远程访问检查表

远程访问检查表

这份清单将帮助您确保我们在开始与您合作之前正确设置了对您服务器的访问。

请确保您已经向我们提供了下面列出的项目，以便我们可以登录到您的服务器。如果有多个服务器，请告诉我们每个服务器的功能(例如，“主”或“只读副本”)，以及适用于每个服务器的任何其他信息。这有助于确保我们在预期的服务器上工作。一定要指出值得关注的地方——我们应该小心不要打扰的地方。

1. 提供给我们合作的主机列表
2. 在您的主机上安装我们的公共SSH密钥
3. 提供我们登录的用户名
4. 提供数据库用户名和密码供我们独家使用
5. 共享任何监控工具的访问详细信息(用户名、密码、url)raybet雷竞技竞猜在线官网

SSH公钥

我们的公共SSH密钥可以从percona.com域获得，并且可以轻松下载。雷竞技下载官网

我们提供两种类型的SSH密钥包:

1. 为工程师创建用户名的各个包它应该在系统中不存在，以及Percona组(如果它不存在)，并将公共SSH密钥安装到/home/username/.雷竞技下载官网ssh/authorized_keys
2. 不执行任何组或用户设置的共享包，而是将所有firstname.lastname.pub文件安装到/usr/share/percona/engineer雷竞技下载官网

例如:

个人工程师:

用户和密钥的安装包:

• 转:https://www.雷竞技下载官网percona.com/get/engineer/RPMS/noarch/percona-engineer-firstname.lastname-1-latest.noarch.rpm
• 黛比:https://www.雷竞技下载官网percona.com/get/engineer/apt/percona-engineer-firstname.lastname_1-latest_all.deb
• 仅限SSH密钥:https://www.雷竞技下载官网percona.com/get/engineer/KEY/firstname.lastname.pub
• SSH密钥校验和:https://www.雷竞技下载官网percona.com/get/engineer/KEY/firstname.lastname.pub.sha256

所有Pe雷竞技下载官网rcona工程师的SSH密钥，在一个包:

• 转:https://per.co.na/keys/all-keys.rpm
• 黛比:https://per.co.na/keys/all-keys.deb

此包将安装所有工程师公共SSH密钥/usr/share/雷竞技下载官网percona/engineer/keys

注意:您必须自己为Percona创建Linux用户;雷竞技下载官网这些包不创建任何用户。例如:

adduser 雷竞技下载官网percona

为了将所有SSH密钥添加到单个Percona Linux帐户，在安装共享包后:雷竞技下载官网

Mkdir -p /home/雷竞技下载官网percona/.ssh/
Chmod 700 /home/雷竞技下载官网percona/.ssh/
猫/usr/share/per雷竞技下载官网cona/engineer/keys/*.酒吧> > / home雷竞技下载官网 / percona / . ssh / authorized_keys
Chmod 600 /home/雷竞技下载官网percona/.ssh/authorized_keys . sh

在撰写本文时，percona.com SSL配置获得了一个雷竞技下载官网在SSL实验室中获得A+的成绩，我们支持向前保密。

工程师从以下地址连接Percona堡垒:雷竞技下载官网
54.214.47.252 bastion.雷竞技下载官网percona.com
54.214.47.254 bastion2.雷竞技下载官网percona.com
54.78.164.169 bastion4.雷竞技下载官网percona.com

请将防火墙配置为允许从这些IP地址访问网络中的相关服务。

MySQL

雷竞技下载官网Percona用户
为了向我们提供对您的环境的完全访问，Percona要求您在数据库中创建一个完全特权用户，并通过设置参数配置MyS雷竞技下载官网QL客户端以方便访问/home/雷竞技下载官网percona/.my.cnf或者在新创建的用户的主目录中。请选择强密码代替密码在下面的例子中引用。

1. 执行以下语句，为Percona创建一个MySQL用户:雷竞技下载官网
   创建用户(电子邮件保护)'%'由' password '标识，max_user_connections为10;
授予*上的所有特权。*(电子邮件保护)“%”;
2. 请创建以下文件/home/雷竞技下载官网percona/.my.cnf
触摸/home/perc雷竞技下载官网ona/.my.cnf
3. 请将以下信息添加到文件中/home/雷竞技下载官网percona/.my.cnf:
(客户端)
用户= p雷竞技下载官网ercona
密码=密码
   还要指定端口和套接字，以防它们有非默认值

绩效审计清单
业绩审计是我们最受欢迎的服务。为了加快性能审计，请确保在每台机器上安装以下工具:

