本节介绍如何安装或卸载密钥环函数，这些函数在插件库文件中实现，该文件还包含 keyring_udf 插件。有关安装或卸载插件和可加载函数的一般信息，请参阅 第 7.6.1 节“安装和卸载插件” 和 第 7.7.1 节“安装和卸载可加载函数”。

密钥环函数启用了密钥环密钥管理操作，但 keyring_udf 插件也必须安装，因为没有它这些函数将无法正常工作。尝试在没有 keyring_udf 插件的情况下使用这些函数会导致错误。

为了使服务器可以使用该插件库文件，该文件必须位于 MySQL 插件目录中（由 plugin_dir 系统变量命名的目录）。如有必要，请在服务器启动时设置 plugin_dir 的值来配置插件目录位置。

插件库文件的基本名称是 keyring_udf。文件名后缀因平台而异（例如，Unix 和类 Unix 系统为 .so，Windows 为 .dll）。

要安装 keyring_udf 插件和密钥环函数，请使用 INSTALL PLUGIN 和 CREATE FUNCTION 语句，并根据您的平台调整 .so 后缀：

INSTALL PLUGIN keyring_udf SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_generate RETURNS INTEGER
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_fetch RETURNS STRING
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_length_fetch RETURNS INTEGER
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_type_fetch RETURNS STRING
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_store RETURNS INTEGER
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_remove RETURNS INTEGER
  SONAME 'keyring_udf.so';

如果在源复制服务器上使用该插件和函数，请在所有副本上也安装它们，以避免复制问题。

如上所述安装后，该插件和函数将一直安装，直到卸载为止。要删除它们，请使用 UNINSTALL PLUGIN 和 DROP FUNCTION 语句：

UNINSTALL PLUGIN keyring_udf;
DROP FUNCTION keyring_key_generate;
DROP FUNCTION keyring_key_fetch;
DROP FUNCTION keyring_key_length_fetch;
DROP FUNCTION keyring_key_type_fetch;
DROP FUNCTION keyring_key_store;
DROP FUNCTION keyring_key_remove;

在使用密钥环通用函数之前，请按照 安装或卸载通用密钥环函数 中提供的说明安装它们。

密钥环函数受以下约束：

要创建新的随机密钥并将其存储在密钥环中，请调用 keyring_key_generate()，并将密钥的 ID 以及密钥类型（加密方法）及其长度（以字节为单位）传递给它。以下调用将创建一个名为 MyKey 的 2,048 位 DSA 加密密钥：

mysql> SELECT keyring_key_generate('MyKey', 'DSA', 256);
+-------------------------------------------+
| keyring_key_generate('MyKey', 'DSA', 256) |
+-------------------------------------------+
|                                         1 |
+-------------------------------------------+

返回值 1 表示成功。如果无法创建密钥，则返回值为 NULL 并且会发生错误。造成这种情况的一个原因可能是底层密钥环插件不支持指定的密钥类型和密钥长度组合；请参阅 第 8.4.4.10 节“支持的密钥环密钥类型和长度”。

为了能够检查返回类型（无论是否发生错误），请使用 SELECT ... INTO @var_name 并测试变量值：

mysql> SELECT keyring_key_generate('', '', -1) INTO @x;
ERROR 3188 (HY000): Function 'keyring_key_generate' failed because
underlying keyring service returned an error. Please check if a
keyring plugin is installed and that provided arguments are valid
for the keyring you are using.
mysql> SELECT @x;
+------+
| @x   |
+------+
| NULL |
+------+
mysql> SELECT keyring_key_generate('x', 'AES', 16) INTO @x;
mysql> SELECT @x;
+------+
| @x   |
+------+
|    1 |
+------+

此技术也适用于其他在失败时返回一个值和一个错误的密钥环函数。

传递给 keyring_key_generate() 的 ID 提供了一种在后续函数调用中引用密钥的方法。例如，使用密钥 ID 以字符串形式检索其类型或以整数形式检索其长度（以字节为单位）：

mysql> SELECT keyring_key_type_fetch('MyKey');
+---------------------------------+
| keyring_key_type_fetch('MyKey') |
+---------------------------------+
| DSA                             |
+---------------------------------+
mysql> SELECT keyring_key_length_fetch('MyKey');
+-----------------------------------+
| keyring_key_length_fetch('MyKey') |
+-----------------------------------+
|                               256 |
+-----------------------------------+

