Passwortrichtlinien und Passwortvalidierung in Aurora MySQL

Passwort-Richtlinien

Aurora MySQL unterstützt die folgenden Funktionen für MySQL-Passwortrichtlinien. Weitere Informationen zu diesen Richtlinien finden Sie in der MySQL Password Management-Dokumentation.

Ablauf des Passworts

Einschränkungen der Wiederverwendung von Passwörtern

Aktuelle Passwortverifizierung

Unterstützung für duale Passwörter

Failed-login Nachverfolgung und vorübergehende Kontosperrung

Verwendung der Komponente validate_password

Die validate_password Komponente ist eine MySQL-Serverkomponente, die Funktionen zur Überprüfung und Durchsetzung der Passwortstärke bietet. Sie testet Passwörter anhand konfigurierbarer Regeln, um sicherzustellen, dass sie die angegebenen Sicherheitsanforderungen erfüllen, bevor sie akzeptiert werden.

Wenn diese Option aktiviert ist, validiert die validate_password Komponente Passwörter automatisch bei:

Auf diese Weise können Unternehmen für eine strenge Kennworthygiene bei ihren Datenbankbenutzern sorgen und Sicherheitsrichtlinien und behördliche Anforderungen einhalten.

Aurora MySQL Version 8.4 bietet einen parameterbasierten Ansatz zur Aktivierung und Verwaltung der validate_password Komponente, sodass kein Handbuch INSTALL COMPONENT und UNINSTALL COMPONENT keine Befehle erforderlich sind.

Aktivierung der Komponente validate_password

Verwenden Sie den Cluster-Parameter, um die Passwortvalidierung in Ihrem Aurora MySQL-Cluster zu aktivieren:

Parametername: aurora_enable_validate_password_component

Um zu aktivieren: Stellen Sie aurora_enable_validate_password_component in Ihrer DB-Cluster-Parametergruppe auf true (oder1) ein.

Zur Deaktivierung: In aurora_enable_validate_password_component Ihrer DB-Cluster-Parametergruppe auf false (oder0) setzen.

SELECT @@global.aurora_enable_validate_password_component;

Unterstützte validate_password-Komponentenparameter

Weitere Informationen zu den MySQL-Parametern validate_password finden Sie in der Dokumentation zu Optionen und Variablen zur MySQL-Passwortvalidierung.

validate_password-Plugin und Komponentenmigration von RDS für MySQL oder Aurora MySQL Version 3 auf Aurora MySQL Version 8.4

Ab Aurora MySQL Version 8.4 können Sie, wenn Sie das validate_password Plugin zuvor über den INSTALL PLUGIN Befehl installiert haben, zur validate_password Komponente migrieren, indem Sie den Parameter aktivieren aurora_enable_validate_password_component und dann das Plugin über den UNINSTALL PLUGIN Befehl auf Ihrer Writer-Instanz entfernen.

Wenn Sie die validate_password Komponente zuvor manuell installiert habenINSTALL COMPONENT 'file://component_validate_password', stellen Sie sicher, dass Sie den aurora_enable_validate_password_component Parameter beim Upgrade in Ihrer Ziel-DB-Cluster-Parametergruppe festlegen. Nach dem Upgrade wird die Komponente nicht mehr in der mysql.component Tabelle aufgeführt. Sie können die aurora_enable_validate_password_component globale Variable verwenden, um den Status der Komponente zu überprüfen.

Beim ersten Start der DB-Engine nach dem Upgrade wird die folgende Meldung in Ihrem MySQL-Fehlerprotokoll angezeigt, falls Sie die Komponente zuvor manuell installiert hatten:

Component 'file://component_validate_password' is being removed from mysql.component table.
validate_password component can be enabled/disabled through 'aurora_enable_validate_password_component' cluster parameter.

Einschränkungen bei der manuellen Installation

Ab den Versionen von Aurora MySQL Version 8.4 sind Befehle zur manuellen Installation und Deinstallation von validate_password Komponenten nicht zulässig:

mysql> INSTALL COMPONENT 'file://component_validate_password';
ERROR HY000: Cannot load component from specified URN: 'validate_password component can be
enabled/disabled through 'aurora_enable_validate_password_component' cluster parameter.'

Überwachung des Komponentenstatus

Aurora MySQL protokolliert Statusänderungen der Komponenten im MySQL-Fehlerprotokoll:

Wenn aktiviert:

Component 'validate_password' is enabled by parameter aurora_enable_validate_password_component

Wenn deaktiviert:

Component 'validate_password' is disabled by parameter aurora_enable_validate_password_component

Auswirkung der Passwortvalidierung auf das Masterbenutzerpasswort

Wenn das Masterbenutzer-Passwort über die modify-db-cluster API zurückgesetzt wird und das neue Passwort nicht den konfigurierten Passwortvalidierungsregeln entspricht, gibt Aurora MySQL ein für den Kunden sichtbares Ereignis aus, das auf den Fehler hinweist, und Sie müssen den Vorgang mit einem kompatiblen Passwort erneut versuchen.

Auswirkung der Passwortvalidierung auf das von Amazon RDS verwaltete Masterbenutzerpasswort

Bei Clustern AWS Secrets Manager, in denen die RDS-managed Masterbenutzeranmeldedaten von Amazon gespeichert sind, schlägt die Rotation fehl, wenn das während der Rotation automatisch generierte Passwort nicht den konfigurierten Validierungsanforderungen entspricht. Sie müssen Ihre Parameter für die Passwortvalidierung anpassen, damit die Rotation erfolgreich ist. Wir empfehlen, die validate_password Komponente und das verwaltete Masterbenutzerpasswort nicht zusammen zu verwenden.

Zugehörige Dokumentation