技術分享 | 快速掌握 MySQL 8.0 認證插件的使用

• 2020 年 3 月 13 日
• 筆記

引言

MySQL 8.0.15 版本主從複製時，io 執行緒一直處於 connecting 狀態， 由於複製用戶使用的認證插件是 caching_sha2_password，而想要通過 caching_sha2_password 認證的用戶訪問資料庫，只有兩個途徑：

1. 使用加密連接

2. 使用支援 RSA 密鑰對，進行密碼交換的非加密連接

之前 change master to 時，未進行配置 master_ssl=1（等效於客戶端 --ssl-mode=REQUIRED 的配置），導致從庫通過複製用戶連接主庫時使用的非加密連接，同時又沒有進行 RSA 密鑰配置，導致 io 執行緒運行異常。為此整理一些關於 MySQL 8.0 認證插件 caching_sha2_password 的一些限制以及 RSA 的相關內容。

一、認證插件 caching_sha2_password

1.1 作用：

用於實現 SHA-256 認證

1.2 工作機制：

1）caching_sha2_password 會將用戶名和用戶密碼哈希對作為快取條目進行快取，當用戶進行訪問時，會跟快取條目進行匹配，如果匹配則認證成功。

2）如果插件沒有匹配到相應的快取條目，首先會根據 mysql.user 系統表進行校驗，如果校驗通過會生成相應的快取條目，下次相同用戶進行訪問時可以直接命中快取條目，提升二次認證效率。如果校驗失敗，則認證失敗、訪問拒絕。

1.3 優勢（相對於 sha256_password）：

1）caching_sha2_password 認證插件在 MySQL 服務端進行快取認證條目，對於之前認證過的用戶，可以提升二次認證的速度。

2）不管與 MySQL 鏈接的 SSL 庫如何，都可以使用基於 RSA 的密碼交換

3）提供了對使用 Unix 套接字文件和共享記憶體協議的客戶端連接的支援

1.4 快取管理：

1）當刪除用戶、修改用戶名、修改用戶密碼、修改認證方式會清理相對應的快取條目

2）Flush Privileges 會清除所有的快取條目

3）資料庫關閉時會清除所有快取條目

1.5 限制：

通過 caching_sha2_password 認證的用戶訪問資料庫，只能通過加密的安全連接或者使用支援 RSA 密鑰對進行密碼交換的非加密連接進行訪問。

二、caching_sha2_password 插件使用 RSA 秘鑰對

2.1秘鑰對生成方式：

1）自動生成

參數 caching_sha2_password_auto_generate_rsa_keys 默認是開啟，資料庫在啟動時自動生成相對應的公鑰和私鑰。

2）手動生成

通過 mysql_ssl_rsa_setup 指定目錄生成 SSL 相關的私鑰和證書以及 RSA 相關的公鑰和私鑰。

2.2 查看 RSA 公鑰值的方式：

通過狀態變數 Caching_sha2_password_rsa_public_key 可以查看 caching_sha2_password 身份驗證插件使用的 RSA 公鑰值。

2.3 使用 RSA 鍵值對的注意事項：

1）擁有 MySQL 伺服器上 RSA 公鑰的客戶端，可以在連接過程中與伺服器進行基於 RSA 密鑰對的密碼交換

2）對於通過使用 caching_sha2_password 和基於 RSA 密鑰對的密碼交換進行身份驗證的帳戶，默認情況下，MySQL 服務端不會將 RSA 公鑰發送給客戶端，獲取 RSA 公鑰的方式有以下兩種：

A. 客戶端從服務端拷貝相應的 RSA 公鑰，

B. 客戶端發起訪問時，請求獲取 RSA 公鑰。

在 RSA 公鑰文件可靠性能夠保證的前提下，拷貝 RSA 公鑰跟請求獲取 RSA 公鑰相比，由於減少了 c/s 之間的通訊，相對而言更安全。如果在網路安全前提下，後者相對來說會更方便。

2.4 命令行客戶端通過 RSA 秘鑰對進行訪問：

1）通過拷貝方式獲取RSA公鑰，在通過命令行客戶端進行訪問時，需要在命令行指定 --server-public-key-path 選項來進行訪問

2）通過請求獲取RSA公鑰的方式，在通過命令行客戶端進行訪問時，需要在命令行中指定 --get-server-public-key 選項來進行訪問。

選項 --server-public-key-path 優於 --get-server-public-key