Oracle/MySQL 관련 게시판

2002/08/06(17:41) from 61.80.99.240
작성자 : 강줄기 (jkkang65@hanmail.net)	조회수 : 5101 , 줄수 : 276

Re: [MySQL] 접근 거부 에러가 나는 이유

6.11 접근 거부 에러가 나는 이유 mysql 서버에 연결하려 할 때 접근 거부 에러가 나면, 아래에서 설명하는 것에 따라 해결 방법을 찾을 수 있다: - 초기 승인 테이블 내용을 설정하기 위해 mysql을 설치한 후 mysql_install_db 스크 립트를 실행하였는가? 실행하지 않았다면 스크립트를 실행하자.  6.8 [Default privileges] 참고. 다음 명령을 이용해 초기 권한을 시험해 볼 수 있다: shell> mysql -u root test 에러없이 서버에 접속할 수 있을 것이다. mysql 데이터베이스 디렉토리에 'user.ISD' 파일이 있는지 확인해보아야 한다. (일반적으로 'mysql 설치 디렉토리 /var/mysql/user.IDS' 이다) - 설치를 새로하고 난후 , 서버에 연결하고 사용자와 접근 권한을 설정해야 한다: shell> mysql -u root mysql 초기에 mysql root 사용자만 비밀번호가 없기 때문에 서버에 연결할 수 있다. 보안문 제가 있기 때문에, 다른 mysql 사용자를 설정하기 전에 먼저 root의 비밀번호를 설정 해야 한다. root로 접속하려하는데 다음의 에러가 났다고 가정하자: Access denied for user: '@unknown' to database mysql 이것은 user 테이블에 User 컬럼 = root 라는 목록이 없고, mysqld가 사용자 클라이언 트의 호스트이름을 해석할 수 없다는 것을 의미한다. 이런 경우 --skip-grant-tables 옵션을 이용해 서버를 다시 시작해야 하고 '/etc/hosts' 를 편집하거나 '\windows\hosts' 파일에 사용자 호스트 목록을 추가해야 한다. - 3.22.11 이전 버전에서 3.22.11이나 이후 버전으로 업데이트했다면, mys ql_fix_privilege_tables 스크립트를 실행했는가? 하지 않았다면 실행하자. mysql 3.22.11에서 GRANT 문 기능이 가능해지면서 승인 테이블 구조가 바뀌었다. - (INSERT 나 UPDATE 문을 사용해) 승인 테이블을 직접 고쳤고 변화가 아직 반영되지 않은 것으로 보이면, FLUSH PRIVILEGES 문을 사용하거나 mysqladmin flush- privileges 명령을 사용해 서버가 승인 테이블을 다시 읽도록 해야 한다는 것을 기억 하자.그렇지 않으면 서버가 재시작하기 전까지는 변화된 것이 반영되지 않는다. root 비밀번호를 설정하고 나서 권한을 flush 하기까지는 비밀번호를 명시할 필요가 없다. 왜냐면 서버는 아직 비밀번호를 바꾸었는지 모르기 때문이다. - 세션 중간에 권한이 변경된 것으로 보이면 슈퍼유저가 바꾸었을 것이다. 승인 테이 블을 재시작하는 것은 새로운 클라이언트 접속에 영향을 미치지만 이미 존재하고 있 던 연결은 6.7 [Privileges changes]에서 설명한대로 영향을 미친다. - 시험하기 위해, mysqld 데몬에  --skip-grant-tables 옵션을 주어 시작하자. 그러고 나서 mysql 승인 테이블을 변경할 수 있고 변경된것이 원하는대로 작동하는지를 체크 하는 mysqlaccess 스크립트를 사용할 수 있다. 원하는대로 수정이 되었으면 mysqld 서 버가 새로운 승인 테이블로 시작할 있도록 mysq1admin flush-priveleges 를 실행한다. 주의 : 승인테이블을 재로딩하는 것은 --skip-grant-tables 옵션을 무효화한다. 