专栏首页爱可生开源社区技术分享 | 快速掌握 MySQL 8.0 认证插件的使用

技术分享 | 快速掌握 MySQL 8.0 认证插件的使用

引言

MySQL 8.0.15 版本主从复制时,io 线程一直处于 connecting 状态, 由于复制用户使用的认证插件是 caching_sha2_password,而想要通过 caching_sha2_password 认证的用户访问数据库,只有两个途径:

1. 使用加密连接

2. 使用支持 RSA 密钥对,进行密码交换的非加密连接

之前 change master to 时,未进行配置 master_ssl=1(等效于客户端 --ssl-mode=REQUIRED 的配置),导致从库通过复制用户连接主库时使用的非加密连接,同时又没有进行 RSA 密钥配置,导致 io 线程运行异常。为此整理一些关于 MySQL 8.0 认证插件 caching_sha2_password 的一些限制以及 RSA 的相关内容。

一、认证插件 caching_sha2_password

1.1 作用:

用于实现 SHA-256 认证

1.2 工作机制:

1)caching_sha2_password 会将用户名和用户密码哈希对作为缓存条目进行缓存,当用户进行访问时,会跟缓存条目进行匹配,如果匹配则认证成功。

2)如果插件没有匹配到相应的缓存条目,首先会根据 mysql.user 系统表进行校验,如果校验通过会生成相应的缓存条目,下次相同用户进行访问时可以直接命中缓存条目,提升二次认证效率。如果校验失败,则认证失败、访问拒绝。

1.3 优势(相对于 sha256_password):

1)caching_sha2_password 认证插件在 MySQL 服务端进行缓存认证条目,对于之前认证过的用户,可以提升二次认证的速度。

2)不管与 MySQL 链接的 SSL 库如何,都可以使用基于 RSA 的密码交换

3)提供了对使用 Unix 套接字文件和共享内存协议的客户端连接的支持

1.4 缓存管理:

1)当删除用户、修改用户名、修改用户密码、修改认证方式会清理相对应的缓存条目

2)Flush Privileges 会清除所有的缓存条目

3)数据库关闭时会清除所有缓存条目

1.5 限制:

通过 caching_sha2_password 认证的用户访问数据库,只能通过加密的安全连接或者使用支持 RSA 密钥对进行密码交换的非加密连接进行访问。

二、caching_sha2_password 插件使用 RSA 秘钥对

2.1秘钥对生成方式:

1)自动生成

参数 caching_sha2_password_auto_generate_rsa_keys 默认是开启,数据库在启动时自动生成相对应的公钥和私钥。

2)手动生成

通过 mysql_ssl_rsa_setup 指定目录生成 SSL 相关的私钥和证书以及 RSA 相关的公钥和私钥。

2.2 查看 RSA 公钥值的方式:

通过状态变量 Caching_sha2_password_rsa_public_key 可以查看 caching_sha2_password 身份验证插件使用的 RSA 公钥值。

2.3 使用 RSA 键值对的注意事项:

1)拥有 MySQL 服务器上 RSA 公钥的客户端,可以在连接过程中与服务器进行基于 RSA 密钥对的密码交换

2)对于通过使用 caching_sha2_password 和基于 RSA 密钥对的密码交换进行身份验证的帐户,默认情况下,MySQL 服务端不会将 RSA 公钥发送给客户端,获取 RSA 公钥的方式有以下两种:

A. 客户端从服务端拷贝相应的 RSA 公钥,

B. 客户端发起访问时,请求获取 RSA 公钥。

在 RSA 公钥文件可靠性能够保证的前提下,拷贝 RSA 公钥跟请求获取 RSA 公钥相比,由于减少了 c/s 之间的通信,相对而言更安全。如果在网络安全前提下,后者相对来说会更方便。

2.4 命令行客户端通过 RSA 秘钥对进行访问:

1)通过拷贝方式获取RSA公钥,在通过命令行客户端进行访问时,需要在命令行指定 --server-public-key-path 选项来进行访问

2)通过请求获取RSA公钥的方式,在通过命令行客户端进行访问时,需要在命令行中指定 --get-server-public-key 选项来进行访问。

选项 --server-public-key-path 优于 --get-server-public-key

本文分享自微信公众号 - 爱可生开源社区(ActiontechOSS),作者:郭斌斌

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2020-02-17

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 技术分享 | 用好 MySQL 的 MRR 优化器

    MySQL DBA,擅长 python 和 SQL,目前维护着 github 的两个开源项目:mysqltools 、dbmc 以及独立博客:https://w...

    爱可生开源社区
  • 第03期:Prometheus 数据采集(二)

    爱可生上海研发中心成员,研发工程师,主要负责 DMP 平台监控告警功能的相关工作。

    爱可生开源社区
  • 技术分享 | kubernetes 环境测试部署 MySQL 的随想

    爱可生研发团队成员,负责数据库管理平台相关项目的开发和故障排查,好奇 MySQL 技术原理及各类数据库实现方案。

    爱可生开源社区
  • 拉手网面试题,不一样的难度

    正文 1、JavaScriptalert(0.4*0.2);结果是多少?和你预期的一样吗?如果不一样该如何处理? 2、JavaScript以下哪条语句会产生运行...

    HTML5学堂
  • JavaScript设计模式--观察者模式

    观察者模式(发布-订阅模式):其定义对象间一种一对多的依赖关系,当一个对象的状态发生改变时,所有依赖于它的对象都将得到通知。 在JavaScript中,一般...

    奋飛
  • 300来行代码带你实现一个能跑的最小Linux文件系统

    Linux作为一个类UNIX系统,其文件系统保留了原始UNIX文件系统的表象形式,它看起来是这个样子:

    Linux阅码场
  • 吐血教程:搭建Flutter开发环境

    Flutter开发环境的搭建比较烦琐,任何一个步骤失败都会导致最终环境搭建不能完成。Flutter支持三种环境:Windows、MacOS和Linux。这里我们...

    前端迷
  • 解决KVM中鼠标不同步问题

    VNCViewer中的鼠标走得总是比本地系统中的鼠标要慢,不同步,往往实体机中的鼠标都移出vnc窗口外边了,虚拟机中的鼠标指针还没移到需要点击的位置。

    战神伽罗
  • 一站式机器学习平台建设实践

    刚刚度过了一个特殊的春节,美美在这里给大家拜个晚年。相信大家作为各公司技术团队的骨干,应该也和我的同事们一样,正在紧张忙碌地用技术支撑着各方面的工作,同舟共济,...

    美团技术团队
  • Java 基础面试总结

    类的成员不写访问修饰时默认为default。默认对于同一个包中的其他类相当于公开(public),对于不是同一个包中的其他类相当于私有(private)。受保护...

    用户7625070

扫码关注云+社区

领取腾讯云代金券