使用 KMIP 密钥状态轮询提升 Percona Server for MongoDB 部署的安全性
内容提要
Percona Server for MongoDB 引入了 KMIP 密钥状态轮询功能，以增强静态数据加密。此功能通过定位受影响的节点并避免不必要的密钥轮换，减少了解决加密密钥泄露事件的时间。即将发布的 Percona Server for MongoDB 版本将包含此功能。
延伸解读
升级到 8.0.0 的关键步骤
从旧版本升级到 8.0.0 时，由于默认启用 activateKeys，启动时会检查主密钥状态。如果密钥处于 Pre-Active 状态，mongod 将启动失败并报错。因此，升级前必须执行一次主密钥轮换：停止 mongod、安装新版本、设置 security.kmip.rotateMasterKey 为 true、启动 mongod 等待轮换完成、移除该选项、再次启动 mongod。轮换只需一次，后续升级无需重复。
补丁版本升级的注意事项
升级到 5.0.28、6.0.17 或 7.0.13 等补丁版本时，如果未显式设置 activateKeys，且启动时检测到主密钥处于 Pre-Active 状态，Percona Server for MongoDB 会记录警告但继续运行。其他非活跃状态（如 Compromised）仍会导致致命错误。因此，补丁升级后不必立即轮换密钥，但建议尽快将密钥转为 Active 状态，以便未来升级到 8.0.0 更顺畅。
密钥状态轮询的适用条件
密钥状态轮询功能仅在主加密密钥存储于 KMIP 服务器时可用。如果使用 HashiCorp Vault 存储密钥，则没有等效功能。此外，该功能依赖 activateKeys 和 keyStatePollingSeconds 配置项，默认每 900 秒检查一次密钥状态。若密钥非活跃，mongod 会记录错误并以退出码 1001 关闭，从而快速定位受影响节点。
Q&A
KMIP 密钥状态轮询功能如何增强 Percona Server for MongoDB 的安全性？
KMIP 密钥状态轮询功能通过定位受影响的节点，避免不必要的主密钥轮换，从而减少了解决加密密钥泄露事件的时间。
如何在 Percona Server for MongoDB 中进行主密钥轮换？
在升级到版本 8.0.0 前，必须先进行主密钥轮换，以确保密钥处于激活状态，具体步骤包括停止 mongod、安装新版本、轮换主密钥等。
Percona Server for MongoDB 支持哪些版本的 KMIP 密钥状态轮询？
KMIP 密钥状态轮询功能将在即将发布的版本 8.0.0 和补丁版本 5.0.28、6.0.17、7.0.13 中支持。
如果发现主密钥泄露，如何快速识别受影响的节点？
可以通过将受影响的密钥转为已泄露状态，受影响的节点会在 15 分钟内自动识别并关闭。
KMIP 密钥的状态分为哪几组？
KMIP 密钥的状态分为三组：预激活、激活和其他状态（如已停用、已泄露等）。
升级到版本 8.0.0 前需要注意什么？
在升级到版本 8.0.0 前，必须先进行主密钥轮换，以确保主密钥处于激活状态。
