7.3. MySQL 사용

프로세스

1. /etc/pki/tls/certs/ 디렉터리에 CA 및 서버 인증서를 저장합니다.

   # mv <path>/server.example.com.crt.pem /etc/pki/tls/certs/
   # mv <path>/ca.crt.pem /etc/pki/tls/certs/

   Copy to Clipboard Toggle word wrap

2. MySQL 서버가 파일을 읽을 수 있도록 하는 CA 및 서버 인증서에 대한 권한을 설정합니다.

   # chmod 644 /etc/pki/tls/certs/server.example.com.crt.pem /etc/pki/tls/certs/ca.crt.pem

   Copy to Clipboard Toggle word wrap

   인증서는 보안 연결이 설정되기 전에 통신의 일부이므로 모든 클라이언트는 인증 없이 이를 검색할 수 있습니다. 따라서 CA 및 서버 인증서 파일에 대한 엄격한 권한을 설정할 필요가 없습니다.

3. 서버의 개인 키를 /etc/pki/tls/private/ 디렉터리에 저장합니다.

   # mv <path>/server.example.com.key.pem /etc/pki/tls/private/

   Copy to Clipboard Toggle word wrap

4. 서버의 개인 키에 대한 보안 권한을 설정합니다.

   # chmod 640 /etc/pki/tls/private/server.example.com.key.pem
   # chgrp mysql /etc/pki/tls/private/server.example.com.key.pem

   Copy to Clipboard Toggle word wrap

   권한이 없는 사용자가 개인 키에 액세스할 수 있는 경우 MySQL 서버에 대한 연결이 더 이상 안전하지 않습니다.

5. SELinux 컨텍스트를 복원합니다.

   # restorecon -Rv /etc/pki/tls/

   Copy to Clipboard Toggle word wrap

프로세스

1. /etc/my.cnf.d/mysql-server-tls.cnf 파일을 만듭니다.

   1. 다음 콘텐츠를 추가하여 개인 키, 서버 및 CA 인증서에 대한 경로를 구성합니다.

      [mysqld]
      ssl_key = /etc/pki/tls/private/server.example.com.key.pem
      ssl_cert = /etc/pki/tls/certs/server.example.com.crt.pem
      ssl_ca = /etc/pki/tls/certs/ca.crt.pem

      Copy to Clipboard Toggle word wrap

   2. CRL(Certificate Revocation List)이 있는 경우 이를 사용하도록 MySQL 서버를 구성합니다.

      ssl_crl = /etc/pki/tls/certs/example.crl.pem

      Copy to Clipboard Toggle word wrap

   3. 선택 사항: 암호화 없이 연결 시도를 거부합니다. 이 기능을 활성화하려면 다음을 추가합니다.

      require_secure_transport = on

      Copy to Clipboard Toggle word wrap

   4. 선택 사항: 서버가 지원해야 하는 TLS 버전을 설정합니다. 예를 들어 TLS 1.3만 지원하려면 다음을 추가합니다.

      tls_version = TLSv1.3

      Copy to Clipboard Toggle word wrap

      기본적으로 서버는 TLS 1.2 및 TLS 1.3을 지원합니다.

2. mysqld 서비스를 다시 시작합니다.

   # systemctl restart mysqld.service

   Copy to Clipboard Toggle word wrap

1. 이제 MySQL 에 TLS 암호화가 활성화되어 있는지 확인합니다.

   # mysql -u root -p -h <MySQL_server_hostname> -e "SHOW session status LIKE 'Ssl_cipher';"
   +---------------+------------------------+
   | Variable_name | Value                  |
   +---------------+------------------------+
   | Ssl_cipher    | TLS_AES_256_GCM_SHA384 |
   +---------------+------------------------+

   Copy to Clipboard Toggle word wrap

2. 특정 TLS 버전만 지원하도록 MySQL 서버를 구성한 경우 tls_version 변수를 표시합니다.

   # mysql -u root -p -e "SHOW GLOBAL VARIABLES LIKE 'tls_version';"
   +---------------+---------+
   | Variable_name | Value   |
   +---------------+---------+
   | tls_version   | TLSv1.3 |
   +---------------+---------+

   Copy to Clipboard Toggle word wrap

3. 서버가 올바른 CA 인증서, 서버 인증서 및 개인 키 파일을 사용하는지 확인합니다.

   # mysql -u root -e "SHOW GLOBAL VARIABLES WHERE Variable_name REGEXP '^ssl_ca|^ssl_cert|^ssl_key';"
   +-----------------+-------------------------------------------------+
   | Variable_name   | Value                                           |
   +-----------------+-------------------------------------------------+
   | ssl_ca          | /etc/pki/tls/certs/ca.crt.pem                   |
   | ssl_capath      |                                                 |
   | ssl_cert        | /etc/pki/tls/certs/server.example.com.crt.pem   |
   | ssl_key         | /etc/pki/tls/private/server.example.com.key.pem |
   +-----------------+-------------------------------------------------+

   Copy to Clipboard Toggle word wrap

프로세스

1. 관리 사용자로 MySQL 서버에 연결합니다.

