Що таке користувач debian-sys-maint MySQL (та більше)?

Мене кілька разів вкусив користувач 'debian-sys-maint', встановлений за замовчуванням на пакунках серверів mysql, встановлених із сховищ Ubuntu.

Як правило, те, що я витягую нову копію нашої виробничої бази даних (яка не працює на Debian / Ubuntu) для усунення несправностей або нової розробки, і забуваю виключити таблицю mysql.user, отже втрачаючи користувача debian-sys-maint.

Якщо ми додамо нових користувачів mysql з будь-якої причини, я повинен "об'єднати" їх у моє середовище розробки, на відміну від простого накладання таблиці.

Без користувача моя система все ще здається функціональною, але зазнає помилок, таких як:

sudo /etc/init.d/mysql restart
Stopping MySQL database server: mysqld...failed.
error: 'Access denied for user 'debian-sys-maint'@'localhost' (using password: YES)'

• Для чого використовується debian-sys-maint?
  • Чи є кращий спосіб, щоб обслуговуючі пакети робили те, що намагаються зробити?
• Який найпростіший спосіб відновити його після того, як я його втратив?
• Який правильний / мінімальний набір привілеїв для цього користувача?
  • Здається, погана ідея "надавати всі привілеї на *. * ..."

Редагувати

Додаткове запитання - Чи паролем у /etc/mysql/debian.cnf вже є хеш або це пароль простого тексту? Має значення, коли ви збираєтесь відтворити користувача, і я, здається, ніколи не зрозумію це з першої спроби.

Дякую

Для чого використовується debian-sys-maint?

Одне головне, для чого він використовується - це сказати серверу виконувати журнали. Для цього потрібні принаймні права перезавантаження та відключення.

Дивіться файл /etc/logrotate.d/mysql-server

Він використовується /etc/init.d/mysqlсценарієм для отримання статусу сервера. Він використовується для витонченого відключення / перезавантаження сервера.

Ось цитата з README.Debian

* MYSQL WON'T START OR STOP?:
=============================
You may never ever delete the special mysql user "debian-sys-maint". This user
together with the credentials in /etc/mysql/debian.cnf are used by the init
scripts to stop the server as they would require knowledge of the mysql root
users password else.

Який найпростіший спосіб відновити його після того, як я його втратив?

Найкращий план - просто не втратити його. Якщо ви дійсно втратили пароль, відновіть його, використовуючи інший обліковий запис. Якщо ви втратили всі права адміністратора на сервері mysql, дотримуйтесь інструкцій для скидання пароля root, а потім відновіть debian-sys-maint.

Ви можете використати таку команду, щоб створити файл SQL, який ви зможете використовувати пізніше для відтворення облікового запису.

mysqldump --complete-insert --extended-insert=0 -u root -p mysql | grep 'debian-sys-maint' > debian_user.sql

Чи паролем у /etc/mysql/debian.cnf вже є хеш

Пароль не хеширується / шифрується при встановленні, але нові версії mysql тепер мають спосіб шифрування облікових даних (див. Https://serverfault.com/a/750363 ).

Користувач debian-sys-maint за замовчуванням є кореневим еквівалентом . Він використовується певними скриптами технічного обслуговування в системах Debian, і як побічний ефект дозволяє користувачам з кореневим доступом у вікні переглядати пароль простого тексту в /etc/mysql/debian.cnf (добре чи погано?)

Ви можете створити користувача заново:

GRANT ALL PRIVILEGES on *.* TO `debian-sys-maint`@`localhost` IDENTIFIED BY 'your password' WITH GRANT OPTION;

Просто переконайтеся, що пароль відповідає паролю в /etc/mysql/debian.cnf

Ви також можете:

sudo dpkg-reconfigure mysql-server-5.0

Що дасть вам можливість відтворити користувача debian-sys-maint. Існуючі користувачі та бази даних є безпечними.

Мені хотілося просто прокоментувати, але я думаю, що правильний синтаксис заслуговує на те, що це власний запис. Це створить користувача debian-sys-maint :

mysql> GRANT ALL PRIVILEGES on *.* TO 'debian-sys-maint'@'localhost' IDENTIFIED BY 'plaintextpassword' WITH GRANT OPTION; FLUSH PRIVILEGES;

Якщо у вас все ще є файл /etc/mysql/debian.cnf, просто введіть пароль там.

Не соромтеся придумати більш параноїчне безпечне рішення.

Якщо вам потрібно додати debian-sys-maintкористувача лише для logrotate.dцілей, ви не повинні надавати ALL PRIVILEGESабо GRANT OPTION- це зайвий гігантський отвір у безпеці. Натомість ви можете просто додати користувача з таким RELOADпривілеєм (якщо припустити, що ви отримуєте доступ до свого db як rootі заміните xxxxxx своїм паролем)

# add the user with the reload right
GRANT RELOAD on *.* TO 'debian-sys-maint'@'localhost' IDENTIFIED BY 'xxxxxx'; 

# reload the rights
FLUSH PRIVILEGES;

# double check
select * from mysql.user;

Оновлення 2019 року

Ця відповідь може бути застарілою. Будь ласка, дивіться вкрай впевнені коментарі нижче.

