choralarini koʻrganingizga ishonch hosil qiling. Agar asosiy shifrlash kaliti yo'qolsa, shifrlangan jadval maydoni fayllarida saqlangan ma'lumotlarni qayta tiklab bo'lmaydi. Agar siz component_keyring_fileyoki component_keyring_encrypted_filekomponentidan yoki keyring_fileyoki keyring_encrypted_fileplaginidan foydalansangiz, birinchi shifrlangan jadval maydonini yaratgandan so'ng, asosiy kalitni aylantirishdan oldin va asosiy kalitni aylantirishdan so'ng darhol kalitlar ma'lumotlari faylining zaxira nusxasini yarating. Har bir komponent uchun uning konfiguratsiya fayli ma'lumotlar fayli joylashuvini ko'rsatadi. keyring_file_data Konfiguratsiya variant uchun Anahtarlık ma'lumotlar fayli o'rnini belgilaydi keyring_fileplagin. The keyring_encrypted_file_data konfiguratsiya opsiyasi keyring_encrypted_fileplagin uchun kalitlar ma'lumotlari fayli joylashuvini belgilaydi . Agar siz keyring_okvyoki keyring_awsplagindan foydalansangiz , kerakli konfiguratsiyani bajarganingizga ishonch hosil qiling. Ko'rsatmalar uchun 6.4.4 bo'limiga qarang , "MySQL kalitlari" .
  

Sxemalar va umumiy jadval maydonlari uchun standart shifrlashni aniqlash

MySQL 8.0.16 dan boshlab, default_table_encryptiontizim o'zgaruvchisi sxemalar va umumiy jadval maydonlari uchun standart shifrlash sozlamalarini belgilaydi. CREATE TABLESPACEva CREATE SCHEMAamallar band aniq ko'rsatilmagan default_table_encryptionbo'lsa , sozlamani qo'llaydi ENCRYPTION.

ALTER SCHEMAva ALTER TABLESPACEoperatsiyalar default_table_encryptionsozlamani qo'llamaydi . An ENCRYPTIONgap mavjud bo'lgan diagramma yoki umumiy megabaytlarda shifrlashni o'zgartirish uchun ochiq ko'rsatilgan bo'lishi kerak.

default_table_encryption O'zgaruvchan yordamida global individual mijoz ulanish uchun belgilangan yoki mumkin SET sintaksisi. Masalan, quyidagi ibora global miqyosda standart sxema va jadval maydoni shifrlashni faollashtiradi:

mysql> SET GLOBAL default_table_encryption=ON;

Sxema uchun standart shifrlash sozlamalari DEFAULT ENCRYPTIONushbu misoldagi kabi sxemani yaratish yoki o'zgartirishda band yordamida ham aniqlanishi mumkin :

mysql> CREATE SCHEMA test DEFAULT ENCRYPTION = 'Y';

Agar DEFAULT ENCRYPTIONsxemani yaratishda band ko'rsatilmagan bo'lsa, default_table_encryptionsozlama qo'llaniladi. DEFAULT ENCRYPTIONGap mavjud bo'lgan diagramma ko'rsatuv shifrlash o'zgartirish uchun belgilangan bo'lishi kerak. Aks holda, sxema joriy shifrlash sozlamalarini saqlab qoladi.

Odatiy bo'lib, jadval o'zi yaratilgan sxema yoki umumiy jadval maydonining shifrlash sozlamalarini meros qilib oladi. Masalan, shifrlash yoqilgan sxemada yaratilgan jadval sukut bo'yicha shifrlangan. Ushbu xatti-harakat DBA ga sxema va umumiy jadval maydoni shifrlash standartlarini aniqlash va qo'llash orqali jadval shifrlashdan foydalanishni boshqarish imkonini beradi.

Shifrlashning standart sozlamalari table_encryption_privilege_check tizim oʻzgaruvchisini yoqish orqali amalga oshiriladi . Qachon table_encryption_privilege_check yoqilgan yaratish yoki farq, deb bir shifrlash mo'ljallangan bilan diagramma yoki umumiy jadval o'zgartirish bo'lsa, bir imtiyoz nazorati tashkil default_table_encryptionmo'ljallangan, yoki yaratish yoki shifrlash mo'ljallangan bilan suhbati o'zgartirish deb Standart diagramma shifrlash farq qiladi. Qachon table_encryption_privilege_check o'chirilgan bo'lsa (standart), imtiyozlarni tekshirish amalga oshirilmaydi va avval aytib o'tilgan operatsiyalarga ogohlantirish bilan davom etishga ruxsat beriladi.