이를 통해 서버를 다운시키고 다시 재시작하지 않고도 승인 테이블을 시작할 수 있다. - 펄, Python, ODBC 프로그램에서 접근하는데 문제가 있다면, mysql -u user_name db_name  또는 mysql -u user_name -pyour_pass db_name 으로 서버에 접속을 시도해보 자. (-p 와 비밀번호사이에는 공백이 없다는 것을 기억하자. 또한 -- password=your_pass 형태로도 사용할 수 있다) mysql 클라이언트로 접속이 되면 프로 그램에 문제가 있는 것이며 접근 권한에는 문제가 없다. - 비밀번호가 제대로 작동하지 않으면, INSERT, UPDATE, SET PASSWORD 문에서 비밀번 호를 설정하면서 PASSWORD() 함수를 반드시 사용해야 한다는 것을 기억하자. PASSWORD () 함수는 GRANT ... INDENTIFIED BY 문이나 mysqladmin password 명령을 사용했다면 불필요하다. 6.10 [Passwords] 참고. - localhost 는 지역 호스트 이름과 같은 말이다. 또한 호스트를 명백하게 설정하지 않은 경우 클라이언트에서 연결하려는 호스트의 기본값이다. 그러나 MIT-pthreads를 사용하는 시스템에서는 localhost로의 연결이 제대로 작동하지 않는다. (localhost 연 결은 유닉스 소켓을 통해 만들어진다. 그렇지만 MIT-pthreads에서는 유닉스 소켓을 지 원하지 않는다.) 이와 같은 시스템에서 문제를 피하려면, 서버에 호스트 이름을 명확 하게 말해주기 위해 --host 옵션을 사용해야 한다. 그러면 mysqld 서버에 TCP/IP 연결 을 만든다. 이경우, 서버 호스트의 user 테이블 목록에 실제 호스트이름이 있어 야 한다. (서버와 동일한 호스트에서 클라이언트 프로그램을 실행한다고 하더라도 마 찬가지이다.) - mysql -u user_name db_name 으로 데이터베이스에 접속하려 할 때 접근 거부 에러 가 나면, user 테이블에 문제가 있을 것이다. mysql -u root mysql 를 실행하여 점검 하고 다음의 SQL 문을 사용하자: mysql> SELECT * FROM user; 여기서 사용자의 호스트이름과 mysql 사용자 이름과 맞는 Host 와 User 컬럼의 목록 이 포함되어 있어야 한다. - Access denied 에러 메시지는 접속하려는 사용자와 호스트 이름, 그리고 비밀번호 를 사용했는지 여부를 보여줄 것이다. 일반적으로 user 테이블에 에러 메시지에서 보 여준 호스트 이름과 사용자 이름과 정확하게 맞는 목록을 가지고 있어야 한다. - 다른 시스템에서 mysql 서버에 접속할 때 다음의 에러 메시지가 나오면, user 테이 블에 연결을 하려고 하는 호스트 이름이 없다는 것을 말한다: Host ... is not allowed to connect to this MySQL server (서버 호스트에서!) 명령행 유틸리티인 mysql을 사용하여 user 테이블에 연결하고자 하는 사용자/호스트 이름을 추가하여 해결할 수 있다. mysql 3.22 를 사용하고 있지 않고 연결하고자 하는 시스템의 IP 숫자나 호스트 이름을 모른다면, user 테이블에 Host 컬럼 값으로 '%' 목록을 입력하고 서버 시스템에서 --log 옵션을 사용해 mysqld 를 재시작하자. 클라이언트 시스템에서 연결을 시도한 후 mysql 로그에는 어떻게 실제 로 연결을 했는지에 대한 정보가 들어있다. (그러고나서 '%'를 로그에 나온 실제 호스 트 이름으로 바꾼다. 그렇지만 보안에 문제가 생길 수 있다.) - mysql -u root test 는 작동을 하는데 mysql -h your_hostname -u root test 에서 접근에 에러가 나면, user 테이블에 정확한 호스트 이름이 없을 것이다. 