MySQL集群不自动同步账号，因mysql.user表默认不参与复制，CREATE USER等操作不写binlog；需用OIDC认证、脚本同步或dbx批量执行，并配合定期校验防止状态漂移。
MySQL集群本身不提供跨节点的用户账号自动同步机制，mysql.user 表只存在于本地实例中。所谓“统一集中管理”，必须靠外部手段实现——要么用 IDP（身份提供者）做认证解耦，要么用脚本/工具强制同步账号，要么启用 OpenID Connect 这类外部认证协议。别指望 MGR 或 InnoDB Cluster 自己帮你把 CREATE USER 广播到所有节点。
为什么不能依赖 MGR 自动同步用户？
MGR 的组复制只同步事务日志（binlog），而用户账号变更操作（如 CREATE USER、GRANT）默认不写 binlog（除非显式开启 log_bin_trust_function_creators=ON 且用户操作被记录为 DDL 事件）。即使你手动执行了 FLUSH PRIVILEGES，它也不会触发组内传播。更关键的是：mysql.user 属于系统库，不在 MGR 的复制白名单内，各节点的账号状态天然就是独立的。
- 多主模式下，你在节点 A 创建用户，节点 B 和 C 完全感知不到
- 哪怕你用
SET PERSIST修改了全局变量，也只作用于当前节点 - 试图通过
mysqldump mysql.user再导入其他节点，极易因plugin字段不一致（如caching_sha2_passwordvsmysql_native_password）导致登录失败
用 OpenID Connect 实现真·集中认证
MySQL 8.0.27+ 原生支持 OpenID Connect（OIDC）认证插件，这是目前最接近“统一管理”的方案：用户凭证完全托管在外部 IDP（如 Keycloak、Auth0、ADFS），MySQL 只负责校验 JWT 签名和 scope，不再存密码哈希。
- 配置前需确认 MySQL 已加载
authentication_oci插件（部分版本叫authentication_oidc） - IDP 必须支持 OIDC Discovery Endpoint，MySQL 通过
issuer地址自动获取 JWKS 和 token endpoint - 创建用户时指定
IDENTIFIED WITH authentication_oidc，并绑定 IDP 中的 client_id 和 realm - 注意：OIDC 认证不继承
mysql.user权限，仍需用GRANT单独赋权，但认证环节已彻底脱离本地账号体系
用 dbx 类工具做账号配置同步（轻量级折中）
如果你没有 IDP 基础，又不想手写同步脚本，可以用 dbx 这类多数据库客户端的批量执行能力，把账号 SQL 当作“配置代码”来管理：
- 把所有
CREATE USER、GRANT语句写进一个users.sql文件，用 Git 版本控制 - 在
dbx中配置好全部集群节点连接，选中全部连接后执行该 SQL 文件（注意勾选“跨连接顺序执行”） - 务必检查每个节点返回的
Rows matched: X Changed: Y Warnings: Z，避免某节点因plugin不兼容静默失败 - 后续权限变更，只改
users.sql并重跑，不直接在某个节点上手工ALTER USER
真正难的不是同步动作本身，而是同步后的状态漂移：某个运维半夜在节点 C 上悄悄 DROP USER，或者应用自己调用了 CREATE USER。所以任何同步方案都得配上定期校验——比如每天用脚本查各节点 SELECT user, host FROM mysql.user 的 MD5，发现差异立刻告警。
