MySQL主從中複製賬號密碼可以加密嗎？

潇湘隐者發表於2024-11-26
MySql密碼加密

搭建MySQL主從複製後，你會發現複製賬號的密碼是明文儲存在mysq.mysql.slave_master_info這張系統表的User_password欄位當中，早期MySQL版本中，賬號密碼儲存在master.info檔案中。如下案例所示：

mysql> select * from mysql.slave_master_info\G
*************************** 1. row ***************************
Number_of_lines: 33
Master_log_name: mysql_binlog.000001
Master_log_pos: 1165
Host: 192.168.9.154
User_name: repl
User_password: ReL@wpL#123456
Port: 3306
Connect_retry: 60
Enabled_ssl: 0
Ssl_ca:
Ssl_capath:
Ssl_cert:
Ssl_cipher:
Ssl_key:
Ssl_verify_server_cert: 0
Heartbeat: 30
Bind:
Ignored_server_ids: 0
Uuid: da5deebc-9b54-11ef-b5d0-0050569739e5
Retry_count: 86400
Ssl_crl:
Ssl_crlpath:
Enabled_auto_position: 0
Channel_name:
Tls_version:
Public_key_path:
Get_public_key: 1
Network_namespace:
Master_compression_algorithm: uncompressed
Master_zstd_compression_level: 3
Tls_ciphersuites: NULL
Source_connection_auto_failover: 0
Gtid_only: 0
1 row in set (0.00 sec)

mysql>

那麼在搭建主從複製的時候，有沒有方法將這個賬號密碼加密呢？檢索了一些資料，在當前這個時間點，所有的MySQL版本都沒有提供方法將其加密。也就是說，當前階段，沒有任何方法加密這個賬號密碼。確切的說是官方沒有提供任何方法。完全忽略了這個安全隱患。

官方文件[How To Encypt Replication Credentials In mysql.slave_master_info (Doc ID 2623399.1)]中也給出了簡單答覆。 至於如何規避密碼明文儲存的一些風險問題，官方給出的建議如下：

Ensure that the master info repository can be accessed only by the database administrator.

[...]

Use a restricted access mode to protect database backups that include log tables or log files containing passwords."

個人強烈建議在建立複製賬號時，一定要嚴格限制這個賬號的IP地址，以及賬號的許可權。不要授予過大的許可權。

--在MySQL主/從庫中：建立資料同步的賬號(從庫也建立相同賬號，方便切換)
create user repl@'192.168.xxx.xx%' identified by "xxxxxxx";
flush privileges;


grant replication slave on . to 'repl'@'192.168.xxx.xx%';
flush privileges;

相關文章