ubuntu中sqladmin安全配置技巧

Ubuntu 上 SQLAdmin 安全配置技巧

一 系统账户与 SSH 加固

• 创建专用的 sqladmin 系统账户，仅在需要时授予 sudo 权限，避免直接使用 root 远程登录。示例：sudo adduser sqladmin、sudo usermod -aG sudo sqladmin。
• 强化 SSH：禁用 root 登录（PermitRootLogin no）、启用公钥认证（PubkeyAuthentication yes）、可更改默认端口、限制允许登录的用户、设置 MaxAuthTries 3-6、ClientAliveInterval 与 ClientAliveCountMax 保活与断连。
• 配置 UFW 防火墙，仅开放必要端口（如 SSH 22、HTTP 80/HTTPS 443）：sudo ufw allow OpenSSH、sudo ufw allow 'Nginx Full'、sudo ufw enable。
• 启用 Fail2Ban 防御暴力破解，配合日志审计工具（如 Logwatch）进行异常监测。
• 保持系统与安全补丁更新：sudo apt update && sudo apt upgrade，并启用 unattended-upgrades 做自动安全更新。

二 数据库账户与最小权限

• 运行数据库安全初始化：sudo mysql_secure_installation，设置强 root 密码、移除匿名用户、禁止 root 远程登录。
• 创建专用的数据库管理账户（示例为 MySQL/MariaDB）：
  • 本地管理：CREATE USER 'sqladmin'@'localhost' IDENTIFIED BY '强密码'; GRANT ALL PRIVILEGES ON *.* TO 'sqladmin'@'localhost' WITH GRANT OPTION; FLUSH PRIVILEGES;
  • 如确需远程管理，仅允许来自管理网段：CREATE USER 'sqladmin'@'管理网段CIDR' IDENTIFIED BY '强密码'; GRANT ALL PRIVILEGES ON *.* TO 'sqladmin'@'管理网段CIDR' WITH GRANT OPTION; FLUSH PRIVILEGES;
• 坚持最小权限原则：生产环境避免授予 WITH GRANT OPTION 与全局权限，按库/表/列授予，定期 REVOKE 不必要权限。
• 远程访问应限定来源 IP，避免使用通配符主机；完成后及时 FLUSH PRIVILEGES 并验证。

三 phpMyAdmin 与 Web 管理面安全

• 安装与接入：选择 Apache 或 Nginx 集成安装 phpmyadmin，完成后通过 http://服务器IP/phpmyadmin 访问。
• 强化 Web 接入：启用 HTTPS/TLS（Let’s Encrypt），对外仅暴露 443；将 phpMyAdmin 置于非默认路径（如 /phpmyadmin），并配置仅允许必要 HTTP 方法（GET/POST）。
• 访问控制：在 Web 服务器或边界防火墙层限制可访问 phpMyAdmin 的 IP 段；禁用目录浏览与默认示例。
• 认证与日志：使用强口令或集成认证；开启访问与错误日志，结合 Fail2Ban 对暴力登录进行封禁。

四 备份恢复与持续监控

• 数据库备份：使用 mysqldump 做逻辑备份，示例：mysqldump -u 备份用户 -p --single-transaction --routines --triggers --databases 目标库 > backup_$(date +%F).sql；重要备份加密并异地/离线保存。
• 系统级备份：用 rsync 做文件系统快照，示例：rsync -aAXv --exclude={"/dev/*","/proc/*","/sys/*","/tmp/*","/run/*","/mnt/*","/media/*","/lost+found"} / 备份目录/日期/fs_backup/；配合 tar 归档：tar czvf 备份目录/日期/backup.tar.gz -C 备份目录/日期/fs_backup/。
• 恢复演练：定期在测试环境验证备份可用性与恢复流程。
• 持续监控：启用 Logwatch 日报、Fail2Ban 实时封禁、服务状态与端口监控，异常及时告警。

五 合规与加固清单

• 密码与账户策略：在 /etc/login.defs 设置 PASS_MIN_DAYS 7、PASS_WARN_AGE 7，强制周期更换；锁定不必要的系统账户。
• 服务最小化：关闭未使用的端口与服务，减少攻击面。
• 强制访问控制：启用 AppArmor（或 SELinux）对数据库与 Web 服务进行进程降权与资源隔离。
• 变更与审计：所有权限与配置变更走 变更单 与 审计日志；定期复核用户、权限、开放端口与证书有效期。