Utilisateurs de base de données¶
Tenax sauvegarde chaque base avec un seul utilisateur, tenax, dont le mot de passe se trouve dans un Secret
nommé tenax-* à côté de la base. Il n'utilise jamais de compte administrateur. Créer l'utilisateur prend deux
commandes, plus une ligne de configuration serveur pour restaurer à n'importe quelle seconde.
NS=team-a # the database's namespace
PASSWORD=$(openssl rand -hex 24) # hex: no quoting surprises
# 1. The Secret Tenax reads
kubectl -n $NS create secret generic tenax-postgres \
--from-literal=username=tenax --from-file=password=<(printf %s "$PASSWORD")
# 2. The user, as a superuser, through the database's pod (deploy/…, sts/… or a pod)
kubectl -n $NS exec -i deploy/postgres -- psql -U postgres -v ON_ERROR_STOP=1 <<SQL
\set tenax_password '$PASSWORD'
SELECT 'CREATE ROLE tenax LOGIN REPLICATION' WHERE NOT EXISTS (SELECT 1 FROM pg_roles WHERE rolname = 'tenax') \gexec
ALTER ROLE tenax WITH LOGIN REPLICATION PASSWORD :'tenax_password';
GRANT pg_read_all_data, pg_monitor TO tenax;
ALTER SYSTEM SET max_slot_wal_keep_size = '2GB';
SELECT pg_reload_conf();
SQL
3. Pour restaurer à n'importe quelle seconde, autorisez l'utilisateur à répliquer : ajoutez cette ligne à
pg_hba.conf et rechargez (sans redémarrage).
Si un opérateur ou un chart Helm gère Postgres, ajoutez la ligne là où il configure pg_hba (par exemple
spec.postgresql.pg_hba dans CloudNativePG, ou la valeur pgHbaConfiguration du chart).
Le même SQL dans un fichier, commenté (docs/sql/postgres-users.sql)
-- Tenax's database user for PostgreSQL 15/16/17 (run once as a superuser, e.g. with psql):
--
-- psql -v tenax_password="$TENAX_PASSWORD" -f postgres-users.sql
--
-- One user, `tenax`, does everything (ADR 0016): inventory queries, logical dumps (pg_dump), exports and checks
-- with pg_read_all_data + pg_monitor; physical base backups (pg_basebackup) and the WAL stream with REPLICATION.
--
-- For physical backups and point-in-time restore pg_hba.conf must also allow it to replicate, then reload:
-- host replication tenax all scram-sha-256
-- Without that rule Tenax still works: it takes logical backups and tells you the rule to add.
-- Also needed: wal_level = replica (the default) and max_wal_senders >= 2 (default 10).
\set ON_ERROR_STOP on
SELECT format('CREATE ROLE tenax LOGIN REPLICATION PASSWORD %L', :'tenax_password')
WHERE NOT EXISTS (SELECT 1 FROM pg_roles WHERE rolname = 'tenax') \gexec
ALTER ROLE tenax WITH LOGIN REPLICATION NOSUPERUSER NOCREATEDB NOCREATEROLE PASSWORD :'tenax_password';
GRANT pg_read_all_data, pg_monitor TO tenax;
-- Keep backup sessions bounded.
ALTER ROLE tenax SET idle_in_transaction_session_timeout = '10min';
-- A stopped streamer must never fill the database disk: cap WAL retained by replication slots (no restart needed).
ALTER SYSTEM SET max_slot_wal_keep_size = '2GB';
SELECT pg_reload_conf();
NS=team-a
PASSWORD=$(openssl rand -hex 24)
# 1. The Secret Tenax reads
kubectl -n $NS create secret generic tenax-mysql \
--from-literal=username=tenax --from-file=password=<(printf %s "$PASSWORD")
# 2. The user, as root (the official image has the root password in MYSQL_ROOT_PASSWORD)
kubectl -n $NS exec -i deploy/mysql -- sh -c 'MYSQL_PWD="$MYSQL_ROOT_PASSWORD" mysql -uroot' <<SQL
CREATE USER IF NOT EXISTS 'tenax'@'%' IDENTIFIED BY '$PASSWORD';
GRANT SELECT, SHOW VIEW, TRIGGER, EVENT, LOCK TABLES, PROCESS, RELOAD, SHOW_ROUTINE,
REPLICATION SLAVE, REPLICATION CLIENT ON *.* TO 'tenax'@'%';
SQL
3. La restauration à n'importe quelle seconde exige le binlog activé, au format ligne : ce sont deux
valeurs par défaut de MySQL 8. select @@log_bin, @@binlog_format affiche 1, ROW.
Le même SQL dans un fichier, commenté (docs/sql/mysql-users.sql)
-- Tenax's database user for MySQL 8.4 (run once as root, replace the password):
--
-- mysql -uroot -p < mysql-users.sql
--
-- One user, `tenax`, does everything (ADR 0016): consistent logical dumps (mysqldump --single-transaction
-- --source-data=2), inventory and checks, and the binlog stream (mysqlbinlog --read-from-remote-server).
-- Without REPLICATION SLAVE / REPLICATION CLIENT Tenax still takes dumps, but without point-in-time restore.
--
-- Server settings (all MySQL 8 defaults except GTIDs): log_bin=ON, binlog_format=ROW, a unique server_id;
-- gtid_mode=ON with enforce_gtid_consistency=ON is recommended; binlog_expire_logs_seconds long enough for the
-- streamer to catch up after an outage (default 30 days).
CREATE USER IF NOT EXISTS 'tenax'@'%' IDENTIFIED BY 'CHANGE_ME_PASSWORD';
GRANT SELECT, SHOW VIEW, TRIGGER, EVENT, LOCK TABLES, PROCESS, RELOAD, SHOW_ROUTINE,
REPLICATION SLAVE, REPLICATION CLIENT ON *.* TO 'tenax'@'%';
FLUSH PRIVILEGES;
C'est tout. Faites pointer la cible vers le Secret :
Sans l'étape 3¶
Rien n'échoue. Tenax tente de répliquer avec l'utilisateur, et si la base refuse :
- les sauvegardes complètes sont logiques, selon le planning de la politique ;
- la condition
Replicationde la cible, la console et les avertissements de chaque sauvegarde indiquent exactement quoi ajouter ; - Tenax revérifie toutes les quelques minutes et démarre la diffusion de lui-même dès que vous l'avez ajouté.
| L'utilisateur peut | Vous obtenez | Privilèges |
|---|---|---|
| Tout lire | sauvegardes logiques, inventaires, exports, contrôles | Postgres pg_read_all_data + pg_monitor ; MySQL SELECT, SHOW VIEW, TRIGGER, EVENT, LOCK TABLES, PROCESS, RELOAD, SHOW_ROUTINE |
| Répliquer | sauvegardes physiques (Postgres) et le flux de modifications : restauration à n'importe quelle seconde | Postgres REPLICATION plus la règle pg_hba.conf ; MySQL REPLICATION SLAVE, REPLICATION CLIENT |
Slots de réplication
Le flux Postgres conserve le WAL dans un slot de réplication jusqu'à ce que Tenax l'ait stocké. Le SQL plafonne
à 2 GB ce qu'un streamer arrêté peut retenir (max_slot_wal_keep_size), Tenax alerte sur
TenaxSlotWALRetentionHigh bien avant, et il supprime le slot quand la cible est supprimée ou que la
restauration à un instant donné est désactivée.
Avancé : garder l'utilisateur synchronisé automatiquement, pour les déploiements GitOps où les mots de passe tournent et où les bases sont reconstruites.