作者:杨涛涛
资深数据库专家,专研 MySQL 十余年。擅长 MySQL、PostgreSQL、MongoDB 等开源数据库相关的备份恢复、SQL 调优、监控运维、高可用架构设计等。目前任职于爱可生,为各大运营商及银行金融企业提供 MySQL 相关技术支持、MySQL 相关课程培训等工作。
本文来源:原创投稿
*爱可生开源社区出品,原创内容未经授权不得随意使用,转载请联系小编并注明来源。
角色一直存在各个数据库中,比如 SQL Server、Oracle 等,MySQL 自从版本 8.0 release,引入了角色这个概念。
角色的概念
角色就是一组针对各种数据库权限的集合。
比如,把一个角色分配给一个用户,那这个用户就拥有了这个角色包含的所有权限。一个角色可以分配给多个用户,另外一个用户也可以拥有多个角色,两者是多对多的关系 。不过 MySQL 角色目前还没有提供类似于其他数据库的系统预分配的角色。比如某些数据库的 db_owner、 db_datareader 、 db_datawriter 等等。那接下来我分几个方面,来示例说明角色的使用以及相关注意事项。
示例 1:一个完整角色的授予步骤
用管理员创建三个角色:db_owner, db_datareader, db_datawriter
<code>mysql> create role db_owner,db_datareader,db_datawriter;Query OK,0
rows
affected
(0.02
sec)mysql> grant allon
ytt_new.* to db_owner;Query OK,0
rows
affected
(0.01
sec)mysql> grantselect
on
ytt_new.* to db_datareader;Query OK,0
rows
affected
(0.01
sec )mysql> grant insert,delete,updateon
ytt_new.* to db_datawriter;Query OK,0
rows
affected
(0.01
sec)/<code>
创建三个普通用户,分别为 ytt1、ytt2、ytt3。
<code>mysql> create user ytt1 identifiedby
'ytt'
,ytt2 identifiedby
'ytt'
,ytt3 identifiedby
'ytt'
;Query OK,0
rows affected (0.01
sec)/<code>
分别授予这三个用户对应的角色。
<code>-- 授权角色mysql> grant db_owner to ytt1;Query OK,0
rows
affected
(0.02
sec)-- 激活角色mysql>set
default
role db_owner to ytt1;Query OK,0
rows
affected
(0.00
sec)mysql> grant db_datareader to ytt2;Query OK,0
rows
affected
(0.01
sec)mysql>set
default
role db_datareader to ytt2;Query OK,0
rows
affected
(0.01
sec)mysql> grant db_datawriter to ytt3;Query OK,0
rows
affected
(0.01
sec)mysql>set
default
role db_datawriter to ytt3;Query OK,0
rows
affected
(0.01
sec)/<code>
以上是角色授予的一套完整步骤。那上面有点非常规的地方是激活角色这个步骤。MySQL 角色在创建之初默认是没有激活的,也就是说创建角色,并且给一个用户特定的角色,这个用户其实并不能直接使用这个角色,除非激活了才可以。
示例 2:一个用户可以拥有多个角色
<code>-- 用管理员登录并且创建用户mysql> create user ytt4 identifiedby
'ytt'
;Query OK,0
rows
affected
(0.00
sec)-- 把之前的三个角色都分配给用户ytt4.mysql> grant db_owner,db_datareader,db_datawriter to ytt4;Query OK,0
rows
affected
(0.01
sec)-- 激活用户ytt4的所有角色.mysql>set
default
role all to ytt4;Query OK,0
rows
affected
(0.02
sec)-- ytt4 用户登录root@ytt-pc:/var
/lib/mysql# mysql -uytt4 -pytt -P3304 -hytt-pc...-- 查看当前角色列表mysql>select
current_role
();+--------------------------------------------------------+| current_role() |+--------------------------------------------------------+| `db_datareader`@`%`,`db_datawriter`@`%`,`db_owner`@`%` |+--------------------------------------------------------+1
row
in
set
(0.00
sec)-- 简单创建一张表并且插入记录, 检索记录,完了删掉这张表mysql> use ytt_newDatabase changedmysql> create tablet11
(id
int
) ;Query OK,0
rows
affected
(0.05
sec)mysql> insertinto
t11values
(1
);Query OK,1
row
affected
(0.02
sec)mysql>select
*from
t11;+------+| id |+------+|1
|+------+1
row
in
set
(0.00
sec)mysql> drop table t11;Query OK,0
rows
affected
(0.04
sec)/<code>
示例 3:用户在当前 session 里角色互换
其实意思是说,用户连接到 MySQL 服务器后,可以切换当前的角色列表,比如由 db_owner 切换到 db_datareader。
<code>-- 还是之前的用户ytt4, 切换到db_datareadermysql>set
role db_datareader;Query OK,0
rows
affected
(0.00
sec)mysql>select
current_role
();+---------------------+| current_role() |+---------------------+| `db_datareader`@`%` |+---------------------+1
row
in
set
(0.00
sec)-- 切换后,没有权限创建表mysql> create tablet11
(id
int
);ERROR1142
(42000
): CREATE command denied to user'ytt4'
@'ytt-pc'
for
table't11'
-- 切换到 db_owner,恢复所有权限。mysql>set
role db_owner;Query OK,0
rows
affected
(0.00
sec)mysql> create tablet11
(id
int
);Query OK,0
rows
affected
(0.04
sec)/<code>
示例 4:关于角色的两个参数
activate_all_roles_on_login:是否在连接 MySQL 服务时自动激活角色
mandatory_roles:强制所有用户默认角色
<code>-- 用管理员连接MySQL,-- 设置默认激活角色mysql>set
global activate_all_roles_on_login=on;Query OK,0
rows affected (0.00
sec)-- 设置强制给所有用户赋予角色db_datareadermysql>set
global mandatory_roles='db_datareader'
;Query OK,0
rows affected (0.00
sec)-- 创建用户ytt7.mysql> create user ytt7;Query OK,0
rows affected (0.01
sec)-- 用 ytt7登录数据库root -pc:/var/
lib/mysql# mysql -uytt7 -P3304 -hytt-pc...mysql> show grants;+-------------------------------------------+| Grantsfor
ytt7@% |+-------------------------------------------+| GRANT USAGE ON *.* TO`ytt7`
@`%`
|| GRANT SELECT ON`ytt_new`
.* TO`ytt7`
@`%`
|| GRANT`db_datareader`
@`%`
TO`ytt7`
@`%`
|+-------------------------------------------+3
rowsin
set
(0.00
sec)/<code>
示例 5 :create role 和 create user 都有创建角色权限,两者有啥区别?
以下分别创建两个用户 ytt8、ytt9,一个给 create role,一个给 create user 权限。
<code>-- 管理员登录,创建用户ytt8,ytt9.mysql> create user ytt8,ytt9;Query OK,0
rows
affected
(0.01
sec)mysql> grant create roleon
*.* to ytt8;Query OK,0
rows
affected
(0.02
sec)mysql> grant create useron
*.* to ytt9;Query OK,0
rows
affected
(0.01
sec)-- 用ytt8 登录,root@ytt-pc:/var
/lib/mysql# mysql -uytt8 -P3304 -hytt-pc...mysql> create role db_test;Query OK,0
rows
affected
(0.02
sec)-- 可以创建角色,但是不能创建用户mysql> create user ytt10;ERROR1227
(42000
): Access denied;you
need
(at least one of
) the CREATE USERprivilege
(s
)for
this
operationmysql> \qBye-- 用ytt9 登录root@ytt-pc:/var
/lib/mysql# mysql -uytt9 -P3304 -hytt-pc...-- 角色和用户都能创建mysql> create role db_test2;Query OK,0
rows
affected
(0.02
sec)mysql> create user ytt10 ;Query OK,0
rows
affected
(0.01
sec)mysql> \qBye/<code>
那这里其实看到 create user 包含了 create role,create user 即可以创建用户,也可以创建角色。
示例 6:MySQL 用户也可以当角色来用
<code>-- 用管理员登录,创建用户ytt11,ytt12.mysql> create user ytt11,ytt12;Query OK,0
rows affected (0.01
sec)mysql> grant select on ytt_new.* to ytt11;Query OK,0
rows affected (0.01
sec)-- 把ytt11普通用户的权限授予给ytt12mysql> grant ytt11 to ytt12;Query OK,0
rows affected (0.01
sec)-- 来查看 ytt12的权限,可以看到拥有了ytt11的权限mysql> show grantsfor
ytt12;+-----------------------------------+| Grantsfor
ytt12@% |+-----------------------------------+| GRANT USAGE ON *.* TO`ytt12`
@`%`
|| GRANT`ytt11`
@`%`
TO`ytt12`
@`%`
|+-----------------------------------+2
rowsin
set
(0.00
sec)-- 在细化点,看看ytt12拥有哪些具体的权限mysql> show grantsfor
ytt12 using ytt11;+--------------------------------------------+| Grantsfor
ytt12@% |+--------------------------------------------+| GRANT USAGE ON *.* TO`ytt12`
@`%`
|| GRANT SELECT ON`ytt_new`
.* TO`ytt12`
@`%`
|| GRANT`ytt11`
@`%`
TO`ytt12`
@`%`
|+--------------------------------------------+3
rowsin
set
(0.00
sec)/<code>
示例 7:角色的撤销
角色撤销和之前权限撤销类似。要么 revoke,要么删除角色,那这个角色会从所有拥有它的用户上移除。
<code>-- 用管理员登录,移除ytt2的角色mysql> revoke db_datareaderfrom
ytt2;Query OK,0
rows affected (0.01
sec)-- 删除所有角色mysql> drop role db_owner,db_datareader,db_datawriter;Query OK,0
rows affected (0.01
sec)-- 对应的角色也从ytt1上移除掉了mysql> show grantsfor
ytt1;+----------------------------------+| Grantsfor
ytt1@% |+----------------------------------+| GRANT USAGE ON *.* TO`ytt1`
@`%`
|+----------------------------------+1
rowin
set
(0.00 sec)/<code>
至此,我分了 7 个目录说明了角色在各个方面的使用以及注意事项,希望对大家有帮助。