不能直接用root登录跳板机再连mysql，因会混用身份、绕过审计、难以溯源；dba账号须独立于系统账号，host必须指定跳板机内网ip（如10.0.1.50），权限仅限reload、process等运维必需项，禁用super/grant option/file等高危权限。
为什么不能直接用 root 登录跳板机再连 MySQL？ 直接复用 root 或跳板机系统账号连接数据库，会绕过权限审计、混用身份、难以追溯操作来源。DBA 账号必须独立于系统账号，且其 MySQL 权限应严格限定在管理动作（如备份、锁表、查状态），而非业务数据访问。跳板机本身只负责 SSH 中转，不存储或解析数据库凭证。
关键点在于：跳板机账号 ≠ 数据库账号 ≠ 运维系统账号。三者分离是云环境合规基线要求（等保 2.0 / PCI-DSS）。
创建 DBA 账号时必须指定 host 为跳板机内网 IP
MySQL 的 host 字段不是可有可无的装饰项——它决定了该账号能否被跳板机上的 SSH 隧道实际命中。若设为 '%'，可能被误匹配到公网请求；若设为 'localhost'，SSH 隧道走的是 TCP 回环，但 MySQL 默认禁用 skip-name-resolve 时会做 DNS 反查，导致连接失败。
- 正确写法：
CREATE USER 'dba_admin'@'10.0.1.50' IDENTIFIED BY 'StrongPass2026!';（其中 10.0.1.50 是跳板机在 VPC 内的真实内网 IP）
- 错误写法：
CREATE USER 'dba_admin'@'%' ... 或 CREATE USER 'dba_admin'@'bastion.example.com' ...
- 验证是否生效：
SELECT host, user FROM mysql.user WHERE user = 'dba_admin';
授予的权限必须避开 SUPER 和 GRANT OPTION
DBA 日常运维根本不需要 SUPER（可绕过所有限制）、GRANT OPTION（可授予权限给他人）、FILE（可读写服务器文件系统）这类高危权限。云厂商（如阿里云 RDS）甚至默认禁用这些权限。
CREATE USER 'dba_admin'@'10.0.1.50' IDENTIFIED BY 'StrongPass2026!';（其中 10.0.1.50 是跳板机在 VPC 内的真实内网 IP）CREATE USER 'dba_admin'@'%' ... 或 CREATE USER 'dba_admin'@'bastion.example.com' ...
SELECT host, user FROM mysql.user WHERE user = 'dba_admin';
SUPER（可绕过所有限制）、GRANT OPTION（可授予权限给他人）、FILE（可读写服务器文件系统）这类高危权限。云厂商（如阿里云 RDS）甚至默认禁用这些权限。
推荐最小集授权语句：
GRANT RELOAD, PROCESS, SHOW DATABASES, LOCK TABLES,
SELECT ON *.* TO 'dba_admin'@'10.0.1.50';
FLUSH PRIVILEGES;
说明：
-
RELOAD：用于FLUSH LOGS、FLUSH TABLES等运维操作 -
PROCESS：查看SHOW PROCESSLIST，定位慢查询或长事务 -
LOCK TABLES：配合备份工具（如 mydumper）做一致性快照 - 显式加
SELECT ON *.*是为了能查information_schema和performance_schema，但不开放写权限
MySQL Workbench 连接配置里最容易漏掉的两项
很多 DBA 测试通了 SSH 隧道，却卡在「Access denied for user」——问题往往不在数据库侧，而在 Workbench 的 UI 配置里没填对。
-
Hostname 必须填数据库服务器真实内网地址（如
db.example.com 或 10.0.2.100），不是跳板机地址
-
SSH Username 填的是跳板机系统的登录用户名（如
ops），不是 MySQL 的 dba_admin
- 如果跳板机用了非默认端口（如 2222），必须在 SSH Hostname 后加冒号：
bastion.example.com:2222
- 私钥文件路径必须是本地绝对路径，且权限为
600（chmod 600 ~/.ssh/id_rsa_bastion）
db.example.com 或 10.0.2.100），不是跳板机地址ops），不是 MySQL 的 dba_admin
bastion.example.com:2222
600（chmod 600 ~/.ssh/id_rsa_bastion）跳板机账号的权限边界，其实不在 SQL 语句里，而在 SSH 配置与 MySQL host 绑定的交叉点上。漏掉任意一环，要么连不上，要么连上了却越权——这种细节，线上故障时最费时间排查。
