mysql 8.0 加密表空间物理备份必须使用 mysql enterprise backup（meb），mysqldump 不行；因其仅导出逻辑 sql，无法备份加密页、密钥环及元数据，而 meb 可原子性备份 ibd 文件、密钥环文件和元数据描述文件，并要求 server_uuid、插件版本与密钥环路径严格一致。
MySQL 8.0 的加密表空间物理备份必须用 mysqlbackup（MEB），mysqldump 不行
MySQL 原生的 mysqldump 只能导出逻辑 SQL，对启用 ENCRYPTION = 'Y' 的 InnoDB 表空间（如加密的通用表空间或系统表空间）完全无感知——它不读取 ibd 文件，自然无法备份加密密钥上下文和加密页结构。物理备份必须绕过 SQL 层，直接复制加密后的文件块，并同步备份密钥环状态。
关键前提是：你必须使用 MySQL Enterprise Backup（MEB）8.0.x 版本，且与 MySQL Server 8.0 主版本严格匹配（例如 MySQL 8.0.33 必须配 MEB 8.0.33）。社区版用户没有替代方案——rsync 或 cp 直接拷贝会失败，因为密钥环（keyring_file 或 keyring_encrypted_file）未被一致捕获，还原后会报 Operating system error number 13 in a file operation 或更具体的 Cannot decrypt tablespace。
- 确认已启用密钥环插件：
SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME LIKE 'keyring%'; - 确保
keyring_file_data（或keyring_encrypted_file_data）指向的文件路径在备份前后可访问且权限正确（MySQL 进程需有读写权） - MEB 备份命令中必须显式加
--use-tts（Tablespace Transport）参数，否则可能跳过加密表空间元数据
执行物理备份时必须同时备份密钥环文件和 ibd 文件
加密表空间的物理备份不是“只拷 ibd”，而是“ibd + 密钥环文件 + 元数据描述文件”三者原子一致。MEB 会自动识别并打包密钥环文件（只要配置正确），但你需要手动验证：
- 检查
my.cnf中密钥环配置，例如：early-plugin-load=keyring_file.so和keyring_file_data=/var/lib/mysql-keyring/keyring - 备份完成后，在备份目录里找
keyring/子目录（MEB 默认创建），里面应包含与源实例完全相同的密钥环文件内容 - 如果用的是
keyring_encrypted_file，还要确认其主密钥（master_key_path）所指文件也被 MEB 捕获（它通常不在keyring/下，需额外归档） - 不要依赖
innodb_encrypt_tables=ON全局设置来推断哪些表空间被加密——逐个查：SELECT NAME, ENCRYPTION FROM INFORMATION_SCHEMA.INNODB_TABLESPACES WHERE ENCRYPTION = 'Y';
还原加密表空间前，必须先恢复密钥环，再启动 mysqld
还原顺序错一步就彻底失败：不能先启 mysqld 再放密钥环，也不能用新生成的密钥环覆盖旧的。MEB 还原命令（mysqlbackup --copy-back）默认会把备份里的 keyring/ 目录还原到目标实例的密钥环路径，但你要人工确认：
- 目标实例的
my.cnf中keyring_file_data路径必须与备份时完全一致，否则 MEB 还原的密钥环文件会被忽略 - 还原后、启动前，手动校验密钥环文件 md5 是否与源一致：
md5sum /var/lib/mysql-keyring/keyring（对比备份包内keyring/keyring） - 启动 mysqld 后立刻检查错误日志，重点搜
keyring和decrypt；若出现Failed to load keyring，说明路径或权限不对，不是加密本身的问题 - 还原后首次打开加密表时会触发密钥解密验证，耗时略长（尤其大表），别误判为卡死
跨主机还原加密表空间时，server_uuid 和密钥环主密钥必须匹配
如果你把备份还原到另一台机器（比如灾备机），除了密钥环文件，还需注意两个隐性依赖：
-
server_uuid必须与原实例相同（修改auto.cnf中的server-uuid值），否则部分密钥环实现（尤其是keyring_encrypted_file）会拒绝加载密钥，报Keyring failed to decrypt master key - 如果用了
keyring_encrypted_file，它的主密钥（由master_key_path指定）是绑定 server_uuid 加密的，换机器不换 uuid 就行；但若连 uuid 都不同，就得提前用keyring_encrypted_file提供的工具重新封装密钥环 - 不要试图在目标机上重新安装 keyring 插件——插件版本必须与备份时完全一致，否则 ABI 不兼容，加载失败
最易被忽略的是 server_uuid 这个软依赖：它不出现在任何备份命令参数里，也不报明确错误，但会导致还原后所有加密表无法访问，且错误日志里只有模糊的密钥加载失败提示。
