Navicat Premium での MySQL ユーザーの管理 - パート 1: root アカウントの保護

パート 1: root アカウントの保護

データベースユーザーの管理は、データベース管理者 (DBA) の主な責任の 1 つです。組織内のユーザーがデータベースにアクセスする方法を調整するには、多くの場合、新しいユーザーの追加、組織を離れたユーザーのアクセスのブロック、ログインできないユーザーの支援など、多くの個別のタスクが必要になります。

mysqladmin コマンドラインクライアントは、管理操作を実行するために MySQL に含まれています。これを使用して、サーバーの構成と現在の状態を確認したり、データベースを作成および削除したりすることができます。もう少し複雑な機能が必要な DBA の場合、Navicat for MySQL および Navicat Premium には、MySQL ユーザーの管理に必要なすべての機能がすでに含まれているため、別のコマンドウィンドウを起動する必要はありません。このシリーズでは、Navicat で一般的なユーザー管理タスクを実行する方法を説明します。この記事では、3 つのデフォルトの MySQL ユーザーアカウントと root ユーザーのセキュリティについて説明します。

この記事では Navicat Premium を使用していますが。ただし、Navicat for MySQL にも同じ機能が含まれていますが、それは MySQL 専用であることに注意してください。試して学ぶ？ここをクリックして、Navicat Premium の 14 日間の全機能試用版をダウンロードしてください。

デフォルトのユーザーアカウント

ユーザー管理機能には、「ユーザー」ボタンからアクセスできます。これをクリックすると、MySQL 接続のすべての登録ユーザーが [オブジェクト] タブに表示されます。

上の画像は、デフォルトのユーザーアカウントを示しています。インストール中に、MySQL は予約済みとみなされるべき 3 つのユーザーアカウントを作成します。

'root'@'localhost: スーパーユーザー。このアカウントには完全な権限があり、あらゆるアクションを実行できます。
厳密に言えば、このアカウント名は予約されていません。ルートアカウントの名前を別の名前に変更すると、よく知られた名前を持つ高度な特権を持つデフォルトアカウントの公開を避けることができるためです。運用環境では、root アカウントの名前を変更する必要があります。
'mysql.sys'@'localhost': sys スキーマオブジェクトの DEFINER として使用されます。mysql.sys アカウントを使用すると、DBA が root アカウントの名前を変更または削除するときに問題が回避されます。このアカウントはロックされているため、クライアント接続に使用できません。
'mysql.session'@'localhost': サーバーにアクセスするためにプラグインによって内部的に使用されます。このアカウントはロックされているため、クライアント接続に使用できません。

ユーザーの詳細を編集する

ユーザーの詳細を表示および/または変更したい場合は、そのユーザーをダブルクリックするか、[オブジェクト] タブで強調表示して、オブジェクトツールバーの [ユーザーの編集] ボタンをクリックします。これにより、そのユーザーのエディタータブが開きます。これには、「全般」、「詳細」、「サーバー権限」、「権限」、「SQL プレビュー」という 5 つのタブが含まれています。これらのタブについては次の記事で詳しく説明しますが、ここでは、root アカウントを保護するために [全般] タブの一部のデータを変更する方法を見てみましょう。

1. ご存知のとおり、「root」アカウントはスーパーユーザーです。したがって、最初のアクションは、「secure_admin_99」など、あまり直感的ではないものに変更することです。数字を追加すると推測が難しくなります。

2. sha256_password プラグインを選択します。

MySQL Server のバージョン 5.5 以降のすべてのバージョンでは、デフォルトのパスワードメカニズムは mysql_native_password 認証プラグイン (デフォルトで有効) を使用します。このメカニズムは SHA1 ハッシュを利用します。このアルゴリズムは MySQL 4.1 の時代には安全だと考えられていましたが、数年以内に悪用可能なセキュリティ上の弱点であることが知られています。

sha256_password プラグインは MySQL Server 5.6 で導入され、パスワードストレージに重点を置いた追加のセキュリティを提供します。これは、mysql_native_password を脆弱にする 2 つの重要な要素に対処することによって行われます。ハッシュ計算がより高価または時間がかかることと、出力がランダムになることです。さらに、より強力な SHA-256 アルゴリズムを使用すると、脆弱な SHA1 アルゴリズムへの依存関係がなくなります。

3. 強力なパスワードを入力します。
強力なパスワードは、推測や解読が困難である必要があります。優れたパスワードには次のような特徴があります。

- 少なくとも8文字の長さでなければなりません。
- ユーザー名、本名、会社名は含めないでください。
- 完全な単語を含めることはできません。
- 以前のパスワードと大きく異なります。
- 大文字、小文字、数字、記号が含まれます。

4. 「パスワード有効期限ポリシー」を指定します。

間隔を指定すると、90 日など、設定した日数が経過した後に MySQL でユーザーにパスワードの変更を求めることができます。

以下は、フィールドが更新された「全般」タブです。

「保存」ボタンをクリックしてアカウント設定を更新します。

知らせ

次のセクションでは、新しいユーザーを作成して権限を割り当てる方法を学習します。この機能を試してみたい場合は、ここをクリックして Navicat Premium の 14 日間の全機能試用版をダウンロードしてください。