今天升級到了mysql8.0 做主從同步遇到下面問題

2020-07-21T14:09:52.626718Z 13 [ERROR] [MY-010584] [Repl] Slave I/O for channel '': error connecting to master 'slave_replication@172.20.0.2:3306' - retry-time: 60 retries: 1 message: Authentication plugin 'caching_sha2_password' reported error: Authentication requires secure connection. Error_code: MY-002061

簡單看了一下是mysql用戶的安全加密方式的問題，特意看了一下mysql的用戶表

plugin列全部都是caching_sha2_password。

而mysql5.7支持的方式是mysql_native_password

處理caching_sha2_password，具體解釋如下:

使用加密連接

2.使用支持 RSA 密鑰對，進行密碼交換的非加密連接

之前 change master to 時，未進行配置 master_ssl=1(等效于客戶端 –ssl-mode=REQUIRED 的配置)，導致從庫通過復制用戶連接主庫時使用的非加密連接，同時又沒有進行 RSA 密鑰配置，導致 io 線程運行異常。為此整理一些關于 MySQL 8.0 認證插件 caching_sha2_password 的一些限制以及 RSA 的相關內容。

一、認證插件 caching_sha2_password

1.1 作用：

用于實現 SHA-256 認證

1.2 工作機制：

1)caching_sha2_password 會將用戶名和用戶密碼哈希對作為緩存條目進行緩存，當用戶進行訪問時，會跟緩存條目進行匹配，如果匹配則認證成功。

2)如果插件沒有匹配到相應的緩存條目，首先會根據 mysql.user 系統表進行校驗，如果校驗通過會生成相應的緩存條目，下次相同用戶進行訪問時可以直接命中緩存條目，提升二次認證效率。如果校驗失敗，則認證失敗、訪問拒絕。

1.3 優勢(相對于 sha256_password)：

1)caching_sha2_password 認證插件在 MySQL 服務端進行緩存認證條目，對于之前認證過的用戶，可以提升二次認證的速度。

2)不管與 MySQL 鏈接的 SSL 庫如何，都可以使用基于 RSA 的密碼交換

3)提供了對使用 Unix 套接字文件和共享內存協議的客戶端連接的支持

1.4 緩存管理：

1)當刪除用戶、修改用戶名、修改用戶密碼、修改認證方式會清理相對應的緩存條目

2)Flush Privileges 會清除所有的緩存條目

3)數據庫關閉時會清除所有緩存條目

1.5 限制：

通過 caching_sha2_password 認證的用戶訪問數據庫，只能通過加密的安全連接或者使用支持 RSA 密鑰對進行密碼交換的非加密連接進行訪問。

二、caching_sha2_password 插件使用 RSA 秘鑰對

2.1秘鑰對生成方式：

1)自動生成

參數 caching_sha2_password_auto_generate_rsa_keys 默認是開啟，數據庫在啟動時自動生成相對應的公鑰和私鑰。

2)手動生成

通過 mysql_ssl_rsa_setup 指定目錄生成 SSL 相關的私鑰和證書以及 RSA 相關的公鑰和私鑰。

2.2 查看 RSA 公鑰值的方式：

通過狀態變量 Caching_sha2_password_rsa_public_key 可以查看 caching_sha2_password 身份驗證插件使用的 RSA 公鑰值。

2.3 使用 RSA 鍵值對的注意事項：

1)擁有 MySQL 服務器上 RSA 公鑰的客戶端，可以在連接過程中與服務器進行基于 RSA 密鑰對的密碼交換

2)對于通過使用 caching_sha2_password 和基于 RSA 密鑰對的密碼交換進行身份驗證的帳戶，默認情況下，MySQL 服務端不會將 RSA 公鑰發送給客戶端，獲取 RSA 公鑰的方式有以下兩種：

A. 客戶端從服務端拷貝相應的 RSA 公鑰，

B. 客戶端發起訪問時，請求獲取 RSA 公鑰。

在 RSA 公鑰文件可靠性能夠保證的前提下，拷貝 RSA 公鑰跟請求獲取 RSA 公鑰相比，由于減少了 c/s 之間的通信，相對而言更安全。如果在網絡安全前提下，后者相對來說會更方便。

2.4 命令行客戶端通過 RSA 秘鑰對進行訪問：

1)通過拷貝方式獲取RSA公鑰，在通過命令行客戶端進行訪問時，需要在命令行指定 –server-public-key-path 選項來進行訪問

2)通過請求獲取RSA公鑰的方式，在通過命令行客戶端進行訪問時，需要在命令行中指定 –get-server-public-key 選項來進行訪問。

選項 –server-public-key-path 優于 –get-server-public-key

如果還想使用原來的方式，則需要進行如下格式的修改

#重新修改用戶密碼安全加密方式

ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'password';

#刷新權限

flush privileges;