6.4.4.4 使用 keyring_okv KMIP 插件

Note

keyring_okv插件是 MySQL Enterprise Edition(商业产品)中的扩展。要了解有关商品的更多信息，请参阅https://www.mysql.com/products/。

密钥 Management 互操作性协议(KMIP)支持在密钥 Management 服务器及其 Client 端之间进行加密密钥通信。 keyring_okv键环插件使用 KMIP 1.1 协议作为 KMIP 后端的 Client 端进行安全通信。密钥环材料仅由后端生成，而不由keyring_okv生成。该插件可与以下 KMIP 兼容产品一起使用：

keyring_okv插件支持包含标准 MySQL Keyring 服务接口的功能。这些功能执行的密钥环操作可从两个级别访问：

示例(使用 UDF)：

SELECT keyring_key_generate('MyKey', 'AES', 32);
SELECT keyring_key_remove('MyKey');

有关keyring_okv，第 6.4.4.6 节“支持的密钥环密钥类型和长度”允许的密钥类型的信息。

要安装keyring_okv插件，请使用第 6.4.4.1 节“安装 Keyring 插件”中的常规密钥环安装说明以及此处找到的keyring_okv特定的配置信息。

常规 keyring_okv 配置

不管keyring_okv插件使用哪个 KMIP 后端进行密钥环存储，keyring_okv_conf_dir系统变量都会配置keyring_okv用于其支持文件的目录位置。默认值为空，因此在插件可以与 KMIP 后端进行通信之前，必须将变量设置为正确配置的目录。除非您这样做，否则keyring_okv会在服务器启动期间将错误消息写入错误日志中：

[Warning] Plugin keyring_okv reported: 'For keyring_okv to be
initialized, please point the keyring_okv_conf_dir variable to a directory
containing Oracle Key Vault configuration file and ssl materials'

keyring_okv_conf_dir变量必须命名包含以下各项的目录：

okvclient.ora文件和ssl目录以及证书和密钥文件都是keyring_okv正常工作所必需的。使用这些文件填充配置目录的过程取决于keyring_okv所使用的 KMIP 后端，如其他地方所述。

keyring_okv用作其支持文件的位置的配置目录应具有限制性模式，并且只能由用于运行 MySQL 服务器的帐户访问。例如，在 Unix 和类似 Unix 的系统上，要使用/usr/local/mysql/mysql-keyring-okv目录，以下命令(执行为root)创建目录并设置其模式和所有权：

cd /usr/local/mysql
mkdir mysql-keyring-okv
chmod 750 mysql-keyring-okv
chown mysql mysql-keyring-okv
chgrp mysql mysql-keyring-okv

为了在服务器启动过程中可用，必须使用--early-plugin-load选项加载keyring_okv。另外，设置keyring_okv_conf_dir系统变量以告诉keyring_okv在哪里可以找到其配置目录。例如，在服务器my.cnf文件中使用这些行，并根据需要调整平台的.so后缀和目录位置：

[mysqld]
early-plugin-load=keyring_okv.so
keyring_okv_conf_dir=/usr/local/mysql/mysql-keyring-okv

有关keyring_okv_conf_dir的其他信息，请参见第 6.4.4.11 节，“密钥环系统变量”。

为 Oracle Key Vault 配置 keyring_okv

此处的讨论假定您熟悉 Oracle Key Vault。一些相关的信息来源：

在 Oracle Key Vault 术语中，使用 Oracle Key Vault 存储和检索安全性对象的 Client 端称为端点。要与 Oracle Key Vault 通信，必须注册为端点并通过下载和安装端点支持文件进行注册。

以下过程简要总结了设置keyring_okv以与 Oracle Key Vault 一起使用的过程：

使用以下过程将keyring_okv和 Oracle Key Vault 配置为协同工作。该描述仅总结了如何与 Oracle Key Vault 进行交互。有关详细信息，请访问Oracle Key 保管库网站，并查阅《 Oracle Key VaultManagement 指南》。

java -jar okvclient.jar -d dir_name [-v]

-d选项后的目录名称是安装提取文件的位置。 -v选项(如果提供)会导致生成日志信息，如果命令失败，该信息可能会很有用。

当命令要求提供 Oracle Key Vault 端点密码时，请勿提供密码。而是按 Enter。 (结果是，端点连接到 Oracle Key Vault 时不需要密码.)

install_dir/conf/okvclient.ora

文件内容包括如下所示的行：

SERVER=host_ip:port_num
STANDBY_SERVER=host_ip:port_num

keyring_okv插件尝试与由SERVER变量命名的主机上运行的服务器进行通信，如果失败则回退到STANDBY_SERVER：

STANDBY_SERVER=127.0.0.1:5696

okvutil/bin/okvutil list

输出应如下所示：

Unique ID                               Type            Identifier
255AB8DE-C97F-482C-E053-0100007F28B9	Symmetric Key	-
264BF6E0-A20E-7C42-E053-0100007FB29C	Symmetric Key	-

对于新的 Oracle Key Vault 服务器(其中没有任何密钥的服务器)，输出看起来像这样，以 table 明 Vault 中没有密钥：

no objects found

jar xf okvclient.jar ssl

完成上述步骤后，重新启动 MySQL 服务器。它加载keyring_okv插件，而keyring_okv使用其配置目录中的文件与 Oracle Key Vault 通信。

为金雅拓 SafeNet KeySecure 设备配置 keyring_okv

金雅拓 SafeNet KeySecure 设备使用 KMIP 协议(版本 1.1 或 1.2)。从 MySQL 5.7.18 开始，keyring_okv密钥环插件(支持 KMIP 1.1)可以使用 KeySecure 作为其 KMIP 后端来存储密钥环。

使用以下过程将keyring_okv和 KeySecure 配置为可一起使用。该描述仅总结了如何与 KeySecure 进行交互。有关详细信息，请查阅KeySecure 用户指南中名为“添加 KMIP 服务器”的部分。

SERVER=host_ip:port_num
STANDBY_SERVER=host_ip:port_num

例如，如果 KeySecure 在主机 198.51.100.20 上运行并在端口 9002 上侦听，则okvclient.ora文件如下所示：

SERVER=198.51.100.20:9002
STANDBY_SERVER=198.51.100.20:9002

tar zxvf csr_w_pk_pkcs8.gz

提取操作产生两个文件：certificate_request.pem和private_key_pkcs8.pem。

openssl pkcs8 -in private_key_pkcs8.pem -out key.pem

完成上述步骤后，重新启动 MySQL 服务器。它加载keyring_okv插件，而keyring_okv使用其配置目录中的文件与 KeySecure 通信。

为 Townsend Alliance 密钥 Management 器配置 keyring_okv

汤森 union 密钥 Management 器使用 KMIP 协议。 keyring_okv密钥环插件可以使用 Alliance Key Manager 作为其 KMIP 后端来存储密钥环。有关更多信息，请参见MySQLunion 密钥 Management 器。

密码保护 keyring_okv 密钥文件

从 MySQL 5.7.20 开始，您可以选择使用密码保护密钥文件，并提供一个包含密码的文件以使密钥文件能够被解密。为此，请将位置更改为ssl目录，然后执行以下步骤：

shell> openssl rsa -des3 -in key.pem -out key.pem.new
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:

shell> openssl rsa -in key.pem.new -passin file:password.txt
首页