Azure CLI创建MySQL灵活服务器日志泄露密码的解决方案咨询

以下几种方法可以避免或混淆日志中的敏感密码信息：

1. 完全禁用命令输出 #

使用--output none参数让az mysql flexible-server create命令不输出任何内容，彻底避免连接字符串泄露：

az mysql flexible-server create \
  --resource-group <你的资源组名> \
  --name <你的服务器名> \
  --admin-user <管理员用户名> \
  --admin-password <管理员密码> \
  --output none

2. 仅输出必要信息 #

通过--query参数指定只返回非敏感字段，比如服务器名称、资源组等，配合--output控制输出格式：

az mysql flexible-server create \
  --resource-group <你的资源组名> \
  --name <你的服务器名> \
  --admin-user <管理员用户名> \
  --admin-password <管理员密码> \
  --query "{serverName: name, resourceGroup: resourceGroup, fqdn: fullyQualifiedDomainName}" \
  --output table

日志只会显示你指定的非敏感信息，不会包含连接字符串和密码。

3. 混淆输出中的密码 #

如果需要保留部分日志内容，可通过管道结合sed命令替换连接字符串中的密码为占位符：

az mysql flexible-server create \
  --resource-group <你的资源组名> \
  --name <你的服务器名> \
  --admin-user <管理员用户名> \
  --admin-password <管理员密码> \
  2>&1 | sed 's/password=[^;]*;/password=***;/g'

这条命令会把输出中所有password=xxx;格式的内容替换为password=***;，隐藏真实密码。

4. 分离创建与信息查询 #

先执行创建命令并禁用输出，之后单独通过az mysql flexible-server show获取所需信息：

# 创建服务器，不输出内容
az mysql flexible-server create \
  --resource-group <你的资源组名> \
  --name <你的服务器名> \
  --admin-user <管理员用户名> \
  --admin-password <管理员密码> \
  --output none

# 获取服务器FQDN等非敏感信息
SERVER_FQDN=$(az mysql flexible-server show \
  --resource-group <你的资源组名> \
  --name <你的服务器名> \
  --query "fullyQualifiedDomainName" \
  --output tsv)
echo "MySQL服务器地址: $SERVER_FQDN"

内容的提问来源于stack exchange，提问作者Herald Gjura