계정 인증 방식과 비밀번호를 설정한다.
예) IDENTIFIED WITH {계정 인증 방식} BY {비밀번호}
계정 인증 방식은 플러그인 형태로 제공되며, 아래 4가지 방식이 가장 대표적이다.
Native Pluggable Authentication: v5.7까지 기본으로 사용되던 방식이다. 단순하게 비밀번호에 대한 해시(SHA-1 알고리즘) 값을 저장하고, 클러이언트가 보낸 값과 해시값이 일치하는지 비교한다.
Caching SHA-2 Pluggable Authentication: v8.0의 기본 인증 방식. 암호화 해시값 생성을 위해 SHA-2(256비트) 알고리즘을 사용한다. Native 방식은 입력과 해시값이 매번 동일하지만, SHA-2 방식은 내부적으로 Salt 키를 활용해 수천 번의 해시 계산을 수행해 계산을 만들고 결국 동일한 입력일지라도 매번 결과가 달라진다. 이는 속도가 매우 느린 점을 고려하여, MySQL 서버는 해시 결과값을 메모리에 캐시해서 사용한다. 따라서 이름에 Caching이 포함되었다. 이 방식을 사용하려면 SSL/TLS 또는 RSA 키페어를 반드시 사용해야하고, 이를 위해 접속할 때 SSL 옵션을 활성화해야 한다.
PAM Pluggable Authentication
LDAP Pluggable Authentication
이때, IDENTIFIED BY {비밀 번호}만 입력한다면 MySQL 서버의 기본 인증 방식으로 사용된다.
MySQL 5.7에서 8.0으로 넘어오면서 기본 인증 방식의 변경으로 인해, SSL/TLS 또는 RSA 키페어가 필요해질 수 있다.
따라서 보안 수준은 낮아지더라도, 하위 호환성을 고려하면 Native 인증 방식으로 계정을 생성해야 할 수 있다.
MySQL 8.0에서 Native Authentication을 기본 인증 방식으로 설정하려면 다음과 같이 설정을 변경하거나 my.cnf 설정 파일에 추가하면 된다. SET GLOBAL default_authentication_plugin="mysql_native_password
3-2. REQUIRE
서버에 접속할 때 암호화된 SSL/TLS 채널을 사용할지 여부를 설정한다.
DEFAULT 값은 비암호화 채널로 설정된다.
하지만 REQUIRE 옵션을 SSL로 설정하지 않아도, Caching SHA-2 Authentication 인증 방식을 사용하여 계정을 생성하면 해당 계정으로 접속할 때 암호화된 채널만으로 서버에 접속하게 된다.
3-3. PASSWORD EXPIRE
비밀번호의 유효 기간을 설정한다.
DEFAULT 값은 default_password_lifetime 시스템 변수에 저장된 기간으로 유효 기간이 설정된다.
스프링 접근용 계정에 유효 기간을 설정하면 큰일이 날 수 있다!
설정 가능한 옵션은 다음과 같다.
PASSWORD EXPIRE: 계정 생성과 동시에 비밀번호의 만료 처리
PASSWORD EXPIRE NEVER: 비밀번호의 만료 기간 없음
PASSWORD EXPIRE DEFAULT
PASSWORD EXPIRE INTERVAL n DAY: 유효기간을 오늘부터 n일로 설정
3-4. PASSWORD HISTORY
비밀번호 이력을 얼마나 저장할 지에 대한 옵션이다.
설정 가능한 옵션은 다음과 같다.
PASSWORD HISTORY DEFAULT: password_history 시스템 변수에 저장된 개수만큼 비밀번호 이력을 저장하며, 저장된 이력에 남아있는 비밀번호는 재사용할 수 없다.
PASSWORD HISTORY n: 최근 사용한 n개의 비밀번호를 저장한다.
시스템 변수에 저장된 값으로 DEFAULT 값이 설정된다고 한다.
만약 설정하지도 않았으면 어떻게 될까?
시스템 변수에도 설정하지 않았을 때.png
위와 같이 NULL 값으로 존재한다.