• Perl DBI和DBD::mysql
• MySQL客户端，vmstat, iostat, mpstat, sysstat和可选的numactl
• 如果没有外部网络接入，请安装雷竞技下载官网Percona工具包

这些工具对于观察机器正在做什么非常有帮助，所以我们强烈建议您安装它们。如果您由于某种原因无法安装上述任何一个，我们仍然可以执行有限的审计。这可能导致审计人员分析的信息减少。

对于我们的分析，我们需要慢速查询日志。请注意原始值，以便您可以将其更改回来:

显示类似'%slow%'的变量;
显示类似'%long%'的变量;
显示像log_output这样的变量;

然后，旋转您的日志(您可以移动当前的日志并发出FLUSH logs;)并设置这些值:

SET GLOBAL log_output=FILE;
SET GLOBAL slow_query_log_use_global_control='log_slow_verbosity,long_query_time,log_slow_rate_limit';
SET GLOBAL log_slow_verbose ='full';
SET GLOBAL slow_query_log=1;
SET GLOBAL long_query_time=0;
SET GLOBAL log_slow_slave_statements=1;
SET GLOBAL log_slow_rate_limit=100;

其中一些变量仅在Percona Server中可用，因此如果不设置它们也没有问题。雷竞技下载官网

一旦有了1小时或1gb的数据(以先到者为准)，将值设置为默认值并保存文件。请上传日志到我们的sftp或其他安全的位置，压缩后，并提供给我们的顾问。

在主副本和读副本上都这样做可能会很好。
注意:当您将较长的查询时间设置为0时，可能会产生一些影响，因为将收集所有查询。在这种情况下，您可能希望使用0.1或1。

MongoDB

雷竞技下载官网Percona用户
创建一个名为percona的MongoDB用户，授予以下雷竞技下载官网特权，并提供密码(或将密码保存在percona工程师主目录中的一个文件中)。

db.getSiblingDB(“admin”).createUser ({
用户:“per雷竞技下载官网cona”,
松材线虫病 : “********”,
角色:[
{角色:root, db: admin}
］
})

关于您的数据库服务器上所需的MongoDB帐户的扩展信息也可以提供:

• 我们应该使用的MongoDB帐户的用户名和密码是什么?
• 您是否将根角色授予用户?
• 运行mongod/mongos的服务器的IP地址或主机名是什么?
• 如果在配置中设置了bindIP, MongoDB监听哪个IP地址?
• 启用tls的环境的连接字符串是什么?
• 每个组件的端口是什么?

绩效审计清单
业绩审计是我们最受欢迎的服务。为了加快性能审计，请确保在每台机器上安装以下工具:

• mtools
• Mongo客户端，vmstat, iostat, mpstat和sysstat
• 如果没有外部网络接入，请安装雷竞技下载官网Percona工具包

这些工具对于观察机器正在做什么非常有帮助，所以我们强烈建议您安装它们。如果您由于某种原因无法安装上述任何一个，我们仍然可以执行有限的审计。这可能导致审计人员分析的信息减少。

为了进行分析，我们需要MongoDB日志。请上传日志到我们的sftp或其他安全的位置，压缩后，并提供给我们的顾问。

在主服务器和一个辅助服务器上都这样做可能会很好。

Postgres

雷竞技下载官网Percona用户

为了执行只读审计脚本，需要以超级用户身份无限制地访问数据库。如果这是一个专用的主机，那么UNIX/Linux Postgres用户帐户的ssh登录权限通常就足够了，因为它授予了这样的权限。如果这是不可能的，那么应该创建一个专门的ROLE，它是ROLE“postgres”的成员，可以执行脚本。

绩效审计清单

业绩审计是我们最受欢迎的服务。为了加快性能审核，请确保在每台机器上满足以下要求:

• psql命令行实用程序。
• Vmstat, iostat, mpstat, sysstat，可选numactl
• 超级用户访问Postgres监控指标。raybet雷竞技竞猜在线官网

为了我们的分析，我们需要Postgres日志和用于管理每个PostgreSQL实例的配置文件的Postgres原始副本。除了获得最新的监控指标外，还需要以下文件:raybet雷竞技竞猜在线官网

• Postgres日志文件
• pg_hba.conf
• postgresql.conf
• postgresql.auto.conf
• pg_ident.conf
• 在postgresql.conf中声明的补充包含文件

为了获得最准确的数据，所有记录Postgres开销活动的日志参数都应该是on和verbose日志，log_min_duration_statement = 0，调用不少于1小时或1GB(以第一个为准)的记录日志。的值重置为log_min_duration_statement完成详细日志记录会话后，返回到默认值。请上传日志到我们的sftp或其他安全的位置，压缩后，并提供给我们的顾问。

