DBAtlas · Atlas für Datenbankbetrieb

Passwortrichtlinie, Sperre nach Fehlanmeldungen und Passwortrotation ohne Downtime

MySQLSicherheit

Befehl

-- Password strength policy (component)
INSTALL COMPONENT 'file://component_validate_password';
SET PERSIST validate_password.policy = 'MEDIUM';
SET PERSIST validate_password.length = 12;
SELECT VALIDATE_PASSWORD_STRENGTH('Summer2024') AS score;

-- Failed-login lockout, password lifetime, history
ALTER USER 'ana'@'%' FAILED_LOGIN_ATTEMPTS 5 PASSWORD_LOCK_TIME 1
  PASSWORD EXPIRE INTERVAL 90 DAY PASSWORD HISTORY 5 PASSWORD REUSE INTERVAL 365 DAY;

-- Zero-downtime rotation: dual password
ALTER USER 'svc_app'@'10.0.%' IDENTIFIED BY 'N3w#AppSecret2025' RETAIN CURRENT PASSWORD;
-- Once every application uses the new password
ALTER USER 'svc_app'@'10.0.%' DISCARD OLD PASSWORD;

Was es tut

Aktiviert eine Richtlinie, die schwache Passwörter ablehnt, Konten nach aufeinanderfolgenden Fehlanmeldungen vorübergehend sperrt und Regeln für Passwortlaufzeit und Wiederverwendung festlegt; mit Dual Passwords wird das Passwort eines Dienstkontos ohne Downtime geändert, während die Anwendungen nacheinander umgestellt werden.

Wann einsetzen

Für Sicherheitsaudits / Compliance (PCI, ISO 27001) und die Passwortrotation von Dienstkonten.

Vorsicht

Die Richtlinie gilt nur für neue / geänderte Passwörter; bestehende schwache erkennt sie nicht. Bei Dienstkonten kann mit FAILED_LOGIN_ATTEMPTS ein einziger falsch konfigurierter Client das Konto sperren und einen Ausfall verursachen; nutze es für Konten von Personen. PASSWORD_LOCK_TIME ist in Tagen angegeben (UNBOUNDED: bis zur manuellen Entsperrung); entsperren mit ALTER USER ... ACCOUNT UNLOCK. PASSWORD EXPIRE verursacht bei Dienstkonten unerwartete Ausfälle; bevorzuge dort PASSWORD EXPIRE NEVER plus Rotation mit Dual Passwords.

In DBAtlas öffnen →

Verwandte Einträge