   # mysql -u root -p -h server.example.com

   Copy to Clipboard Toggle word wrap

   관리 사용자에게 원격으로 서버에 액세스할 수 있는 권한이 없는 경우 MySQL 서버에서 명령을 수행하고 localhost 에 연결합니다.

2. REQUIRE SSL 절을 사용하여 사용자가 TLS 암호화 연결을 사용하여 연결해야 합니다.

   MySQL [(none)]> ALTER USER 'example'@'%' REQUIRE SSL;

   Copy to Clipboard Toggle word wrap

검증

1. TLS 암호화를 사용하여 서버에 example 사용자로 연결합니다.

   # mysql -u example -p -h server.example.com
   ...
   MySQL [(none)]>

   Copy to Clipboard Toggle word wrap

   오류가 표시되지 않고 대화형 MySQL 콘솔에 액세스할 수 있는 경우 TLS와의 연결에 성공합니다.

   기본적으로 클라이언트는 서버에서 제공하는 경우 TLS 암호화를 자동으로 사용합니다. 따라서 --ssl-ca=ca.crt.pem 및 --ssl-mode=VERIFY_IDENTITY 옵션은 필요하지 않지만 이러한 옵션을 사용하여 클라이언트는 서버 ID를 확인하므로 보안을 개선합니다.

2. TLS가 비활성화된 사용자로 연결을 시도합니다.

   # mysql -u example -p -h server.example.com --ssl-mode=DISABLED
   ERROR 1045 (28000): Access denied for user 'example'@'server.example.com' (using password: YES)

   Copy to Clipboard Toggle word wrap

   이 사용자에게는 TLS가 필요하지만 비활성화됨(--ssl-mode=DISABLED)이므로 서버에서 로그인 시도를 거부했습니다.

프로세스

1. mysqld 서비스를 중지합니다.

   # systemctl stop mysqld.service

   Copy to Clipboard Toggle word wrap

2. 데이터 파일을 필요한 위치에 복사합니다.

   # cp -r /var/lib/mysql /backup-location

   Copy to Clipboard Toggle word wrap

3. 선택 사항: 구성 파일을 필요한 위치에 복사합니다.

   # cp -r /etc/my.cnf /etc/my.cnf.d /backup-location/configuration

   Copy to Clipboard Toggle word wrap

4. 선택 사항: 로그 파일을 필요한 위치에 복사합니다.

   # cp /var/log/mysql/* /backup-location/logs

   Copy to Clipboard Toggle word wrap

5. mysqld 서비스를 시작합니다.

   # systemctl start mysqld.service

   Copy to Clipboard Toggle word wrap

6. 백업 위치의 백업 데이터를 /var/lib/mysql 디렉토리로 로드할 때 mysql:mysql 이 /var/lib/mysql 에 있는 모든 데이터의 소유자인지 확인합니다.

   # chown -R mysql:mysql /var/lib/mysql

   Copy to Clipboard Toggle word wrap

프로세스

1. [mysqld] 섹션의 /etc/my.cnf.d/mysql-server.cnf 파일에 다음 옵션을 포함합니다.

   • bind-address=source_ip_adress

     이 옵션은 복제본에서 소스로 만든 연결에 필요합니다.

   • server-id=id

     ID 는 고유해야 합니다.

   • log_bin=path_to_source_server_log

     이 옵션은 MySQL 소스 서버의 바이너리 로그 파일의 경로를 정의합니다. 예: log_bin=/var/log/mysql/mysql-bin.log.

   • gtid_mode=ON

     이 옵션은 서버에서 GTID(글로벌 트랜잭션 식별자)를 활성화합니다.

   • enforce-gtid-consistency=ON

     서버는 GTID를 사용하여 안전하게 로깅할 수 있는 명령만 실행하여 GTID 일관성을 적용합니다.

   • Optional: binlog_do_db=db_name

     선택한 데이터베이스만 복제하려면 이 옵션을 사용합니다. 두 개 이상의 선택한 데이터베이스를 복제하려면 각 데이터베이스를 별도로 지정합니다.

     binlog_do_db=db_name1
     binlog_do_db=db_name2
     binlog_do_db=db_name3

     Copy to Clipboard Toggle word wrap

   • Optional: binlog_ignore_db=db_name

     복제에서 특정 데이터베이스를 제외하려면 이 옵션을 사용합니다.

2. mysqld 서비스를 다시 시작합니다.

   # systemctl restart mysqld.service

   Copy to Clipboard Toggle word wrap

프로세스

1. [mysqld] 섹션의 /etc/my.cnf.d/mysql-server.cnf 파일에 다음 옵션을 포함합니다.

   • server-id=id

     ID 는 고유해야 합니다.

   • relay-log=path_to_replica_server_log

     relay 로그는 복제 중에 MySQL 복제본 서버에서 생성한 로그 파일 집합입니다.

   • log_bin=path_to_replica_sever_log

     이 옵션은 MySQL 복제본 서버의 바이너리 로그 파일의 경로를 정의합니다. 예: log_bin=/var/log/mysql/mysql-bin.log.

     이 옵션은 복제본에 필요하지 않지만 강력하게 권장됩니다.