TABLE_ENCRYPTION_ADMIN Imtiyoz qachon default shifrlash parametrlarini bekor qilish talab qilinadi table_encryption_privilege_check yoqilgan. DBA ushbu imtiyozni foydalanuvchiga default_table_encryptionsxema yoki umumiy jadval maydonini yaratish yoki oʻzgartirish vaqtida sozlamalardan chetga chiqish yoki jadval yaratish yoki oʻzgartirishda standart sxema shifrlashdan chetga chiqish imkonini berish uchun berishi mumkin . Ushbu imtiyoz jadvalni yaratish yoki o'zgartirishda umumiy jadval maydonini shifrlashdan chetga chiqishga ruxsat bermaydi. Jadval o'zi joylashgan umumiy jadval maydoni bilan bir xil shifrlash sozlamalariga ega bo'lishi kerak.

Jadval uchun fayl jadvallarini shifrlash

MySQL 8.0.16 dan boshlab, agar bayonotda ENCRYPTIONband aniq ko'rsatilmagan bo'lsa, har bir jadval uchun fayl jadval maydoni jadval yaratilgan sxemaning standart shifrlanishini meros qilib oladi CREATE TABLE. MySQL 8.0.16 dan oldin ENCRYPTIONshifrlashni yoqish uchun band ko'rsatilishi kerak.

mysql> CREATE TABLE t1 (c1 INT) ENCRYPTION = 'Y';

Mavjud faylning har bir jadval maydonining shifrlanishini o'zgartirish uchun ENCRYPTIONband ko'rsatilishi kerak.

mysql> ALTER TABLE t1 ENCRYPTION = 'Y';

MySQL 8.0.16 dan boshlab, agar table_encryption_privilege_check o'zgaruvchi yoqilgan bo'lsa, ENCRYPTION standart sxema shifrlashdan farq qiladigan sozlamali bandni ko'rsatish TABLE_ENCRYPTION_ADMINimtiyozni talab qiladi . Sxemalar va umumiy jadval maydonlari uchun standart shifrlashni belgilashga qarang .

Umumiy jadval maydoni shifrlash

MySQL 8.0.16 dan boshlab, default_table_encryptionagar bayonotda ENCRYPTIONband aniq ko'rsatilmagan bo'lsa , o'zgaruvchi yangi yaratilgan umumiy jadval maydonining shifrlanishini aniqlaydi CREATE TABLESPACE. MySQL 8.0.16 dan oldin ENCRYPTION shifrlashni yoqish uchun band belgilanishi kerak.

mysql> CREATE TABLESPACE `ts1` ADD DATAFILE 'ts1.ibd' ENCRYPTION = 'Y' Engine=InnoDB;

Mavjud umumiy jadval maydonining shifrlanishini o'zgartirish uchun ENCRYPTIONband ko'rsatilishi kerak.

mysql> ALTER TABLESPACE ts1 ENCRYPTION = 'Y';

MySQL 8.0.16 dan boshlab, agar table_encryption_privilege_check o'zgaruvchi yoqilgan bo'lsa, ENCRYPTION sozlamadan farq qiladigan sozlama bilan bandni ko'rsatish imtiyozni default_table_encryptiontalab qiladi TABLE_ENCRYPTION_ADMIN. Sxemalar va umumiy jadval maydonlari uchun standart shifrlashni belgilashga qarang .

Ikki marta yozish faylni shifrlash

Ikki marta yozish fayllari uchun shifrlash yordami MySQL 8.0.23 da mavjud. InnoDBshifrlangan jadval maydonlariga tegishli bo'lgan ikki marta yozish fayl sahifalarini avtomatik ravishda shifrlaydi. Hech qanday harakat talab qilinmaydi. Doublewrite fayl sahifalari tegishli jadval maydonining shifrlash kaliti yordamida shifrlangan. Jadval maydoni ma'lumotlar fayliga yozilgan bir xil shifrlangan sahifa, shuningdek, doublewrite fayliga ham yoziladi. Shifrlanmagan jadval maydoniga tegishli Doublewrite fayl sahifalari shifrlanmagan holda qoladi.

