基于Inception & Yearning做SQL审核的实践

SQL审核是保证数据库 DDL 和 DML 安全使用、SQL变更可追溯、降低线上数据事故概率的重要手段。去哪儿网开源的 Inception 工具有较大的使用基础,提供了相对完善的 API 接口,结合一些外层的操作界面,可以实现SQL审核、执行、备份和恢复功能,为DBA操作利器。本文详细介绍如何配置 Inception 和 Yearning 的整合。

Inception

Inception是一个自动化运维工具,在Mysql前做一个审核和操作的屏障。跟Inception的交互是程序级别的,即通过Python或其他程序编程实现对Inception的命令调用,并解析结果。

Inception的文档地址:http://mysql-inception.github.io/inception-document/

Yearning

由于Inception是一个基础工具,如果要做SQL审核,系统级的业务操作(提DDL&DML,审核,执行等)还需要一个人机交互的界面,Yearning 就是这么一个 Python 实现的 web 系统。

Yearning的文档地址:https://cookiey.github.io/Yearning-document/

 

Inception安装

参考资料:http://mysql-inception.github.io/inception-document/install/

  1. Inception的编译,使用源码编译时,首先需要对bison包进行降级(yum收录的是3.0.4,源码编译2.5)

bison 2.5的源码编译
代码获取:http://ftp.gnu.org/gnu/bison/bison-2.5.tar.bz2
解压缩:tar xf bison-2.5.tar.bz2
进入目录:cd bison-2.5
检查并编译源码:./configure && make && make install
其中编译问题用以下方式解决
解决编译问题:https://www.cnblogs.com/hjj801006/p/3988220.html

  1. 拷贝启动文件:
cd /root/inception/debug/sql
cp Inception gen_lex_hash /usr/local/bin/
  1. 制作配置文件
    cat /etc/inception/inc.cnf
[inception]
general_log=1
general_log_file=/var/log/inception.log
port=6669
socket=/var/run/inc.socket
character-set-client-handshake=0
character-set-server=utf8
inception_remote_system_password=123
inception_remote_system_user=root
inception_remote_backup_port=3306
inception_remote_backup_host=127.0.0.1
inception_support_charset=utf8mb4
inception_enable_nullable=0
inception_check_primary_key=1
inception_check_column_comment=1
inception_check_table_comment=1
inception_osc_min_table_size=1
inception_osc_bin_dir=/var/temp
inception_osc_chunk_time=0.1
inception_enable_blob_type=1
inception_check_column_default_value=1

inc.socket不用找,会在启动时自动生成。

  1. 启动Inception的命令如下
Inception --defaults-file=/etc/inception/inc.cnf

启动后使用mysql的客户端进行连接(mycli会有错误,貌似是python的兼容问题)

mysql -uroot -h127.0.0.1 -P6669

但是只能本机访问,远程访问不了,原因还未知。(更新:在安装Yearning时发现了阿里云的安全组问题,可能同样是这个原因导致。)

Yearning安装

参考资料:https://cookiey.github.io/Yearning-document/install/

  1. 安装pip3
    1.1 安装python3的依赖包:
    sudo yum install openssl-devel
    1.2 获取python3的压缩包:
    wget https://www.python.org/ftp/python/3.6.4/Python-3.6.4.tgz
    1.3 安装python3(需要root权限)
tar zxvf Python-3.6.4.tgz
cd Python-3.6.4
./configure
make && make install 
  1. 安装Yearning
    2.1 用pip3安装依赖包(txt文件在src目录中)
    pip3 install -r requirements.txt
    2.2 创建数据库实例yearning
    2.3 将该数据库实例的连接信息写入develop.conf。升级请注意:1.0.0发布后,该文件增加了两个属性:ldap_type=1和smtp_port=,如果是cp原有的配置文件覆盖新下载的,要加上这两个配置
    2.4 初始化数据库
    python3 manage.py makemigrations && python3 manage.py migrate
    2.5 添加初始化用户
echo "from core.models import Account;Account.objects.create_user(username='admin', password='Yearning_admin', group='admin',is_staff=1)" | python3 manage.py shell
#升级请注意,从1.0.0开始,要补充下面这句权限的配置
echo "from core.models import grained;grained.objects.get_or_create(username='admin', permissions={'ddl': '1', 'ddlcon': [], 'dml': '1', 'dmlcon': [], 'dic': '1', 'diccon': [], 'dicedit': '0', 'query': '1', 'querycon': [], 'user': '1', 'base': '1', 'dicexport': '0'})" | python3 manage.py shell 初始化权限

2.6 复制网页的静态文件
cp -rf Yearning/webpage/dist/* $NGINX_HOME/html/

2.7 修改并启动nginx

Yearning

2.8 启动django(注意在src目录)
python3 manage.py runserver 0.0.0.0:8000
2.9 修改阿里云的安全组策略(解决不能用公网IP访问的问题,请一定注意增加80和8000两个端口,否则还是登录不了),参考CSDN这篇文章,至此用公网ip访问可出现如下界面,说明安装成功:
Yearning

初始用户见#2.5,登录后如下图所示(如果登录不了,注意看#2.9是否增加了8000的安全组策略)

Inception Yearning

1.0.0升级后,之前的用户要重新配置权限,但有些权限可能存在一些bug,例如数据字典修改时的403问题。
至此安装全部完成!


分享到:

未经允许不得转载:Debian社区 » 基于Inception & Yearning做SQL审核的实践

赞 (0)
已有 0 条评论 新浪微博