Недоверенный доступ к mysql cli

но из коммандной строки mysql можно выполнить любую команду текущей оболочки, что неприемлемо

Что конкретно неприемлемо? Создай ему отдельного огороженного юзера в системе

не запускать демон mysql от рута?

cat ~/.ssh/authorized_keys

from="10.1.1.1",command="/home/remoteuser/cron/validate-rsync" ssh-dss AAAAB3Nza
<snip>
j2yBgN5cy8arlZ80q1Mcy763RjYGkR/FkLJ611HWIA= thisuser@thishost

Паранойя мучает. Из-за одной команды пускать пользователя в систему - моё чувство прекрасного ломает. А чрут делать - тоже ломает. Вот и спрашиваю - может существует более простой способ, типа возможности запретить команды оболочки из mysql, или уже изобрели более простой способ изготовления чрут-окружений, а я не в курсе.

не-а. ну забью я туда /usr/bin/mysql, и что? попробуй из mysql выполнить «\! /bin/bash» - удивишься.

читай про суду с ноуэкзек.
добавь «туда» sudo /usr/bin/mysql и не удивляйся

cache

Получается, что нужно городить отдельное chroot-окружение для выполнения одной команды.

man sudo

Ммм… Про noexec проглядел. Спасибо, этого, кажется, должно хватить.

сервер mysqld, я так понимаю, на той же машине, на которую собираешься давать доступ? Почему бы не открыть файерволом порт mysql только для его IP и пусть запускает клиента mysql на своей машине и оттуда делает свои дела. Можно даже дополнительно авторизацию по сертификатам сделать, mysql её умеет

Этот путь подразумевает, что пользователь не идиот. Вероятно, так оно и есть, но всё равно придётся объяснять, где взять клиента под Win (я сам не знаю пока, где, если что), да как его настроить.

И «только для его IP» - сейчас не реализуемо, поскольку человек может работать из нескольких мест и с динамическим IP.

Вероятно, так оно и есть, но всё равно придётся объяснять, где взять клиента под Win (я сам не знаю пока, где, если что), да как его настроить.

с официального сайта

Да ну его. Лишний раз с Win-софтом дела иметь не хочется.

Всем спасибо, всё настроил. Пришлось повозиться с тем, чтобы пользователь вводил пароль только один раз, но теперь всё как и хотелось - после ввода пароля пользователь попадает прямо в mysql, где может рулить ограниченным списком баз, и не может при этом вывалиться в консоль.