Qayta tiklash jarayonida shifrlangan doublewrite fayl sahifalari shifrlanmagan va buzilishlar uchun tekshiriladi.

mysql tizimi jadval maydoni shifrlash

mysqlTizim jadval maydoni uchun shifrlashni qo'llab-quvvatlash MySQL 8.0.16 dan boshlab mavjud.

mysqlTizim jadval ichiga olgan mysqltizim ma'lumotlar bazasini va MySQL ma'lumotlar lug'at jadvallarni. U sukut bo'yicha shifrlanmagan. mysqlTizim jadval maydoni uchun shifrlashni yoqish ENCRYPTIONuchun ALTER TABLESPACEbayonotda jadval maydoni nomini va variantni belgilang .

mysql> ALTER TABLESPACE mysql ENCRYPTION = 'Y';

mysqlTizim jadval maydoni uchun shifrlashni o'chirish ENCRYPTION = 'N'uchun ALTER TABLESPACEbayonot yordamida o'rnating .

mysql> ALTER TABLESPACE mysql ENCRYPTION = 'N';

mysql Tizim jadval maydoni uchun shifrlashni yoqish yoki o'chirish misoldagi CREATE TABLESPACEbarcha jadvallar uchun imtiyozni talab qiladi ( CREATE TABLESPACE on *.*).

Log shifrlashni takrorlang

Qayta tiklash jurnali ma'lumotlarini shifrlash innodb_redo_log_encrypt konfiguratsiya opsiyasi yordamida yoqilgan . Qayta tiklash jurnalini shifrlash sukut bo'yicha o'chirilgan.

Jadvallar maydoni ma'lumotlarida bo'lgani kabi, jurnal ma'lumotlarini shifrlash takrorlash jurnali ma'lumotlari diskka yozilganda sodir bo'ladi va shifrni ochish qayta ishlash jurnali ma'lumotlari diskdan o'qilganda sodir bo'ladi. Qayta tiklash jurnali ma'lumotlari xotiraga o'qilgach, u shifrlanmagan shaklda bo'ladi. Qayta tiklash jurnali ma'lumotlari jadval maydoni shifrlash kaliti yordamida shifrlanadi va shifrdan chiqariladi.

Qachon innodb_redo_log_encryptyoqilgan, diskda mavjud shifrlanmagan Redo log sahifalar shifrlanmagan holda qoladi, va yangi Redo log sahifalar shifrlangan shaklda diskka yoziladi. Xuddi shunday, agar innodb_redo_log_encrypto'chirilgan bo'lsa, diskda mavjud bo'lgan shifrlangan takrorlash jurnali sahifalari shifrlangan bo'lib qoladi va yangi takrorlash jurnali sahifalari shifrlanmagan shaklda diskka yoziladi.

Qayta tiklash jurnali shifrlash metamaʼlumotlari, shu jumladan jadval maydoni shifrlash kaliti birinchi qayta tiklash jurnali faylining ( ib_logfile0) sarlavhasida saqlanadi . Agar bu fayl o'chirilsa, jurnalni qayta shifrlash o'chirib qo'yiladi.

Qayta tiklash jurnalini shifrlash yoqilgandan so'ng, kalitlar komponenti yoki plaginsiz yoki shifrlash kalitisiz normal qayta ishga tushirish mumkin emas, chunki InnoDBishga tushirish vaqtida sahifalarni qayta skanerlash imkoniyatiga ega bo'lishi kerak, agar qayta tiklash jurnali sahifalari shifrlangan bo'lsa, bu mumkin emas. Kalit halqasi komponenti yoki plagin yoki shifrlash kalitisiz faqat qayta tiklash jurnallarisiz ( SRV_FORCE_NO_LOG_REDO) majburiy ishga tushirish mumkin. 15.21.3 bo'limiga qarang , "InnoDB tiklashni majburlash" .

Jurnal shifrlashni bekor qilish

Qayta tiklash jurnali maʼlumotlarini shifrlash innodb_undo_log_encrypt konfiguratsiya opsiyasi yordamida yoqilgan . Bekor qilish jurnali shifrlash bekor qilish jadvallarida joylashgan jurnallarni bekor qilish uchun amal qiladi . 15.6.3.4-bo'limga qarang , “Jadval bo'shliqlarini bekor qilish” . Bekor qilish jurnali maʼlumotlarini shifrlash sukut boʻyicha oʻchirib qoʻyilgan.

Jadval maydoni ma'lumotlarida bo'lgani kabi, bekor qilish jurnali ma'lumotlarini shifrlash bekor qilish jurnali ma'lumotlari diskka yozilganda sodir bo'ladi va shifrni ochish diskdan bekor qilingan jurnal ma'lumotlari o'qilganda sodir bo'ladi. Bekor qilish jurnali ma'lumotlari xotiraga o'qilgach, u shifrlanmagan shaklda bo'ladi. Bekor qilish jurnali ma'lumotlari jadval maydoni shifrlash kaliti yordamida shifrlanadi va shifrdan chiqariladi.

