Установка и защита MySQL 8 на Debian Buster

Введение

Обложка: сервер и база данных

MySQL — это свободная реляционная СУБД с кросс‑платформенной поддержкой (Windows, Linux, macOS, FreeBSD). Она широко используется в LAMP/LEMP-стеке и поддерживает приложения вроде WordPress, Joomla, phpBB и другие. В MySQL 8 добавлено множество функций: поддержка JSON, транзакционная директория данных, постоянная runtime‑конфигурация, Document Store, Optimizer Hints, SQL‑роли, CTE, оконные функции, невидимые индексы и многое другое.

Кому подходит это руководство: системным администраторам, DevOps‑инженерам и разработчикам, которые развертывают MySQL 8 в локальной или внутренней сети и хотят обеспечить базовую и продвинутую безопасность и резервное копирование.

Краткие определения:

СУБД: система управления базами данных — ПО для хранения и управления структурированными данными.
SSL/TLS: криптографический слой для шифрования сетевого трафика.

Основные цели статьи

В этом материале вы шаг за шагом сделаете следующее:

Установите MySQL Server 8 на Debian Buster 10.
Зададите root‑пароль и усилите политику паролей.
Защитите сервер конфигурацией (bind‑address, порт, отключение local infile и др.).
Сгенерируете и подключите SSL‑сертификаты, включите удалённый доступ.
Установите и настроите phpMyAdmin для подключения по SSL и кастомному порту.
Создадите пользователей и базы данных, изучите типовые GRANT‑команды.
Настроите автоматическое ежедневное резервное копирование с ротацией.

Требования и предпосылки

Сервер с Debian Buster 10.
Рекомендуемая конфигурация для теста: 2 ГБ ОЗУ, 4 vCPU.
Доступ root или sudo для установки пакетов и правки конфигураций.
Подключение к интернету для скачивания репозитория MySQL и phpMyAdmin.

Шаг 1 — Добавление официального репозитория MySQL

Перед установкой добавим официальный репозиторий MySQL и его ключи. Сначала установите GnuPG:

sudo apt install gnupg -y

Затем загрузите пакет конфигурации репозитория и установите его:

wget -q http://repo.mysql.com/mysql-apt-config_0.8.15-1_all.deb
sudo dpkg -i mysql-apt-config_0.8.15-1_all.deb

При установке пакета оставьте настройки репозитория по умолчанию и выберите OK.

Обновите список пакетов:

sudo apt update

Обновление репозиториев Debian Buster 10

После этого официальный репозиторий MySQL должен появиться в списке источников.

Шаг 2 — Установка MySQL Server

Установите пакет mysql-server:

sudo apt install mysql-server

Во время установки вам предложат задать пароль root для MySQL и выбрать плагин аутентификации. В диалоге установщика выберите Strong Password Encryption.

Установка и задание root‑пароля MySQL

Проверим работу сервиса:

systemctl is-enabled mysql
systemctl status mysql

Проверка статуса MySQL

Сервис должен быть включён и запущен.

Шаг 3 — Базовая защита установки: mysql_secure_installation

Инструмент mysql_secure_installation помогает быстро повысить безопасность инсталляции. Он предназначен для настройки политики паролей, удаления анонимных пользователей, удаления тестовой базы и отключения удалённого входа для root.

Запустите утилиту:

mysql_secure_installation

Следуйте подсказкам. Основные шаги:

Введите текущий root‑пароль.
Включите VALIDATE PASSWORD и выберите уровень STRONG (2).
При необходимости смените текущий пароль на более сильный.
Удалите анонимных пользователей (Y).
Отключите удалённый вход для root (Disallow root login remotely — Y).
Удалите тестовую базу данных (Y).
Перезагрузите таблицы привилегий (Y).

Пример диалога (цепочка подсказок сокращена):

Enter the password for user root: <ваш root пароль>
Press y|Y for Yes, any other key for No: Y
Please enter 0 = LOW, 1 = MEDIUM and 2 = STRONG: 2
Estimated strength of the password: 50
Change the password for root? (Press y|Y for Yes, any other key for No) : Y
New password:
Re-enter new password:
Estimated strength of the password: 100
Do you wish to continue with the password provided? (Press y|Y for Yes, any other key for No) : Y
Remove anonymous users? (Press y|Y for Yes, any other key for No) : Y
Disallow root login remotely? (Press y|Y for Yes, any other key for No) : Y
Remove test database and access to it? (Press y|Y for Yes, any other key for No) : Y
Reload privilege tables now? (Press y|Y for Yes, any other key for No) : Y

В результате у вас должна появиться конфигурация с активным компонентом VALIDATE PASSWORD (уровень STRONG) и защищённый root.