3-5. PASSWORD REUSE INTERVAL
한 번 사용했던 비밀번호의 재사용 금지 기간을 설정한다.
기본적으로 password_reuse_interval 시스템 변수에 저장된 기간으로 설정된다.
설정 가능한 옵션은 다음과 같다.
PASSWORD REUSE INTERVAL DEFAULT
PASSWORD REUSE INTERVAL n DAY: n일 이후에 비밀번호를 재사용할 수 있다.
3-6. PASSWORD REQUIRE
비밀번호가 만료되어 새로운 비밀번호로 변경할 때 현재 비밀번호를 필요로 할지 말지를 결정한다.
기본적으로 password_require_current 시스템 변수의 값으로 설정된다.
설정 가능한 옵션은 다음과 같다.
PASSWORD REQUIRE CURRENT: 비밀번호를 변경할 때 현재 비밀번호를 먼저 입력하도록 한다.
PASSWORD REQUIRE OPTIONAL: 비밀번호를 변경할 때 현재 비밀번호를 입력하지 않아도 되도록 설정한다.
PASSWORD REQUIRE DEFAULT
3-7. ACCOUNT LOCK / UNLOCK
계정을 사용하지 못하게 한다.
ACCOUNT LOCK: 계정을 사용하지 못하게 잠금
ACCOUNT UNLOCK: 잠긴 계정을 다시 사용 가능 상태로 잠금 해제
4. 비밀번호 관리
4-1. 고수준 비밀번호
비밀번호의 규칙을 강제할 수 있는 방법이 있다.
validate_password 컴포넌트를 활용하면 된다.
이는 크게 중요하지 않은 부분인 것 같아 pass
4-2. 비밀번호 이중화
[문제]
스프링이 DB 서버의 하나의 계정을 사용중이다.
근데 만약 계정의 비밀번호를 바꾼다면 서비스에 장애가 발생할 것이다.
이로 인해 결국 하나의 암호를 몇 년 동안 사용하게 될 수도 있다.
[해결책]
이를 해결하기 위해 비밀번호로 2개의 값을 동시에 사용할 수 있도록 하는 기능이 존재한다.
[설명]
2개의 비밀번호는 Primary, Secondary로 구분된다.
가장 최근 설정한 비밀번호는 Primary, 기존 비밀번호는 Secondary가 된다.
이중 비밀번호를 사용하려면 다음과 같이 기존 비밀번호 변경 문법에 RETAIN CURRENT PASSWORD 옵션만 추가하면 된다.
-- 비밀번호를 "abcd"로 설정
mysql>ALTERUSER'root'@'localhost' IDENTIFIED BY'abcd';-- 비밀번호를 "1234"로 변경하면서 기존 비밀번호 "abcd"를 세컨더리 비밀번호로 설정
mysql>ALTERUSER'root'@'localhost' IDENTIFIED BY'1234' RETAIN CURRENT PASSWORD;
그리고 root 계정으로 접속을 시도할 때 비밀번호를 "abcd" 또는 "1234"로 해도 접근이 가능하다.
이렇게 설정한 후, 스프링의 접속 설정을 새로운 비밀번호로 변경하고 배포 및 재시작한다.
이제 기존 비밀번호은 Secondary 비밀번호는 보안을 위해 삭제해주자.
5. 권한
v5.7까지 글로벌 권한과 객체 권한으로 구분됐다.
글로벌 권한: DB 혹은 테이블 이외의 객체에 적용되는 권한
GRANT 명령에서 특정 객체를 명시하지 말아야 한다.
객체 권한: DB나 테이블을 제어하는 데 필요한 권한
GRANT 명령으로 권한을 부여할 때 반드시 특정 객체를 명시해야 한다.
ALL or (ALL PRIVILEGES): 글로벌과 객체 권한 두 가지 용도로 사용할 수 있다.
특정 객체에 ALL 권한이 부여되면 해당 객체에 적용될 수 있는 모든 권한을 부여한다.