对于包括PRIMARY和REPLICA节点的所有节点，都应该遵循上述过程。

注意:详细日志记录会导致大约1-3%的轻微性能下降。更重要的是在执行详细日志记录时确保有足够的空间。

Amazon RDS /谷歌云SQL / Azure数据库

理想情况下，提供Percona远雷竞技下载官网程SSH访问您自己控制的VPC子网中的安全Linux服务器。安全地(通过GPG或其他加密媒介)为Percona提供一个数据库帐户，以便客户端和托管数据库之间的所有通信都发生在云提供商的私有内部网络上。雷竞技下载官网

任何审计或合规要求都应在签约前告知Percona。雷竞技下载官网

raybet雷竞技竞猜在线官网监控工具

请提供对正在使用的任何监控工具的访问权限。raybet雷竞技竞猜在线官网例如，Percona监视和雷竞技下载官网管raybet雷竞技竞猜在线官网理(PMM)访问使工程师能够清楚地看到所有重要指标的趋势信息。

如果您的服务器部署在云环境中，那么对相应仪表板(例如AWS控制台)的只读访问是很好的。

其他类型的访问

我们几乎可以使用任何类型的访问。直接SSH访问服务器是最有效的;然而，任何更复杂的访问类型(如专有的VPN程序，依赖于平台的技术，如GoToMyPC等)可能效率较低-有时效率显著较低。

许多这些应用程序不能共存，因此它们需要与虚拟机等复杂的技巧。多跳的效率也较低，因为击键延迟成为一个问题。在远程系统上使用图形桌面也很困难。

一般来说，Cisco VPN和OpenVPN是Percona使用效率最高的VPN。雷竞技下载官网我们还可以通过我们的bastion主机支持VPN终止。如果您正在使用VPN，请告诉我们所有必要的信息:

• 我们连接的是什么类型的VPN系统?我们需要下载客户端吗?
• 请将配置文件发送给我们;例如，. pcf文件(如果您使用Cisco VPN)， OpenVPN或其他配置信息
• 否则，请告诉我们所有适用的:域服务器的主机名和IP地址，用户名，密码，组名，组密码
• VPN和DNS可能不行，请告诉我们服务器的IP地址

如果您使用任何其他类型的连接，如VNC，远程桌面，GoToMyPC，或类似，请提供详细信息。

绩效审计

一个简短的架构概述可以让我们在性能审计方面有一个“良好的开端”。请提供简要文件，包括:

• 所使用的编程语言
• 部署图(如果有的话)
• 使用的组件(负载平衡器、缓存系统等)
• 数据库复制/分片信息
• 计划中的升级/更改——在审核期间提前提醒我们任何计划中的新功能或更改可以节省大量时间和返工
• 你觉得还有什么值得一提的吗

你不需要在这些事情上走极端。过多的信息也会导致额外的工作(不需要表和列的列表)。请记住，我们可能已经见过几十个类似您的系统，所以给我们“提示”关于您的系统的独特之处或值得注意的地方会非常有效。例如，“这是一个使用Ruby On Rails的社交网络应用程序，我们还没有分片，但我们做了很多缓存”告诉我们很多东西。

安全策略

当您与我们交换信息或让我们访问您的服务器时，请确保您的操作是安全的。如果您需要将敏感数据安全地上传到我们的服务器以进行数据恢复，请请求我们的GPG密钥。这可以让你加密只有我们才能解密的大文件。

出于安全和问责的考虑，请不要做以下任何事情:

• 不要允许Percona登录雷竞技下载官网到共享帐户。创建专用Percona用户。雷竞技下载官网
• 不要在根目录的主目录中安装我们的SSH密钥。
• 不要允许Percona使用雷竞技下载官网普通的MySQL帐户，例如root。在MySQL中创建一个专用的Perco雷竞技下载官网na用户。
• 不要允许我们的SSH密钥被转发到另一个主机。如果我们必须通过中间服务器(例如:跳转主机)访问您的系统，请在该服务器上创建一个SSH密钥，并在我们应该能够访问的系统上安装匹配的公钥。

故障排除

我们无法登录的最常见原因是，所安装的SSH密钥与分配给Percona的用户不同。雷竞技下载官网下一个最常见的原因是存在换行符、不正确的权限或密钥文件的其他问题。你设置好钥匙后，请告诉我们，以便我们测试。

如果您正在使用VPN，顾问将使用您的VPN客户端从他们自己的机器登录，因此不要限制访问任何特定的IP地址范围。另外，确保使用工程师自己的公共SSH密钥，提供密码验证，或提供您选择的SSH密钥，以安全地进行通信。