Truedoc

h1. Configurazione di base per _MySQL_

La configurazione di base di _MySQL_ eseguita da Debian subito dopo l'installazione del pacchetto consente l'accesso database con l'utente di amministrazione _root_ senza password. Per questo motivo il primo passo da fare, immediatamente dopo l'installazione, è impostare una password per _root_; questo si fa con il comando:

<pre>

/usr/bin/mysqladmin -u root password NuovaPassword

</pre>

con le versioni più recenti questo non è più necessario in quanto la password per l'utente _root_ viene chiesta dal sistema del _debconf_.

h2. Reimpostare la password di _root_

Se invece si è persa la password di _root_ del database il precedente comando non funziona in quanto una volta impostata detta password questa diventa necessaria per poterlo utilizzare. Per questo per poterla recuperare (o meglio resettare) occorre seguire la seguente procedura. Il primo passo è fermare il database e farlo ripartire senza meccanismi di controllo di autenticazione, questo si fa con i comandi:

<pre>

/etc/init.d/mysql stop

/usr/bin/mysqld_safe --skip-grant-tables --skip-networking &

</pre>

a questo punto ci si potrà collegare al database direttamente con:

<pre>

mysql -u root

</pre>

ottenendo una shell SQL con privilegi di amministrazione; qui si potrà modificare la password impostata per l'utente _root_ tramite le seguenti istruzioni:

<pre>

use mysql;

UPDATE user SET Password=PASSWORD("NuovaPassword") WHERE User="root";

exit

</pre>

fatto questo la passord di _root_ è stata modificata e si potrà fermare il database e riavviarlo con:

<pre>

/etc/init.d/mysql stop

/etc/init.d/mysql start

</pre>

Dopo di che si potrà verificare che l'accesso è possibile con la nuova password con:

<pre>

server:~# mysql -u root -p

Enter password:

Welcome to the [[MySQL]] monitor.  Commands end with ; or \g.

Your [[MySQL]] connection id is 9 to server version: 4.0.24_Debian-5-log

Type 'help;' or '\h' for help. Type '\c' to clear the buffer.

mysql> show databases;

+-------------+

| Database    |

+-------------+

| mysql       |

| test        |

+-------------+

2 rows in set (0.00 sec)

mysql> \q

Bye

server:~#

</pre>

h2. Ricreare l'utente _root_

Qualora invece si debba ricreare da zero l'utente root nel caso di errata cancellazione, sarà necessario reimpostare manualmente tutti i privilegi con qualcosa del tipo:

<pre>

INSERT INTO mysql.user SET user = 'root',

      host = 'localhost',

      password = Password('passwordlungaecomplicata'),

      super_priv = 'y',

      select_priv = 'y',

      insert_priv = 'y',

      update_priv = 'y',

      delete_priv = 'y',

      create_priv = 'y',

      drop_priv = 'y',

      reload_priv = 'y',

      shutdown_priv = 'y',

      process_priv = 'y',

      file_priv = 'y',

      grant_priv = 'y',

      references_priv = 'y',

      index_priv = 'y',

      alter_priv = 'y',

      show_db_priv = 'y',

      create_tmp_table_priv = 'y',

      lock_tables_priv = 'y',

      execute_priv = 'y',

      repl_slave_priv = 'y',

      repl_client_priv = 'y',

      create_view_priv = 'y',

      show_view_priv = 'y',

      create_routine_priv = 'y',

      alter_routine_priv = 'y',

      create_user_priv = 'y';

</pre>

h2. Accesso remoto a MySQL e configurazione SSL

Si tenga presente infine che le ultime versioni del pacchetto Debian non richiedono più un intervento manuale per abilitare l'ascolto su @localhost@ in quanto la riga:

<pre>

bind-address            = 127.0.0.1

</pre>

è già presente in @/etc/my.cnf@; occorre però fare attenzione, l'uso del comando @mysql -h localhost@ comporta automaticamente l'uso del socket, per cui in caso di più istanze accessibili su porte diverse non saranno mai raggiunte in quanto l'opzione @-p@ verrà ignorata in maniera silente (nel caso si usi l'opzione @-h 127.0.0.1@). 

Qualora si debba abilitare il raggiungimento del server da altre macchine occorrerà modificare la direttiva, ed inserire qualcosa del tipo:

<pre>

bind-address            = 0.0.0.0

</pre>

Se oltre a questo si vuole abilitare l'uso di SSL diventano necessarie anche le ulteriori direttive che consentono di indicare i file con certificati e chiavi da usare per SSL, un possibile esempio è:

<pre>

ssl-ca = /etc/mysql/ca.pem

ssl-cert = /etc/mysql/server-cert.pem

ssl-key = /etc/mysql/server-key.pem

</pre>

dove @ssl-ca@ indica il certificato della Certification Authority che firma i certificati (il cui uso può anche essere omesso se non interessa autenticare i client, cosa che comunque non viene fatta di default). Invece @ssl-cert@ e @ssl-key@ indicano rispettivamente i file che contengono certificato e corrispondente chiave che verranno usate dal server per SSL.