글로벌로 ALL이 사용되면 글로벌 수준의 모든 권한이 부여된다.
정적 권한 1.png정적 권한 2.png
v8.0부터는 아래의 동적 권한이 추가됐다.
정적 권한: MySQL 서버의 소스코드에 고정적으로 명시돼 있는 권한
동적 권한: MySQL 서버의 컴포넌트나 플러그인이 설치되면 그때 등록되는 권한
동적 권한.png
5-1. 사용자에게 권한 부여하기
기본적으로 GRANT 명령을 사용한다.
이때, 부여하려는 권한의 특성에 따라 GRANT 명령의 ON 절에 명시되는 객체의 내용이 바뀌어야 한다.
-- 권한 부여하는 문법의 기본적인 틀-- 부여하려는 권한을 추가한다. "," 를 구분자로 하여 여러 개를 동시에 명령할 수 있다.
mysql>GRANT {권한} ON db.tableTO'user'@'host';-- 참고: GRANT OPTION 권한은 마지막에 WITH GRANT OPTION을 추가한다.
mysql>GRANTOPTIONON db.tableTO'user'@'host'WITHGRANTOPTION;-- 글로벌 권한은 ON 절에 항상 *.* 을 사용한다.-- *.*은 모든 DB의 객체를 포함해 MySQL 서버 전체를 의미한다.
mysql>GRANT SUPER ON*.*TO'user'@'localhost';-- DB 권한은 특정 DB에 대해서만 권한을 부여하거나 서버에 존재하는 모든 DB에 대해 권한을 부여할 수 있다.-- 여기서 DB라 함은 DB 내부에 존재하는 테이블뿐만 아니라 스토어드 프로그램들도 모두 포함이다.-- 하지만 DB 권한만 부여하는 경우 employees.department와 같이 테이블까지 명시할 수 없다.
mysql>GRANT EVENT ON*.*TO'user'@'localhost';
mysql>GRANT EVENT ON employees.*TO'user'@'localhost';-- 테이블 권한은 서버의 모든 DB에 대해, 특정 DB의 모든 오브젝트에 대해, 특정 DB의 특정 테이블에 대해서 권한을 부여할 수 있다.
mysql>GRANTSELECT,INSERT,UPDATEON*.*TO'user'@'localhost';
mysql>GRANTSELECT,INSERT,UPDATEON employees.*TO'user'@'localhost';
mysql>GRANTSELECT,INSERT,UPDATEON employees.department TO'user'@'localhost';
5-2. 실제 권한을 사용한 사례
우아한테크코스 프로젝트 요구사항 중, 운영 DB 서버를 DROP하지 못하도록 하는 요구사항이 있었다.
이를 celuveat_prod 계정의 권한에서 DROP을 제거하는 식으로 요구사항을 만족했다.
5-3. 권한 확인하기
# 사용자별 권한 확인
mysql>SHOW GRANTS FOR'사용자계정'@'호스트';# 접속된 계정 권한 확인
mysql>SHOW GRANTS FORCURRENT_USER;
-- 역할 생성
mysql>CREATE ROLE role_emp_read, role_emp_write;-- 역할에 권한 부여
mysql>GRANTSELECTON employees.*TO role_emp_read;
mysql>GRANTINSERT,UPDATE,DELETEON employees.*TO role_emp_write;-- 계정 생성
mysql>CREATEUSER reader@localhost IDENTIFIED BY'abcd';
mysql>CREATEUSER writer@localhost IDENTIFIED BY'1234';-- 계정에 역할 부여
mysql>GRANT role_emp_reader TO reader@localhost;
mysql>GRANT role_emp_writer TO writer@localhost;-- 역할 활성화-- 주의! 계정이 로그아웃됐다가 로그인하면 역할이 비활성화된다. 아래 명령어를 통해 활성화를 시켜주자.-- 자동으로 활성화를 시켜주려면 activate_all_roles_on_login 시스템 변수를 ON 으로 설정해주자.
mysql>SET ROLE role_emp_reader;
mysql>SET ROLE role_emp_writer;
