角色一直存在各個數(shù)據(jù)庫中,比如 SQL Server、Oracle 等,MySQL 自從版本 8.0 release,引入了角色這個概念。
公司主營業(yè)務(wù):成都網(wǎng)站建設(shè)、網(wǎng)站建設(shè)、移動網(wǎng)站開發(fā)等業(yè)務(wù)。幫助企業(yè)客戶真正實現(xiàn)互聯(lián)網(wǎng)宣傳,提高企業(yè)的競爭能力。成都創(chuàng)新互聯(lián)是一支青春激揚(yáng)、勤奮敬業(yè)、活力青春激揚(yáng)、勤奮敬業(yè)、活力澎湃、和諧高效的團(tuán)隊。公司秉承以“開放、自由、嚴(yán)謹(jǐn)、自律”為核心的企業(yè)文化,感謝他們對我們的高要求,感謝他們從不同領(lǐng)域給我們帶來的挑戰(zhàn),讓我們激情的團(tuán)隊有機(jī)會用頭腦與智慧不斷的給客戶帶來驚喜。成都創(chuàng)新互聯(lián)推出岳麓免費(fèi)做網(wǎng)站回饋大家。
角色的概念
角色就是一組針對各種數(shù)據(jù)庫權(quán)限的集合。比如,把一個角色分配給一個用戶,那這個用戶就擁有了這個角色包含的所有權(quán)限。一個角色可以分配給多個用戶,另外一個用戶也可以擁有多個角色,兩者是多對多的關(guān)系。不過 MySQL 角色目前還沒有提供類似于其他數(shù)據(jù)庫的系統(tǒng)預(yù)分配的角色。比如某些數(shù)據(jù)庫的 db_owner、 db_datareader 、 db_datawriter 等等。那接下來我分幾個方面,來示例說明角色的使用以及相關(guān)注意事項。
示例 1:一個完整角色的授予步驟
用管理員創(chuàng)建三個角色:db_owner, db_datareader, db_datawriter
mysql create role db_owner,db_datareader,db_datawriter;
Query OK, 0 rows affected (0.02 sec)
mysql grant all on ytt_new.* to db_owner;
Query OK, 0 rows affected (0.01 sec)
mysql grant select on ytt_new.* to db_datareader;
Query OK, 0 rows affected (0.01 sec)
mysql grant insert,delete,update on ytt_new.* to db_datawriter;
Query OK, 0 rows affected (0.01 sec)
創(chuàng)建三個普通用戶,分別為 ytt1、ytt2、ytt3。mysql create user ytt1 identified by 'ytt',ytt2 identified by 'ytt',ytt3 identified by 'ytt';Query OK, 0 rows affected (0.01 sec)
分別授予這三個用戶對應(yīng)的角色。
-- 授權(quán)角色
mysql grant db_owner to ytt1;
Query OK, 0 rows affected (0.02 sec)
-- 激活角色
mysql set default role db_owner to ytt1;
Query OK, 0 rows affected (0.00 sec)
mysql grant db_datareader to ytt2;
Query OK, 0 rows affected (0.01 sec)
mysql set default role db_datareader to ytt2;
Query OK, 0 rows affected (0.01 sec)
mysql grant db_datawriter to ytt3;
Query OK, 0 rows affected (0.01 sec)
mysql set default role db_datawriter to ytt3;
Query OK, 0 rows affected (0.01 sec)
以上是角色授予的一套完整步驟。那上面有點非常規(guī)的地方是激活角色這個步驟。MySQL 角色在創(chuàng)建之初默認(rèn)是沒有激活的,也就是說創(chuàng)建角色,并且給一個用戶特定的角色,這個用戶其實并不能直接使用這個角色,除非激活了才可以。
示例 2:一個用戶可以擁有多個角色
-- 用管理員登錄并且創(chuàng)建用戶
mysql create user ytt4 identified by 'ytt';
Query OK, 0 rows affected (0.00 sec)
-- 把之前的三個角色都分配給用戶ytt4.
mysql grant db_owner,db_datareader,db_datawriter to ytt4;
Query OK, 0 rows affected (0.01 sec)
-- 激活用戶ytt4的所有角色.
mysql set default role all to ytt4;
Query OK, 0 rows affected (0.02 sec)
-- ytt4 用戶登錄
root@ytt-pc:/var/lib/mysql# mysql -uytt4 -pytt -P3304 -hytt-pc
...
