MySQL初始化数据库失败：权限不足导致data目录无法写入

Question

在Linux系统中初始化MySQL数据库时，常因权限不足导致data目录无法写入而失败。典型表现为mysqld无法创建socket文件或写入ibdata1等关键文件，错误日志提示“Permission denied”。此问题多因data目录归属用户非mysql，或SELinux/AppArmor安全策略限制所致。需确保data目录由mysql用户和组拥有，并正确设置755权限。同时检查安全模块配置，必要时调整上下文或规则。忽略权限细节将直接导致初始化中断。

Answer 1

一、问题背景与现象描述

在Linux系统中初始化MySQL数据库时，常见的失败原因之一是权限配置不当。典型表现为执行mysqld --initialize或类似命令后，进程无法写入数据目录（data directory），导致关键文件如ibdata1、mysql.sock或重做日志文件创建失败。

错误日志通常显示如下信息：

2023-XX-XXTXX:XX:XX.Z 0 [ERROR] InnoDB: Could not open or create the system tablespace. If you tried to add new data files to the system tablespace, and it failed here, you should now edit innodb_data_file_path in my.cnf back to what it was, and remove the new ibdata file you added.

更具体的提示可能是：

[ERROR] /usr/sbin/mysqld: Can't create/write to file '/var/lib/mysql/mysql.sock' (Errcode: 13 - Permission denied)

此类问题若不及时处理，将直接导致MySQL服务无法启动，初始化流程中断。

二、常见原因分类分析

• 用户与组权限不匹配：MySQL服务通常以mysql用户运行，若/var/lib/mysql目录归属为root或其他用户，则无法进行写操作。
• 目录权限设置错误：即使用户正确，若目录权限为700或644，也可能限制写入能力。
• SELinux策略限制（RHEL/CentOS）：SELinux可能阻止mysqld访问非标准路径或修改文件上下文。
• AppArmor规则限制（Ubuntu/Debian）：AppArmor配置未授权mysqld对目标目录的读写权限。
• 挂载点或文件系统只读：某些情况下，磁盘挂载为只读模式，导致初始化失败。
• 自定义数据目录路径未适配安全策略：当data目录迁移至/data/mysql等非默认路径时，需额外调整安全模块配置。

三、诊断流程图解

graph TD
    A[MySQL初始化失败] --> B{检查错误日志}
    B --> C["是否存在'Permission denied'"]
    C -->|Yes| D[确认data目录路径]
    D --> E[ls -ld /var/lib/mysql]
    E --> F{属主是否为mysql:mysql?}
    F -->|No| G[chown -R mysql:mysql /var/lib/mysql]
    F -->|Yes| H{权限是否为755?}
    H -->|No| I[chmod 755 /var/lib/mysql]
    H -->|Yes| J{SELinux/AppArmor启用？}
    J -->|Yes| K[检查audit.log或dmesg输出]
    K --> L[调整文件上下文或AppArmor规则]
    J -->|No| M[尝试重新初始化]
    G --> M
    I --> M
    L --> M
    M --> N[成功或继续排查]
    

四、解决方案详解

1. 确保data目录归属正确：

   sudo chown -R mysql:mysql /var/lib/mysql

   若使用自定义路径（如/data/mysql），同样执行该命令。
2. 设置合适目录权限： 推荐使用755权限，避免过于宽松：

   sudo chmod 755 /var/lib/mysql

3. 验证并修复SELinux上下文（适用于CentOS/RHEL）： 检查当前上下文：

   ls -Z /var/lib/mysql

   正确应为：system_u:object_r:mysqld_db_t:s0 若不符，修复：

   sudo semanage fcontext -a -t mysqld_db_t "/var/lib/mysql(/.*)?"

   sudo restorecon -R /var/lib/mysql

4. 配置AppArmor规则（Ubuntu/Debian）： 编辑/etc/apparmor.d/usr.sbin.mysqld，添加：

   /data/mysql/** rwk,

   然后重启AppArmor：

   sudo systemctl reload apparmor

5. 临时禁用安全模块测试： SELinux临时关闭：

   sudo setenforce 0

   AppArmor临时停用：

   sudo systemctl stop apparmor

   成功后需回溯定位具体策略项，而非长期关闭。
6. 检查文件系统状态： 使用mount | grep $(df /var/lib/mysql | tail -1 | awk '{print $1}')查看是否只读。 若是，重新挂载为读写：

   sudo mount -o remount,rw /dev/sdaX /var/lib/mysql

五、关键配置检查表

检查项	预期值	验证命令	修正方法
data目录属主	mysql:mysql	ls -ld /var/lib/mysql	chown -R mysql:mysql
目录权限	755	stat -c %a /var/lib/mysql	chmod 755
SELinux上下文	mysqld_db_t	ls -Z /var/lib/mysql	semanage + restorecon
AppArmor策略	允许读写data目录	aa-status | grep mysqld	编辑/etc/apparmor.d/...
挂载选项	rw	mount | grep mysql	mount -o remount,rw
socket文件路径权限	父目录可写	ls -ld /var/run/mysqld	创建目录并赋权
my.cnf中datadir配置	路径存在且一致	grep datadir /etc/my.cnf	修正配置文件
tmpdir写权限	mysql用户可写	ls -ld /tmp	设置sticky bit或专用tmpdir
systemd服务用户	User=mysql	systemctl cat mysqld	修改service文件
audit.log审计记录	无AVC拒绝	ausearch -m avc -ts recent	生成策略模块