MySQL大规模集群里，账号密码不能靠人工同步
直接说结论：大规模MySQL集群的账号密码管理，必须依赖外部权限中心。为什么？因为MySQL原生的 mysql.user 表机制，天生就不支持跨实例的原子性同步。如果硬着头皮手动去各个节点修改，会引发一系列连锁问题：主从不一致、权限莫名其妙“漂移”、操作回滚失效。这绝不是危言耸听。
这些场景是不是很熟悉？执行了一条 GRANT 语句，结果某个从库漏掉了；DBA需要在30台机器上逐个创建用户，结果在第17台手抖输错了密码；或者备份恢复后，权限表没同步，导致应用突然连不上数据库。这些，都是人工管理权限的典型“事故现场”。
再看几个真实的使用场景：在Kubernetes环境中滚动更新50多个MySQL Pod；混合部署架构下（物理机、云RDS、ProxySQL并存）；需要按部门、环境或角色动态开启或关闭权限。在这些场景下，人工操作几乎等同于埋雷。
那么，具体要避开哪些坑呢？
- 不要把密码明文写进Ansible变量或Shell脚本——
ps aux命令可能会泄露PASSWORD=xxx这样的敏感信息。 - 避免用
mysqldump mysql导出导入权限——authentication_string字段的加密方式可能因MySQL版本不同而导致解密失败。 - 禁止用
FLUSH PRIVILEGES代替GRANT——它只重载内存中的权限缓存，并不进行持久化，服务器重启后修改就会丢失。
用PAM插件对接LDAP或企业AD最省心
对于有条件的企业，最省心的方案是利用MySQL 5.7及以上版本原生支持的 authentication_ldap_sasl 或 auth_pam 插件。这套方案的核心思想是，将身份验证完全交给外部的目录服务（如LDAP或Active Directory），MySQL侧只存储用户与权限的映射关系，根本不存储密码。
部署时有几个关键参数需要注意：plugin_dir 路径必须指向包含 auth_pam.so 插件文件的目录；default_authentication_plugin 要设置为 auth_pam 而非默认的 mysql_native_password，否则新建用户还是会走本地密码校验。
当然，这套方案也有其考量：每次数据库连接都会触发一次LDAP查询，在高并发场景下需要合理配置 ldap_cache_timeout 来缓存认证结果以提升性能。另外，兼容性上要注意，像阿里云RDS这类托管服务通常会禁用插件加载功能，因此该方案主要适用于自建MySQL集群。
一个典型的PAM服务配置示例（/etc/pam.d/mysqld）如下：
auth [success=done default=ignore] pam_ldap.so config=/etc/ldap.conf account [success=done default=ignore] pam_ldap.so
如果只能用MySQL原生机制，必须用GTID+事件注入做权限同步
当外部目录服务不可用时，如果还必须使用MySQL原生机制，那么切记：不要直接依靠主从复制来同步 mysql.user 系统表。因为系统库的复制在跨版本升级，或启用了 skip_sla ve_start 等参数时，极其容易中断。
正确的做法是，将 GRANT、CREATE USER 等权限管理语句，封装成带有GTID的匿名事务，然后主动注入到所有集群节点。操作时，可以先用 mysqlbinlog --base64-output=DECODE-ROWS -v 确认事件类型，再通过 mysqlbinlog --read-from-remote-server 工具将事件分发出去。
这个过程有几个必须遵守的要点：
- 执行
GRANT前，必须先在会话级别设置SET sql_log_bin=0，否则本地binlog会重复记录两次（一次原始语句，一次复制事件）。 - 确保所有节点的
gtid_mode=ON且enforce_gtid_consistency=ON，否则注入的GTID事务会被拒绝执行。 - 验证同步结果时，不要只看
Seconds_Behind_Master，而应该查询performance_schema.replication_applier_status_by_coordinator表，确认事件已被成功应用。
密码轮换不能只改SET PASSWORD，得配合连接池热加载
最后，谈一个在密码轮换时极易踩坑的问题。很多团队以为在MySQL端执行 ALTER USER ... IDENTIFIED BY 'new_password' 就万事大吉了。其实不然，应用层的连接池（如HikariCP、Druid）并不会自动感知数据库端的密码变更。结果就是，旧连接在一段时间内依然可用，而新建连接却可能因为连接池内部缓存了旧密码而全部失败。
要让密码轮换真正生效，需要三步走：首先在MySQL端完成密码修改；接着，主动触发应用连接池断开所有旧连接并重建（例如调用 HikariDataSource.evictAllConnections()）；最后，在数据库端执行 SHOW PROCESSLIST，确认已没有使用旧密码的残留连接。
这里还有两个容易被忽略的细节：在 max_connections 限制下，密码轮换瞬间爆发的大量重连请求，可能导致“Too many connections”错误；另外，某些云数据库控制台提供的“重置密码”按钮，其底层实现可能是删除用户后重建，这会导致该用户原有的所有 GRANT 权限丢失，需要手动恢复。
