mysql資料庫密碼策略（mysql設置密碼策略）

本文目錄一覽：

• 1、centos7mysql密碼怎麼重置 求大神告知具體步驟
• 2、mysql啟動錯誤
• 3、mysql5.7密碼過期怎麼解決
• 4、如何做好MySQL安全策略
• 5、第一次安裝mysql中Sarting the server就運行不起怎麼解決？
• 6、mysql如何設置賬戶鎖定策略

centos7mysql密碼怎麼重置 求大神告知具體步驟

1、mysql安裝完成之後，在/var/log/mysqld.log文件中給root生成了一個默認密碼。通過下面的方式找到root默認密碼，然後登錄mysql進行修改：

$ grep ‘temporary password’ /var/log/mysqld.log

2、

$ mysql -uroot -p

mysql ALTER USER ‘root’@’localhost’ IDENTIFIED BY ‘MyNewPass4!’;

或者

mysql set password for ‘root’@’localhost’=password(‘MyNewPass4!’);

3、mysql5.7+有密碼策略（可以修改，但不推薦）

在/etc/my.cnf文件添加validate_password_policy配置，指定密碼策略

# 選擇0（LOW），1（MEDIUM），2（STRONG）其中一種，選擇2需要提供密碼字典文件

validate_password_policy=0

如果不需要密碼策略，添加/etc/my.cnf文件中添加如下配置禁用即可：

validate_password = off

4、重新啟動mysql服務使配置生效：

systemctl restart mysqld

5、默認只允許root帳戶在本地登錄，如果要在其它機器上連接mysql，必須修改root允許遠程連接，或者添加一個允許遠程連接的帳戶，為了安全起見，我添加一個新的帳戶：

mysql GRANT ALL PRIVILEGES ON *.* TO ‘yangxin’@’%’ IDENTIFIED BY ‘Yangxin0917!’ WITH GRANT OPTION;

MysqlFLUSH PRIVILEGES;

mysql啟動錯誤

一、無法訪問系統資源

MySQL 不能訪問啟動需要的資源是造成而 MySQL 無法啟動的一個常見原因，如：文件，埠等。由於 linux 中用於啟動 mysqld 進程的 mysql 用戶通常是不能登陸的，可以使用類似下面的命令檢查文件的訪問許可權。

sudo -u mysql touch /var/lib/mysql/b

找出問題後，修改對應文件或目錄的許可權或屬主後通常可以解決問題。但有時 mysql 用戶有訪問文件和目錄的許可權，但仍然會被拒絕訪問，例如下面這個例子：

mysql system sudo -u mysql touch /home/mysql/data/a

mysql create table t1 (

id int primary key,n varchar(10

) data directory

ERROR 1030 (HY000): Got error 168 from storage engine

測試說明 mysql 用戶有這個目錄的訪問許可權，但創建文件還是失敗，這種情況讓很多人困惑，這個時候通常是 mysqld 進程的訪問被 linux 的 selinux 或 apparmor 給阻止了，大家可以看到創建的表不是在 mysql 的默認目錄下面，因此 selinux 或 apparmor 的 policy 裡面沒有包含這個目錄的訪問許可權，此時只要對應的修改 policy 就行了，當然把 selinux 或 apparmor 停了也行。

有時雖然對系統資源有訪問的許可權，但系統資源已經被佔用：

mysqld –no-defaults –console –user mysql

2020-11-03T03:36:07.519419Z 0 [System] [MY-010116] [Server] /usr/sbin/mysqld (mysqld 8.0.19) starting as process 21171

2020-11-03T03:36:07.740347Z 1 [ERROR] [MY-012574] [InnoDB] Unable to lock ./ibdata1 error: 11

這個故障產生的原因是另外一個 mysqld 進程已經啟動並佔用了對應的文件。

二、參數設置錯誤

參數設置錯誤造成 MySQL 無法啟動的原因也非常常見，此時先要檢查 MySQL 啟動時會調用的參數，下面的命令可以查詢 MySQL 啟動時調用參數文件的順序：

$ mysqld –verbose –help | grep “Default options ” -A 1

Default options are read from the following files in the given order:

