如何配置MariaDB加密以全速利用硬件资源提升加密速度？

1. 调整加密并行线程参数 #

• 调高加密工作线程数：设置innodb_encryption_threads = 16（匹配AMD EPYC 73F3的16物理核心，可根据实际负载调整为8-32），该参数控制并行处理加密任务的线程数，默认值通常较低（如1或4），无法充分利用多核CPU资源。
• 解除IO限制：设置innodb_encryption_rotation_iops = 0，0表示不限制加密操作的IOPS，让系统充分发挥RAID 6 SSD阵列的读写能力。

2. 优化加密触发逻辑 #

• 批量手动触发加密：编写脚本循环执行ALTER TABLE <table_name> ENCRYPTION='Y';，针对所有未加密表批量操作，同时控制并发执行数量（比如一次执行4-8个ALTER命令），避免单线程逐表处理的低效模式。
• 加快未加密表扫描：设置innodb_encryption_poll_threads = 4，提升后台扫描未加密表的线程数，让系统更快识别需要加密的对象。

3. 消除额外资源消耗 #

• 关闭自动统计更新：临时设置innodb_stats_auto_recalc = OFF，避免后台自动更新表统计信息抢占CPU和IO资源，加密完成后再恢复该配置。
• 优化存储层配置：
  • 确认RAID控制器启用电池备份缓存（BBU），并设置为write-back模式，大幅提升写入性能。
  • 确保SSD已开启TRIM，执行fstrim /mount/point并配置定时任务。
  • 文件系统挂载时添加noatime,nodiratime参数，减少元数据写入开销。

4. 定位瓶颈点 #

• 查看加密状态：执行SHOW ENGINE INNODB STATUS，在BACKGROUND THREAD部分检查加密线程的运行状态，确认是否存在阻塞或等待。
• 监控加密进度：查询information_schema.INNODB_TABLESPACES，通过ENCRYPTION字段（YES/NO）跟踪未加密表的处理情况。
• 验证加密算法：确认innodb_encryption_algorithm = AES-256-GCM，该算法在现代CPU上支持硬件加速，避免使用低效加密算法。

5. 离线加密备选方案 #

若在线加密仍无法达到硬件上限，可考虑离线方案：

• 停止MariaDB服务，使用mysqlbackup工具创建未加密数据的备份，然后恢复到已启用静态加密的实例中，备份恢复过程可利用多线程并行处理，速度远高于在线加密。
• 采用操作系统级加密（如LUKS）直接加密RAID卷，利用内核层面的并行加密能力，性能更接近硬件上限，但需要停机操作。

内容的提问来源于stack exchange，提问作者DenWav