要检索密钥值，请将密钥 ID 传递给 keyring_key_fetch()。以下示例使用 HEX() 显示密钥值，因为它可能包含不可打印的字符。该示例还使用了一个短密钥以方便阅读，但请注意，较长的密钥可提供更好的安全性：

mysql> SELECT keyring_key_generate('MyShortKey', 'DSA', 8);
+----------------------------------------------+
| keyring_key_generate('MyShortKey', 'DSA', 8) |
+----------------------------------------------+
|                                            1 |
+----------------------------------------------+
mysql> SELECT HEX(keyring_key_fetch('MyShortKey'));
+--------------------------------------+
| HEX(keyring_key_fetch('MyShortKey')) |
+--------------------------------------+
| 1DB3B0FC3328A24C                     |
+--------------------------------------+

密钥环函数将密钥 ID、类型和值视为二进制字符串，因此比较区分大小写。例如，ID 为 MyKey 和 mykey 的密钥指的是不同的密钥。

要删除密钥，请将密钥 ID 传递给 keyring_key_remove()：

mysql> SELECT keyring_key_remove('MyKey');
+-----------------------------+
| keyring_key_remove('MyKey') |
+-----------------------------+
|                           1 |
+-----------------------------+

要对您提供的密钥进行混淆并存储，请将密钥 ID、类型和值传递给 keyring_key_store()：

mysql> SELECT keyring_key_store('AES_key', 'AES', 'Secret string');
+------------------------------------------------------+
| keyring_key_store('AES_key', 'AES', 'Secret string') |
+------------------------------------------------------+
|                                                    1 |
+------------------------------------------------------+

如前所述，用户必须拥有全局 EXECUTE 权限才能调用密钥环函数，并且最初将密钥存储在密钥环中的用户必须与稍后对密钥执行后续操作的同一用户，这由每个函数调用生效的 CURRENT_USER() 值确定。要允许没有全局 EXECUTE 权限的用户或可能不是密钥““所有者””的用户执行密钥操作，请使用以下技术：

此技术允许在用户之间共享密钥，并为 DBA 提供对谁可以使用密钥执行哪些操作的更细粒度的控制，而无需授予全局权限。

以下示例演示如何设置一个名为 SharedKey 的共享密钥（该密钥归 DBA 所有），以及一个提供对当前密钥值的访问权限的 get_shared_key() 存储函数。任何对该函数具有 EXECUTE 权限的用户都可以检索该值，该函数是在 key_schema 模式中创建的。

从 MySQL 管理帐户（在本例中为 'root'@'localhost'）开始，创建管理模式和用于访问密钥的存储函数：

mysql> CREATE SCHEMA key_schema;

mysql> CREATE DEFINER = 'root'@'localhost'
       FUNCTION key_schema.get_shared_key()
       RETURNS BLOB READS SQL DATA
       RETURN keyring_key_fetch('SharedKey');

从管理帐户开始，确保共享密钥存在：

mysql> SELECT keyring_key_generate('SharedKey', 'DSA', 8);
+---------------------------------------------+
| keyring_key_generate('SharedKey', 'DSA', 8) |
+---------------------------------------------+
|                                           1 |
+---------------------------------------------+

从管理帐户开始，创建一个要向其授予密钥访问权限的普通用户帐户：

mysql> CREATE USER 'key_user'@'localhost'
       IDENTIFIED BY 'key_user_pwd';

从 key_user 帐户开始，验证如果没有适当的 EXECUTE 权限，新帐户将无法访问共享密钥：

mysql> SELECT HEX(key_schema.get_shared_key());
ERROR 1370 (42000): execute command denied to user 'key_user'@'localhost'
for routine 'key_schema.get_shared_key'

从管理帐户开始，向 key_user 授予存储函数的 EXECUTE 权限：

mysql> GRANT EXECUTE ON FUNCTION key_schema.get_shared_key
       TO 'key_user'@'localhost';

从 key_user 帐户开始，验证现在是否可以访问密钥：

mysql> SELECT HEX(key_schema.get_shared_key());
+----------------------------------+
| HEX(key_schema.get_shared_key()) |
+----------------------------------+
| 9BAFB9E75CEEB013                 |
+----------------------------------+

对于每个通用密钥环函数，本节介绍其用途、调用顺序和返回值。有关可以在哪些条件下调用这些函数的信息，请参阅 使用通用密钥环函数。