Шаг 4 — Дополнительные настройки безопасности сервера

Далее добавим локальную конфигурацию, чтобы ограничить доступ, поменять порт и усилить настройки.

Создайте файл конфигурации в /etc/mysql/conf.d/mysqld.cnf:

cd /etc/mysql/conf.d/
vim mysqld.cnf

Вставьте пример конфигурации и подставьте свои значения, если нужно:

[mysqld]

# MySQL работает на 127.0.0.1, порт 8320
bind-address=127.0.0.1
port=8320

# Отключить LOAD DATA LOCAL
local-infile=0

# Истечение пароля через 60 дней
default_password_lifetime=60

# MySQLX Plugin на 127.0.0.1, порт 8321
mysqlx_bind_address=127.0.0.1
mysqlx_port=8321

Сохраните и перезапустите сервис:

systemctl restart mysql
ss -plnt

Проверьте, что MySQL слушает 127.0.0.1:8320. Для входа с нестандартным портом используйте:

mysql -u root -P 8320 -p

Внутри MySQL можно проверить порт:

show variables like 'port';

Проверка порта MySQL

Important: bind-address=127.0.0.1 делает сервер доступным только локально. Чтобы разрешить доступ по сети, измените его на внутренний IP (см. Шаг 5).

Шаг 5 — Включение SSL и удалённого доступа (опционально для внутренней сети)

Если вы хотите разрешить доступ другим хостам внутри сети, настоятельно рекомендуется включить SSL/TLS. В MySQL 8 есть helper mysql_ssl_rsa_setup, который генерирует необходимые ключи.

Генерация SSL‑сертификатов

Создайте директорию для сертификатов и установите владельца mysql:

sudo mkdir -p /etc/mysql/certs/
sudo chown -R mysql:mysql /etc/mysql/certs

Сгенерируйте сертификаты. Замените –suffix на удобный CN/идентификатор:

sudo mysql_ssl_rsa_setup --suffix=HakasMySQLSrv --uid=mysql --datadir=/etc/mysql/certs/

Проверьте файлы и верификацию:

ls -lah /etc/mysql/certs/
openssl verify -CAfile /etc/mysql/certs/ca.pem /etc/mysql/certs/server-cert.pem /etc/mysql/certs/client-cert.pem

Генерация SSL сертификатов MySQL

Включение SSL и открытие сервера в сети

Отредактируйте /etc/mysql/conf.d/mysqld.cnf: замените bind-address на внутренний IP сервера, например 172.16.0.3, и укажите пути к сертификатам:

bind-address=172.16.0.3
ssl-ca=/etc/mysql/certs/ca.pem
ssl-cert=/etc/mysql/certs/server-cert.pem
ssl-key=/etc/mysql/certs/server-key.pem
#require_secure_transport=ON
tls_version=TLSv1.1,TLSv1.2

Примечание: require_secure_transport=ON заставит клиентов использовать TLS; оставьте закомментированным для плавного перехода и тестирования.

Перезапустите MySQL и проверьте слушаемые адреса:

systemctl restart mysql
ss -plnt

Включение SSL и удалённого доступа

Подготовка клиента и тест подключения

Создайте удалённого пользователя с требованием SSL:

CREATE USER 'remoteuser'@'%' IDENTIFIED WITH mysql_native_password BY 'MyRemoteUserPasswordMySQL39==' REQUIRE SSL;
GRANT ALL PRIVILEGES ON *.* TO 'remoteuser'@'%' WITH GRANT OPTION;
FLUSH PRIVILEGES;

Скопируйте клиентские сертификаты на клиент:

scp /etc/mysql/certs/ca.pem root@clientIP:/certificates/directory/
scp /etc/mysql/certs/client-cert.pem root@clientIP:/certificates/directory/
scp /etc/mysql/certs/client-key.pem root@clientIP:/certificates/directory/

На клиенте создайте ~/.my.cnf с путями к сертификатам:

[client]
ssl-ca=/home/gpk/certs/ca.pem
ssl-cert=/home/gpk/certs/client-cert.pem
ssl-key=/home/gpk/certs/client-key.pem

Подключитесь по SSL и проверьте статус:

mysql -u remoteuser -h 172.16.0.3 -P 8320 -p
STATUS
SELECT * FROM performance_schema.session_status WHERE VARIABLE_NAME IN ('Ssl_version','Ssl_cipher');

Проверка SSL-подключения к MySQL

Вы увидите использованную версию TLS и шифр. После успешной проверки можно включить require_secure_transport=ON для принудительного шифрования.

