MySQL :: MySQL 8.4 參考手冊 :: 7.1.9.4 不可持久化和限制持久化的系統變數

版本 8.4

9.0
8.0

8.0 日文

MySQL 8.4 參考手冊 / ... / 不可持久化和限制持久化的系統變數

7.1.9.4 不可持久化和限制持久化的系統變數

SET PERSIST 和 SET PERSIST_ONLY 可讓全域系統變數持久化到資料目錄中的 mysqld-auto.cnf 選項檔案（請參閱第 15.7.6.1 節，「SET 變數賦值語法」）。但是，並非所有系統變數都可以持久化，或者只能在某些限制條件下持久化。以下是一些系統變數可能不可持久化或限制持久化的原因：

工作階段系統變數無法持久化。工作階段變數無法在伺服器啟動時設定，因此沒有理由將其持久化。
全域系統變數可能涉及敏感資料，因此只能由可直接存取伺服器主機的使用者設定。
全域系統變數可能是唯讀的（即，只能由伺服器設定）。在這種情況下，使用者根本無法設定它，無論是在伺服器啟動時還是在執行階段。
全域系統變數可能僅供內部使用。

不可持久化的系統變數在任何情況下都無法持久化。限制持久化的系統變數可以使用 SET PERSIST_ONLY 進行持久化，但僅適用於滿足以下條件的使用者：

persist_only_admin_x509_subject 系統變數設定為 SSL 憑證 X.509 主題值。
使用者使用加密連線連線到伺服器，並提供具有指定主題值的 SSL 憑證。
使用者具有足夠的權限可以使用 SET PERSIST_ONLY（請參閱第 7.1.9.1 節，「系統變數權限」）。

例如，protocol_version 是唯讀的，只能由伺服器設定，因此在任何情況下都無法持久化。另一方面，bind_address 是限制持久化的，因此可以由滿足上述條件的使用者設定。

以下系統變數不可持久化。此列表可能會隨著持續開發而變更。

audit_log_current_session
audit_log_filter_id
caching_sha2_password_digest_rounds
character_set_system
core_file
have_statement_timeout
have_symlink
hostname
innodb_version
keyring_hashicorp_auth_path
keyring_hashicorp_ca_path
keyring_hashicorp_caching
keyring_hashicorp_commit_auth_path
keyring_hashicorp_commit_ca_path
keyring_hashicorp_commit_caching
keyring_hashicorp_commit_role_id
keyring_hashicorp_commit_server_url
keyring_hashicorp_commit_store_path
keyring_hashicorp_role_id
keyring_hashicorp_secret_id
keyring_hashicorp_server_url
keyring_hashicorp_store_path
large_files_support
large_page_size
license
locked_in_memory
log_bin
log_bin_basename
log_bin_index
lower_case_file_system
ndb_version
ndb_version_string
persist_only_admin_x509_subject
persisted_globals_load
protocol_version
relay_log_basename
relay_log_index
server_uuid
skip_external_locking
system_time_zone
version_comment
version_compile_machine
version_compile_os
version_compile_zlib

限制持久化的系統變數是指那些唯讀的變數，可以在命令列或選項檔案中設定，但 persist_only_admin_x509_subject 和 persisted_globals_load 除外。此列表可能會隨著持續開發而變更。

audit_log_file
audit_log_format
auto_generate_certs
basedir
bind_address
caching_sha2_password_auto_generate_rsa_keys
caching_sha2_password_private_key_path
caching_sha2_password_public_key_path
character_sets_dir
datadir
ft_stopword_file
init_file
innodb_buffer_pool_load_at_startup
innodb_data_file_path
innodb_data_home_dir
innodb_dedicated_server
innodb_directories
innodb_force_load_corrupted
innodb_log_group_home_dir
innodb_page_size
innodb_read_only
innodb_temp_data_file_path
innodb_temp_tablespaces_dir
innodb_undo_directory
innodb_undo_tablespaces
lc_messages_dir
log_error
mecab_rc_file
named_pipe
pid_file
plugin_dir
port
relay_log
replica_load_tmpdir
secure_file_priv
sha256_password_auto_generate_rsa_keys
sha256_password_private_key_path
sha256_password_public_key_path
shared_memory
shared_memory_base_name
skip_networking
slave_load_tmpdir
socket
ssl_ca
ssl_capath
ssl_cert
ssl_crl
ssl_crlpath
ssl_key
tmpdir
version_tokens_session_number

