Posted inMySQL

Bảo Mật Nâng Cao MySQL 8: Làm Chủ Roles (RBAC) Và Cơ Chế Caching_sha2_password Thực Chiến

MySQL tutorial - IT technology blog
MySQL tutorial - IT technology blog

Ác mộng quản trị user thủ công khi database phình to

Nếu từng vận hành database cho 30-40 nhân sự gồm backend dev, data analyst lẫn các cronjob, hẳn bạn không lạ gì cảnh cấp quyền thủ công. Cứ mỗi đợt onboarding, bạn lại copy-paste hàng chục dòng lệnh GRANT SELECT, INSERT... cho từng account. Nguy hiểm hơn, khi ai đó chuyển dự án hoặc nghỉ việc, việc thu hồi quyền lẻ tẻ rất dễ sót. Chỉ một account thử việc cũ còn sót quyền DROP hay DELETE cũng đủ biến thành thảm họa rò rỉ dữ liệu.

Hệ thống production mình phụ trách chạy MySQL 8.0 với database thương mại điện tử khoảng 50GB. Mỗi ngày có hơn 15 microservices và hàng chục developer truy cập đồng thời. Trước đây, ma trận quyền hạn phân mảnh khiến team mất cả buổi mỗi khi audit. Mọi thứ chỉ thực sự gọn gàng khi mình áp dụng hai tính năng cốt lõi của MySQL 8: Roles (RBAC – Role-Based Access Control) và plugin xác thực mặc định caching_sha2_password. Thời gian cấp quyền giảm từ 15 phút xuống đúng 30 giây.

Hiểu đúng cơ chế: RBAC và caching_sha2_password vận hành ra sao?

1. MySQL 8 Roles (RBAC)

Trong MySQL 8, một Role thực chất là một account không có password đăng nhập. Role đóng vai trò như một nhóm quyền hạn đóng gói sẵn. Thay vì gán từng đặc quyền cho từng người:

  • Bạn tạo sẵn các role theo chức danh: role_analyst, role_backend_dev, role_report_readonly.
  • Cấp quyền vào role một lần duy nhất.
  • Gán role đó cho các user. Khi cần siết hoặc nới quyền, bạn chỉ cần sửa đúng role đó. Toàn bộ user lập tức nhận thay đổi mà không cần chạm vào từng account lẻ.

2. Cơ chế xác thực caching_sha2_password

Từ bản 8.0, MySQL chọn caching_sha2_password làm mặc định thay thế cho mysql_native_password cũ kỹ vốn dùng SHA-1. Cơ chế này giải quyết hai bài toán lớn:

  • Bảo mật: Băm mật khẩu bằng SHA-256 kèm cặp khóa RSA bất đối xứng khi gửi credentials qua mạng. Kẻ gian sniffing gói tin bắt được payload cũng không thể giải mã, kể cả khi kết nối chưa bật TLS/SSL.
  • Hiệu năng: Server lưu sẵn bản băm xác thực của client vào RAM cache. Khi kết nối lại, server đối soát trực tiếp từ memory thay vì tính toán lại chu trình RSA nặng nề. CPU database không còn bị nghẽn (spike) mỗi khi ứng dụng khởi tạo hàng trăm kết nối connection pool cùng lúc.

Thực hành: Cấu hình phân quyền Roles và xác thực an toàn

Bước 1: Khởi tạo các Role theo nghiệp vụ

Giả sử ta quản trị database ecommerce_db. Chúng ta cần hai nhóm: role chỉ đọc cho team Data Analyst (role_analyst) và role đọc/ghi cho backend API (role_app_write).