-- 查看當(dāng)前角色列表
mysql select current_role();
+--------------------------------------------------------+
| current_role() ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? |
+--------------------------------------------------------+
| `db_datareader`@`%`,`db_datawriter`@`%`,`db_owner`@`%` |
+--------------------------------------------------------+
1 row in set (0.00 sec)
-- 簡單創(chuàng)建一張表并且插入記錄, 檢索記錄,完了刪掉這張表
mysql use ytt_new
Database changed
mysql create table t11(id int);
Query OK, 0 rows affected (0.05 sec)
mysql insert into t11 values (1);
Query OK, 1 row affected (0.02 sec)
mysql select * from t11;
+------+
| id ? |
+------+
| ? ?1 |
+------+
1 row in set (0.00 sec)
mysql drop table t11;
Query OK, 0 rows affected (0.04 sec)
示例 3:用戶在當(dāng)前 session 里角色互換
其實意思是說,用戶連接到 MySQL 服務(wù)器后,可以切換當(dāng)前的角色列表,比如由 db_owner 切換到 db_datareader。
-- 還是之前的用戶ytt4, 切換到db_datareader
mysql set role db_datareader;
Query OK, 0 rows affected (0.00 sec)
mysql select current_role();
+---------------------+
| current_role() ? ? ?|
+---------------------+
| `db_datareader`@`%` |
+---------------------+
1 row in set (0.00 sec)
-- 切換后,沒有權(quán)限創(chuàng)建表
mysql create table t11(id int);
ERROR 1142 (42000): CREATE command denied to user 'ytt4'@'ytt-pc' for table 't11'
-- 切換到 db_owner,恢復(fù)所有權(quán)限。
mysql set role db_owner;
Query OK, 0 rows affected (0.00 sec)
mysql create table t11(id int);
Query OK, 0 rows affected (0.04 sec)
示例 4:關(guān)于角色的兩個參數(shù)
activate_all_roles_on_login:是否在連接 MySQL 服務(wù)時自動激活角色mandatory_roles:強(qiáng)制所有用戶默認(rèn)角色
-- 用管理員連接MySQL,
-- 設(shè)置默認(rèn)激活角色
mysql set global activate_all_roles_on_login=on;
Query OK, 0 rows affected (0.00 sec)
-- 設(shè)置強(qiáng)制給所有用戶賦予角色db_datareader
mysql set global mandatory_roles='db_datareader';
Query OK, 0 rows affected (0.00 sec)
-- 創(chuàng)建用戶ytt7.
mysql create user ytt7;
Query OK, 0 rows affected (0.01 sec)
-- 用 ytt7登錄數(shù)據(jù)庫
root@ytt-pc:/var/lib/mysql# mysql -uytt7 -P3304 -hytt-pc
...
mysql show grants;
+-------------------------------------------+
| Grants for ytt7@% ? ? ? ? ? ? ? ? ? ? ? ? |
+-------------------------------------------+
| GRANT USAGE ON *.* TO `ytt7`@`%` ? ? ? ? ?|
| GRANT SELECT ON `ytt_new`.* TO `ytt7`@`%` |
| GRANT `db_datareader`@`%` TO `ytt7`@`%` ? |
+-------------------------------------------+
3 rows in set (0.00 sec)
示例 5 :create role 和 create user 都有創(chuàng)建角色權(quán)限,兩者有啥區(qū)別?
以下分別創(chuàng)建兩個用戶 ytt8、ytt9,一個給 create role,一個給 create user 權(quán)限。
-- 管理員登錄,創(chuàng)建用戶ytt8,ytt9.
mysql create user ytt8,ytt9;
Query OK, 0 rows affected (0.01 sec)
mysql grant create role on *.* to ytt8;
Query OK, 0 rows affected (0.02 sec)
mysql grant create user on *.* to ytt9;
Query OK, 0 rows affected (0.01 sec)
-- 用ytt8 登錄,
root@ytt-pc:/var/lib/mysql# mysql -uytt8 -P3304 -hytt-pc
...
mysql create role db_test;
Query OK, 0 rows affected (0.02 sec)
-- 可以創(chuàng)建角色,但是不能創(chuàng)建用戶
mysql create user ytt10;
ERROR 1227 (42000): Access denied; you need (at least one of) the CREATE USER privilege(s) for this operation
mysql \q
Bye
-- 用ytt9 登錄
root@ytt-pc:/var/lib/mysql# mysql -uytt9 -P3304 -hytt-pc
...
-- 角色和用戶都能創(chuàng)建
mysql create role db_test2;
Query OK, 0 rows affected (0.02 sec)
mysql create user ytt10;
Query OK, 0 rows affected (0.01 sec)
mysql \q
Bye
那這里其實看到 create user 包含了 create role,create user 即可以創(chuàng)建用戶,也可以創(chuàng)建角色。
示例 6:MySQL 用戶也可以當(dāng)角色來用
-- 用管理員登錄,創(chuàng)建用戶ytt11,ytt12.
mysql create user ytt11,ytt12;
Query OK, 0 rows affected (0.01 sec)
mysql grant select on ytt_new.* to ytt11;
Query OK, 0 rows affected (0.01 sec)
-- 把ytt11普通用戶的權(quán)限授予給ytt12
mysql grant ytt11 to ytt12;
Query OK, 0 rows affected (0.01 sec)
-- 來查看 ytt12的權(quán)限,可以看到擁有了ytt11的權(quán)限
mysql show grants for ytt12;
+-----------------------------------+
| Grants for ytt12@% ? ? ? ? ? ? ? ?|
+-----------------------------------+
| GRANT USAGE ON *.* TO `ytt12`@`%` |
| GRANT `ytt11`@`%` TO `ytt12`@`%` ?|
+-----------------------------------+
2 rows in set (0.00 sec)
-- 在細(xì)化點,看看ytt12擁有哪些具體的權(quán)限
mysql show grants for ytt12 using ytt11;
+--------------------------------------------+
| Grants for ytt12@% ? ? ? ? ? ? ? ? ? ? ? ? |
+--------------------------------------------+
| GRANT USAGE ON *.* TO `ytt12`@`%` ? ? ? ? ?|
| GRANT SELECT ON `ytt_new`.* TO `ytt12`@`%` |
| GRANT `ytt11`@`%` TO `ytt12`@`%` ? ? ? ? ? |
+--------------------------------------------+
3 rows in set (0.00 sec)
示例 7:角色的撤銷
角色撤銷和之前權(quán)限撤銷類似。要么 revoke,要么刪除角色,那這個角色會從所有擁有它的用戶上移除。
-- 用管理員登錄,移除ytt2的角色
mysql revoke db_datareader from ytt2;
Query OK, 0 rows affected (0.01 sec)
-- 刪除所有角色
mysql drop role db_owner,db_datareader,db_datawriter;
Query OK, 0 rows affected (0.01 sec)
-- 對應(yīng)的角色也從ytt1上移除掉了
mysql show grants for ytt1;
+----------------------------------+
| Grants for ytt1@% ? ? ? ? ? ? ? ?|
+----------------------------------+
| GRANT USAGE ON *.* TO `ytt1`@`%` |
+----------------------------------+
1 row in set (0.00 sec)
至此,我分了 7 個目錄說明了角色在各個方面的使用以及注意事項,希望對大家有幫助。
RBAC 是基于角色的訪問控制( Role-Based Access Control )在 RBAC中,權(quán)限與角色相關(guān)聯(lián),用戶通過成為適當(dāng)角色的成員而得到這些角色的權(quán)限。這就極大地簡化了權(quán)限的管理。這樣管理都是層級相互依賴的,權(quán)限賦予給角色,而把角色又賦予用戶,這樣的權(quán)限設(shè)計很清楚,管理起來很方便。
在RBAC中有3個基礎(chǔ)組成標(biāo),分別是: 用戶 (登錄賬號)、 角色 和 權(quán)限 (菜單節(jié)點),加一個 角色權(quán)限關(guān)系表
它們之間的關(guān)系如下圖所示:
1、mysql的權(quán)限是,從某處來的用戶對某對象的權(quán)限。
2、mysql的權(quán)限采用白名單策略,指定用戶能做什么,沒有指定的都不能做。
3、權(quán)限校驗分成兩個步驟:
a、能不能連接,檢查從哪里來,用戶名和密碼,常見錯誤 ERROR 1045 (28000): Access denied for user ...
b、能不能執(zhí)行操作,粒度從粗到細(xì),分別為:mysql.user, mysql.db, msql.tables_priv, mysql.columns_priv, mysql.proc_priv。
需要注意的是,這些表各有分工,但是在權(quán)限分配上有一定的重合。
可以這樣理解,mysql 先檢查對大范圍是否有權(quán)限,如果沒有再到小范圍里去檢查。比如:先檢查對這個數(shù)據(jù)庫是否有select權(quán)限,如果有,就允許執(zhí)行。如果沒有,再檢查對表是否有select權(quán)限,一直到最細(xì)粒度,也沒有權(quán)限,就拒絕執(zhí)行。舉例來說:要檢查張三能否控制一個團(tuán),我只要先檢查張三能否控制一個軍,如果可以,就是有權(quán)限,如果不行,再檢查張三能否控制一個師。因此,粒度控制越細(xì),權(quán)限校驗的步驟越多,性能越差,需要考慮。
4、mysql服務(wù)啟動之后,就會把權(quán)限有關(guān)的表的數(shù)據(jù)讀到內(nèi)存中,對權(quán)限做的修改,是否會即時生效?要看情況,手動修改表數(shù)據(jù),需要 flush privileges
5、創(chuàng)建用戶 create user,修改密碼 set password,注意 alter user只是設(shè)置密碼過期,可以登錄,但是不能執(zhí)行任何操作,必須從新設(shè)置密碼,刪除用戶 drop user
6、host+user 標(biāo)示唯一的一個用戶,也就是說都叫張三,從不同地方來的張三是兩個用戶,他們有不同的權(quán)限。
7、那么問題來了,表中有兩條記錄:'root'@'192.168.1.101' 和 'root'@'%', 現(xiàn)在root來登錄,mysql 怎么匹配呢?認(rèn)為是哪個root呢?
mysql 對用戶進(jìn)行了排序,先對host排序,再對user排序,小范圍在前面,大范圍在后面,從上往下匹配。
8、權(quán)限授予,grant 權(quán)限 on 對象 to 用戶@哪里來 identified by 密碼
9、收回權(quán)限,revoke 權(quán)限 on 對象 from 用戶@哪里來,注意revoke 必須要與grant 對應(yīng),也就是說,只能收回授予的權(quán)限。
10、那么問題來了,我授予張三 select的權(quán)限,現(xiàn)在revoke all privileges 也不能收回張三select的權(quán)限,因為沒有對張三 grant all privileges,怎么解決這個問題?
使用 revoke all privileges,grant option from user
11、權(quán)限級別:從某臺主機(jī)來的某個用戶,對某個數(shù)據(jù)庫中某個表的某些列的某部分記錄,是否有權(quán)限。
12、全局:對象是mysql服務(wù)的所有數(shù)據(jù)庫,包含服務(wù)級的管理權(quán)限,比如showdown
13、數(shù)據(jù)庫:對象是某一個數(shù)據(jù)庫
14、表:對象是數(shù)據(jù)庫中某個表
15、列:對象是表中的某個列,比如:grant select (name) on xxx to xxx
16、程序:對象是存儲過程和方法。
17、information_scheme,數(shù)據(jù)庫和表是存放數(shù)據(jù)的,那么誰來存放 數(shù)據(jù)庫和表這些信息呢? information_scheme 就是記錄數(shù)據(jù)庫和表的,需要注意的是,infromation_scheme沒有對應(yīng)的物理文件,它是mysql在內(nèi)存中維護(hù)的。
18、權(quán)限設(shè)定原則:
a、盡量縮小權(quán)限
b、按業(yè)務(wù),分離用戶,不同的業(yè)務(wù)對應(yīng)不同的用戶
c、避免權(quán)限粒度太細(xì),因為mysql權(quán)限檢查,會影響性能。
19、文件泄密,linux下mysql客戶端執(zhí)行的操作記錄在文件 ~/.mysql_history中,輸出重定向/dev/null
20、密碼丟失怎么辦?
a、mysql啟動,增加選項重置密碼
b、mysql啟動,增加選項不檢查權(quán)限,登陸后修改密碼,退出重啟啟動。
本文標(biāo)題:權(quán)限表mysql怎么建立 mysql 用戶權(quán)限表
文章源于:http://www.muchs.cn/article30/hphgpo.html
成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián),為您提供手機(jī)網(wǎng)站建設(shè)、小程序開發(fā)、網(wǎng)站營銷、企業(yè)建站、虛擬主機(jī)、App開發(fā)
聲明:本網(wǎng)站發(fā)布的內(nèi)容(圖片、視頻和文字)以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主,如果涉及侵權(quán)請盡快告知,我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場,如需處理請聯(lián)系客服。電話:028-86922220;郵箱:631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載,或轉(zhuǎn)載時需注明來源: 創(chuàng)新互聯(lián)