若要設定伺服器以啟用持久化限制持久化的系統變數，請使用此程序：

確保 MySQL 設定為支援加密連線。請參閱第 8.3.1 節，「設定 MySQL 以使用加密連線」。
指定一個 SSL 憑證 X.509 主題值，該值表示能夠持久化限制持久化的系統變數，並產生一個具有該主題的憑證。請參閱第 8.3.3 節，「建立 SSL 和 RSA 憑證和金鑰」。
使用設定為指定主題值的 persist_only_admin_x509_subject 啟動伺服器。例如，將以下幾行放入您的伺服器 my.cnf 檔案中：
```
[mysqld]
persist_only_admin_x509_subject="subject-value"
```
主題值的格式與用於 CREATE USER ... REQUIRE SUBJECT 的格式相同。請參閱第 15.7.1.3 節，「CREATE USER 陳述式」。
您必須直接在 MySQL 伺服器主機上執行此步驟，因為 persist_only_admin_x509_subject 本身無法在執行階段持久化。
重新啟動伺服器。
將具有指定主題值的 SSL 憑證分發給允許持久化限制持久化的系統變數的使用者。

假設 myclient-cert.pem 是客戶端用來持久化受限系統變數的 SSL 憑證。請使用 openssl 命令顯示憑證內容。

$> openssl x509 -text -in myclient-cert.pem
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 2 (0x2)
    Signature Algorithm: md5WithRSAEncryption
        Issuer: C=US, ST=IL, L=Chicago, O=MyOrg, OU=CA, CN=MyCN
        Validity
            Not Before: Oct 18 17:03:03 2018 GMT
            Not After : Oct 15 17:03:03 2028 GMT
        Subject: C=US, ST=IL, L=Chicago, O=MyOrg, OU=client, CN=MyCN
...

openssl 的輸出會顯示憑證的 Subject 值為：

C=US, ST=IL, L=Chicago, O=MyOrg, OU=client, CN=MyCN

若要為 MySQL 指定 Subject，請使用此格式：

/C=US/ST=IL/L=Chicago/O=MyOrg/OU=client/CN=MyCN

請使用 Subject 值來設定伺服器的 my.cnf 檔案。

[mysqld]
persist_only_admin_x509_subject="/C=US/ST=IL/L=Chicago/O=MyOrg/OU=client/CN=MyCN"

重新啟動伺服器以使新的設定生效。

將 SSL 憑證（以及任何其他相關的 SSL 檔案）分發給適當的使用者。然後，此類使用者可以使用憑證和任何其他建立加密連線所需的 SSL 選項來連線到伺服器。

若要使用 X.509，客戶端必須指定 --ssl-key 和 --ssl-cert 選項來連線。建議（但非必要）也指定 --ssl-ca，以便驗證伺服器提供的公用憑證。例如：

$> mysql --ssl-key=myclient-key.pem --ssl-cert=myclient-cert.pem --ssl-ca=mycacert.pem

假設使用者具有足夠的權限可以使用 SET PERSIST_ONLY，則可以像這樣持久化受限的系統變數：

mysql> SET PERSIST_ONLY socket = '/tmp/mysql.sock';
Query OK, 0 rows affected (0.00 sec)

如果伺服器未設定為啟用持久化受限系統變數，或者使用者不符合該功能所需的要求，則會發生錯誤。

mysql> SET PERSIST_ONLY socket = '/tmp/mysql.sock';
ERROR 1238 (HY000): Variable 'socket' is a non persistent read only variable

上一步首頁上一層下一步