Qachon innodb_undo_log_encryptyoqilgan, diskda mavjud shifrlanmagan undo log sahifalar shifrlanmagan holda qoladi, va yangi undo log sahifalar shifrlangan shaklda diskka yoziladi. Xuddi shunday, agar innodb_undo_log_encrypto'chirilgan bo'lsa, diskda mavjud bo'lgan shifrlangan bekor qilish jurnali sahifalari shifrlangan bo'lib qoladi va yangi bekor qilish jurnali sahifalari shifrlanmagan shaklda diskka yoziladi.

Bekor qilish jurnali shifrlash metamaʼlumotlari, jumladan jadval maydoni shifrlash kaliti bekor qilish jurnali faylining sarlavhasida saqlanadi.

Eslatma

Bekor qilish jurnalini shifrlash o'chirilgan bo'lsa, server shifrlangan bekor qilish jurnali ma'lumotlarini o'z ichiga olgan bekor qilish jadvallari bo'shliqlari kesilmaguncha, bekor qilish jurnali ma'lumotlarini shifrlash uchun ishlatiladigan kalit komponenti yoki plaginni talab qilishda davom etadi. (Shifrlash sarlavhasi faqat bekor qilish jadvali maydoni qisqartirilganda bekor qilingan jadval maydonidan olib tashlanadi.) Jadval boʻshliqlarini bekor qilish haqida maʼlumot olish uchun Jadval boʻshliqlarini bekor qilish boʻlimiga qarang .

Asosiy kalitni aylantirish

Asosiy shifrlash kaliti vaqti-vaqti bilan va kalit buzilganligiga shubha qilganingizda aylantirilishi kerak.

Asosiy kalitni aylantirish atomik, misol darajasidagi operatsiyadir. Asosiy shifrlash kaliti har safar aylantirilganda, MySQL misolidagi barcha jadval maydoni kalitlari qayta shifrlanadi va tegishli jadval maydoni sarlavhalariga saqlanadi. Atom operatsiyasi sifatida, aylantirish operatsiyasi boshlangandan so'ng, qayta shifrlash barcha jadval maydoni kalitlari uchun muvaffaqiyatli bo'lishi kerak. Agar asosiy kalitning aylanishi server xatosi tufayli to'xtatilsa InnoDB, server qayta ishga tushirilganda operatsiya oldinga siljiydi. Qo'shimcha ma'lumot olish uchun Shifrlash va tiklash ga qarang .

Asosiy shifrlash kalitini aylantirish faqat asosiy shifrlash kalitini o'zgartiradi va jadval maydoni kalitlarini qayta shifrlaydi. U bog'langan jadval maydoni ma'lumotlarini shifrlamaydi yoki qayta shifrlamaydi.

Asosiy shifrlash kalitini aylantirish uchun ENCRYPTION_KEY_ADMINimtiyoz (yoki eskirgan SUPERimtiyoz) talab qilinadi.

Asosiy shifrlash kalitini aylantirish uchun quyidagilarni bajaring:

mysql> ALTER INSTANCE ROTATE INNODB MASTER KEY;

ALTER INSTANCE ROTATE INNODB MASTER KEYbir vaqtning o'zida DML ni qo'llab-quvvatlaydi. Biroq, uni jadval maydonini shifrlash operatsiyalari bilan bir vaqtda ishga tushirish mumkin emas va bir vaqtning o'zida bajarish natijasida yuzaga kelishi mumkin bo'lgan nizolarni oldini olish uchun qulflar olinadi. Agar ALTER INSTANCE ROTATE INNODB MASTER KEYoperatsiya ishlayotgan bo'lsa, u jadval maydonini shifrlash operatsiyasini davom ettirishdan oldin tugashi kerak va aksincha.

Shifrlash va tiklash

Agar shifrlash operatsiyasi paytida server xatosi yuzaga kelsa, server qayta ishga tushirilganda operatsiya oldinga siljiydi. Umumiy jadval maydonlari uchun shifrlash operatsiyasi oxirgi qayta ishlangan sahifadan orqa fonda davom ettiriladi.

Agar asosiy kalitni aylantirish paytida server xatosi yuzaga kelsa, InnoDBserverni qayta ishga tushirishda operatsiya davom etadi.

