标签：href 还需 str lang mysql 主从 err table lib install
本文主要讲述了如何在主从复制的过程中使用SSL进行加密，还有binlog加密（MySQL 8.0.14+）的实现。
MySQL 8.0.25Docker先拉取镜像并启动，主库3306，从库3307，还需要加上--ssl参数，以开启SSL加密连接的功能：
docker pull mysql
docker run -itd -p 3306:3306 -e MYSQL_ROOT_PASSWORD=123456 --name mysql-master mysql --ssl
docker run -itd -p 3307:3306 -p 33061:33060 -e MYSQL_ROOT_PASSWORD=123456 --name mysql-slave mysql --ssl
启动容器之后进入容器并安装vim和net-tools：
apt install vim net-tools
同时进入MySQL准备好数据源：
create database test;
use test;
create table user(
id int primary key auto_increment,
name varchar(30) not null,
age int not null
);
SSL连接准备SSL开启首先可以进入MySQL确保SSL功能开启：
show variables like ‘%ssl%‘;
CA和私钥默认情况下，在/var/lib/mysql下已经有生成的证书和私钥文件，如果不想用默认的，可以重新生成：
sudo mkdir /mysql
sudo chown mysql:mysql /mysql
mysql_ssl_rsa_setup --datadir=/mysql
生成的文件包括：
ca-key.pem：CA私钥ca.pem：自签名的CA证书client-key.pem：客户端连接时使用的私钥client-cert.pem：客户端连接时使用的证书server-key.pem：服务器端私钥server-cert.pem：服务器端证书public_key.pem/private_key.pem：密钥对的公钥和私钥实际使用只需要用到ca.pem、服务端私钥证书、客户端私钥证书这五个文件。由于主从复制的时候，主库作为服务端，从库作为客户端，因此ca.pem/server-key.pem/server-client.pem只需要在主库中配置，而ca.pem/client-key.pem/client-cert.pem需要通过scp传到从库中。
权限错误会导致MySQL无法正常使用SSL的功能：
sudo chown mysql:mysql /mysql/*.pem
sudo chmod 400 /mysql/*.pem
sudo chmod 444 /mysql/ca.pem
修改主库的配置文件，如下所示：
[mysqld]
ssl_ca=/mysql/ca.pem
ssl_cert=/mysql/server-cert.pem
ssl_key=/mysql/server-key.pem
而从库配置文件 修改如下：
[client]
ssl-ca=/mysql/ca.pem
ssl-cert=/mysql/client-cert.pem
ssl-key=/mysql/client-key.pem
此时从库是没办法连接自己的，只能连接主库，如果需要连接自己，需要将主库的server-key.pem/server-cert.pem拷贝到从库中，并配置从库的[mysqld]：
[mysqld]
ssl_ca=/mysql/ca.pem
ssl_cert=/mysql/server-cert.pem
ssl_key=/mysql/server-key.pem
下面是一些主从复制的最常规最简单的配置，主库仅配置了id和需要复制的库：
[mysqld]
server-id=1
binlog-do-db=test
从库的配置如下：
[mysqld]
server-id=2
replicate-do-db=test
修改完后重启主库和从库。
在主库中创建主从复制的用户（具体ip请使用ifconfig查看）：
create user ‘repl‘@‘172.17.0.3‘ identified with mysql_native_password by ‘123456‘ require ssl;
grant replication slave on *.* to ‘repl‘@‘172.17.0.3‘;
首先查看主库的状态：
show master status;
把File和Position记录下来，并在从库中使用change master to/change replication source to（8.0.23+）设置主库信息：
change master to
master_host = ‘172.17.0.2‘,
master_user = ‘repl‘,
master_password = ‘123456‘,
master_log_file = ‘binlog.000005‘,
master_log_pos = 156,
master_ssl = 1;
或
change replication source to
source_host = ‘172.17.0.2‘,
source_user = ‘repl‘,
source_password = ‘123456‘,
source_log_file = ‘binlog.000005‘,
source_log_pos = 156;
source_ssl = 1;
可以使用start slave/start replica（8.0.22+）启动从库开启复制功能：
start slave
# 或
start replica
启动完成后使用
show slave stauts\G
查看从库状态：
需要显示两个Yes才算成功，如果Slave_IO_Running一直显示Connecting，可能原因是：
SSL配置错误，比如使用了错误的client-key.pem请查看日志自行检查，日志位置可通过
show variables like ‘log_error‘
查看。
没有问题后，尝试在主库中插入数据：
use test;
insert into user values(‘111‘,1);
在从库中就可以查询到了：
use test;
select * from user;
binlog的加密从8.0.14开始，MySQL提供了对binlog的加密功能，默认情况下，binlog是没有加密的，加密需要使用keyring插件或者组件：
实现步骤如下：
keyring_file插件MySQL提供了以下插件的安装：
由于使用的是社区版，社区版只支持keyring_file插件，以此为例。
主库和从库修改配置文件如下：
[mysqld]
early-plugin-load=keyring_file.so
keyring_file_data=/mysql/keyring
重启后，进入MySQL查看：
select plugin_name,plugin_status from information_schema.plugins where plugin_name like ‘keyring%‘;
需要处于ACTIVE状态，这样就是成功了。
binlog的加密通过一个系统变量binlog_encryption控制，需要手动开启：
set global binlog_encryption=ON;
set persist binlog_encryption=ON;
开启后查看日志：
show binary logs;
可以看到是加密了的binlog：
而之前没有加密的binlog可以手动迁移数据后进行删除。
加密完binlog后并不需要修改主从复制的配置，主从复制依然生效，如下图所示：
主库插入了一个用户从库依然能select到。
如果觉得文章好看，欢迎点赞。
同时欢迎关注微信公众号：氷泠之路。
标签：href 还需 str lang mysql 主从 err table lib install
原文地址：https://www.cnblogs.com/6b7b5fc3/p/14934557.html
