7.2. MariaDB の使用

手順

1. CA およびサーバー証明書を /etc/pki/tls/certs/ ディレクトリーに保存します。

   # mv <path>/server.example.com.crt.pem /etc/pki/tls/certs/
   # mv <path>/ca.crt.pem /etc/pki/tls/certs/

   Copy to Clipboard Toggle word wrap

2. MariaDB サーバーがファイルを読み込めるように、CA およびサーバー証明書にパーミッションを設定します。

   # chmod 644 /etc/pki/tls/certs/server.example.com.crt.pem /etc/pki/tls/certs/ca.crt.pem

   Copy to Clipboard Toggle word wrap

   証明書は、セキュアな接続が確立される前は通信の一部であるため、任意のクライアントは認証なしで証明書を取得できます。そのため、CA およびサーバーの証明書ファイルに厳密なパーミッションを設定する必要はありません。

3. サーバーの秘密鍵を /etc/pki/tls/private/ ディレクトリーに保存します。

   # mv <path>/server.example.com.key.pem /etc/pki/tls/private/

   Copy to Clipboard Toggle word wrap

4. サーバーの秘密鍵にセキュアなパーミッションを設定します。

   # chmod 640 /etc/pki/tls/private/server.example.com.key.pem
   # chgrp mysql /etc/pki/tls/private/server.example.com.key.pem

   Copy to Clipboard Toggle word wrap

   承認されていないユーザーが秘密鍵にアクセスできる場合は、MariaDB サーバーへの接続は安全ではなくなります。

5. SELinux コンテキストを復元します。

   #  restorecon -Rv /etc/pki/tls/

   Copy to Clipboard Toggle word wrap

手順

1. /etc/my.cnf.d/mariadb-server-tls.cnf ファイルを作成します。

   1. 以下の内容を追加して、秘密鍵、サーバー、および CA 証明書へのパスを設定します。

      [mariadb]
      ssl_key = /etc/pki/tls/private/server.example.com.key.pem
      ssl_cert = /etc/pki/tls/certs/server.example.com.crt.pem
      ssl_ca = /etc/pki/tls/certs/ca.crt.pem

      Copy to Clipboard Toggle word wrap

   2. 証明書失効リスト (CRL) がある場合は、それを使用するように MariaDB サーバーを設定します。

      ssl_crl = /etc/pki/tls/certs/example.crl.pem

      Copy to Clipboard Toggle word wrap

   3. 必要に応じて、MariaDB 10.5.2 以降を実行する場合は、暗号化せずに接続を拒否できます。この機能を有効にするには、以下を追加します。

      require_secure_transport = on

      Copy to Clipboard Toggle word wrap

   4. 必要に応じて、MariaDB 10.4.6 以降を実行する場合は、サーバーが対応する TLS バージョンを設定できます。たとえば、TLS 1.2 および TLS 1.3 をサポートするには、以下を追加します。

      tls_version = TLSv1.2,TLSv1.3

      Copy to Clipboard Toggle word wrap

      デフォルトでは、サーバーは TLS 1.1、TLS 1.2、および TLS 1.3 をサポートします。

2. mariadb サービスを再起動します。

   # systemctl restart mariadb.service

   Copy to Clipboard Toggle word wrap

1. MariaDB で TLS 暗号化が有効になっていることを確認します。

   # mysql -u root -p -e "SHOW GLOBAL VARIABLES LIKE 'have_ssl';"
   +---------------+-----------------+
   | Variable_name | Value           |
   +---------------+-----------------+
   | have_ssl      | YES             |
   +---------------+-----------------+

   Copy to Clipboard Toggle word wrap

   have_ssl 変数が yes に設定されている場合、TLS 暗号化が有効になります。

2. MariaDB サービスが特定の TLS バージョンのみをサポートするように設定している場合は、tls_version 変数を表示します。

   # mysql -u root -p -e "SHOW GLOBAL VARIABLES LIKE 'tls_version';"
   +---------------+-----------------+
   | Variable_name | Value           |
   +---------------+-----------------+
   | tls_version   | TLSv1.2,TLSv1.3 |
   +---------------+-----------------+

