Politiche e convalida delle password in Aurora MySQL

Politiche relative alle password

Aurora MySQL supporta le seguenti funzionalità di policy sulle password MySQL. Per ulteriori informazioni su queste politiche, consulta la documentazione di MySQL Password Management.

Scadenza della password

Parametri di scadenza della password

Parameter/Clause	Note
Parametro del cluster default_password_lifetime	Disponibile in Aurora MySQL versione 3 (compatibile con MySQL 8.0) e versioni successive.
Clausola DCL per account PASSWORD EXPIRE INTERVAL N DAY	Nessuno
Clausola DCL per account PASSWORD EXPIRE NEVER	Nessuno
Clausola DCL per account PASSWORD EXPIRE DEFAULT	Nessuno
Parametro del cluster disconnect_on_expired_password	Disponibile nella versione 8.4 e successive di Aurora MySQL.

Restrizioni al riutilizzo delle password

Parametri di restrizione per il riutilizzo delle password

Parameter/Clause	Note
Parametro del cluster password_history	Disponibile nella versione 8.4 e successive di Aurora MySQL.
Parametro del cluster password_reuse_interval	Disponibile nella versione 8.4 e successive di Aurora MySQL.
Clausola DCL per account PASSWORD HISTORY N	Nessuno
Clausola DCL per account PASSWORD REUSE INTERVAL N DAY	Nessuno
Clausola DCL per account PASSWORD HISTORY DEFAULT	Nessuno

Verifica della password attuale

Parametri correnti di verifica della password

Parameter/Clause	Note
Parametro password_require_current	Disponibile nella versione 8.4 e successive di Aurora MySQL.
Clausola DCL per account PASSWORD REQUIRE CURRENT	Nessuno
Clausola DCL per account PASSWORD REQUIRE CURRENT OPTIONAL	Nessuno
Clausola DCL per account PASSWORD REQUIRE CURRENT DEFAULT	Nessuno

Supporto per doppia password

Clausole di supporto per doppia password

Parameter/Clause	Note
Clausola DCL per account RETAIN CURRENT PASSWORD	Nessuno
Clausola DCL per account DISCARD OLD PASSWORD	Nessuno

Failed-login tracciamento e blocco temporaneo dell'account

Failed-login clausole di tracciamento

Parameter/Clause	Note
Clausola DCL per account FAILED_LOGIN_ATTEMPTS N	Nessuno
Clausola DCL per account PASSWORD_LOCK_TIME N	Nessuno
Clausola DCL per account PASSWORD_LOCK_TIME UNBOUNDED	Nessuno

Utilizzo del componente validate_password

Il validate_password componente è un componente del server MySQL che fornisce funzionalità di convalida e applicazione della robustezza della password. Verifica le password in base a regole configurabili per garantire che soddisfino i requisiti di sicurezza specificati prima di essere accettate.

Se abilitato, il validate_password componente convalida automaticamente le password durante:

• Creazione di account utente () CREATE USER

• Modifiche alla password (ALTER USER,SET PASSWORD)

Questo aiuta le organizzazioni a mantenere una rigorosa igiene delle password tra gli utenti dei database e a rispettare le politiche di sicurezza e i requisiti normativi.

Aurora MySQL versione 8.4 offre un approccio basato su parametri per abilitare e gestire il validate_password componente, eliminando la necessità di manuali e comandi. INSTALL COMPONENT UNINSTALL COMPONENT

Abilitazione del componente validate_password

Per abilitare la convalida della password nel cluster Aurora MySQL, utilizza il parametro cluster:

Nome parametro: aurora_enable_validate_password_component

Per abilitare: imposta su aurora_enable_validate_password_component true (o1) nel gruppo di parametri del cluster DB.

Per disabilitare: imposta su aurora_enable_validate_password_component false (o0) nel gruppo di parametri del cluster DB.

Nota

Non sarai in grado di utilizzare i INSTALL/UNINSTALL COMPONENT comandi per il validate_password componente.

