MariaDB 10.5使用file_key_management时innodb_system密钥如何轮换

问题原因说明 #

你之前的操作失败是两个已知的版本差异和对象属性问题：

1. ALTER TABLE innodb_system encryption_key_id=3 报错是因为innodb_system是InnoDB共享系统表空间，不属于任何数据库，不属于普通表对象，无法使用ALTER TABLE语法修改加密属性。
2. ALTER INSTANCE ROTATE INNODB MASTER KEY 是MySQL专属的InnoDB主密钥轮换语法，MariaDB的静态TDE实现逻辑与MySQL不同，不支持该语法。

正确操作步骤 #

MariaDB 10.5 专门提供了系统表空间加密密钥的修改参数，全程在线操作无需重启实例：

1. 首先确认你/etc/mysql/keyfile.enc中已经存在ID为3的有效密钥（从你其他表已经使用ID=3密钥的情况来看，这一步已经满足）
2. 执行全局变量修改语句，指定innodb_system表空间使用的目标密钥ID：

SET GLOBAL innodb_system_encryption_key_id = 3;

3. 触发后台密钥轮换
   你当前配置里innodb_encryption_rotate_key_age = 1已经符合要求，后台加密线程会自动识别系统表空间的密钥更新需求，按照你设置的innodb_encryption_rotation_iops = 3000速率执行后台重加密。
4. 验证结果
   等待几分钟后（取决于系统表空间的大小），执行查询语句确认：

SELECT NAME,CURRENT_KEY_ID FROM information_schema.INNODB_TABLESPACES_ENCRYPTION WHERE NAME = 'innodb_system';

返回的CURRENT_KEY_ID变为3即代表轮换成功。

异常排查 #

如果长时间未更新密钥ID，可通过以下方式定位问题：

• 执行SHOW PROCESSLIST查看innodb_encryption线程是否处于运行状态
• 查看MariaDB错误日志，确认是否存在密钥文件读取、权限相关的报错

内容的提问来源于stack exchange，提问作者Saw