   Copy to Clipboard Toggle word wrap

手順

1. 管理ユーザーとしてMariaDB サーバーに接続します。

   # mysql -u root -p -h server.example.com

   Copy to Clipboard Toggle word wrap

   管理ユーザーがリモートでサーバーにアクセスする権限を持たない場合は、MariaDB サーバーでコマンドを実行し、localhost に接続します。

2. REQUIRE SSL 句を使用して、ユーザーが TLS 暗号化接続を使用して接続する必要があるよう強制します。

   MariaDB [(none)]> ALTER USER 'example'@'%' REQUIRE SSL;

   Copy to Clipboard Toggle word wrap

検証

1. TLS 暗号化を使用して、example ユーザーとしてサーバーに接続します。

   # mysql -u example -p -h server.example.com --ssl
   ...
   MariaDB [(none)]>

   Copy to Clipboard Toggle word wrap

   エラーが表示されず、インタラクティブな MariaDB コンソールにアクセスできる場合は、TLS との接続は成功します。

2. TLS を無効にして、example ユーザーとして接続を試みます。

   # mysql -u example -p -h server.example.com --skip-ssl
   ERROR 1045 (28000): Access denied for user 'example'@'server.example.com' (using password: YES)

   Copy to Clipboard Toggle word wrap

   このユーザーに TLS が必要だが無効になっているため、サーバーはログインの試行を拒否しました (--skip-ssl)。

手順

1. RHEL が、サーバー証明書を発行した CA を信頼しない場合は、以下を行います。

   1. CA 証明書を /etc/pki/ca-trust/source/anchors/ ディレクトリーにコピーします。

      # cp <path>/ca.crt.pem /etc/pki/ca-trust/source/anchors/

      Copy to Clipboard Toggle word wrap

   2. すべてのユーザーが CA 証明書ファイルを読み取りできるようにするパーミッションを設定します。

      # chmod 644 /etc/pki/ca-trust/source/anchors/ca.crt.pem

      Copy to Clipboard Toggle word wrap

   3. CA 信頼データベースを再構築します。

      # update-ca-trust

      Copy to Clipboard Toggle word wrap

2. 以下の内容で /etc/my.cnf.d/mariadb-client-tls.cnf ファイルを作成します。

   [client-mariadb]
   ssl
   ssl-verify-server-cert

   Copy to Clipboard Toggle word wrap

   これらの設定は、MariaDB クライアントが TLS 暗号化 (ssl) を使用し、クライアントがホスト名をサーバー証明書 (ssl-verify-server-cert) の CN と比較することを定義します。

手順

1. mariabackup コマンドを実行します。

   • データを復元し、元のバックアップファイルを保持するには、--copy-back オプションを使用します。

     $ mariabackup --copy-back --target-dir=/var/mariadb/backup/

     Copy to Clipboard Toggle word wrap

   • データを復元し、元のバックアップファイルを削除するには、--move-back オプションを使用します。

     $ mariabackup --move-back --target-dir=/var/mariadb/backup/

     Copy to Clipboard Toggle word wrap

2. ファイルの権限を修正します。

   データベースを復元するとき、Mariabackup は、バックアップのファイルおよびディレクトリーの権限を保持します。ただし、Mariabackup は、ユーザーおよびグループがデータベースを復元する際にファイルをディスクに書き込みます。バックアップの復元後、MariaDB サーバーのユーザーおよびグループ (通常は共に mysql) が一致するように、データディレクトリーの所有者の調整が必要になる場合があります。

   たとえば、ファイルの所有権を mysql ユーザーおよびグループに再帰的に変更するには、次のコマンドを実行します。

   # chown -R mysql:mysql /var/lib/mysql/

   Copy to Clipboard Toggle word wrap

3. mariadb サービスを起動します。

   # systemctl start mariadb.service

   Copy to Clipboard Toggle word wrap

手順

1. mariadb サービスを停止します。

   # systemctl stop mariadb.service

   Copy to Clipboard Toggle word wrap

2. データファイルを必要な場所にコピーします。

   # cp -r /var/lib/mysql /backup-location

   Copy to Clipboard Toggle word wrap

3. オプション: 設定ファイルを必要な場所にコピーします。

   # cp -r /etc/my.cnf /etc/my.cnf.d /backup-location/configuration

   Copy to Clipboard Toggle word wrap

4. オプション: ログファイルを必要な場所にコピーします。

   # cp /var/log/mariadb/* /backup-location/logs

   Copy to Clipboard Toggle word wrap

5. mariadb サービスを起動します。

   # systemctl start mariadb.service

   Copy to Clipboard Toggle word wrap

6. バックアップされたデータをバックアップ場所から /var/lib/mysqlディレクトリーに読み込む際は、mysql:mysql が /var/lib/mysql 内のすべてのデータの所有者であることを確認してください。

