7.3. 使用 MySQL

流程

1. 将 CA 和服务器证书存储在 /etc/pki/tls/certs/ 目录中：

   # mv <path>/server.example.com.crt.pem /etc/pki/tls/certs/
   # mv <path>/ca.crt.pem /etc/pki/tls/certs/

2. 在 CA 和服务器证书上设置权限，以使 MySQL 服务器能够读取文件：

   # chmod 644 /etc/pki/tls/certs/server.example.com.crt.pem /etc/pki/tls/certs/ca.crt.pem

   由于证书是建立安全连接前通信的一部分，因此任何客户端都可以在不需要身份验证的情况下检索它们。因此，您不需要对 CA 和服务器证书文件设置严格的权限。

3. 将服务器的私钥存储在 /etc/pki/tls/private/ 目录中：

   # mv <path>/server.example.com.key.pem /etc/pki/tls/private/

4. 对服务器的私钥设置安全权限：

   # chmod 640 /etc/pki/tls/private/server.example.com.key.pem
   # chgrp mysql /etc/pki/tls/private/server.example.com.key.pem

   如果未授权的用户可以访问私钥，则到 MySQL 服务器的连接不再是安全的。

5. 恢复 SELinux 上下文：

   # restorecon -Rv /etc/pki/tls/

流程

1. 创建 /etc/my.cnf.d/mysql-server-tls.cnf 文件：

   1. 添加以下内容来配置到私钥、服务器和 CA 证书的路径：

      [mysqld]
      ssl_key = /etc/pki/tls/private/server.example.com.key.pem
      ssl_cert = /etc/pki/tls/certs/server.example.com.crt.pem
      ssl_ca = /etc/pki/tls/certs/ca.crt.pem

   2. 如果您有证书撤销列表(CRL)，请配置 MySQL 服务器来使用它：

      ssl_crl = /etc/pki/tls/certs/example.crl.pem

   3. 可选：拒绝没有加密的连接尝试。要启用此功能，请附加：

      require_secure_transport = on

   4. 可选：设置服务器应支持的 TLS 版本。例如，要支持 TLS 1.2 和 TLS 1.3，请附加：

      tls_version = TLSv1.2,TLSv1.3

      默认情况下，服务器支持 TLS 1.1、TLS 1.2 和 TLS 1.3。

2. 重启 mysqld 服务：

   # systemctl restart mysqld

1. 验证 MySQL 现在是否启用了 TLS 加密：

   # mysql -u root -p -h <MySQL_server_hostname> -e "SHOW session status LIKE 'Ssl_cipher';"
   +---------------+------------------------+
   | Variable_name | Value                  |
   +---------------+------------------------+
   | Ssl_cipher    | TLS_AES_256_GCM_SHA384 |
   +---------------+------------------------+

2. 如果您将 MySQL 服务器配置为只支持特定的 TLS 版本，请显示 tls_version 变量：

   # mysql -u root -p -e "SHOW GLOBAL VARIABLES LIKE 'tls_version';"
   +---------------+-----------------+
   | Variable_name | Value           |
   +---------------+-----------------+
   | tls_version   | TLSv1.2,TLSv1.3 |
   +---------------+-----------------+

3. 验证服务器是否使用正确的 CA 证书、服务器证书和私钥文件：

   # mysql -u root -e "SHOW GLOBAL VARIABLES WHERE Variable_name REGEXP '^ssl_ca|^ssl_cert|^ssl_key';"
   +-----------------+-------------------------------------------------+
   | Variable_name   | Value                                           |
   +-----------------+-------------------------------------------------+
   | ssl_ca          | /etc/pki/tls/certs/ca.crt.pem                   |
   | ssl_capath      |                                                 |
   | ssl_cert        | /etc/pki/tls/certs/server.example.com.crt.pem   |
   | ssl_key         | /etc/pki/tls/private/server.example.com.key.pem |
   +-----------------+-------------------------------------------------+

流程

1. 以管理用户身份连接到 MySQL 服务器：

   # mysql -u root -p -h server.example.com

   如果您的管理用户没有远程访问服务器的权限，请在 MySQL 服务器上执行命令，并连接到 localhost。

2. 使用 REQUIRE SSL 子句强制用户必须使用 TLS 加密连接进行连接：

   MySQL [(none)]> ALTER USER 'example'@'%' REQUIRE SSL;

验证

1. 使用 TLS 加密，以 example 用户身份连接到服务器：

   # mysql -u example -p -h server.example.com
   ...
   MySQL [(none)]>

   如果没有显示错误，且您可以访问交互式 MySQL 控制台，则与 TLS 的连接成功。

   默认情况下，如果服务器提供了，客户端会自动使用 TLS 加密。因此，--ssl-ca=ca.crt.pem 和 --ssl-mode=VERIFY_IDENTITY 选项不是必需的，但可以提高安全性，使用这些选项，客户端可以验证服务器的身份。

2. 尝试以禁用 TLS 的 example 用户身份进行连接：

   # mysql -u example -p -h server.example.com --ssl-mode=DISABLED
   ERROR 1045 (28000): Access denied for user 'example'@'server.example.com' (using password: YES)