Шаг 6 — Установка и настройка phpMyAdmin (через Apache)

phpMyAdmin — удобная веб‑панель для управления MySQL. Мы установим её вручную, чтобы задать конфигурацию SSL и кастомный порт подключения.

Установите зависимости:

sudo apt install apache2 libapache2-mod-php php-imagick php-phpseclib php-php-gettext php-common php-mysql php-gd php-imap php-json php-curl php-zip php-xml php-mbstring php-bz2 php-intl php-gmp unzip -y

Загрузите phpMyAdmin в /var/www/html:

cd /var/www/html/
wget -q https://www.phpmyadmin.net/downloads/phpMyAdmin-latest-all-languages.tar.gz
tar -xf phpMyAdmin-latest-all-languages.tar.gz
mv phpMyAdmin-*/ phpMyAdmin
cd /var/www/html/phpMyAdmin/
cp config.sample.inc.php config.inc.php

Отредактируйте config.inc.php:

Сгенерируйте blowfish_secret (например с генератора на официальном сайте) и вставьте.
Укажите параметры сервера: host = 172.16.0.3, port = 8320.

Пример фрагмента:

$cfg['blowfish_secret'] = '6}2]RFleN-JT=/vXD}L/0j0v.YALV/e3';
$i = 0; 
/* Custom MySQL Server Configuration */
$cfg['Servers'][$i]['host'] = '172.16.0.3';
$cfg['Servers'][$i]['port'] = '8320';

Добавьте SSL‑параметры для соединения phpMyAdmin → MySQL. Убедитесь, что пользователь www-data может читать файлы сертификатов:

/* SSL Configuration */
$cfg['Servers'][$i]['ssl'] = true;
$cfg['Servers'][$i]['ssl_key'] = '/opt/mysql/certs/client-key.pem';
$cfg['Servers'][$i]['ssl_cert'] = '/opt/mysql/certs/client-cert.pem';
$cfg['Servers'][$i]['ssl_ca'] = '/opt/mysql/certs/ca.pem';
$cfg['Servers'][$i]['ssl_verify'] = false;  
$cfg['Servers'][$i]['hide_db'] = '(information_schema|performance_schema|sys|mysql)';

Задайте права на папку:

sudo chown -R www-data:www-data /var/www/html/phpMyAdmin

Создайте пользователя phpmyadmin в MySQL и базу для удобства:

mysql -u root -P 8320 -p
CREATE DATABASE phpmyadmin;
CREATE USER 'phpmyadmin'@'%' IDENTIFIED WITH mysql_native_password BY 'phpMyAdminAdmn352#$';
GRANT ALL PRIVILEGES ON *.* TO 'phpmyadmin'@'%' WITH GRANT OPTION;
FLUSH PRIVILEGES;
EXIT;

Доступ к phpMyAdmin будет по http://server-ip/phpMyAdmin/

Страница входа phpMyAdmin

Important: если phpMyAdmin и MySQL находятся в одной сети, используйте SSL между ними; на публичном веб‑интерфейсе также ставьте HTTPS (сертификат для Apache).

Шаг 7 — Управление базами данных и пользователями (основы SQL)

Ниже — типичные команды для создания баз данных, таблиц, пользователей и выдачи привилегий.

Подключение к MySQL

По умолчанию локальные подключения используют UNIX socket. Для TCP и нестандартного порта используйте -h и -P:

mysql -u root -P 8320 -p
mysql -u root -h 172.16.0.3 -P 8320 -p

Проверка статуса внутри MySQL:

STATUS

Создание баз данных и таблиц

CREATE DATABASE hakase_db;
CREATE DATABASE yume_db;
CREATE DATABASE juice_db;
SHOW DATABASES;
SHOW DATABASES LIKE "%db%";
USE hakase_db;
CREATE TABLE users (first VARCHAR(20), last VARCHAR(20), email VARCHAR(60), birth DATE, country VARCHAR(40));
DESCRIBE users;

Пример вставки и выборки данных:

INSERT INTO users VALUES ('Mark','Mine','[email protected]','1999-03-20','Canada');
SELECT * FROM users;
SELECT email, birth, country FROM users;