   # chown -R mysql:mysql /var/lib/mysql

   Copy to Clipboard Toggle word wrap

手順

1. RHEL 8 システムに mariadb-server パッケージがインストールされていることを確認します。

   # yum install mariadb-server

   Copy to Clipboard Toggle word wrap

2. データのコピー時に、mariadb サービスがソースおよびターゲットのシステムで稼働していないことを確認します。

   # systemctl stop mariadb.service

   Copy to Clipboard Toggle word wrap
3. ソースの場所から RHEL 8 ターゲットシステムの /var/lib/mysql/ ディレクトリーにデータをコピーします。

4. ターゲットシステムでコピーされたファイルに適切なパーミッションと SELinux コンテキストを設定します。

   # restorecon -vr /var/lib/mysql

   Copy to Clipboard Toggle word wrap

5. ターゲットシステムで、MariaDB サーバーを起動します。

   # systemctl start mariadb.service

   Copy to Clipboard Toggle word wrap

6. mysql_upgrade コマンドを実行して、内部テーブルをチェックし、修復します。

   $ mysql_upgrade

   Copy to Clipboard Toggle word wrap
7. アップグレードが完了したら、/etc/my.cnf.d/ ディレクトリー内のすべての設定ファイルに MariaDB 10.3 に対して有効なオプションのみが含まれていることを確認します。

手順

1. MariaDB サーバーを停止します。

   # systemctl stop mariadb.service

   Copy to Clipboard Toggle word wrap

2. 以下のコマンドを実行して、後続のストリームに切り替えるためのシステムの準備が整っているかどうかを判断します。

   # yum distro-sync

   Copy to Clipboard Toggle word wrap

   このコマンドは、Nothing to do.Complete! のメッセージで終了する必要があります。詳細は、後続のストリームへの切り替え を参照してください。

3. システムで mariadb モジュールをリセットします。

   # yum module reset mariadb

   Copy to Clipboard Toggle word wrap

4. 新しい mariadb:10.5 モジュールストリームを有効にします。

   # yum module enable mariadb:10.5

   Copy to Clipboard Toggle word wrap

5. インストール済みパッケージを同期し、ストリーム間の変更を実行します。

   # yum distro-sync

   Copy to Clipboard Toggle word wrap

   これにより、インストールされている MariaDB パッケージがすべて更新されます。

6. /etc/my.cnf.d/ にあるオプションファイルに MariaDB 10.5 に対して有効なオプションのみが含まれるように、設定を調整します。詳細は、MariaDB 10.4 および MariaDB 10.5 のアップストリームドキュメントを参照してください。

7. MariaDB サーバーを起動します。

   • スタンドアロンを実行しているデータベースをアップグレードする場合:

     # systemctl start mariadb.service

     Copy to Clipboard Toggle word wrap

   • Galera クラスターノードをアップグレードする場合:

     # galera_new_cluster

     Copy to Clipboard Toggle word wrap

     mariadb サービスが自動的に起動します。

8. mariadb-upgrade ユーティリティーを実行して、内部テーブルをチェックし、修復します。

   • スタンドアロンを実行しているデータベースをアップグレードする場合:

     # mariadb-upgrade

     Copy to Clipboard Toggle word wrap

   • Galera クラスターノードをアップグレードする場合:

     # mariadb-upgrade --skip-write-binlog

     Copy to Clipboard Toggle word wrap

手順

1. MariaDB サーバーを停止します。

   # systemctl stop mariadb.service

   Copy to Clipboard Toggle word wrap

2. 以下のコマンドを実行して、後続のストリームに切り替えるためのシステムの準備が整っているかどうかを判断します。

   # yum distro-sync

   Copy to Clipboard Toggle word wrap

   このコマンドは、Nothing to do.Complete! のメッセージで終了する必要があります。詳細は、後続のストリームへの切り替え を参照してください。

3. システムで mariadb モジュールをリセットします。

   # yum module reset mariadb

   Copy to Clipboard Toggle word wrap

4. 新しい mariadb:10.11 モジュールストリームを有効にします。

   # yum module enable mariadb:10.11

   Copy to Clipboard Toggle word wrap

5. インストール済みパッケージを同期し、ストリーム間の変更を実行します。

   # yum distro-sync

   Copy to Clipboard Toggle word wrap

   これにより、インストールされている MariaDB パッケージがすべて更新されます。

6. /etc/my.cnf.d/ にあるオプションファイルに MariaDB 10.11 に対して有効なオプションのみが含まれるように、設定を調整します。詳細は、MariaDB 10.6 および MariaDB 10.11 のアップストリームドキュメントを参照してください。

