Percona XtraDB Cluster 中的 GCache 和 Record-Set 缓存加密——第二部分
内容提要
本文介绍了Percona XtraDB Cluster中的数据静态加密的实现原理和功能。通过使用GCache和Record-Set缓存加密，实现了在内存中对数据进行加密。同时介绍了RAM页面缓存的使用和加密密钥的管理和更新。
延伸解读
加密缓存的内存与磁盘权衡
文章指出，加密缓存使用相对较小的RAM页面池作为虚拟内存的后端，而底层文件可能远大于物理内存。这种设计通过mmap和SIGSEGV信号处理实现按需解密，避免了全量数据常驻内存。读者需注意，缓存大小和页面大小参数直接影响性能：页面越小加解密越快，但换页可能更频繁；页面越大加解密越慢，但若应用访问集中则减少换页。
密钥管理与重启恢复
每个文件使用独立的文件密钥加密。对于短生命周期的off-page文件，密钥不存储；但GCache RingBuffer文件需要重启后解密，因此其文件密钥用主密钥加密后存储在文件头中。主密钥保存在服务器的Keyring组件中，可通过ALTER INSTANCE ROTATE GCACHE MASTER KEY随时轮换。若使用Keyring File组件测试，密钥文件必须放在数据目录之外，否则SST脚本会将其删除，导致主密钥丢失。
性能调优参数解析
文章介绍了两个关键参数：gcache.encryption_cache_page_size（或allocator.encryption_cache_page_size）控制加密页面大小，gcache.encryption_cache_size（或allocator.encryption_cache_size）控制加密缓存使用的物理RAM大小。调整页面大小时需权衡加解密速度与换页频率；调整缓存大小时需平衡内存占用与换页开销。这些参数允许根据可用资源进行灵活配置。
Q&A
Percona XtraDB Cluster中的数据静态加密是如何实现的？
数据静态加密通过GCache和Record-Set缓存加密实现，允许在内存中对数据进行加密。
GCache和Record-Set缓存加密的主要功能是什么？
它们通过API与客户端应用程序交互，实现内存中的数据加密，避免文件I/O操作。
如何管理和更新加密密钥？
每个文件使用其文件密钥进行加密，主密钥存储在服务器的Keyring组件中，可以随时旋转。
在Percona XtraDB Cluster中，如何处理未映射的页面？
访问未映射的页面时，会触发SIGSEGV信号处理程序，进行页面映射和解密。
加密缓存的页面大小和数量如何控制？
可以通过gcache.encryption_cache_page_size和gcache.encryption_cache_size参数控制加密页面的大小和数量。
使用Keyring文件组件时需要注意什么？
密钥文件必须存储在数据目录之外，以避免被SST脚本删除。
