Windows 下以 Guest 低權限帳戶運行 MySQL 服務的完整設置教程

Windows 下以 Guest 低權限帳戶運行 MySQL 服務的完整設置教程

MySQL 在 Windows 上安裝後，預設以 SYSTEM（本地系統帳戶） 權限運行。SYSTEM 擁有最高權限，一旦資料庫進程被攻擊利用，將導致整台伺服器淪陷。遵循最小權限原則，建議建立專用低權限帳戶（如 sqlserver）運行 MySQL 服務。以下為圖文詳解步驟。

第一步：建立屬於 Guests 組的專用帳戶

1. 打開「電腦管理」→「本地用戶和組」→「用戶」，右鍵新建用戶 sqlserver，設置強密碼，取消「用戶下次登錄時必須更改密碼」，勾選「密碼永不過期」。
2. 將該用戶從 Users 組移除，加入 Guests 組（或保持無任何組隸屬，僅保留登錄權限）。

第二步：授予 MySQL 安裝目錄與數據目錄的完全控制權限

1. 右鍵 MySQL 安裝根目錄（如 D:\MySQL）→「屬性」→「安全性」→「編輯」→「添加」輸入 sqlserver。
2. 勾選「完全控制」，遞歸應用到子文件夾與文件。
3. 移除除 Administrators、SYSTEM、sqlserver 以外的所有帳戶權限，減少攻擊面。

第三步：修改 MySQL 服務登錄身份

1. 打開「服務」（services.msc），找到 MySQL 服務，右鍵「屬性」→「登錄」標籤。
2. 選擇「此帳戶」，輸入 .\sqlserver（或 主機名\sqlserver）及對應密碼，確定。

第四步：重啟服務並驗證

1. 在服務管理器中右鍵 MySQL 選擇「重新啟動」。
2. 打開任務管理器 →「詳細資料」頁籤，找到 mysqld.exe 或 mysqld-nt.exe，查看「用戶名」欄是否顯示 sqlserver。

最佳實踐提示： 生產環境建議創建一個不屬於任何內建組的專用帳戶（如 mysql_svc），僅授予 MySQL 目錄讀寫權限與「作為服務登錄」權限（secpol.msc → 本地策略 → 用戶權利指派），進一步縮小權限面。

附錄：Linux/Unix 系統下以普通用戶運行 mysqld

原理相同：創建專用用戶/組（如 mysqladm:mysqlgrp），chown -R 數據目錄，啟動時指定 --user=mysqladm 或修改 mysql.server 腳本以 su - mysqladm -c "mysqld ..." 方式啟動。系統啟動腳本（/etc/init.d/mysql）同理調整。