Создание базы и таблицы

Создание пользователей и предоставление привилегий

Основы:

CREATE USER 'hakase'@'localhost' IDENTIFIED BY 'MyHakasePasswordMySQL39==';
GRANT ALL PRIVILEGES ON hakase_db.* TO 'hakase'@'localhost' WITH GRANT OPTION;
FLUSH PRIVILEGES;

Удалённый пользователь с явным плагином аутентификации:

CREATE USER 'yume'@'172.16.0.4' IDENTIFIED WITH mysql_native_password BY 'MyYumePasswordMySQL39==';
GRANT ALL PRIVILEGES ON yume_db.* TO 'yume'@'172.16.0.4' WITH GRANT OPTION;
FLUSH PRIVILEGES;

Пользователь, требующий X509 (сертификаты клиента):

CREATE USER 'juice'@'%' IDENTIFIED WITH mysql_native_password BY 'MyJuicePasswordMySQL39==' REQUIRE X509;
GRANT ALL PRIVILEGES ON juice_db.* TO 'juice'@'%' WITH GRANT OPTION;
FLUSH PRIVILEGES;

Посмотреть список пользователей и плагинов:

SELECT User, Host FROM mysql.user;
SELECT User, Host, plugin FROM mysql.user;

Посмотреть привилегии конкретного пользователя:

SHOW GRANTS FOR 'hakase'@'localhost';
SHOW GRANTS FOR 'yume'@'172.16.0.3';
SHOW GRANTS FOR 'juice'@'%';

Просмотр пользователей MySQL

Шаг 8 — Резервное копирование: mysqldump и автоматизация

mysqldump — простая утилита для создания текстовых дампов баз данных. Ниже — базовые сценарии и способ автоматизации при помощи cron.

Ручные дампы

Все базы данных в один файл:

mysqldump -u root -P 8320 --all-databases -p > alldbs.sql

Одна база:

mysqldump -u root -P 8320 -p hakase_db > backup_hakase_db.sql

Несколько баз:

mysqldump -u root -P 8320 -p --databases yume_db juice_db > multi-db-once.sql

Использование mysqldump

Автоматический бэкап скриптом

Создайте пользователя backup с минимальными правами:

CREATE USER 'backup'@'localhost' IDENTIFIED WITH mysql_native_password BY 'MyBackupPasswordMySQL39==';
GRANT PROCESS, SELECT, LOCK TABLES, SHOW VIEW, EVENT ON *.* TO 'backup'@'localhost' WITH GRANT OPTION;
FLUSH PRIVILEGES;

Создайте директорию для бэкапов:

mkdir -p /opt/backup/mysql

Скрипт /usr/local/sbin/auto_backup.sh (адаптируйте логин/пароль/порт):

#!/bin/bash

# Basic configuration: datestamp e.g., YYYYMMDD
DATE=$(date +"%Y%m%d")

# Location of your backups (create the directory first!)
BACKUP_DIR="/opt/backup/mysql"

# MySQL login details
MYSQL_USER="backup"
MYSQL_PASSWORD="MyBackupPasswordMySQL39=="

# MySQL executable locations (no need to change this)
MYSQL=/usr/bin/mysql
MYSQLDUMP=/usr/bin/mysqldump

# MySQL databases you wish to skip
SKIPDATABASES="Database|information_schema|performance_schema|mysql"

# Number of days to keep the directories (older than X days will be removed)
RETENTION=14

# ---- DO NOT CHANGE BELOW THIS LINE ------------------------------------------

# Create a new directory into the backup directory location for this date
mkdir -p $BACKUP_DIR/$DATE

# Retrieve a list of all databases
databases=`$MYSQL -u$MYSQL_USER -p$MYSQL_PASSWORD -e "SHOW DATABASES;" | grep -Ev "($SKIPDATABASES)"`

# Dump the databases in separate names and gzip the .sql file
for db in $databases; do
  echo $db
  $MYSQLDUMP --opt --user=$MYSQL_USER -p$MYSQL_PASSWORD --skip-lock-tables --events --databases $db | gzip > "$BACKUP_DIR/$DATE/$db.sql.gz"
done