/etc/my.cnf /etc/mysql/my.cnf ~/.my.cnf

知道了 MySQL 參數文件的調用順序，我們就可以檢查對應的參數文件，找出其中的錯誤，如果覺得參數文件的可讀性不強，可以使用下面的命令顯示 mysqld 程序將要調用的參數：

$ mysqld –print-defaults

/usr/sbin/mysqld would have been started with the following arguments:

……

注意這個命令顯示完參數後就退出，不會真正運行 mysqld。這個命令和 my_print_defaults mysqld 完全是等價的，只不過後者的顯示方式是一行一個參數。

然後開始對可疑的參數進行調試，我個人喜歡加的參數和順序如下：

1. 在 mysqld 後加上第一個參數 –no-defaults ，這個參數的作用是通知 mysqld 在啟動的時候不要讀任何參數文件；

2. 第二個參數是 –console，這個參數會把錯誤信息輸出到屏幕上，這個參數帶來的一個弊端是所有的信息都輸出到屏幕上，讓屏幕顯得比較亂，但對於我們調試卻是很方便的；

3. 第三個參數是 –log-error-verbosity=3，這個參數會顯示詳細的日誌；

4. 然後再在後面加上有把握的參數，可以一次只加一個參數，然後啟動 mysqld，採用排除法逐步找出錯誤的參數。

mysql5.7密碼過期怎麼解決

近安裝mySQL5.7.9，發現安裝完後會自動生成一個隨機密碼，然後用sql工具登錄，發現這個密碼已經過期了，不能登錄。

終於解決好了，這裡分享下處理步驟：

1.先關閉mysql服務；

2.進入終端，輸入指令：cd /usr/local/mysql/bin/，進入安裝目錄；

3.輸入指令：sudo su，切換到root用戶；

4.輸入指令：./mysqld_safe –skip-grant-tables ，禁止mysql驗證功能。此時mysql服務會自動重啟了；

5. 用工具（比如Sequal Pro）登錄mySQL。配置的時候，只配用戶名為root，密碼不配。

6. 登錄進去以後，資料庫選擇mysql，修改user表下用戶名為root的那條記錄，將password_expired設為N。這樣隨機密碼就有效了，可以用密碼登錄了。

如果希望修改root密碼，則在登錄mysql後，執行下面兩條sql即可：

update mysql.user set authentication_string=password(‘123456′) where user=’root’ and Host = ‘localhost’;

flush privileges;

如何做好MySQL安全策略

摘至網頁鏈接

常見Mysql配置文件：linux系統下是my.conf，windows環境下是my.ini；

資料庫整體安全需求：機密性、完整性、可用性；

下面以mysql 5.7版本為例，介紹mysql常見的安全策略、配置、加固方式等等，有些策略可能只針對Linux操作系統，更多策略可以參考CIS Mysql Benchmark相關文檔：

1、操作系統級別安全配置

1.1不要將資料庫放在系統分區

Windows系統：直接檢查是否將資料庫放置在C盤。

Linux系統：

在終端連接上mysql資料庫，執行如下命令：

show variables where variable_name = ‘datadir’;

然後返回shell命令行：

df -h datadir

其中datadir是上一條命令的返回值。

上述命令的返回值不應是/、/var、/usr

1.2使用專用的最小許可權賬號運行mysql資料庫進程

Windows系統：直接打開任務管理器，查看運行mysql進程的操作系統賬號，不能為administrator賬號。

Linux系統：

Shell命令行運行如下命令：

ps -ef | grep mysql

查看mysql服務的運行賬號是否為root或其他高許可權賬號，如果是的，則需要創建一個非管理員專用賬號來運行mysql服務。

1.3禁止使用mysql命令行歷史記錄

Linux系統：

執行如下命令：

find / -name “.mysql_history”

查看是否存在mysql的歷史命令記錄文件，如果存在，則需要進行如下加固：

（1）刪除.mysql_history文件；

（2）設置環境變數MYSQL_HISTFILE為/dev/null，並添加到shell的初始化腳本中，創建mysql_history到/dev/null的鏈接：

ln -s /dev/null $HOME/.mysql_history

1.4 確保MYSQL_PWD環境變數未設置敏感信息

Windows系統下進入cmd命令行，使用如下命令：

Set

查看是否設置了環境變數MYSQL_PWD。

Linux系統下使用如下命令：

grep MYSQL_PWD /proc/*/environ

查看MYSQL_PWD環境變數是否設置了敏感信息。

確認那個配置文件或腳本設置了MYSQL_PWD環境變數。

2、安裝

2.1使用資料庫專用伺服器

使用專用的伺服器安裝mysql服務可以減少mysql服務的攻擊面，盡量卸載或刪除操作系統上的不必要的應用或服務，減少其他應用的安裝可能給mysql的運行帶來的安全風險。