-- Đăng nhập bằng tài khoản admin có quyền CREATE ROLE
CREATE ROLE IF NOT EXISTS 'role_analyst', 'role_app_write';

-- Cấp quyền SELECT trên toàn bộ bảng trong ecommerce_db cho analyst
GRANT SELECT ON ecommerce_db.* TO 'role_analyst';

-- Cấp quyền DML phục vụ CRUD nghiệp vụ cho backend
GRANT SELECT, INSERT, UPDATE, DELETE ON ecommerce_db.* TO 'role_app_write';

-- Mặc định MySQL không cấp DDL (DROP, ALTER), giúp hạn chế rủi ro xóa nhầm bảng

Bước 2: Tạo User với caching_sha2_password và chính sách mật khẩu

Khởi tạo user mới với plugin caching_sha2_password, đồng thời khóa tài khoản tạm thời nếu nhập sai pass quá số lần quy định:

-- Tạo user kèm ràng buộc đổi mật khẩu sau 90 ngày và khóa 1 ngày nếu gõ sai 4 lần
CREATE USER 'tuan_data'@'%' 
IDENTIFIED WITH caching_sha2_password BY 'k9#Mv$99xL!zPq12'
PASSWORD EXPIRE INTERVAL 90 DAY
FAILED_LOGIN_ATTEMPTS 4 PASSWORD_LOCK_TIME 1;

-- Gán role phân tích cho user vừa tạo
GRANT 'role_analyst' TO 'tuan_data'@'%';

Bước 3: Mẹo sống còn — Tự động kích hoạt Default Role

Nhiều bạn mới làm quen với MySQL 8 thường gặp tình huống oái oăm: Đã gán role thành công nhưng user đăng nhập vào lại dính lỗi Access denied khi query!

Nguyên nhân là MySQL 8 không tự bật role khi mở session mới. User buộc phải gõ SET ROLE role_analyst; bằng tay mới có quyền. Để user đăng nhập là dùng được ngay, bạn có hai giải pháp:

-- Cách 1: Thiết lập default role riêng cho user này
SET DEFAULT ROLE 'role_analyst' TO 'tuan_data'@'%';

-- Cách 2 (Khuyên dùng): Tự động active toàn bộ role được cấp cho mọi user
SET PERSIST activate_all_roles_on_login = ON;

Lệnh SET PERSIST ghi trực tiếp thiết lập vào mysqld-auto.cnf. Khi khởi động lại MySQL service, cấu hình vẫn giữ nguyên mà bạn không phải sửa file my.cnf thủ công.

Bước 4: Kiểm tra và audit quyền thực tế

Muốn biết user đang chạy với role nào và có quyền gì, bạn có thể kiểm tra nhanh bằng hai câu lệnh:

-- Kiểm tra role đang active trong phiên làm việc hiện tại
SELECT CURRENT_ROLE();

-- Kiểm tra các quyền user được thừa hưởng qua role_analyst
SHOW GRANTS FOR 'tuan_data'@'%' USING 'role_analyst';

Bước 5: Khắc phục lỗi kết nối trên driver cũ

Khi tích hợp hệ thống legacy hoặc tool quản lý cũ (như DBeaver/Navicat bản cũ, PHP 7.1, Node.js driver lỗi thời), bạn dễ gặp lỗi:

Authentication plugin 'caching_sha2_password' cannot be loaded...

Đừng vội hạ cấp user về mysql_native_password vì việc này làm mất giá trị bảo mật. Hãy xử lý theo thứ tự sau:

  1. Nâng cấp driver: Dùng PHP >= 7.4 với mysqlnd, hoặc package mysql2 thay cho mysql trên Node.js. Hầu hết driver từ năm 2020 trở lại đây đều hỗ trợ sẵn SHA-256.
  2. Bật cờ trao đổi public key: Nếu kết nối từ xa qua MySQL CLI mà chưa cấu hình TLS certificate, hãy thêm tham số lấy RSA public key từ server để mã hóa password:
# Thêm cờ --get-server-public-key để tự động trao đổi key mã hóa
mysql -u tuan_data -p -h 10.0.1.15 --get-server-public-key

Tổng kết

Quản trị database bài bản không thể dựa vào việc gán quyền tùy tiện. Triển khai Roles (RBAC) giúp bạn gom nhóm quyền rõ ràng và thu hồi truy cập chỉ bằng một lệnh khi nhân sự thay đổi. Kết hợp cùng caching_sha2_password, hệ thống vừa ngăn chặn nguy cơ đánh cắp thông tin đăng nhập, vừa giữ độ trễ kết nối ở mức tối thiểu khi tải cao.

Share:
Tags: