本節說明如何安裝或解除安裝金鑰環功能，這些功能實作於外掛程式庫檔案中，該檔案也包含 keyring_udf 外掛程式。關於安裝或解除安裝外掛程式和可載入函數的一般資訊，請參閱第 7.6.1 節，「安裝和解除安裝外掛程式」，以及第 7.7.1 節，「安裝和解除安裝可載入函數」。

金鑰環函數啟用金鑰環金鑰管理操作，但必須同時安裝 keyring_udf 外掛程式，因為函數在沒有它的情況下無法正常運作。在沒有 keyring_udf 外掛程式的情況下嘗試使用函數會導致錯誤。

為了讓伺服器可以使用，外掛程式庫檔案必須位於 MySQL 外掛程式目錄中（由 plugin_dir 系統變數命名的目錄）。如有必要，請在伺服器啟動時設定 plugin_dir 的值來設定外掛程式目錄位置。

外掛程式庫檔案的基本名稱為 keyring_udf。檔案名稱後綴因平台而異（例如，Unix 和類 Unix 系統為 .so，Windows 為 .dll）。

若要安裝 keyring_udf 外掛程式和金鑰環函數，請使用 INSTALL PLUGIN 和 CREATE FUNCTION 陳述式，並根據您的平台調整 .so 後綴（如有必要）。

INSTALL PLUGIN keyring_udf SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_generate RETURNS INTEGER
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_fetch RETURNS STRING
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_length_fetch RETURNS INTEGER
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_type_fetch RETURNS STRING
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_store RETURNS INTEGER
  SONAME 'keyring_udf.so';
CREATE FUNCTION keyring_key_remove RETURNS INTEGER
  SONAME 'keyring_udf.so';

如果外掛程式和函數用於來源複寫伺服器，請也將它們安裝在所有複本上，以避免複寫問題。

如上述安裝後，外掛程式和函數將保持安裝狀態，直到解除安裝。若要移除它們，請使用 UNINSTALL PLUGIN 和 DROP FUNCTION 陳述式。

UNINSTALL PLUGIN keyring_udf;
DROP FUNCTION keyring_key_generate;
DROP FUNCTION keyring_key_fetch;
DROP FUNCTION keyring_key_length_fetch;
DROP FUNCTION keyring_key_type_fetch;
DROP FUNCTION keyring_key_store;
DROP FUNCTION keyring_key_remove;

在使用金鑰環通用函數之前，請按照安裝或解除安裝通用金鑰環函數中提供的說明安裝它們。

金鑰環函數受限於以下限制：

若要建立新的隨機金鑰並將其儲存在金鑰環中，請呼叫 keyring_key_generate()，並將金鑰的 ID、金鑰類型（加密方法）及其長度（以位元組為單位）傳遞給它。以下呼叫會建立名為 MyKey 的 2,048 位元 DSA 加密金鑰：

mysql> SELECT keyring_key_generate('MyKey', 'DSA', 256);
+-------------------------------------------+
| keyring_key_generate('MyKey', 'DSA', 256) |
+-------------------------------------------+
|                                         1 |
+-------------------------------------------+

傳回值 1 表示成功。如果無法建立金鑰，則傳回值為 NULL，並且會發生錯誤。其中一個可能的原因是底層金鑰環外掛程式不支援指定的金鑰類型和金鑰長度組合；請參閱第 8.4.4.10 節，「支援的金鑰環金鑰類型和長度」。

若要能夠檢查傳回類型，無論是否發生錯誤，請使用 SELECT ... INTO @var_name 並測試變數值：

mysql> SELECT keyring_key_generate('', '', -1) INTO @x;
ERROR 3188 (HY000): Function 'keyring_key_generate' failed because
underlying keyring service returned an error. Please check if a
keyring plugin is installed and that provided arguments are valid
for the keyring you are using.
mysql> SELECT @x;
+------+
| @x   |
+------+
| NULL |
+------+
mysql> SELECT keyring_key_generate('x', 'AES', 16) INTO @x;
mysql> SELECT @x;
+------+
| @x   |
+------+
|    1 |
+------+

此技術也適用於其他在失敗時傳回值和錯誤的金鑰環函數。

傳遞給 keyring_key_generate() 的 ID 提供了一種在後續函數呼叫中參照金鑰的方式。例如，使用金鑰 ID 來擷取其類型（以字串表示）或其長度（以位元組為單位的整數）：

mysql> SELECT keyring_key_type_fetch('MyKey');
+---------------------------------+
| keyring_key_type_fetch('MyKey') |
+---------------------------------+
| DSA                             |
+---------------------------------+
mysql> SELECT keyring_key_length_fetch('MyKey');
+-----------------------------------+
| keyring_key_length_fetch('MyKey') |
+-----------------------------------+
|                               256 |
+-----------------------------------+