2.2 不要復用資料庫賬號

運行mysql服務的操作系統賬號不要用來運行其他應用或服務，這樣可以避免其他應用或伺服器被攻擊給mysql服務帶來影響。

2.3 歷史命令行密碼設置為不可見

使用如下命令：

mysql -u admin -p password

連接mysql資料庫服務，退出後查看歷史命令，確認password是否為明文。

建議使用如下命令方式登錄：

（1）先輸入mysql -u admin -p

（2）根據命令行提示輸入密碼；

而不要在一整條命令中輸入密碼。

另外要控制mysql配置文件訪問許可權。

3、文件許可權控制

3.1 控制數據目錄的訪問許可權

數據目錄是mysql資料庫存放的位置，在mysql命令行界面下執行如下命令：

show variables where variable_name = ‘datadir’;

在終端命令行下執行如下命令：

ls -l datadir/.. | egrep “^d[r|w|x]{3}——\s*.\s*mysql\s*mysql\s*\d*.*mysql”

其中datadir是第一條命令的執行結果

如果存在問題，linux環境下在終端執行如下命令進行加固：

chmod 700 datadir

chown mysql:mysql datadir

3.2 控制二進位日誌文件的許可權

mysql的運行會產生很多日誌，例如二進位日誌、錯誤日誌、慢查詢日誌等等，Mysql命令行下執行如下命令：

show variables like ‘log_bin_basename’;

在終端命令行執行如下命令：

ls log_bin_basename.*

對於發現的每一個文件，執行如下命令：

ls -l log_bin_basename.nnnnn | egrep “^-[r|w]{2}-[r|w]{2}—-\s*.*$”

根據輸出確認日誌文件的許可權設置是否存在問題。

對於每個日誌文件，修改其許可權和屬組如下：

chmod 660 log file

chown mysql:mysql log file

3.3 控制錯誤日誌文件的許可權

Mysql命令行下執行如下命令：

show variables like ‘log_error’;

在終端命令行執行如下命令：

ls log_error.*

對於發現的每一個文件，執行如下命令：

ls -l log_error | egrep “^-[r|w]{2}-[r|w]{2}—-\s*.*$”

根據輸出確認日誌文件的許可權設置是否存在問題。

對於每個日誌文件，修改其許可權和屬組如下：

chmod 660 log file

chown mysql:mysql log file

3.4控制慢查詢日誌文件的許可權

Mysql命令行下執行如下命令：

show variables like ‘slow_query_log_file’;

在終端命令行執行如下命令：

ls slow_query_log_file.*

對於發現的每一個文件，執行如下命令：

ls -l slow_query_log_file | egrep “^-[r|w]{2}-[r|w]{2}—-\s*.*$”

根據輸出確認日誌文件的許可權設置是否存在問題。

對於每個日誌文件，修改其許可權和屬組如下：

chmod 660 log file

chown mysql:mysql log file

3.5控制通用日誌文件的許可權

Mysql命令行下執行如下命令：

show variables like ‘general_log_file’;

在終端命令行執行如下命令：

ls general_log_file.*

對於發現的每一個文件，執行如下命令：

ls -l general_log_file | egrep “^-[r|w]{2}-[r|w]{2}—-\s*.*$”

根據輸出確認日誌文件的許可權設置是否存在問題。

對於每個日誌文件，修改其許可權和屬組如下：

chmod 660 log file

chown mysql:mysql log file

3.6控制審計日誌文件的許可權

Mysql命令行下執行如下命令：

show global variables where variable_name =  ‘audit_log_file’;

在終端執行如下命令：

ls -l audit_log_file | egrep “^-rw[-x]rw[-x][-r][-w][-x][ \t]*[0-9][ \t]*mysql[

\t]*mysql.*$”