# Remove files older than X days
find $BACKUP_DIR/* -mtime +$RETENTION -delete

Сделайте скрипт исполняемым и протестируйте:

chmod +x /usr/local/sbin/auto_backup.sh
/usr/local/sbin/auto_backup.sh

Проверьте созданные архивы:

ls -lah /opt/backup/mysql/

Добавьте cron‑задачу от root для ежедневного запуска в 00:00:

export EDITOR=vim
crontab -u root -e
# добавьте строку
0 0 * * * sh /usr/local/sbin/auto_backup.sh

Автоматический бэкап и cron

Проверка, тестирование и критерии приёмки

Критерии приёмки для базовой инсталляции и защиты:

MySQL сервис запущен и включён в автозагрузку: systemctl status mysql — Active: active (running).
root имеет сложный пароль и включён VALIDATE PASSWORD (STRONG).
По умолчанию bind-address настроен на 127.0.0.1, порт изменён (если требуется).
SSL сертификаты сгенерированы и проверены openssl verify.
Пользователь для удалённого доступа существует и требует SSL/X509 при необходимости.
phpMyAdmin подключается по HTTPS/SSL и использует клиентские сертификаты для соединения с MySQL.
Автоматический бэкап создаёт gzip‑архивы и ротацию старых файлов.

Тесты приёмки (acceptance tests):

Локальный вход под root: mysql -u root -P 8320 -p — должен пройти.
Удалённый вход под remoteuser с наличием клиентских сертификатов — должен пройти; без сертификатов — должен провалиться (если установлено REQUIRE X509).
phpMyAdmin: вход под пользователем phpmyadmin, проверка списка баз и создания таблицы.
Скрипт бэкапа: запуск вручную — создался архив с сегодняшней датой; cron — создаёт через ночь (проверить логи).

Руководство по инцидентам и откату (Runbook)

Сценарий: MySQL не запускается после правки конфигурации.

Шаги:

Проверить статус и журнал:

systemctl status mysql
journalctl -u mysql -b --no-pager | tail -n 200

Вернуть последнюю рабочую конфигурацию (если есть backup файла):

cp /etc/mysql/conf.d/mysqld.cnf.bak /etc/mysql/conf.d/mysqld.cnf
systemctl restart mysql

Проверить синтаксис файлов конфигурации и права на сертификаты.
Если сервер всё ещё не стартует, запустите в безопасном режиме (skip‑grant‑tables) для диагностики и восстановления пароля.
Документировать изменения, которые привели к сбою, и откатить их в контрольной системе (Git/Ansible).

Rollback: при ошибочной миграции схемы восстановить базу данных из последнего корректного бэкапа (проверить целостность архива и последовательность WAL/binlog, если используется).

Чек‑листы по ролям

Администратор (операции):

Установить репозиторий MySQL и пакеты.
Настроить системные параметры (systemd, ulimit при необходимости).
Настроить автоматические бэкапы и мониторинг.
Управлять сертификатами и ротацией паролей.

Разработчик:

Проверить подключение приложения к нестандартному порту и TLS.
Настроить пул соединений (connection pool) с таймаутами.
Написать миграции и тестировать их на staging.

Безопасность/Инфо‑сец:

Убедиться, что root не доступен по сети.
Проверить, что пароли соответствуют политике и заменены по сроку.
Проверить логи на попытки Brute‑Force и необычные подключения.

Мини‑методология: как безопасно внедрять изменения в MySQL

Подготовьте тестовую среду, идентичную production (сеть, версия, плагины).
Тестируйте конфигурации и миграции в staging.
Делайте backup перед изменением (полный dump + копия бинарных логов).
Внедряйте в maintenance‑окно, контролируйте метрики и логи.
Откатывайте по строго задокументированной процедуре.

Ментальные модели и эвристики при администрировании MySQL

Принцип минимального привилегирования: пользователи получают только те привилегии, которые им действительно нужны.
Разделение ролей: production‑данные ⇄ dev‑среда — избегайте прямого подключения dev в production.
Безопасность по слоям: сеть (firewall), протокол (TLS), аутентификация (плагины), политика паролей, мониторинг.

Примеры альтернативных подходов

Для HA можно использовать MySQL Group Replication или Percona XtraDB Cluster вместо одного инстанса.
Для управления конфигурацией и деплоем используйте Ansible/Chef/Puppet вместо ручных правок.
Для бэкапов больших баз рассмотрите инструменты горячего бэкапа: Percona XtraBackup.