일반적인 문 제는 user 테이블의 Host 값에는 완전하지 않은 호스트 이름(** 도메인은 빼고 호스 트 이름만 넣은 경우**) 이 들어가 있는데 시스템의 네임 해석 루틴은 FQDN(fully- qualified domain name - ** 완전한 도메인 이름과 호스트 이름을 사용**)으로 처리하 는 경우이다(또는 거꾸로 해석).예를 들어, user 테이블에 호스트 이름이 'taejun' 으 로 되어있는데, DNS는 mysql에 호스트 이름이 'taejun.subnet.se'라고 알려줄 수 있으며 이경우는 제대로 작동하지 않을 것이다. user 테이블에 Host 컬럼 값으로서 해 당하는 IP 숫자나 호스트 이름을 추가하자. (대신, user 테이블에 Host 값으로 와일드 카드 문자를 포함할 수 있다. 예를 들어, 'taejun.%'. 그러나 호스트이름 끝에 '%'를 사용하는 것은 안전하지 않으며 권하지도 않는다!) - mysql -u user_name test 는 작동하는데 mysql -u user_name other_db_name 은 작동 하지 않는다면 db 테이블에 other_db_name 목록이 없는 경우이다. - 서버 시스템에서 mysql -u user_name db_name 은 작동을 하는데, 다른클라이언트 시 스템에서 mysql -u user_name db_name 은 작동을 하지 않는다면, user 테이블이나 db 테이블에 클라이언트 시스템의 목록이 없는 것이다. - 왜 Access denied 가 나는지 해결하지 못하면, user 테이블에서 와일드 카드('%' 또는 '_')를 포함하고 있는 Host 값을 가진 목록을 모두 제거하 자. 매우 일반적인 에러는 Host='%' 그리고 User='some user'로 입력을 하 고나서 , 이렇게 하면 같은 시스템에서 연결할 때 localhost를 지정할 수 있도록 허용한다고 생각하는 것이다. 이것이 제대로 작동하지 않는 이유는 기본 권한에 Host='localhost' 와 User='' 목록이 포함되어 있기 때문이 다. Host 값에 '%' 보다 더 분명한 'localhost' 목록이 있기 때문에, loca lhost에서 접속할 때 새로운 목록보다 먼저 선택이 된다. 정확한 절차는 두번째 항목으로 Host='localhost' 와 User='some_user' 를 입력하거나 Ho st='localhost' 와 User='' 를 제거하는 것이다. - 다음의 에러가 나는 경우:        Access to database denied db 나 host 테이블에 문제가 있을 것이다. 선택한 db 테이블의 목록에 Hos t 컬럼이 비어있다면, host 테이블에 db 테이블 목록에 적용되는 호스트 이름이 있는지를 확인해야 한다. (** 일반적으로 db 테이블에 host 값을 비워두는 경우, host 테이블에서 접근하는 호스트를 제어할 수 있다 **) - 다음의 에러가 나는 경우:        Access to database denied SELECT ... INTO OUTFILE 또는 LOAD DATA INFILE 의 SQL 문을 사용하는 경 우, user 테이블 목록에서 file 권한이 설정되어 있지 않았을 것이다. - 다른 모든 것이 실패하였을 경우, mysqld 대몬을 디버깅 옵션으로 시작 하자. (예를 들어, --debug=d,general,query) 그러면 각 명령에서 생기는 정보와 함께, 접속을 시도하는 호스트와 사용자에 대한 정보를 출력할 것 이다. G.1 [Debugging] 참고. - mysql 승인 테이블에서 다른 문제에 부딪쳤고 이 문제를 메일링리스트에 알려야겠다고 느끼면, mysql 승인 테이블을 덤프하여 제공해야 한다. mysq ldump mysql 명령을 사용해 테이블을 덤프할 수 있다. 