根據輸出確認日誌文件的許可權設置是否存在問題。

對於每個日誌文件，修改其許可權和屬組如下：

chmod 660 audit_log_file

chown mysql:mysql audit_log_file

4、通用安全

4.1安裝最新的補丁

在mysql命令行下查詢MySQL的版本：

SHOW VARIABLES WHERE Variable_name LIKE “version”;

確認是否由需要安裝的補丁包，如果有請安裝。

4.2 刪除test資料庫

Mysql資料庫默認安裝好後，存在一個名為test的資料庫，如果存在，請執行如下命令刪除：

Drop database 「test」

4.3 確保讀取本地文件的參數設置為失效

Mysql命令行下，使用如下命令：

SHOW VARIABLES WHERE Variable_name = ‘local_infile’;

查看結果是否為OFF。

如果該命令為ON，則資料庫用戶可以通過LOAD DATA INFILE 或者 SELECT local_file 讀取到資料庫所在操作系統本地的文件，在這種情況下，需要在mysql配置文件中新增一行：

Local-infile=0；

然後重啟資料庫服務。

5、許可權配置

5.1控制可以訪問所有資料庫的賬號

Mysql資料庫下的user表和db表中存放著可以授予資料庫用戶的許可權，確保只有管理員賬號才能訪問所有資料庫。可以訪問mysql資料庫的用戶或許可以查看密碼哈希值、修改用戶許可權等等。

使用如下sql語句：

SELECT user, host FROM mysql.user

WHERE (Select_priv = ‘Y’) OR (Insert_priv = ‘Y’) OR (Update_priv = ‘Y’)

OR (Delete_priv = ‘Y’)  OR (Create_priv = ‘Y’)  OR (Drop_priv = ‘Y’);

SELECT user, host FROM mysql.db WHERE db = ‘mysql’

AND ((Select_priv = ‘Y’) OR (Insert_priv = ‘Y’) OR (Update_priv = ‘Y’)

OR (Delete_priv = ‘Y’) OR (Create_priv = ‘Y’) OR (Drop_priv = ‘Y’));

確保返回結果只能是資料庫管理員賬號。

5.2限制非管理員用戶的許可權

Mysql.user表中的許可權列有：

file_priv：表示是否允許用戶讀取資料庫所在主機的本地文件；

Process：表示是否允許用戶查詢所有用戶的命令執行信息；

Super_priv：表示用戶是否有設置全局變數、管理員調試等高級別許可權；

Shutdown_priv：表示用戶是否可以關閉資料庫；

Create_user_priv：表示用戶是否可以創建或刪除其他用戶；

Grant_priv：表示用戶是否可以修改其他用戶的許可權；

應確保只有資料庫管理員才有上述許可權，使用如下sql語句查看擁有各個許可權的資料庫賬號：

select user, host from mysql.user where File_priv = ‘Y’;

select user, host from mysql.user where Process_priv = ‘Y’;

select user, host from mysql.user where Process_priv = ‘Y’;

SELECT user, host FROM mysql.user WHERE Shutdown_priv = ‘Y’;

SELECT user, host FROM mysql.user WHERE Create_user_priv = ‘Y’;

SELECT user, host FROM mysql.user WHERE Grant_priv = ‘Y’;

SELECT user, host FROM mysql.db WHERE Grant_priv = ‘Y’;

確保查詢結果中不存在非管理員用戶。

如果存在非管理員用戶，使用如下命令進行許可權回收：

REVOKE FILE ON *.* FROM ‘user’;

REVOKE PROCESS ON *.* FROM ‘user’;

REVOKE SUPER ON *.* FROM ‘user’;

REVOKE SHUTDOWN ON *.* FROM ‘user’;

REVOKE CREATE USER ON *.* FROM ‘user’;

REVOKE GRANT OPTION ON *.* FROM user;

其中user為上述查詢到的非管理員用戶。

5.3合理控制DML/DDL操作授權

DML/DDL語句包括創建或修改資料庫結構的許可權，例如insert、update、delete、create、drop和alter語句，在任何資料庫中都要控制用戶的此類許可權，確保只授權給有業務需求的非管理員用戶。Mysql命令行下執行如下命令：

