MariaDB und MySQL sicher betreiben: Netzwerk, Benutzer und Backups

Die Datenbank muss selten für die ganze Welt erreichbar sein

Wenn Anwendung und Datenbank auf demselben Server laufen, reicht häufig eine lokale Socket- oder Loopback-Verbindung. Auf getrennten Systemen sollte der Datenbank-Port nur aus dem Anwendungsnetz, über ein privates Netzwerk oder ein VPN erreichbar sein. Eine Firewall-Regel für eine konkrete Quelle ist deutlich besser als eine pauschale Freigabe.

Ein Benutzer pro Anwendung

Nutze keinen administrativen Account in der Webanwendung. Erstelle einen eigenen Datenbankbenutzer mit Rechten nur auf das benötigte Schema und nur für die erforderlichen Aktionen. Reporting, Migrationen und Backups können getrennte Accounts erhalten. So begrenzt ein gestohlener Zugang die möglichen Schäden.

Transportverschlüsselung und Secrets

Verbindungen über fremde oder gemeinsam genutzte Netze sollten TLS verwenden und das Zertifikat prüfen. Passwörter gehören in einen Secret Store oder eine restriktiv lesbare Konfiguration. Sie werden nicht in Quellcode, Container-Images oder Tickets kopiert. Plane einen Ablauf zum Rotieren der Zugangsdaten, bevor ein Vorfall dazu zwingt.

Backups konsistent erzeugen

Eine Kopie des laufenden Datenverzeichnisses ist nicht automatisch konsistent. Verwende logische Exporte, datenbankeigene Backup-Werkzeuge oder korrekt koordinierte Snapshots. Verschlüssele externe Kopien und teste die Wiederherstellung inklusive Benutzer, Zeichensatz und Anwendungsmigration.

Updates mit realistischen Tests

• Unterstützte Datenbankversionen und Sicherheitsupdates verfolgen.
• Langsame Queries, Verbindungen und Speicherverbrauch beobachten.
• Schemaänderungen zuerst mit einer anonymisierten Kopie testen.
• Notfallzugriff dokumentieren, ohne Passwörter ins Dokument zu schreiben.

Der bestehende Leitfaden zu MariaDB-Remote-Verbindungen erklärt die technische Seite. Setze die Freigabe immer nur für vertrauenswürdige Quellnetze um.