mysql如何给Grafana监控面板配置只读账号_授予SELECT权限至监控库-mysql教程-PHP中文网

创建Grafana只读账号需授权SELECT on监控库（如monitoring.*）及INFORMATION_SCHEMA.TABLES、COLUMNS（必要）、STATISTICS（可选），禁用全库授权，注意账号主机匹配与MySQL 8认证兼容性。

mysql如何给grafana监控面板配置只读账号_授予select权限至监控库

创建只读账号前先确认监控库名和表结构

Grafana 连 MySQL 通常用 mysql 数据源插件，它不依赖存储过程或视图，只要能 SELECT 到指标表就行。但很多人直接用 root 或业务账号连，存在权限过大风险。实际只需对 Grafana 查询的库（比如叫 monitoring、metrics 或 grafana_metrics）授予 SELECT，且**不能漏掉 INFORMATION_SCHEMA 的部分表**——因为 Grafana 在配置数据源时会查 INFORMATION_SCHEMA.TABLES 和 INFORMATION_SCHEMA.COLUMNS 来自动补全表名/字段名，否则界面报错 Access denied for user ... to database 'INFORMATION_SCHEMA'。

先登录 MySQL 确认监控库是否存在：SHOW DATABASES LIKE 'monitoring';
检查 Grafana 查询语句里涉及哪些表，例如 cpu_usage、disk_io，确保它们确实在目标库中
若用 Prometheus + mysqld_exporter 上报指标，它默认写入的是本地临时库（如 mysqld_exporter），不是必须建库——这时 Grafana 实际连的是 exporter 暴露的 HTTP 接口，**根本不用 MySQL 账号**；只有直接查 MySQL 表才需要配账号

执行 GRANT 时必须显式指定库和表范围

MySQL 的 GRANT 对 INFORMATION_SCHEMA 是受限的：你不能直接 GRANT SELECT ON INFORMATION_SCHEMA.* TO ...，但可以针对具体表授权。Grafana 最低可用权限组合是：

SELECT on monitoring.*（替换成你的实际库名）
SELECT on INFORMATION_SCHEMA.TABLES
SELECT on INFORMATION_SCHEMA.COLUMNS
SELECT on INFORMATION_SCHEMA.STATISTICS（可选，用于 SHOW INDEX 等操作）

执行命令示例（注意替换 grafana_reader 和 192.168.1.%）：

CREATE USER 'grafana_reader'@'192.168.1.%' IDENTIFIED BY 'strong_password_123';
GRANT SELECT ON monitoring.* TO 'grafana_reader'@'192.168.1.%';
GRANT SELECT ON INFORMATION_SCHEMA.TABLES TO 'grafana_reader'@'192.168.1.%';
GRANT SELECT ON INFORMATION_SCHEMA.COLUMNS TO 'grafana_reader'@'192.168.1.%';
GRANT SELECT ON INFORMATION_SCHEMA.STATISTICS TO 'grafana_reader'@'192.168.1.%';
FLUSH PRIVILEGES;

别用 GRANT SELECT ON *.*——这等于开放所有库，包括 mysql 系统库，可能泄露用户哈希或权限配置。

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

测试账号是否真能被 Grafana 正常使用

光看 GRANT 成功不代表 Grafana 能连。常见失败点：

Grafana 数据源配置里的 Host 填了 localhost，但账号是 'grafana_reader'@'192.168.1.%'，导致连接被拒；应统一用 IP 或改账号为 'grafana_reader'@'%'（生产环境慎用）
MySQL 8 默认认证插件是 caching_sha2_password，旧版 Grafana（Client does not support authentication protocol；解决方法是创建账号时指定插件：CREATE USER 'grafana_reader'@'%' IDENTIFIED WITH mysql_native_password BY 'xxx';
防火墙或安全组没放开 MySQL 端口（默认 3306），尤其云服务器上容易忽略
Grafana 查询用了函数如 NOW()、CURRENT_DATE，这些不需要额外权限；但若用了 CONVERT_TZ()，需确保 mysql.time_zone 表可读，否则报错 Function 'convert_tz' does not exist

权限回收和定期审计不能只靠一次性 GRANT

账号建完不是一劳永逸。运维中容易忽略两点：

如果后续新增监控表（比如加了 network_traffic），必须手动追加 GRANT SELECT ON monitoring.network_traffic TO ...，MySQL 不支持“未来新建表自动继承权限”
MySQL 5.7+ 支持角色（CREATE ROLE），可把上述权限打包成 grafana_ro_role，再 GRANT 给多个账号，方便批量管理；但 Grafana 本身不感知角色，只是 DBA 管理手段
建议在 my.cnf 中开启 log_error_verbosity = 3，并定期查错误日志里是否有 Access denied 记录，快速发现权限遗漏