Keyring komponenti yoki plagin xotira mexanizmi ishga tushirilishidan oldin yuklanishi kerak, shunda jadval maydoni maʼlumotlari sahifalarining shifrini ochish uchun zarur boʻlgan maʼlumotlar jadvallar maydoni maʼlumotlariga kirishdan oldin InnoDBishga tushirish va tiklash harakatlaridan oldin jadval maydoni sarlavhalaridan olinishi mumkin . (Qarang: Shifrlash shartlari .)

Qachon InnoDBishga tushirish va qayta tiklash boshlaydi, master asosiy aylanish operatsiya davom ettiradi. Serverning ishlamay qolishi sababli, ba'zi jadval maydoni kalitlari allaqachon yangi asosiy shifrlash kaliti yordamida shifrlangan bo'lishi mumkin. InnoDBhar bir jadval maydoni sarlavhasidan shifrlash ma'lumotlarini o'qiydi va agar ma'lumotlar jadval maydoni kaliti eski asosiy shifrlash kaliti yordamida shifrlanganligini ko'rsatsa InnoDB, eski kalitni kalit zanjiridan oladi va undan jadval maydoni kalitini shifrlash uchun foydalanadi. InnoDBkeyin yangi asosiy shifrlash kaliti yordamida jadval maydoni kalitini qayta shifrlaydi va qayta shifrlangan jadval maydoni kalitini yana jadval maydoni sarlavhasiga saqlaydi.

Shifrlangan jadval maydonlarini eksport qilish

Jadvallar maydonini eksport qilish faqat jadval maydoni uchun fayl uchun qo'llab-quvvatlanadi.

Shifrlangan jadval eksport bo'lsa, InnoDBbir hosil transfer kaliti jadval kalit shifrlash uchun ishlatiladi. Shifrlangan jadval maydoni kaliti va uzatish kaliti tablespace_name.cfp faylda saqlanadi . Ushbu fayl shifrlangan jadval maydoni fayli bilan birgalikda import operatsiyasini bajarish uchun talab qilinadi. Import InnoDBqilishda tablespace_name.cfp fayldagi jadval maydoni kalitini shifrlash uchun uzatish kalitidan foydalanadi . Tegishli ma'lumot uchun 15.6.1.3 bo'limiga qarang , "InnoDB jadvallarini import qilish" .

Shifrlash va replikatsiya

• 
  ALTER INSTANCE ROTATE INNODB MASTER KEYTasdiqlash faqat manba va nusxa MySQL deb qo'llab-quvvatlaydi jadval shifrlash versiyasini ishga replikatsiya muhitda qo'llab-quvvatlanadi.
  
• 
  Muvaffaqiyatli ALTER INSTANCE ROTATE INNODB MASTER KEYbayonotlar replikalarda takrorlash uchun ikkilik jurnalga yoziladi.
  
• 
  Agar ALTER INSTANCE ROTATE INNODB MASTER KEYbayonot bajarilmasa, u ikkilik jurnalga kiritilmaydi va replikatsiyalarda takrorlanmaydi.
  
• 
  ALTER INSTANCE ROTATE INNODB MASTER KEYKeyring komponenti yoki plagin manbaga oʻrnatilgan boʻlsa-da, replikada oʻrnatilmagan boʻlsa, operatsiyani takrorlash muvaffaqiyatsiz tugadi.
  
• 
  Agar keyring_fileyoki keyring_encrypted_fileplagin manbada ham, replikada ham o'rnatilgan bo'lsa-da, lekin replikada kalitlar ma'lumotlari fayli bo'lmasa, replikatsiya ALTER INSTANCE ROTATE INNODB MASTER KEYiborasi kalitlar fayli ma'lumotlari xotirada keshlanmagan deb hisoblab, replikada kalitlar ma'lumotlari faylini yaratadi. ALTER INSTANCE ROTATE INNODB MASTER KEYagar mavjud bo'lsa, xotirada keshlangan kalit fayl ma'lumotlaridan foydalanadi.
  

Shifrlangan jadval maydonlari va sxemalarini aniqlash

INFORMATION_SCHEMA.INNODB_TABLESPACES MySQL 8.0.13 joriy stol, bir o'z ichiga oladi ENCRYPTIONshifrlangan açabilmek aniqlash uchun foydalanish mumkin ustunini.