SELECT User,Host,Db FROM mysql.db WHERE Select_priv=’Y’

OR Insert_priv=’Y’ OR Update_priv=’Y’ OR Delete_priv=’Y’ OR Create_priv=’Y’

OR Drop_priv=’Y’ OR Alter_priv=’Y’;

上述查詢到的用戶只能對特地的資料庫才有相關的許可權，使用如下命令進行相關許可權的回收：

REVOKE SELECT ON host.database FROM user;

REVOKE INSERT ON host.database FROM user;

REVOKE UPDATE ON host.database FROM user;

REVOKE DELETE ON host.database FROM user;

REVOKE CREATE ON host.database FROM user;

REVOKE DROP ON host.database FROM user;

REVOKE ALTER ON host.database FROM user;

其中user為查詢到的未授權的用戶，host為相關主機，database為相關資料庫。

6、審計和日誌

6.1開啟錯誤日誌審計功能

錯誤日誌包括資料庫運行和停止過程中的一系列活動信息，有助於分析資料庫運行過程中的一些異常活動，一般情況下需要開啟錯誤日誌記錄功能，使用如下命令查詢：

SHOW variables LIKE ‘log_error’;

確保返回結果為非空，如果為空，需要在mysql資料庫配置文件中增加相關配置。

6.2確保日誌存放在非系統區域

日誌文件隨著資料庫的運行會不斷增加，如果存放在系統區域，則會影響系統的正常運行，使用如下命令進行查詢：

SELECT @@global.log_bin_basename;

確保返回結果不是如下路徑：/、/var、/usr

6.3關閉原始日誌功能

原始日誌選項會決定一些敏感信息是否會被明文寫進日誌中，例如查詢日誌、慢查詢日誌、二進位日誌，確保資料庫配置文件中存在如下配置項：

Log-raw = OFF

7、認證

7.1 Old_passwords環境變數設置

Old_passwords決定了使用PASSWORD()函數和IDENTIFIED BY 、CREATE USER 、GRANT 等語句是時的hash演算法：

0 – authenticate with the mysql_native_password plugin

1 – authenticate with the mysql_old_password plugin

2 – authenticate with the sha256_password plugin

設置為mysql_old_password代表弱hash演算法，可以快速通過密碼字典進行暴力破解。使用如下命令查詢相關值：

SHOW VARIABLES WHERE Variable_name = ‘old_passwords’;

確保返回值不為1。

7.2 secure_auth 選項設置

如果客戶端採用Old_passwords發起連接請求，如果伺服器端設置了secure_auth，則客戶端會拒絕連接請求，可以根據安全需求在配置文件中做相應配置。

7.3 密碼保存

確保密碼沒有明文保存在全局配置文件中。

7.4 確保所有用戶都要求使用非空密碼登錄

執行如下語句查詢是否有用戶不需要密碼即可登錄：

SELECT User,host

FROM mysql.user

WHERE (plugin IN(‘mysql_native_password’, ‘mysql_old_password’)

AND (LENGTH(Password) = 0

OR Password IS NULL))

OR (plugin=’sha256_password’ AND LENGTH(authentication_string) = 0);

7.5不存在空賬號

使用如下命令查詢是否存在空賬號：

SELECT user,host FROM mysql.user WHERE user = ”;

