如何在MySQL高可用架构中配置MHA专用的管理权限账号-mysql教程-PHP中文网

mha监控账号必须在所有节点单独创建并授予select、reload、super、replication client权限，不可复用root或repl账号；因mha直连各节点执行探测命令，若任一节点漏建、host不匹配或认证插件/ssl不兼容，masterha_check_repl即报access denied。

如何在mysql高可用架构中配置mha专用的管理权限账号

MHA管理账号不能用root，也不能复用repl账号，必须在每个MySQL节点上单独创建并授最小必要权限，否则masterha_check_repl会直接失败。

为什么`masterha_check_repl`报Access denied却SHOW GRANTS显示权限正常

因为MHA Manager是**直连每个节点**执行探测命令（如SHOW SLAVE STATUS、FLUSH LOGS），不是靠复制同步账号。如果某台slave漏建mha账号，或host匹配不上（比如建了'mha'@'192.168.1.10'但Manager从192.168.1.100连），就会报错Access denied for user 'mha'@'x.x.x.x'，而不是“账号不存在”。

必须在所有节点（当前master、所有slaves、未来可能被提升的standby）上**逐台执行建号+授权**
host建议用'%'，避免因Manager部署位置变动或SSH跳转导致IP不一致
不要用GRANT OPTION——MHA不需要也不应有此权限，MySQL 8.0+开启require_row_format时甚至会拦截

MySQL 5.7 vs 8.0+的权限差异与兼容写法

MySQL 8.0+默认禁用SUPER，改用SYSTEM_VARIABLES_ADMIN+BINLOG_ADMIN更安全，但MHA Perl脚本仍大量依赖SUPER行为（如RESET SLAVE ALL）。为免踩坑，推荐统一用SUPER，除非明确禁用。

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

必需权限： SELECT（读information_schema和复制状态表）、REPLICATION CLIENT（SHOW MASTER/SLAVE STATUS）、REPLICATION SLAVE（START SLAVE SQL_THREAD）、RELOAD（FLUSH LOGS）
MySQL 5.7：必须加SUPER
MySQL 8.0+：可选SYSTEM_VARIABLES_ADMIN+BINLOG_ADMIN，但为兼容性仍建议保留SUPER
绝对禁止：GRANT OPTION、CREATE USER、ALL PRIVILEGES（它不包含REPLICATION CLIENT）

认证插件和SSL连接容易被忽略的两个硬性条件

MHA Manager用Perl写的DBI模块连接MySQL，对认证插件和传输层非常敏感。即使账号建了、权限给了，也可能卡在连接阶段。

MySQL 8.0+默认用caching_sha2_password，但MHA不支持——必须显式指定mysql_native_password：
CREATE USER 'mha'@'%' IDENTIFIED WITH mysql_native_password BY 'your_pass';
若MySQL启用了require_secure_transport=ON，则该账号**必须走SSL连接**，否则masterha_check_repl会静默失败（日志只显示“Can't connect”）
验证方式不是SHOW GRANTS，而是模拟MHA行为：
mysql -umha -pyour_pass -h192.168.1.152 -e "SHOW SLAVE STATUS\G"（在slave上执行）

配置文件权限和账号密码的实操细节

MHA Manager读取的配置文件（如/etc/app1.cnf）里要写明账号密码，这里极易出安全与功能双问题。

配置文件权限必须设为600（chmod 600 /etc/app1.cnf），否则MHA启动时会报WARNING: Config file has group or world access并拒绝加载
密码不能含特殊字符（如$、@、#），否则shell解析会出错；建议用字母+数字组合
账号名别用mha这种易冲突的简短名，推荐mha_mgr或mha_admin，避免和监控账号（如mha_monitor）混淆
建号后务必FLUSH PRIVILEGES，尤其在MySQL 5.7中不刷新会导致权限不生效