mysql> SELECT SPACE, NAME, SPACE_TYPE, ENCRYPTION FROM INFORMATION_SCHEMA.INNODB_TABLESPACES

WHERE ENCRYPTION='Y'\G

*************************** 1. row ***************************

SPACE: 4294967294

NAME: mysql

SPACE_TYPE: General

ENCRYPTION: Y

*************************** 2. row ***************************

SPACE: 2

NAME: test/t1

SPACE_TYPE: Single

ENCRYPTION: Y

*************************** 3. row ***************************

SPACE: 3

NAME: ts1

SPACE_TYPE: General

ENCRYPTION: Y

Qachon ENCRYPTIONvariant A belgilangan bo'ladi CREATE TABLEyoki ALTER TABLEbayonotida, u qayd etiladi CREATE_OPTIONSustuniga INFORMATION_SCHEMA.TABLES. Ushbu ustunga shifrlangan fayl-jadval jadval maydonlarida joylashgan jadvallarni aniqlash uchun so'rash mumkin.

mysql> SELECT TABLE_SCHEMA, TABLE_NAME, CREATE_OPTIONS FROM INFORMATION_SCHEMA.TABLES

WHERE CREATE_OPTIONS LIKE '%ENCRYPTION%';

+--------------+------------+----------------+

| TABLE_SCHEMA | TABLE_NAME | CREATE_OPTIONS |

+--------------+------------+----------------+

| test | t1 | ENCRYPTION="Y" |

+--------------+------------+----------------+

INFORMATION_SCHEMA.INNODB_TABLESPACES Muayyan sxema va jadval bilan bog'langan jadval maydoni haqida ma'lumot olish uchun so'rov .

mysql> SELECT SPACE, NAME, SPACE_TYPE FROM INFORMATION_SCHEMA.INNODB_TABLESPACES WHERE NAME='test/t1';

+-------+---------+------------+

| SPACE | NAME | SPACE_TYPE |

+-------+---------+------------+

| 3 | test/t1 | Single |

+-------+---------+------------+

INFORMATION_SCHEMA.SCHEMATAJadvalni so'rash orqali shifrlash yoqilgan sxemalarni aniqlashingiz mumkin .

mysql> SELECT SCHEMA_NAME, DEFAULT_ENCRYPTION FROM INFORMATION_SCHEMA.SCHEMATA

WHERE DEFAULT_ENCRYPTION='YES';

+-------------+--------------------+

| SCHEMA_NAME | DEFAULT_ENCRYPTION |

+-------------+--------------------+

| test | YES |

+-------------+--------------------+

SHOW CREATE SCHEMADEFAULT ENCRYPTIONbandini ham ko‘rsatadi .

Shifrlash jarayonini kuzatish

Ishlash sxemasidanmysql foydalanib, umumiy jadval maydoni va tizim jadval maydoni shifrlash jarayonini kuzatishingiz mumkin .

stage/innodb/alter tablespace (encryption) Bosqichi tadbir vositasi hisobotlar WORK_ESTIMATED va WORK_COMPLETEDumumiy jadval shifrlash operatsiyalar uchun ma'lumot.

Quyidagi misolda stage/innodb/alter tablespace (encryption) umumiy jadval maydoni yoki mysqltizim jadval maydoni shifrlash jarayonini kuzatish uchun sahna hodisasi vositasi va tegishli iste'molchi jadvallarini qanday yoqish mumkinligi ko'rsatilgan . Ishlash sxemasi bosqichi hodisalari asboblari va tegishli iste'molchilar haqida ma'lumot olish uchun 27.12.5 bo'limiga qarang , "Ishlash sxemasi bosqichi voqealar jadvallari" .

1. 
   Asbobni yoqing stage/innodb/alter tablespace (encryption):
   
2. 
   mysql> USE performance_schema;
   
3. 
   mysql> UPDATE setup_instruments SET ENABLED = 'YES'
   

WHERE NAME LIKE 'stage/innodb/alter tablespace (encryption)';

4. 
   Sahna hodisasi iste'molchi jadvallarini yoqing, jumladan events_stages_current, events_stages_history, va events_stages_history_long.
   

mysql> UPDATE setup_consumers SET ENABLED = 'YES' WHERE NAME LIKE '%stages%';

5. 
   Jadval maydonini shifrlash operatsiyasini bajaring. Ushbu misolda umumiy jadval maydoni ts1shifrlangan.
   

mysql> ALTER TABLESPACE ts1 ENCRYPTION = 'Y';

6. 
   Ishlash sxemasi events_stages_currentjadvalini so'rash orqali shifrlash jarayonining borishini tekshiring . WORK_ESTIMATEDjadval maydonidagi umumiy sahifalar sonini bildiradi. WORK_COMPLETED qayta ishlangan sahifalar sonini bildiradi.
   
