サービス停止なしでMariaDB rootパスワード変更する方法｜skip-grant-tablesを使わない手順

この記事のポイント

・MariaDB 10.4以降はALTER USERコマンドでサービス停止なしにパスワードを変更できる
・unix_socket認証があれば sudo mariadb でパスワードなしにroot接続が可能
・skip-grant-tablesはパスワードを完全に忘れた場合の緊急復旧専用の最終手段
・mysqladminコマンドを使えばコマンドライン1行でパスワード変更が完結する

# MariaDBのバージョン確認
$ mariadb --version
mariadb  Ver 15.1 Distrib 10.11.6-MariaDB, for Linux (x86_64) using  EditLine wrapper

# sudo経由でMariaDBに接続（unix_socket認証）
$ sudo mariadb

# rootユーザーの認証プラグインを確認
MariaDB [(none)]> SELECT user, host, plugin FROM mysql.user WHERE user = 'root';
+------+-----------+-------------+
| user | host      | plugin      |
+------+-----------+-------------+
| root | localhost | unix_socket |
+------+-----------+-------------+
1 row in set (0.001 sec)

# sudo経由でMariaDBに接続
$ sudo mariadb

Welcome to the MariaDB monitor.  Commands end with ; or \g.
Your MariaDB connection id is 8
Server version: 10.11.6-MariaDB MariaDB Server

Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

MariaDB [(none)]>

# 現在のrootパスワードで接続（MariaDB 10.3以前または既にnative_password設定済みの場合）
$ mysql -u root -p
Enter password:

-- rootパスワードを変更する
MariaDB [(none)]> ALTER USER 'root'@'localhost' IDENTIFIED BY '新しいパスワード';
Query OK, 0 rows affected (0.003 sec)

MariaDB [(none)]> FLUSH PRIVILEGES;
Query OK, 0 rows affected (0.001 sec)

MariaDB [(none)]> EXIT;
Bye

-- MariaDB 10.3以前でも使える変更コマンド
MariaDB [(none)]> SET PASSWORD FOR 'root'@'localhost' = PASSWORD('新しいパスワード');
Query OK, 0 rows affected (0.001 sec)

MariaDB [(none)]> FLUSH PRIVILEGES;
Query OK, 0 rows affected (0.000 sec)

# 新しいパスワードで接続確認
$ mysql -u root -p
Enter password:    <- 新しいパスワードを入力

Welcome to the MariaDB monitor.
MariaDB [(none)]> SHOW DATABASES;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| mysql              |
| performance_schema |
+--------------------+
3 rows in set (0.000 sec)

MariaDB [(none)]> EXIT;
Bye

-- unix_socketとmysql_native_passwordの両方を有効にする
MariaDB [(none)]> ALTER USER 'root'@'localhost'
    IDENTIFIED VIA unix_socket
    OR mysql_native_password USING PASSWORD('新しいパスワード');
Query OK, 0 rows affected (0.002 sec)

MariaDB [(none)]> FLUSH PRIVILEGES;
Query OK, 0 rows affected (0.001 sec)

-- 設定確認
MariaDB [(none)]> SELECT user, host, plugin FROM mysql.user WHERE user = 'root';
+------+-----------+-------------+
| user | host      | plugin      |
+------+-----------+-------------+
| root | localhost | unix_socket |
+------+-----------+-------------+

# mysqladminコマンドでパスワードを変更する（-p'パスワード'は引用符を忘れずに）
$ mysqladmin -u root -p'現在のパスワード' password '新しいパスワード'

# 変更後の接続確認
$ mysql -u root -p -e "SELECT user();"
Enter password:
+----------------+
| user()         |
+----------------+
| root@localhost |
+----------------+

# エラーが出るパターン（unix_socket認証が有効な環境）
$ mysql -u root -p
Enter password:
ERROR 1698 (28000): Access denied for user 'root'@'localhost'

# 正しい接続方法（sudo経由でOS認証を通す）
$ sudo mariadb
MariaDB [(none)]>

-- 実際に登録されているrootユーザーのhost名を確認
MariaDB [(none)]> SELECT user, host FROM mysql.user WHERE user = 'root';
+------+-----------+
| user | host      |
+------+-----------+
| root | localhost |
+------+-----------+

-- hostを確認してからALTER USERを再実行
MariaDB [(none)]> ALTER USER 'root'@'localhost' IDENTIFIED BY '新しいパスワード';

-- passwordカラムのハッシュ値を確認
MariaDB [(none)]> SELECT user, host, plugin, LEFT(password,20) AS pw_hash FROM mysql.user WHERE user = 'root';
+------+-----------+--------------------+----------------------+
| user | host      | plugin             | pw_hash              |
+------+-----------+--------------------+----------------------+
| root | localhost | mysql_native_pass~ | *2470C0C06DEE42FD1~  |
+------+-----------+--------------------+----------------------+
-- passwordに値が入っていればALTER USERは成功している
-- 変更が反映されない場合はFLUSH PRIVILEGES;を再実行する