Nota

A partire dalla versione 8.4 di Aurora MySQL, il validate_password componente non è elencato nella tabella. mysql.component È possibile visualizzare lo stato del componente nel gruppo di parametri del cluster DB o tramite la variabile globale: aurora_enable_validate_password_component

SELECT @@global.aurora_enable_validate_password_component;

Parametri del componente validate_password supportati

Parametri del componente validate_password

Nome del parametro	Note
validate_password.check_user_name	Disponibile nella versione 8.4 e successive di Aurora MySQL.
validate_password.length	Disponibile nella versione 8.4 e successive di Aurora MySQL.
validate_password.mixed_case_count	Disponibile nella versione 8.4 e successive di Aurora MySQL.
validate_password.number_count	Disponibile nella versione 8.4 e successive di Aurora MySQL.
validate_password.policy	Disponibile nella versione 8.4 e successive di Aurora MySQL. Sono supportati solo i livelli LOW e MEDIUM.
validate_password.special_char_count	Disponibile nella versione 8.4 e successive di Aurora MySQL.

Per ulteriori informazioni sui parametri validate_password di MySQL, consulta la documentazione relativa alle opzioni e alle variabili di convalida della password MySQL.

Plugin validate_password e migrazione dei componenti da RDS per MySQL o Aurora MySQL versione 3 a Aurora MySQL versione 8.4

A partire dalla versione 8.4 di Aurora MySQL, se in precedenza avevi installato il validate_password plug-in tramite il INSTALL PLUGIN comando, puoi migrare al validate_password componente abilitando il parametro aurora_enable_validate_password_component e quindi rimuovere il plug-in tramite il comando sull'istanza di writer. UNINSTALL PLUGIN

Nota

Se hai installato sia il plug-in che il parametro aurora_enable_validate_password_component abilitato, il validate_password componente avrà la precedenza sul plug-in.

Se in precedenza avete installato il validate_password componente manualmente utilizzandoINSTALL COMPONENT 'file://component_validate_password', assicuratevi di impostare il aurora_enable_validate_password_component parametro nel gruppo di parametri del cluster DB di destinazione durante l'aggiornamento. Dopo l'aggiornamento, il componente non sarà più elencato nella tabella. mysql.component È possibile utilizzare la variabile aurora_enable_validate_password_component globale per verificare lo stato del componente.

Al primo avvio del motore DB dopo l'aggiornamento, verrà visualizzato il seguente messaggio nel registro degli errori MySQL se in precedenza il componente era stato installato manualmente:

Component 'file://component_validate_password' is being removed from mysql.component table.
validate_password component can be enabled/disabled through 'aurora_enable_validate_password_component' cluster parameter.

Restrizioni relative all'installazione manuale

A partire dalle versioni 8.4 di Aurora MySQL, i comandi di installazione e disinstallazione manuale dei validate_password componenti non sono consentiti:

mysql> INSTALL COMPONENT 'file://component_validate_password';
ERROR HY000: Cannot load component from specified URN: 'validate_password component can be
enabled/disabled through 'aurora_enable_validate_password_component' cluster parameter.'

Monitoraggio dello stato dei componenti

Aurora MySQL registra le modifiche allo stato dei componenti nel log degli errori MySQL:

Se abilitato:

Component 'validate_password' is enabled by parameter aurora_enable_validate_password_component

Se disabilitato:

Component 'validate_password' is disabled by parameter aurora_enable_validate_password_component

Impatto della convalida della password sulla password dell'utente principale

Quando si reimposta la password dell'utente principale tramite l'modify-db-clusterAPI, se la nuova password non è conforme alle regole di convalida della password configurate, Aurora MySQL emetterà un evento visibile al cliente che indica l'errore e sarà necessario riprovare l'operazione con una password conforme.

Impatto della convalida della password sulla password dell'utente principale gestito da Amazon RDS

Per i cluster che utilizzano le credenziali utente RDS-managed master di Amazon archiviate in Gestione dei segreti AWS, se la password generata automaticamente durante la rotazione non è conforme ai requisiti di convalida configurati, la rotazione avrà esito negativo. Dovrai modificare i parametri di convalida della password per consentire il successo della rotazione. Suggeriamo di non utilizzare insieme il validate_password componente e la password dell'utente principale gestito.

Documentazione correlata

• Parametri di configurazione Aurora MySQL

• Sicurezza con Amazon Aurora MySQL

• Documentazione del componente MySQL validate_password

• Gruppi di parametri per Amazon Aurora