AWS RDS MariaDB只读用户data连接失败排查求助

在AWS RDS托管的MariaDB中创建了只读账号data，配置如下：

• 设置密码，允许从任意主机（%）连接
• 权限要求：仅能对erp数据库的所有表和视图执行SELECT操作，且可查看视图定义

执行权限查询命令：

show grants for 'data'@'%';

返回结果：

"GRANT USAGE ON . TO data@% IDENTIFIED BY PASSWORD '^^^^^'"
"GRANT SELECT, SHOW VIEW ON erp. TO data@%"

查询用户表信息：

select user, host, password from mysql.user where user = 'data';

返回结果：

"User","Host","Password"
"data","%","*^^^^"

但使用该账号连接数据库时，出现报错：

[28000][1045] (conn=3269827) Access denied for user 'data'@'^^^^' (using password: YES)

排查方向与解决步骤 #

• 核对密码哈希一致性：注意到mysql.user表中存储的密码哈希是*^^^^，而权限语句中的哈希是*^^^^^（长度不一致），说明密码存在同步问题。重新设置密码并确保生效：

  SET PASSWORD FOR 'data'@'%' = PASSWORD('你的目标密码');
  

  AWS RDS中无需手动执行FLUSH PRIVILEGES，系统会自动同步权限。
• 检查RDS安全组配置：确认RDS实例关联的安全组是否开放了3306端口（或自定义数据库端口）给当前客户端的IP地址，这是AWS环境下连接失败的常见原因。
• 排查用户主机匹配规则：MariaDB的用户主机匹配遵循精确优先原则，如果存在其他data账号（比如data@具体IP、data@localhost），会优先匹配更精确的主机条目，若该条目密码错误则会触发报错。执行以下命令检查是否存在同名多主机用户：

  SELECT user, host FROM mysql.user WHERE user = 'data';
  

  若存在多余用户，可删除清理：

  DROP USER 'data'@'具体主机标识';
  

• 验证连接参数正确性：确保连接时使用的用户名是data，密码输入准确，主机地址为RDS实例的端点域名，端口为数据库服务端口（默认3306）。若密码包含特殊字符，尝试使用无特殊字符的简单密码测试，排除转义问题。
• 检查RDS认证模式：如果RDS启用了IAM数据库认证，需确认该账号是否配置为IAM认证模式，而非密码认证。若为IAM认证，需通过IAM角色生成临时密码连接，或调整账号为密码认证模式。

内容的提问来源于stack exchange，提问作者cjashwell