Questi file si possono creare seguendo le istruzioni fornite dalla documentazione su http://dev.mysql.com/doc/refman/5.7/en/creating-ssl-rsa-files-using-mysql.html ma se li si vogliono creare con un qualunque programma di gestione di Certification Authority SSL (@tiny-ca@, @easy-rsa@ o @openssl@ stessa) o ottenere direttamente da una CA commerciale si possono avere problemi.  

Il supporto di SSL di MySQL infatti è abbastanza penoso, ed in particolare accetta solo chiavi in formato PKCS#1 (quelle introdotte da una riga di intestazione nella forma @-----BEGIN RSA PRIVATE KEY-----@). Ma il server fallisce miseramente (partendo però lo stesso, ma con un  warning di @SSL error: Unable to get private key from '/etc/mysql/server-key.pem'@ nei log) se gli si fornisce una chiave nel più recente PKCS#8 (quelle con intestazione nella forma @-----BEGIN PRIVATE KEY-----@), che però è il default per @openssl@ ed è quello che viene usato anche da @easy-rsa@ e dalla gran parte delle CA commerciali. 

Qualora si disponga di una di queste chiavi questa deve essere convertita al vecchio formato con:

<pre>

openssl rsa -in chiave-che-non-va-in-pkcs8.pem -out chiave-che-andra-in-pkcs1.pem 

</pre>

(aggiungere il mancante @RSA@ alla riga di intestazione *NON* funziona). 

Una volta riavviato il server, si potrà verificare che il supporto per SSL sia attivo con:

<pre>

show variables like '%ssl%';

</pre>

e si deve ottenere qualcosa del tipo:

<pre>

+---------------------+----------------------------+

| Variable_name       | Value                      |

+---------------------+----------------------------+

| have_openssl        | NO                         |

| have_ssl            | YES                        |

| ssl_ca              | /etc/mysql/ca-cert.pem     |

| ssl_capath          |                            |

| ssl_cert            | /etc/mysql/server-cert.pem |

| ssl_cipher          |                            |

| ssl_crl             |                            |

| ssl_crlpath         |                            |

| ssl_key             | /etc/mysql/server-key.pem  |

| version_ssl_library | YaSSL 2.4.4                |

+---------------------+----------------------------+

10 rows in set (0.00 sec)

</pre> 

con @have_ssl@ o @have_openssl@ a @YES@.

h2. Provare la connessione remota SSL

Si potrebbe pensare che se si richiede l'utilizzo di una connessione cifrata con SSL invocando il client con l'opzione @--ssl@ (se non la si specifica non verrà comunque usato, che sia disponibile o meno) e che la connessione venga stabilita comporti che sia tutto a posto. In realtà non è affatto così ed il client, se SSL non sta funzionando sul server (perché assente o perché la sua configurazione è fallita, cosa che comunque non blocca l'avvio del server) si collega in chiaro. 

Pertanto per verificare che la connessione cifrata è funzionante occorre verificarlo esplicitamente all'interno della connessione, con qualcosa del tipo:

<pre>

$ mysql -h mysql.truelite.it -u prova -p -ssl

...

> SHOW SESSION STATUS LIKE 'Ssl_version';

</pre>

se il risultato è:

<pre>

+---------------+-------+

| Variable_name | Value |

+---------------+-------+

| Ssl_version   |       |

+---------------+-------+

</pre>

SSL non sta funzionando, se invece funziona comparirà qualcosa del tipo:

<pre>

+---------------+-------+

| Variable_name | Value |

+---------------+-------+

| Ssl_version   | TLSv1 |

+---------------+-------+

</pre>

alternativamente si potranno verificare i dati della connessione controllando che sia attiva con:

<pre>

mysql> \s

...

SSL:			Cipher in use is DHE-RSA-AES256-SHA

...

</pre>

mentre se non è attiva si avrà:

<pre>

MySQL [(none)]> \s

--------------

...

SSL:			Not in use

...

</pre>

h2. Creazione di database ed utenti

Fatto questo si potrà passare alla creazione di un proprio database con il comando:

<pre>

mysqladmin -u root -p create nomedb

</pre>

che chiederà la precedente password, creando il database, a questo punto ci si potrà collegare al nuovo database con:

<pre>

mysql -u root -p nomedb

</pre>

e si potrà dare l'accesso allo stesso ad uno specifico utente con i comandi:

<pre>

GRANT SELECT, INSERT, UPDATE, DELETE, CREATE, INDEX, ALTER, DROP 

ON nomedb.* TO 'utentedb'@'localhost' IDENTIFIED BY 'password';

</pre>

e per garantirsi che questi siano immediatamente disponibili, si dovrà aggiuntere:

<pre>

FLUSH PRIVILEGES;

</pre>

Nel caso si sia fatto un errore nell'assegnare i permessi e nel creare l'utente, lo si potrà cancellare con i comandi:

<pre>

use mysql;

DELETE FROM user WHERE user="utentedacancellare";

</pre>

Nel caso si voglia cancellare completamente un database si potrà farlo sia con i comandi SQL specifici (@DROP DATABASE nomedb@) da dentro la riga di comando di @mysql@ oppure direttamente dalla della shell con il comando:

<pre>

mysqladmin -u root -p drop nomedb

</pre>