언제나 mysqlbug 스 트립트를 사용하여 문제를 올리자. - 다음의 에러가 나는 경우, mysqld 대몬이 실행되지 않거나 잘못된 소켓 이나 포트로 연결하려고 시도하는 경우:        Can't connect to local MySQL server        Can't connect to MySQL server on some_hostname 먼저 mysqld 대몬이 실제로 작동하는지 ps를 이용해 확인한다. 소켓 파일 이 있느지 확인하고 점검을 해 보아야 한다.(일반적으로 `/tmp/mysql.sock ' 임) 또는 telnet host_name 3306 으로 접속을 시도해보자. 더 자세한 정 보를 위해 mysqladmin version 과 mysqladmin -h host_name version 을 사 용해 볼 수 있다. 물론 참고할 것이 있는지 mysql 데이타 디렉토리의 에러 로그 파일을 점검해보자. {{}}{{}}{{}}- 클라이언트 프로그램은 설정 파일이나 환경 변수에서 지정한 연결 패 러 미터를 사용할 수 있다는 것을 기억하자. 명령행에서 지정하지 않았는데 클라이언트가 잘못된 기본 연결 패러미터를 보내는 것으로 생각되면, 홈 디렉토리에서 환경변수나 '.my.cnf' 파일을 점검해보자. 비록 여기서 지정 한 연결 패러미터와는 관계가 멀지만 시스템의 전반적인 mysql 설정 파일 을 점검해 볼 수 있다. 4.14.4 [Option files] 참고. 클라이언트에서 아무 런 옵션도 주지 않았는데 Access denied 에러 메시지가 나오는 경우, 옵션 파일 중에서 예전의 비밀번호를 지정하지 않았는지 확인해 보자. 4.14.4 [Option files] 참고. 6.12 크랙커에 대비하여 mysql을 안전하게 하는 방법 mysql 서버에 연결할 때 일반적으로 비밀번호를 사용해야 한다. 비밀번호 는 연결할 때 단순한 텍스트로 전송되지 않는다. 서버/클라이언트 연결은 암호화되지 않는다; 모든 정보는 연결을 볼 수 있 는 누구라도 읽을 수 있는 텍스트로 전송된다. 이 문제에 대해 걱정이 되 면 문제를 어렵게 하기 위해 압축 프로토콜(mysql 3.22 이상 버전)을 사용 할 수 있다. 보안을 더 확실하게 하기 위해 ssh를 설치할 수 있다. (http: //www.cs.hut.fi/ssh 참고) 이것을 이용해 mysql 서버와 클라이언트 사이 에 암호화된 TCP/IP 연결을 사용할 수 있다. mysql 시스템의 보안을 유지하게 위해 다음의 제안을 신중하게 고려하자: - 모든 mysql 사용자가 비밀번호를 사용. 어떤 사용자가 비밀번호가 없으 면 'mysql - u 사용자이름' 을 이용해 간단하게 그 사용자로 로그인할 수 있다는 것을 기억하자. 이것은 클라이언트/서버 애플리케이션의 일반적인 작동방법이다. mysql_install_db 스크립트를 실행하기 전에 이 스크립트를 수정하여 모든 사용자의 비밀번호를 바꿀 수 있다. 또는 mysql root 사용 자의 비밀번호를 바꿀 때는 다음과 같이 하면 된다: shell> mysql -u root mysql mysql> UPDATE user SET Password=PASSWORD('new_password')           WHERE user='root'; mysql> FLUSH PRIVILEGES; - mysql 데몬을 유닉스의 root 사용자로 시작하지 말자. mysqld 는 다른 사용자가 실행할 수 있다.또한 보안을 더 엄격하게 하기 위해 mysql이라는 유닉스 사용자를 만들 수 있다. 다른 유닉스 사용자로 mysqld를 실행하면 user 테이블에서 root 사용자 이름을 바꿀 필요가 없다. mysqld를 다른 유 닉스 사용자가 시작하기 위해 mysql.server 스크립트를 수정하면 된다. 일 반적으로 su 명령을 사용한다. 더 자세한 내용은 16.7 [Changing mysql us er] 참고. - mysqld를 실행할 수 있는 사용자만이 데이터베이스 디렉토리에 읽기/쓰 기 권한을 가지고 있는지 확인. - 모든 사용자에게 process 권한을 주지 말자. mysqladmin processlist 을 출력하면 현재 실행하는 쿼리의 내용을 볼 수 있다. 