mysql - 将 MySQL Enterprise 加密 key 存储在 Azure Key Vault 中

Question

MySQL Server 企业版与 Hashicorp 集成以加密静态数据。加密 key 存储在 HashiCorp 保险库中，如 MySQL documentation 中所述。 .

基于 HashiCorp 文档 [1] [2] ，我们可以使用 Azure Key Vault 来存储 secret 。

是否可以集成 MySQL - HashiCorp - Azure Key Vault 所以

• MySQL 企业版使用 HashiCorp 加密
• 加密 key 存储在 AKV 中。

编辑更多细节:我已经在 kv(Hashicop) 保险库中保存和读取 MySQL 加密 key 。但我想配置为从 Azure Key Vault 读取和存储此 key 。

像这样配置 MySQL 服务器:

[mysqld]

early-plugin-load=keyring_hashicorp.so

keyring_hashicorp_role_id='XXXXXXXX-XXXXXXXX-XXXXXXXX-XXXXXXXX-XXXXXXXX'

keyring_hashicorp_secret_id='XXXXXXXX-XXXXXXXX-XXXXXXXX-XXXXXXXX-XXXXXXXX'
keyring_hashicorp_store_path='/azure/mysql'

在 Azure 中，我已经设置了

vault read azure/creds/my-role
Key                Value
---                -----
lease_id           azure/creds/my-role/XXXXXXXX
lease_duration     1h
lease_renewable    true
client_id          XXXXXXXX-XXXXXXXX-XXXXXXXX-XXXXXXXX
client_secret      XXXXXXXX

如何设置 keyring_hashicorp_store_path 以从 Azure 获取 key ？

我找不到任何配置选项、教程或文档来使这三者一起工作。

Answer 1

是的，这是可能的。我假设您的意思是为 HashiCorp Vault 存储一些开封 key ，用于在您需要访问 key 时开封保管库……以及您想将这些开封 key 存储在另一个保管库(如 Azure Key Vault)中的位置？与任何 Key Vault 一样，您几乎可以存储任何 key 、值，甚至是一些您想要的小文本文档，直到达到金库的最大安全加密范围的限制(请参阅每个服务单独提供的加密 key 存储的文档，或寻求他们的支持)

重要的是要注意 MySQL 的 HashiCorp 插件也这样说:

After these AppRole role ID and secret ID credentials are generated, they are expected to remain valid indefinitely. They need not be generated again and the keyring_hashicorp plugin can be configured with them for use on an ongoing basis. For more information about AuthRole authentication, visit https://www.vaultproject.io/docs/auth/approle.html.