7. MariaDB サーバーを起動します。

   • スタンドアロンを実行しているデータベースをアップグレードする場合:

     # systemctl start mariadb.service

     Copy to Clipboard Toggle word wrap

   • Galera クラスターノードをアップグレードする場合:

     # galera_new_cluster

     Copy to Clipboard Toggle word wrap

     mariadb サービスが自動的に起動します。

8. mariadb-upgrade ユーティリティーを実行して、内部テーブルをチェックし、修復します。

   • スタンドアロンを実行しているデータベースをアップグレードする場合:

     # mariadb-upgrade

     Copy to Clipboard Toggle word wrap

   • Galera クラスターノードをアップグレードする場合:

     # mariadb-upgrade --skip-write-binlog

     Copy to Clipboard Toggle word wrap

手順

1. mariadb モジュールからストリーム (バージョン) を選択し、galera プロファイルを指定して、MariaDB Galera クラスター パッケージをインストールします。以下に例を示します。

   # yum module install mariadb:10.3/galera

   Copy to Clipboard Toggle word wrap

   その結果、次のパッケージが依存関係とともにインストールされます。

   • mariadb-server-galera
   • mariadb-server

   • galera

     MariaDB Galera Cluster をビルドするためにインストールする必要があるパッケージについては、MariaDB クラスターをビルドするためのコンポーネント を参照してください。

2. システムを初めてクラスターに追加する前に、MariaDB サーバーのレプリケーション設定を更新します。デフォルト設定は、/etc/my.cnf.d/galera.cnf ファイルで配布されます。MariaDB Galera クラスター をデプロイする前に、以下の文字列で開始するように、すべてのノードの /etc/my.cnf.d/galera.cnf ファイルに wsrep_cluster_address オプションを設定します。

   gcomm://

   Copy to Clipboard Toggle word wrap

   • 初期ノードでは、wsrep_cluster_address を空のリストとして設定できます。

     wsrep_cluster_address="gcomm://"

     Copy to Clipboard Toggle word wrap

   • その他のすべてのノードに wsrep_cluster_address を設定して、実行中のクラスターに属するノードへのアドレスを追加します。以下に例を示します。

     wsrep_cluster_address="gcomm://10.0.0.10"

     Copy to Clipboard Toggle word wrap

     Galera Cluster アドレスの設定方法は、Galera Cluster Address を参照してください。

3. /etc/my.cnf.d/galera.cnf 設定ファイルで wsrep_on=1 オプションを設定して、すべてのノードで wsrep API を有効にします。

4. TLS 鍵と証明書を含む Galera 設定ファイルに wsrep_provider_options 変数を追加します。以下に例を示します。

   wsrep_provider_options="socket.ssl_cert=/etc/pki/tls/certs/source.crt;socket.ssl_key=/etc/pki/tls/private/source.key;socket.ssl_ca=/etc/pki/tls/certs/ca.crt”

   Copy to Clipboard Toggle word wrap

5. ノードで以下のラッパーを実行して、新規クラスターの最初のノードをブートストラップします。

   # galera_new_cluster

   Copy to Clipboard Toggle word wrap

   このラッパーにより、MariaDB サーバーデーモン (mysqld) に --wsrep-new-cluster オプションが指定されて実行されるようになります。このオプションは、接続する既存クラスターがないという情報を提供します。したがって、ノードは新規 UUID を作成し、新しいクラスターを特定します。

   注記

   mariadb サービスは、複数の MariaDB サーバープロセスと対話する systemd メソッドをサポートします。したがって、複数の MariaDB サーバーを実行している場合は、インスタンス名を接尾辞として指定して、特定のインスタンスをブートストラップできます。

   # galera_new_cluster mariadb@node1

   Copy to Clipboard Toggle word wrap

6. 各ノードで次のコマンドを実行して、その他のノードをクラスターに接続します。

   # systemctl start mariadb.service

   Copy to Clipboard Toggle word wrap

   その結果、ノードはクラスターに接続し、それ自体をクラスターの状態と同期します。