Шаблоны и шпаргалки (cheat sheet)

Типичные команды:

Проверка статуса: systemctl status mysql
Перезапуск: systemctl restart mysql
Логи: journalctl -u mysql -b –no-pager
Подключение: mysql -u user -h host -P port -p
Дамп базы: mysqldump -u user -p dbname > file.sql
Восстановление: mysql -u user -p dbname < file.sql

Матричная сводка конфигураций (коротко)

bind-address=127.0.0.1 — безопасно для локального сервера.
bind-address=интерфейсвнутреннейсети — для внутренней сети; обязательно TLS.
port — меняйте, если хотите снизить «шум» сканирования, но не полагайтесь на это как на средство защиты.
require_secure_transport=ON — принудительное шифрование, включать после тестов.
local-infile=0 — повышает безопасность (предотвращает LOAD DATA LOCAL ATTACKS).

Меры безопасности и рекомендации (hardening)

Отключайте лишние плагины и привилегии.
Ограничьте доступ по сети через iptables/ufw или Security Group.
Включайте TLS и требуйте X509 для критичных сервисов.
Регулярно обновляйте MySQL до патч‑релизов.
Ведите аудит и ротацию паролей.

Ограничения и случаи, когда подход не подходит

Если требуется строгое SLA с высокой доступностью, одиночный сервер MySQL не подойдёт — нужен кластер или репликация.
Для очень больших баз (требующих онлайн‑миграции без простоя) mysqldump может быть непригоден — используйте физические бэкапы.
Если инфраструктура размещена в публичном облаке, настройте сетевые политики и дополнительные слои безопасности.

Локальные особенности и рекомендации для России/ЦА

При хранении персональных данных учитывайте законы о хранении и обработке данных (локальные требования могут потребовать размещения в определённых юрисдикциях).
При подключении через интернет используйте VPN и выключайте прямой открытый доступ MySQL из глобальной сети.

Контроль качества и тестовые кейсы

Тестовые сценарии ( Acceptance ):

ТС1: Установка MySQL из официального репозитория завершилась без ошибок.
ТС2: mysql_secure_installation завершился и включил VALIDATE PASSWORD (STRONG).
ТС3: SSL‑сертификаты сгенерированы и клиент подключается по X509.
ТС4: phpMyAdmin подключается к MySQL по SSL и отображает базы.
ТС5: Скрипт auto_backup.sh создаёт архивы и ротацию работает корректно.

Критерии приёмки: все тесты выполняются без ошибок, журналы чистые от критических ошибок, бэкапы проходят проверку целостности (gzip -t).

Факто‑бокс: ключевые команды и пути

Конфигурационные файлы MySQL: /etc/mysql/my.cnf, /etc/mysql/conf.d/*.cnf
Директория сертификатов (в примере): /etc/mysql/certs/
Путь phpMyAdmin: /var/www/html/phpMyAdmin/
Скрипт бэкапа: /usr/local/sbin/auto_backup.sh
Команды: systemctl, mysql, mysqldump, mysql_ssl_rsa_setup, openssl

Заключение

В этом руководстве вы получили пошаговую инструкцию по установке и защите MySQL 8.0 на Debian Buster 10: добавление репозитория, установка, базовая и дополнительная защита, генерация SSL, включение удалённого доступа, установка phpMyAdmin и организация автоматических резервных копий. Также вы получили чек‑листы, runbook для инцидентов, тестовые сценарии и рекомендации по повышению безопасности.

Important: всегда тестируйте изменения в staging, делайте бэкапы перед изменениями и документируйте произвольные шаги.

Краткое резюме

Установите MySQL из официального репозитория.
Настройте и усилите root‑учётную запись через mysql_secure_installation.
Ограничьте доступ bind-address и используйте нестандартный порт при необходимости.
Включите SSL и при необходимости требуйте X509 для критичных пользователей.
Настройте phpMyAdmin с SSL для безопасного веб‑доступа.
Настройте автоматические ежедневные бэкапы и их ротацию через cron.

References

Сводка (ключевые выводы)

Безопасность MySQL — комбинация сетевой изоляции, TLS, политик паролей и минимальных привилегий.
Автоматизация бэкапов и их тестирование критически важны для восстановления.
Для production‑нагрузок рассмотрите HA и физические бэкапы вместо простого mysqldump.

Контактные заметки и рекомендации по дальнейшим шагам

Автоматизируйте деплой MySQL и конфигураций через Ansible или Terraform.
Внедрите мониторинг (Prometheus + mysqld_exporter) и оповещения о падениях/падениях производительности.
Регулярно проводите тестовые восстановления из бэкапов.

Установка и защита MySQL 8 на Debian Buster 10