Замість

GRANT ALL PRIVILEGES on *.* TO 'debian-sys-maint'@'localhost' IDENTIFIED BY PASSWORD('your password') WITH GRANT OPTION; FLUSH PRIVILEGES;

Я думаю

GRANT ALL PRIVILEGES on *.* TO 'debian-sys-maint'@'localhost' IDENTIFIED BY 'your password' WITH GRANT OPTION; FLUSH PRIVILEGES;

тому що пароль не хеширован ...?

debian-sys-maint необхідні дозволи

Інші відповіді достатньо стосуються всього, крім мінімального набору дозволів, необхідних для користувача debian-sys-maint. Багато відповідей тут просто неправильні в цьому відношенні і насправді небезпечні. Не зменшуйте привілеї debian-sys-maint (включаючи опцію надання грантів), не читаючи та розуміючи нижче:

Технічний сервіс Debian не давав всім привілеям користувачеві примхливо. Ось що потрібно, де і чому. Деякі з цих привілеїв є набором інших, але я перелічу їх незалежно, якщо ви хочете налаштувати речі та усунути вимогу до них:

• вимкнення та перезавантаження , потрібне не дивно, для вимкнення або роботи з базою даних, виконане /etc/init.d/mysql
• виберіть на mysql.user , необхідний для перевірки правильності, здійсненого при запуску бази даних, гарантуючи, що є користувач root. Кожен запуск робиться / etc / mysql / debian-start (викликається /etc/init.d/mysql) фактичним кодом у функції check_root_accounts у файлі /usr/share/mysql/debian-start.inc.sh
• вибрати на INFORMATION_SCHEMA.TABLES , глобальний вибір , необхідний для перевірки розбитих таблиць. Зробити кожен запуск в / etc / mysql / debian-start (викликається /etc/init.d/mysql) фактичним кодом у функції check_for_crashed_tables у файлі /usr/share/mysql/debian-start.inc.sh
• глобальні всі привілеї , необхідні для оновлення таблиць, якщо / коли нова версія MySQL встановлена ​​за допомогою оновлення або оновлення Debian. Здійснював кожен запуск в / etc / mysql / debian-start (викликається /etc/init.d/mysql) фактичним кодом у функції upgrade_system_tables_if_ne potrebno у файлі /usr/share/mysql/debian-start.inc.sh - насправді викликає MySQL бінарний mysql_upgrade - не обманюйте ім'я функції (upgrade_system_tables_if_ne необходимо), це може потенційно торкнутися всіх таблиць - див. нижче

Останнє - це, звичайно, головна вимога до пільг. Сторінка man для mysql_upgrade зазначає, що:

mysql_upgrade вивчає всі таблиці у всіх базах даних на предмет несумісності з поточною версією MySQL Server. mysql_upgrade також оновлює системні таблиці, щоб ви могли скористатися новими привілеями чи можливостями, які могли бути додані.

Якщо mysql_upgrade виявить, що в таблиці можлива несумісність, вона виконує перевірку таблиці і, якщо виявлені проблеми, намагається відновити таблицю.

ПОПЕРЕДЖЕННЯ Якщо ви вирішили зменшити привілеї, які має debian-sys-maint, то переконайтеся, що ви готові вручну обробляти будь-які майбутні оновлення безпеки debian та / або оновлення, що стосуються MySQL. Якщо ви виконуєте оновлення пакетів MySQL зі зменшеним привілеєм debian-sys-maint, і якщо mysql_upgrade не може завершитися в результаті, він може залишити вашу базу даних у невизначеному (прочитаному ламаному) стані. Зниження привілеїв може не мати жодних очевидних проблем із повсякденним доти, доки не з’явиться оновлення, тому не слід підходити до того, що ви вже зменшили привілеї без шкідливих наслідків, як основа для того, щоб вважати, що це безпечно.

Як додаткову увагу до цього, погляньте на цей пост mysqlperformanceblog з причин, чому ви можете відключити специфічні для debian речі.

Під час використання MySQL 5.6+ я рекомендую використовувати mysql_config_editorкоманду для створення запису для користувача 'debian-sys-maint'@'localhost'за допомогою відповідного пароля, тобто пароль не потрібно зберігати у простому тексті на сервері.

mysql_config_editor set --login-path=debian-sys-maint --host=localhost --user=debian-sys-maint --password

Після цього певний конфігураційний файл для debian /etc/mysql/debian.cnfможе бути змінений, щоб дані про ім’я користувача та пароль не зберігалися у файлі.

Нарешті, змініть файл logrotate для MySQL, щоб він використовував дані входу, збережені у ~/.mylogin.cnfфайлі, а не конкретний файл debian, замінюючи

/usr/bin/mysqladmin --defaults-file=/etc/mysql/debian.cnf

з

/usr/bin/mysqladmin --login-path=debian-sys-maint

Сподіваюся, це допомагає :)

Дейв