このセクションでは、keyring_udf プラグインも含むプラグインライブラリファイルに実装されているキーリングユーザー定義関数 (UDF) をインストールまたはアンインストールする方法について説明します。 プラグインおよび UDF のインストールまたはアンインストールの一般情報は、セクション5.6.1「プラグインのインストールおよびアンインストール」 および セクション5.7.1「ユーザー定義関数のインストールおよびアンインストール」 を参照してください。

キーリング UDF を使用すると、キーリングキー管理操作が可能になりますが、UDF が正しく機能しないため、keyring_udf プラグインもインストールする必要があります。 keyring_udf プラグインなしで UDF を使用しようとすると、エラーが発生します。

サーバーで使用できるようにするには、プラグインライブラリファイルを MySQL プラグインディレクトリ (plugin_dir システム変数で指定されたディレクトリ) に配置する必要があります。 必要に応じて、サーバーの起動時に plugin_dir の値を設定してプラグインディレクトリの場所を構成します。

プラグインライブラリファイルのベース名は keyring_udf です。 ファイル名の接尾辞は、プラットフォームごとに異なります (たとえば、.so for Unix and Unix-like systems, .dll for Windows)。

keyring_udf プラグインおよび UDF をインストールするには、必要に応じてプラットフォームの .so 接尾辞を調整して、INSTALL PLUGIN および CREATE FUNCTION ステートメントを使用します:

INSTALL PLUGIN keyring_udf SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_generate RETURNS INTEGER
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_fetch RETURNS STRING
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_length_fetch RETURNS INTEGER
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_type_fetch RETURNS STRING
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_store RETURNS INTEGER
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_remove RETURNS INTEGER
  SONAME 'keyring_udf.so';

プラグインと UDF がソースレプリケーションサーバーで使用されている場合は、レプリケーションの問題を回避するために、それらをすべてのレプリカにインストールします。

前述のようにインストールすると、プラグインと UDF はアンインストールされるまでインストールされたままになります。 これらを削除するには、UNINSTALL PLUGIN および DROP FUNCTION ステートメントを使用します:

UNINSTALL PLUGIN keyring_udf;
DROP FUNCTION keyring_key_generate;
DROP FUNCTION keyring_key_fetch;
DROP FUNCTION keyring_key_length_fetch;
DROP FUNCTION keyring_key_type_fetch;
DROP FUNCTION keyring_key_store;
DROP FUNCTION keyring_key_remove;

キーリングユーザー定義関数 (UDF) を使用する前に、汎用キーリング関数のインストールまたはアンインストール の指示に従ってインストールします。

キーリング UDF には、次の制約があります:

新しいランダムキーを作成してキーリングに格納するには、キータイプ (暗号化メソッド) およびその長さ (バイト単位) とともに、keyring_key_generate() をコールしてキーの ID を渡します。 次のコールは、MyKey という名前の 2,048-bit DSA 暗号化キーを作成します:

mysql> SELECT keyring_key_generate('MyKey', 'DSA', 256);
+-------------------------------------------+
| keyring_key_generate('MyKey', 'DSA', 256) |
+-------------------------------------------+
|                                         1 |
+-------------------------------------------+

戻り値 1 は成功を示します。 キーを作成できない場合、戻り値は NULL であり、エラーが発生します。 これは、基礎となるキーリングプラグインが、指定された鍵タイプと鍵長の組み合わせをサポートしていないことが原因である可能性があります。セクション6.4.4.8「サポートされているキーリングキーのタイプと長さ」 を参照してください。

エラーが発生したかどうかに関係なく戻り型をチェックできるようにするには、SELECT ... INTO @var_name を使用して変数値をテストします:

mysql> SELECT keyring_key_generate('', '', -1) INTO @x;
ERROR 3188 (HY000): Function 'keyring_key_generate' failed because
underlying keyring service returned an error. Please check if a
keyring plugin is installed and that provided arguments are valid
for the keyring you are using.
mysql> SELECT @x;
+------+
| @x   |
+------+
| NULL |
+------+
mysql> SELECT keyring_key_generate('x', 'AES', 16) INTO @x;
mysql> SELECT @x;
+------+
| @x   |
+------+
|    1 |
+------+

この手法は、失敗した場合に値とエラーを返す他のキーリング UDF にも適用されます。

keyring_key_generate() に渡される ID は、後続の UDF コールでキーを参照する手段を提供します。 たとえば、キー ID を使用して、そのタイプを文字列またはバイト単位の長さとして整数として取得します:

mysql> SELECT keyring_key_type_fetch('MyKey');
+---------------------------------+
| keyring_key_type_fetch('MyKey') |
+---------------------------------+
| DSA                             |
+---------------------------------+
mysql> SELECT keyring_key_length_fetch('MyKey');
+-----------------------------------+
| keyring_key_length_fetch('MyKey') |
+-----------------------------------+
|                               256 |
+-----------------------------------+

