如何启用MySQL undo日志加密？配置后未生效问题求助

已在/etc/mysql/mysql.conf.d/encryption.cnf的[mysqld]段中设置innodb_undo_log_encrypt=ON，但该配置似乎未生效，具体情况如下：

• 其他InnoDB表已正常加密
• 依据MySQL文档说明：当启用innodb_undo_log_encrypt时，磁盘上已存在的未加密undo日志页保持未加密，新的undo日志页会以加密形式写入磁盘，但该配置已启用一个月，期间有大量写入操作
• 日志无相关错误信息
• 使用版本：MySQL 8.0.29-0ubuntu0.20.04.3

相关查询及命令输出：

mysql> SELECT space, name, flag, (flag & 8192) AS encrypted FROM INFORMATION_SCHEMA.INNODB_TABLESPACES WHERE NAME LIKE 'innodb_undo_%';
+------------+-----------------+------+-----------+
| space      | name            | flag | encrypted |
+------------+-----------------+------+-----------+
| 4294967279 | innodb_undo_001 |    0 |         0 |
| 4294967278 | innodb_undo_002 |    0 |         0 |
+------------+-----------------+------+-----------+
2 rows in set (0.00 sec)

MySQL> SHOW VARIABLES LIKE "innodb_undo_log_encrypt";
+-------------------------+-------+
| Variable_name           | Value |
+-------------------------+-------+
| innodb_undo_log_encrypt | ON    |
+-------------------------+-------+
1 row in set (0.00 sec)

root@db02:~# zgrep -i undo /var/log/mysql/error.log*
root@db02:~#

1. 验证加密依赖配置 #

innodb_undo_log_encrypt生效需要依赖InnoDB加密体系的完整配置，需确认：

• innodb_encrypt_tables已设为ON或FORCE（虽然其他表已加密，建议再次执行SHOW VARIABLES LIKE 'innodb_encrypt_tables';确认）
• 密钥环插件已正确配置并初始化（比如keyring_file或keyring_encrypted_file），可通过SHOW PLUGINS LIKE 'keyring%';查看插件状态
• innodb_encryption_threads数值大于0（默认是4，执行SHOW VARIABLES LIKE 'innodb_encryption_threads';验证）

2. 理解undo日志加密的实际生效逻辑 #

文档中“新的undo日志页加密”仅针对新写入的页，但现有undo表空间的旧页不会被后台线程自动加密，因此整个表空间的flag字段不会被标记为加密状态。若要让全部undo表空间加密，需手动重建undo表空间：

重建步骤：

1. 在[mysqld]配置段中临时增加innodb_undo_tablespaces=3（当前为2，需设置为更大的数值），保持innodb_undo_log_encrypt=ON不变
2. 重启MySQL服务，等待新的undo表空间innodb_undo_003生成
3. 执行命令标记旧undo表空间为废弃：

   ALTER INSTANCE ROTATE UNDO LOGS;
   

4. 观察旧undo表空间文件不再增长（或通过INFORMATION_SCHEMA.INNODB_TABLESPACES确认状态）后，删除旧的innodb_undo_001和innodb_undo_002文件
5. 若需恢复原有undo表空间数量，可将innodb_undo_tablespaces改回2，再次重启MySQL（可选）

3. 确认查询逻辑的局限性 #

你使用(flag & 8192)判断加密状态是正确的（8192对应SPACE_FLAG_ENCRYPTED标识），但注意：

• 仅当undo表空间从创建时就启用了加密，整个表空间的flag才会包含8192
• 对于启用加密前就存在的undo表空间，即使新页已加密，旧页未加密，flag仍会显示为0

4. 版本相关排查 #

MySQL 8.0.29属于较旧版本，可尝试：

• 临时启用innodb_encrypt_log=ON后重启，部分旧版本中该参数会影响undo日志加密生效
• 查看官方bug库，确认是否存在该版本的undo加密未生效的已知问题，必要时升级到8.0.30及以上版本

内容的提问来源于stack exchange，提问作者Christopher de Vidal