그러므로 이러한 명령 을 실행할 권한이 있는 사용자는 다른 사용자의 UPDATE user SET password =PASSWORD(_'no_secure') 질의를 볼 수 있다.mysql은 process 권한을 가진 사용자를 위해 추가적인(extra) 연결을 저장한다.그래서 mysql root 사용 자는 모든 일반적인 연결이 사용되었어도 로그인하고 점검을 할 수 있다. - 모든 사용자에게 file 권한을 주지 말자. 이러한 권한이 있는 사용자는 mysqld 대몬의 권한이 있는 파일 시스템의 어느 곳에라도 파일을 저장할 수 있다.좀 더 안전하게 하기 위해 SELECT ... INTO OUTFILE 로 생성되는 모든 파일은 모든 사용자가 읽기만 할 수 있으며 이미 존재하는 파일을 덮 어씌울 수 없다. (** file 권한은 LOAD DATA INFILE , SELECT .. INTO OUTFILE 문을 이용하 여 서버에 파일을 저장하고 읽을 수 있는 권한을 허용한다. 이러한 권한을 가진 사용자는 mysql 서버가 읽고 쓸 수 있는 파일을 읽고 쓸 수 있는 권 한이 허용된다. 일반 사용자에게 이런 권한을 줄 필요는 없다. 필요한 부 분만 권한을 주는 것이 좋다. 권한을 남용말자. **) - DNS 를 신뢰하지 못한다면 승인 테입르에서 호스트이름 대신 IP를 사용 하자. 기본적으로 mysqld 의 --secure 옵션은 호스트이름을 안전하게 한 다. 어떤 경우 와일드카드 문자가 포함된 호스트이름 값을 사용할때는 매 우 조심해야 한다. - mysql.server 스크립트에서 유닉스 root 사용자의 비밀번호를 넣는다면, 이 스크립트는 오직 root만이 읽을 수 있도록 해야 한다. 다음의 mysqld 옵션은 보안과 관련되어 있다: --secure : gethostbyname() 시스템 콜에 의해 리턴된 IP 숫자가 원래의 호스트이름을 resolve 한 것과 같은지를 점검한다. 이것은 어떤 사람이 다 른 호스트 이름을 에뮬레이터해서 접근하는 것을 어렵게 만든다. 이 옵션 은 또한 호스트이름이 온전한지에 대한 점검을 추가한다. 해석하는데 때로 는 시간이 많이 걸려서 mysql 3.21에서는 기본적으로 설정이 되어 있지 않 다. mysql 3.22에서는 호스트이름을 캐쉬하고 이 옵션이 기본적으로 설정 되어 있다. (** 함수 gethostbyname()은 호스트 이름을 인자로 받아 그에 해당하는 IP 주소 및 기타 정보를 해당하는 구조체에 담아 그 구조체의 포인터를 리턴 하는 함수입니다. 쉽게 말해서 호스트 이름을 넣으면 해당 IP 주소를 찾아 주지요.**) --skip-grant-tables : 이 옵션을 사용하면 서버가 권한 시스템을 전혀 사 용하지 않는다. 그러면 모든 사용자가 모든 데이터베이스에 접속할 수 있 다! (mysqladmin reload 를 실행하여 실행중인 서버가 승인 테이블을 사용 하도록 할 수 있다.) --skip-name-resolve : 호스트이름이 해석되지 않는다. 승인 테이블의 모 든 Host 컬럼값은 반드시 IP 숫자이거나 로컬호스트이어야 한다. --skip-networking : 네트웍을 통한 TCP/IP 연결을 허용안함. mysqld와 모 든 연결은 유닉스 도메인 소켓을 통해 만들어진다. 이 옵션은 MIT-pthread s를 사용하는 시스템에서는 제대로 작동을 하지 않는다. 왜냐면 MIT-pthre ads 패키지는 유닉스 소켓을 지원하지 않기 때문이다. (** 리눅스를 사용 하는 사람들에게는 상관없겠죠? 유닉스 도메인 소켓을 지원하니깐. 이와 비슷하게 postgres도 6.3버전 이후부터인가요? 기본적으로 유닉스 도메인 소켓으로 바뀌었지요. **)

Powered by Kang Jul Ki