   • gtid_mode=ON

     이 옵션은 서버에서 GTID(글로벌 트랜잭션 식별자)를 활성화합니다.

   • enforce-gtid-consistency=ON

     서버는 GTID를 사용하여 안전하게 로깅할 수 있는 명령만 실행하여 GTID 일관성을 적용합니다.

   • log-replica-updates=ON

     이 옵션을 사용하면 소스 서버에서 수신된 업데이트가 복제본의 바이너리 로그에 기록됩니다.

   • skip-replica-start=ON

     이 옵션을 사용하면 복제본 서버가 시작될 때 복제 스레드가 시작되지 않습니다.

   • Optional: binlog_do_db=db_name

     특정 데이터베이스만 복제하려면 이 옵션을 사용합니다. 둘 이상의 데이터베이스를 복제하려면 각 데이터베이스를 별도로 지정합니다.

     binlog_do_db=db_name1
     binlog_do_db=db_name2
     binlog_do_db=db_name3

     Copy to Clipboard Toggle word wrap

   • Optional: binlog_ignore_db=db_name

     복제에서 특정 데이터베이스를 제외하려면 이 옵션을 사용합니다.

2. mysqld 서비스를 다시 시작합니다.

   # systemctl restart mysqld.service

   Copy to Clipboard Toggle word wrap

프로세스

1. 복제 사용자를 생성합니다.

   mysql> CREATE USER 'replication_user'@'replica_server_hostname' IDENTIFIED WITH mysql_native_password BY 'password';

   Copy to Clipboard Toggle word wrap

2. 사용자에게 복제 권한을 부여합니다.

   mysql> GRANT REPLICATION SLAVE ON *.* TO 'replication_user'@'replica_server_hostname';

   Copy to Clipboard Toggle word wrap

3. MySQL 데이터베이스에서 권한 부여 테이블을 다시 로드합니다.

   mysql> FLUSH PRIVILEGES;

   Copy to Clipboard Toggle word wrap

4. 소스 서버를 읽기 전용 상태로 설정합니다.

   mysql> SET @@GLOBAL.read_only = ON;

   Copy to Clipboard Toggle word wrap

프로세스

1. 복제본 서버를 읽기 전용 상태로 설정합니다.

   mysql> SET @@GLOBAL.read_only = ON;

   Copy to Clipboard Toggle word wrap

2. 복제 소스를 구성합니다.

   mysql> CHANGE REPLICATION SOURCE TO
          SOURCE_HOST='source_hostname',
          SOURCE_USER='replication_user',
          SOURCE_PASSWORD='password',
          SOURCE_AUTO_POSITION=1,
          SOURCE_SSL=1,
          SOURCE_SSL_CA='path_to_ca_on_source',
          SOURCE_SSL_CAPATH='path_to_directory_with_certificates',
          SOURCE_SSL_CERT='path_to_source_certificate',
          SOURCE_SSL_KEY='path_to_source_key';

   Copy to Clipboard Toggle word wrap

3. MySQL 복제본 서버에서 복제본 스레드를 시작합니다.

   mysql> START REPLICA;

   Copy to Clipboard Toggle word wrap

4. 소스 및 복제본 서버에서 모두 읽기 전용 상태를 설정 해제합니다.

   mysql> SET @@GLOBAL.read_only = OFF;

   Copy to Clipboard Toggle word wrap

5. 선택 사항: 디버깅을 위해 복제본 서버의 상태를 검사합니다.

   mysql> SHOW REPLICA STATUS\G;

   Copy to Clipboard Toggle word wrap
   참고

   복제본 서버가 시작 또는 연결에 실패하면 SHOW MASTER STATUS 명령의 출력에 표시된 바이너리 로그 파일 위치에 따라 특정 수의 이벤트를 건너뛸 수 있습니다. 예를 들어 정의된 위치에서 첫 번째 이벤트를 건너뜁니다.

   mysql> SET GLOBAL SQL_SLAVE_SKIP_COUNTER=1;

   Copy to Clipboard Toggle word wrap

   그런 다음 복제본 서버를 다시 시작합니다.

6. 선택 사항: 복제본 서버에서 복제본 스레드를 중지합니다.

   mysql> STOP REPLICA;

   Copy to Clipboard Toggle word wrap

프로세스

1. 소스 서버에서 예제 데이터베이스를 생성합니다.

   mysql> CREATE DATABASE test_db_name;

   Copy to Clipboard Toggle word wrap
2. test_db_name 데이터베이스가 복제본 서버에서 복제되는지 확인합니다.

3. 소스 또는 복제본 서버 중 하나에서 다음 명령을 실행하여 MySQL 서버의 바이너리 로그 파일에 대한 상태 정보를 표시합니다.

   mysql> SHOW MASTER STATUS;

   Copy to Clipboard Toggle word wrap

   소스에서 실행되는 트랜잭션에 대한 GTID 집합을 표시하는 Executed_Gtid_Set 열은 비워 둘 수 없습니다.

   참고

   복제본 서버에서 SHOW REPLICA STATUS 를 사용할 때 Executed_Gtid_Set 행에 동일한 GTIDs 세트가 표시됩니다.