7. 
   mysql> SELECT EVENT_NAME, WORK_ESTIMATED, WORK_COMPLETED FROM events_stages_current;
   
8. 
   +--------------------------------------------+----------------+----------------+
   
9. 
   | EVENT_NAME | WORK_COMPLETED | WORK_ESTIMATED |
   
10. 
    +--------------------------------------------+----------------+----------------+
    
11. 
    | stage/innodb/alter tablespace (encryption) | 1056 | 1407 |
    

+--------------------------------------------+----------------+----------------+

events_stages_currentShifrlash jarayoni yakunlandi, agar jadval bo'sh majmui beradi. Bunday holda, events_stages_historytugallangan operatsiya uchun voqea ma'lumotlarini ko'rish uchun jadvalni tekshirishingiz mumkin . Masalan:

mysql> SELECT EVENT_NAME, WORK_COMPLETED, WORK_ESTIMATED FROM events_stages_history;

+--------------------------------------------+----------------+----------------+

| EVENT_NAME | WORK_COMPLETED | WORK_ESTIMATED |

+--------------------------------------------+----------------+----------------+

| stage/innodb/alter tablespace (encryption) | 1407 | 1407 |

+--------------------------------------------+----------------+----------------+

Shifrlashdan foydalanish bo'yicha eslatmalar

• 
  Mavjud fayl-jadval maydonini ENCRYPTIONparametr bilan o'zgartirganda to'g'ri rejalashtirish . Jadvallar bo'ylab faylda joylashgan jadvallar COPYalgoritm yordamida qayta tiklanadi . INPLACEO'zgartirish qachon algoritm ishlatiladi ENCRYPTIONumumiy megabaytlarda yoki özniteliğini mysqltizimi megabaytlarda. INPLACEAlgoritm umumiy megabaytlarda istiqomat jadvallar ustida bir vaqtda DML beradi. Bir vaqtda DDL bloklangan.
  
• 
  Umumiy jadval maydoni yoki mysql tizim jadval maydoni shifrlanganda, jadval maydonida joylashgan barcha jadvallar shifrlanadi. Xuddi shunday, shifrlangan jadval maydonida yaratilgan jadval shifrlangan.
  
• 
  Agar server normal ishlayotganda chiqsa yoki to'xtatilsa, serverni avval sozlangan shifrlash sozlamalari yordamida qayta ishga tushirish tavsiya etiladi.
  
• 
  Birinchi asosiy shifrlash kaliti birinchi yangi yoki mavjud jadval maydoni shifrlanganda yaratiladi.
  
• 
  Asosiy kalitni aylantirish jadvallar maydoni kalitlarini qayta shifrlaydi, lekin jadval maydoni kalitining o'zini o'zgartirmaydi. Jadval maydoni kalitini o'zgartirish uchun shifrlashni o'chirib qo'yish va qayta yoqish kerak. Jadval maydoniga fayl uchun jadval maydonini qayta shifrlash ALGORITHM=COPYjadvalni qayta tiklaydigan operatsiya hisoblanadi. Umumiy jadval maydonlari va mysqltizim jadval maydoni uchun ALGORITHM=INPLACEbu jadval maydonida joylashgan jadvallarni qayta tiklashni talab qilmaydigan operatsiya.
  
• 
  Agar jadval ikkala COMPRESSION va ENCRYPTION parametrlari bilan yaratilgan bo'lsa , siqish jadval maydoni ma'lumotlarini shifrlashdan oldin amalga oshiriladi.
  
• 
  Agar kalit halqasi ma'lumotlar fayli ( keyring_file_datayoki nomi bilan nomlangan fayl keyring_encrypted_file_data) bo'sh yoki yo'q bo'lsa, birinchi bajarilishi ALTER INSTANCE ROTATE INNODB MASTER KEYasosiy shifrlash kalitini yaratadi.
  
• 
  Olib tashlash, component_keyring_fileyoki component_keyring_encrypted_filekomponenti mavjud mijozlarga shartlari ma'lumotlar faylini olib tashlash emas. Olib tashlash, keyring_fileyoki keyring_encrypted_filemavjud bo'lgan keyring'leri ma'lumotlar faylini olib tashlash emas plagin.
  
• 
  Keyring ma'lumotlar faylini jadvallar ma'lumotlari fayllari bilan bir xil katalog ostiga joylashtirmaslik tavsiya etiladi.
  
• 
  Ishlash vaqtida yoki serverni qayta ishga tushirganda keyring_file_datayoki keyring_encrypted_file_datasozlamani o'zgartirish, avval shifrlangan jadval maydonlariga kirish imkonsiz bo'lib qolishi va ma'lumotlarning yo'qolishiga olib kelishi mumkin.
  