若要擷取金鑰值，請將金鑰 ID 傳遞給 keyring_key_fetch()。以下範例使用 HEX() 來顯示金鑰值，因為它可能包含不可列印的字元。該範例也使用短金鑰以求簡潔，但請注意，較長的金鑰會提供更好的安全性：

mysql> SELECT keyring_key_generate('MyShortKey', 'DSA', 8);
+----------------------------------------------+
| keyring_key_generate('MyShortKey', 'DSA', 8) |
+----------------------------------------------+
|                                            1 |
+----------------------------------------------+
mysql> SELECT HEX(keyring_key_fetch('MyShortKey'));
+--------------------------------------+
| HEX(keyring_key_fetch('MyShortKey')) |
+--------------------------------------+
| 1DB3B0FC3328A24C                     |
+--------------------------------------+

金鑰環函數將金鑰 ID、類型和值視為二進位字串，因此比較區分大小寫。例如，MyKey 和 mykey 的 ID 參照不同的金鑰。

若要移除金鑰，請將金鑰 ID 傳遞給 keyring_key_remove()：

mysql> SELECT keyring_key_remove('MyKey');
+-----------------------------+
| keyring_key_remove('MyKey') |
+-----------------------------+
|                           1 |
+-----------------------------+

若要混淆和儲存您提供的金鑰，請將金鑰 ID、類型和值傳遞給 keyring_key_store()：

mysql> SELECT keyring_key_store('AES_key', 'AES', 'Secret string');
+------------------------------------------------------+
| keyring_key_store('AES_key', 'AES', 'Secret string') |
+------------------------------------------------------+
|                                                    1 |
+------------------------------------------------------+

如先前所述，使用者必須擁有全域 EXECUTE 權限才能呼叫金鑰環函數，且最初將金鑰儲存在金鑰環中的使用者，必須與日後對金鑰執行後續操作的使用者相同，這由每個函數呼叫生效的 CURRENT_USER() 值決定。若要允許不具有全域 EXECUTE 權限或可能不是金鑰「擁有者」的使用者執行金鑰操作，請使用此技術：

此技術可讓金鑰在使用者之間共享，並向 DBA 提供更精細的控制，以控制誰可以使用金鑰執行哪些操作，而無需授予全域權限。

以下範例顯示如何設定名為 SharedKey 的共用金鑰（由 DBA 擁有），以及提供存取目前金鑰值的 get_shared_key() 預存函數。任何具有該函數 EXECUTE 權限的使用者都可以擷取該值，該函數是在 key_schema 綱要中建立的。

從 MySQL 管理帳戶（本範例中為 'root'@'localhost'），建立管理綱要和預存函數以存取金鑰：

mysql> CREATE SCHEMA key_schema;

mysql> CREATE DEFINER = 'root'@'localhost'
       FUNCTION key_schema.get_shared_key()
       RETURNS BLOB READS SQL DATA
       RETURN keyring_key_fetch('SharedKey');

從管理帳戶，確保共用金鑰存在：

mysql> SELECT keyring_key_generate('SharedKey', 'DSA', 8);
+---------------------------------------------+
| keyring_key_generate('SharedKey', 'DSA', 8) |
+---------------------------------------------+
|                                           1 |
+---------------------------------------------+

從管理帳戶，建立要授予金鑰存取的普通使用者帳戶：

mysql> CREATE USER 'key_user'@'localhost'
       IDENTIFIED BY 'key_user_pwd';

從 key_user 帳戶，驗證在新帳戶沒有適當的 EXECUTE 權限時，無法存取共用金鑰：

mysql> SELECT HEX(key_schema.get_shared_key());
ERROR 1370 (42000): execute command denied to user 'key_user'@'localhost'
for routine 'key_schema.get_shared_key'

從管理帳戶，將預存函數的 EXECUTE 權限授予 key_user：

mysql> GRANT EXECUTE ON FUNCTION key_schema.get_shared_key
       TO 'key_user'@'localhost';

從 key_user 帳戶，驗證現在可以存取金鑰：

mysql> SELECT HEX(key_schema.get_shared_key());
+----------------------------------+
| HEX(key_schema.get_shared_key()) |
+----------------------------------+
| 9BAFB9E75CEEB013                 |
+----------------------------------+

針對每個通用金鑰環函數，本節說明其用途、呼叫順序和傳回值。關於在哪些條件下可以叫用這些函數的資訊，請參閱使用通用金鑰環函數。