8、網路設置

如果mysql資料庫伺服器與應用是跨信任域部署的，則需要考慮在資料庫伺服器與應用伺服器之間建立ssl通道進行數據傳輸，不過這種場景一般很少見，在此不詳細描述。

9、資料庫備份

第一次安裝mysql中Sarting the server就運行不起怎麼解決？

應該是服務啟動不了. 點擊 log 頁面 , 根據提示查找原因,解決問題

一、確認MYSQL已經配置且正確 重新配置 如果是重新安裝的MYSQL，請確認安裝後的MYSQL經過第一次配置，否則會缺少my.ini文件，配置方法，可以在安裝到最後一步時選擇，現在開始配置MYSQL，或在程序組中運行MYSQL配置嚮導。配置完成後，要確保my.ini文件中[mysqld]欄位下至少有basedir安裝目錄路徑和datadir資料庫路徑。 配置之前，如果原來已經有過MySQL配置，可以先在MYSQL嚮導中進行執行一次REMOVE INSTANCE，然後再重新配置。 覆蓋數據表 默認的MYSQL資料庫會安裝到My Document下，所以如果您的資料庫目錄在其它路徑下，可以先把MYSQL停止掉，然後把資料庫剪切到其它路徑，然後拷貝相關數據表進入同一目錄即可。 如果MYSQL數據表使用不同的賬戶，還需要在MYSQL創建賬戶，或直接使用原來的MYSQL數據表覆蓋（需確認之前的MSYQL數據表是未損壞的）。 解決無法啟動 遇到無法啟動MYSQL時常見解決方法： A、先使用命令C:\Program files\mysql\bin\mysqladmin-u root -p shutdown來關閉MYSQL B、再在cmd命令行下，執行net start mysql啟動mysql。 二、1067錯誤常見解決方法 故障現象 如果在停止MYSQL（net stop mysql）或啟動MYSQL時，出現1067錯誤，錯誤信息「MySql 服務正在停止…系統出錯（A system error has occurred.）…系統發生 1067 錯誤（System error 1067 has occurred.），進程意外終止（The process terminated unexpectedly.）」等。 常見解決方法 如果以前一直運行OK的，請先按照上面的「無法啟動」解決方法執行一次看看。 如果進行過Remove Instance操作，再次重建時後，一定要檢查my.ini文件中的datadir是否已被還原了，如果該地址下資料庫不存在，也將報告1067錯誤，只需要修改成真實的資料庫目錄地址，然後手動啟動即可。 檢查MYSQL目錄許可權 檢查my.ini文件中[mysqld]欄位下是否有basedir安裝目錄路徑和datadir資料庫路徑，my.ini可能需要出現在兩個地方，MYSQL的安裝目錄和Windows目錄(假設是windows環境)下，都要檢查一下。 有時候刪除%windir%/my.ini文件然後再重新配置也可以解決，再次配置後檢查一下Windir目錄下是否有my.ini文件，有時把安裝目錄下最新的my.ini拷貝過去覆蓋一下也能解決問題。 如果是Linux環境，試一下把mysql.server拷貝至/etc/rc.d/init.d/下，然後再運行chkconfig mysql.server，之後就可以在命令行中設置PATH、使用命令執行mysql啟動。 三、非法關機造成的MYSQL無法啟動問題 如果是因為非法關機等原因導致MYSQL無法啟動或啟動有問題的，最好使用重新安裝的或確認是OK的MYSQL數據表及ibdata1、mysql.pid、ib_logfile0等文件進行覆蓋，天緣試過遇到過多次這種情況，就是原來的MYSQL表有問題了，總是無法啟動，但是更換成新表就可以。 四、重裝MYSQL 發現MYSQL有問題時，最便捷的方法，是先把mysql卸載掉，然後重裝重新配置，具體方法如下： 1、卸載MYSQL，清理掉安裝目錄和Windows目錄下的my.ini文件。 2、檢查任務管理器中是否還有mysql進程，如果有，可以把mysqld.exe殺掉，或者先殺掉再卸載也可以。 3、在cmd命令窗口，執行：sc delete mysql，該命e79fa5e98193e78988e69d8331333366303066令是清理註冊服務命令。 3. 重裝 mysql 如果是安全設置以後出現這個問題，可能是因為mysql以低許可權運行的時候因為密碼策略等問題導致，大家看惡意將mysql的啟動用戶更下下密碼，然後在服務項里設置下即可。

mysql如何設置賬戶鎖定策略

修改oracle用戶密碼永不過期：

1、查看用戶的proifle是哪個，一般是default：

sqlSELECT username,PROFILE FROM dba_users;

2、查看指定概要文件（如default）的密碼有效期設置：

sqlSELECT * FROM dba_profiles s WHERE s.profile=’DEFAULT’ AND resource_name=’PASSWORD_LIFE_TIME’;

3、將密碼有效期由默認的180天修改成「無限制」：

sqlALTER PROFILE DEFAULT LIMIT PASSWORD_LIFE_TIME UNLIMITED;

修改之後不需要重啟動資料庫，會立即生效。

4、修改後，還沒有被提示ORA-28002警告的帳戶不會再碰到同樣的提示；

已經被提示的帳戶必須再改一次密碼，