   服务器拒绝登录尝试，因为此用户需要 TLS，但禁用了(--ssl-mode=DISABLED)。

流程

1. 停止 mysqld 服务：

   # systemctl stop mysqld.service

2. 将数据文件复制到所需位置：

   # cp -r /var/lib/mysql /backup-location

3. （可选）将配置文件复制到所需位置：

   # cp -r /etc/my.cnf /etc/my.cnf.d /backup-location/configuration

4. （可选）将日志文件复制到所需位置：

   # cp /var/log/mysql/* /backup-location/logs

5. 启动 mysqld 服务：

   # systemctl start mysqld.service

6. 将备份位置的备份数据加载到 /var/lib/mysql 目录时，请确保 mysql:mysql 是 /var/lib/mysql 中所有数据的所有者：

   # chown -R mysql:mysql /var/lib/mysql

流程

1. 包括 /etc/my.cnf.d/mysql-server.cnf 文件中 [mysqld] 部分下的以下选项：

   • bind-address=source_ip_adress

     从副本到源的连接需要这个选项。

   • server-id=id

     id 必须是唯一的。

   • log_bin=path_to_source_server_log

     此选项定义 MySQL 源服务器的二进制日志文件的路径。例如：log_bin=/var/log/mysql/mysql-bin.log。

   • gtid_mode=ON

     此选项在服务器上启用全局事务标识符(GTID)。

   • enforce-gtid-consistency=ON

     服务器通过仅允许执行可使用 GTID 进行安全记录的语句来强制实施 GTID 一致性。

   • 可选: binlog_do_db=db_name

     如果您只想复制所选的数据库，则使用这个选项。要复制多个所选的数据库，请分别指定每个数据库：

     binlog_do_db=db_name1
     binlog_do_db=db_name2
     binlog_do_db=db_name3

   • 可选: binlog_ignore_db=db_name

     使用此选项从复制中排除特定的数据库。

2. 重启 mysqld 服务：

   # systemctl restart mysqld.service

流程

1. 包括 /etc/my.cnf.d/mysql-server.cnf 文件中 [mysqld] 部分下的以下选项：

   • server-id=id

     id 必须是唯一的。

   • relay-log=path_to_replica_server_log

     中继日志是在复制过程中由 MySQL 副本服务器创建的一组日志文件。

   • log_bin=path_to_replica_sever_log

     此选项定义了 MySQL 副本服务器的二进制日志文件的路径。例如：log_bin=/var/log/mysql/mysql-bin.log。

     副本中不需要这个选项，但强烈建议使用。

   • gtid_mode=ON

     此选项在服务器上启用全局事务标识符(GTID)。

   • enforce-gtid-consistency=ON

     服务器通过仅允许执行可使用 GTID 进行安全记录的语句来强制实施 GTID 一致性。

   • log-replica-updates=ON

     这个选项可确保从源服务器接收的更新记录在副本的二进制日志中。

   • skip-replica-start=ON

     此选项可确保在副本服务器启动时不启动复制线程。

   • 可选: binlog_do_db=db_name

     如果您只想复制某些数据库，则使用这个选项。要复制多个数据库，请分别指定每个数据库：

     binlog_do_db=db_name1
     binlog_do_db=db_name2
     binlog_do_db=db_name3

   • 可选: binlog_ignore_db=db_name

     使用此选项从复制中排除特定的数据库。

2. 重启 mysqld 服务：

   # systemctl restart mysqld.service

流程

1. 创建复制用户：

   mysql> CREATE USER 'replication_user'@'replica_server_ip' IDENTIFIED WITH mysql_native_password BY 'password';

2. 授予用户复制权限：

   mysql> GRANT REPLICATION SLAVE ON *.* TO 'replication_user'@'replica_server_ip';

3. 重新载入 MySQL 数据库中的授权表：

   mysql> FLUSH PRIVILEGES;

4. 将源服务器设置为只读状态：

   mysql> SET @@GLOBAL.read_only = ON;

流程

1. 将副本服务器设置为只读状态：

   mysql> SET @@GLOBAL.read_only = ON;

2. 配置复制源：

   mysql> CHANGE REPLICATION SOURCE TO
       -> SOURCE_HOST='source_ip_address',
       -> SOURCE_USER='replication_user',
       -> SOURCE_PASSWORD='password',
       -> SOURCE_AUTO_POSITION=1;

3. 在 MySQL 副本服务器中启动副本线程：

   mysql> START REPLICA;

4. 在源和目标服务器上取消只读状态的设置：

   mysql> SET @@GLOBAL.read_only = OFF;

5. 可选： 检查复制服务器的状态以进行调试：

   mysql> SHOW REPLICA STATUS\G;

   注意

   如果复制服务器启动或连接失败，您可以跳过 SHOW MASTER STATUS 命令的输出中显示的二进制日志文件位置后的某些事件。例如，从定义的位置跳过第一个事件：

   mysql> SET GLOBAL SQL_SLAVE_SKIP_COUNTER=1;

   尝试再次启动副本服务器。

6. 可选： 停止副本服务器中的副本线程：

   mysql> STOP REPLICA;

1. 在源服务器上创建一个示例数据库：

   mysql> CREATE DATABASE test_db_name;

2. 验证 test_db_name 数据库是否在副本服务器上进行复制。

3. 在源或副本服务器上执行以下命令，显示 MySQL 服务器的二进制日志文件的状态信息：

   mysql> SHOW MASTER STATUS;

   Executed_Gtid_Set 列，针对在源上执行的事务显示一组 GTID，它不能为空。

   注意

   当在副本服务器上使用 SHOW SLAVE STATUS 时，Executed_Gtid_Set 行中会显示相同的 GTID。