• 
  InnoDB FULLTEXTIndeks qo'shilganda bilvosita yaratilgan indeks jadvallari uchun shifrlash qo'llab-quvvatlanadi FULLTEXT, lekin indeks faqat FULLTEXTshifrlangan umumiy jadval maydonida joylashgan jadvalda yaratilgan bo'lsa . Bunday holda, FULLTEXTindeks jadvallari bir xil shifrlangan umumiy jadval maydonida yaratiladi. Tegishli ma'lumot uchun InnoDB to'liq matnli indeks jadvallariga qarang .
  

Shifrlash cheklovlari

• 
  Kengaytirilgan shifrlash standarti (AES) yagona qo'llab-quvvatlanadigan shifrlash algoritmidir. InnoDBjadvallar maydonini shifrlashda jadval maydoni kalitlarini shifrlash uchun Elektron kod kitobi (ECB) blok shifrlash rejimi va ma’lumotlarni shifrlash uchun Cipher Block Chaining (CBC) blok shifrlash rejimidan foydalanadi. CBC blokli shifrlash rejimi bilan to'ldirish ishlatilmaydi. Buning o'rniga, InnoDBshifrlanadigan matn blok o'lchamiga ko'p bo'lishini ta'minlaydi.
  
• 
  Shifrlash faqat fayl-jadval jadval maydonlari, umumiy jadval maydonlari va mysqltizim jadval maydoni uchun qo'llab-quvvatlanadi . Umumiy jadval maydonlari uchun shifrlash yordami MySQL 8.0.13 da joriy qilingan. mysqlTizim jadval maydoni uchun shifrlashni qo'llab-quvvatlash MySQL 8.0.16 dan boshlab mavjud. Boshqa jadval maydoni turlari, jumladan, InnoDB tizim jadval maydoni uchun shifrlash qo'llab-quvvatlanmaydi .
  
• 
  Jadvalni shifrlangan fayldan jadval maydoni, umumiy jadval maydoni yoki mysqltizim jadval maydonidan shifrlashni qo'llab-quvvatlamaydigan jadval maydoni turiga ko'chira olmaysiz yoki nusxa ko'chira olmaysiz .
  
• 
  Jadvalni shifrlangan jadval maydonidan shifrlanmagan jadval maydoniga ko'chira olmaysiz yoki nusxa ko'chira olmaysiz. Biroq, jadvalni shifrlanmagan jadval maydonidan shifrlangan joyga ko'chirishga ruxsat beriladi. Masalan, jadvalni shifrlanmagan fayldan bitta jadval yoki umumiy jadval maydonidan shifrlangan umumiy jadval maydoniga ko'chirishingiz yoki nusxalashingiz mumkin .
  
• 
  Odatiy bo'lib, jadval maydoni shifrlash faqat jadval maydonidagi ma'lumotlar uchun amal qiladi. Jurnalni qayta tiklash va bekor qilish jurnali ma'lumotlarini yoqish innodb_redo_log_encryptva yoqish orqali shifrlash mumkin innodb_undo_log_encrypt. Qarang Redo Kirish shifrlash va Undo Kirish shifrlash . Ikkilik jurnal fayli va relay jurnali faylini shifrlash haqida ma'lumot olish uchun 17.3.2 bo'limiga qarang , "Ikkilik jurnali fayllari va relay jurnali fayllarini shifrlash" .
  
• 
  Shifrlangan jadval maydonida joylashgan yoki ilgari joylashgan jadvalning saqlash mexanizmini o'zgartirishga ruxsat berilmaydi.
  

MySQL Enterprise Transparent Data Encryption (TDE)

Faqat tanlangan tijorat nashrlarida mavjud

MySQL Enterprise Transparent Data Encryption (TDE) maʼlumotlar bazasida dam olish vaqtidagi maʼlumotlarni shifrlashni yoqish orqali muhim maʼlumotlaringizni himoya qiladi. Bu sizning ma'lumotlaringiz maxfiyligini himoya qiladi, ma'lumotlar buzilishining oldini oladi va tartibga solish talablariga javob beradi, jumladan:

• 
  Toʻlov kartalari sanoati maʼlumotlar xavfsizligi standarti (PCI DSS)
  
• 
  Sog'liqni saqlash sug'urtasi portativligi va javobgarligi to'g'risidagi qonun (HIPAA)
  
• 
  Umumiy ma'lumotlarni himoya qilish qoidalari (GDPR)
  
• 
  Kaliforniya iste'molchilar huquqlarini himoya qilish qonuni (CCPA)
  
• 
  Va yana