キー値を取得するには、キー ID を keyring_key_fetch() に渡します。 次の例では、印刷できない文字が含まれている可能性があるため、HEX() を使用してキー値を表示します。 この例では、簡潔にするために短いキーも使用していますが、長いキーを使用するとセキュリティが向上することに注意してください:

mysql> SELECT keyring_key_generate('MyShortKey', 'DSA', 8);
+----------------------------------------------+
| keyring_key_generate('MyShortKey', 'DSA', 8) |
+----------------------------------------------+
|                                            1 |
+----------------------------------------------+
mysql> SELECT HEX(keyring_key_fetch('MyShortKey'));
+--------------------------------------+
| HEX(keyring_key_fetch('MyShortKey')) |
+--------------------------------------+
| 1DB3B0FC3328A24C                     |
+--------------------------------------+

キーリング UDF では、キー ID、タイプおよび値がバイナリ文字列として扱われるため、比較では大/小文字が区別されます。 たとえば、MyKey と mykey の ID は異なるキーを参照します。

キーを削除するには、キー ID を keyring_key_remove() に渡します:

mysql> SELECT keyring_key_remove('MyKey');
+-----------------------------+
| keyring_key_remove('MyKey') |
+-----------------------------+
|                           1 |
+-----------------------------+

指定したキーを不明瞭化して格納するには、キー ID、タイプおよび値を keyring_key_store() に渡します:

mysql> SELECT keyring_key_store('AES_key', 'AES', 'Secret string');
+------------------------------------------------------+
| keyring_key_store('AES_key', 'AES', 'Secret string') |
+------------------------------------------------------+
|                                                    1 |
+------------------------------------------------------+

前述のように、ユーザーはキーリング UDF をコールするためのグローバル EXECUTE 権限を持っている必要があり、キーリングにキーを最初に格納するユーザーは、UDF コールごとに有効な CURRENT_USER() 値から決定される、後でキーに対して後続の操作を実行するユーザーと同じである必要があります。 グローバル EXECUTE 権限を持たないユーザー、またはキー 「owner,」ではないユーザーにキー操作を許可するには、次の方法を使用します:

この手法を使用すると、キーをユーザー間で共有でき、グローバル権限を付与せずに、誰がキーを使用して何を実行できるかを DBA がよりきめ細かく制御できます。

次の例は、DBA が所有する SharedKey という名前の共有キーと、現在のキー値へのアクセスを提供する get_shared_key() ストアドファンクションの設定方法を示しています。 この値は、key_schema スキーマに作成された、その関数に対する EXECUTE 権限を持つすべてのユーザーが取得できます。

MySQL 管理アカウント (この例では'root'@'localhost') から、キーにアクセスするための管理スキーマおよびストアドファンクションを作成します:

mysql> CREATE SCHEMA key_schema;

mysql> CREATE DEFINER = 'root'@'localhost'
       FUNCTION key_schema.get_shared_key()
       RETURNS BLOB READS SQL DATA
       RETURN keyring_key_fetch('SharedKey');

管理アカウントから、共有キーが存在することを確認します:

mysql> SELECT keyring_key_generate('SharedKey', 'DSA', 8);
+---------------------------------------------+
| keyring_key_generate('SharedKey', 'DSA', 8) |
+---------------------------------------------+
|                                           1 |
+---------------------------------------------+

管理アカウントから、キーアクセス権を付与する通常のユーザーアカウントを作成します:

mysql> CREATE USER 'key_user'@'localhost'
       IDENTIFIED BY 'key_user_pwd';

key_user アカウントから、適切な EXECUTE 権限がない場合、新しいアカウントが共有キーにアクセスできないことを確認します:

mysql> SELECT HEX(key_schema.get_shared_key());
ERROR 1370 (42000): execute command denied to user 'key_user'@'localhost'
for routine 'key_schema.get_shared_key'

管理アカウントから、ストアドファンクションの EXECUTE を key_user に付与します:

mysql> GRANT EXECUTE ON FUNCTION key_schema.get_shared_key
       TO 'key_user'@'localhost';

key_user アカウントから、キーにアクセスできるようになったことを確認します:

mysql> SELECT HEX(key_schema.get_shared_key());
+----------------------------------+
| HEX(key_schema.get_shared_key()) |
+----------------------------------+
| 9BAFB9E75CEEB013                 |
+----------------------------------+

このセクションでは、汎用キーリングユーザー定義関数 (UDF) ごとに、その目的、コール順序および戻り値について説明します。 これらの UDF を起動できる条件の詳細は、汎用キーリング関数の使用 を参照してください。