基础权限管理

权限操作

CREATE USER [IF EXISTS] user_identity [IDENTIFIED BY 'password']
[DEFAULT ROLE 'role_name']
[password_policy]

 DROP USER 'user_identity'
 
 `user_identity`:
     user@'host'
     user@['domain']

GRANT privilege_list ON priv_level TO user_identity [ROLE role_name]
 
GRANT privilege_list ON RESOURCE resource_name TO user_identity [ROLE role_name]

REVOKE privilege_list ON db_name[.tbl_name] FROM user_identity [ROLE role_name]
 
REVOKE privilege_list ON RESOURCE resource_name FROM user_identity [ROLE role_name]

 CREATE ROLE rol_name;

 DROP ROLE rol_name;

SHOW [ALL] GRANTS [FOR user_identity];

SHOW ROLES

SHOW PROPERTY [FOR user] [LIKE key]

SET PROPERTY [FOR 'user'] 'key' = 'value' [, 'key' = 'value']

参数说明

操作示例

• 示例1：创建用户test_user且密码为123456，允许从'172.10.0.0/16'网段登录。

  CREATE USER test_user@'172.10.%' IDENTIFIED BY '123456';

• 示例2：删除用户test_user@'172.10.%'。

  DROP USER 'test_user'@'172.10.%'

• 示例3：授予用户test_user@'172.10.%'表test_db.test_table的读取、修改和导入权限。

  GRANT SELECT_PRIV,ALTER_PRIV,LOAD_PRIV ON test_db.test_table TO 'test_user'@'172.10.%';

• 示例4：撤销用户test_user数据库test_db的读取权限。

  REVOKE SELECT_PRIV ON test_db.* FROM 'test_user'@'172.10.%';

• 示例5：创建角色test_role。

  CREATE ROLE test_role;

• 示例6：删除角色test_role。

  DROP ROLE test_role;

• 示例7：将数据库test_db的所有表的导入权限授予角色test_role。

  GRANT LOAD_PRIV ON test_db.* TO ROLE 'test_role';

• 示例8：将用户test_user@'172.10.%'的角色修改为test_role。

  GRANT "test_role" TO test_user@'172.10.%';

• 示例9：查看用户test_user@'%'的权限。

  SHOW GRANTS FOR test_user@'%';

• 示例10：查看用户test_user的属性。

  # 查看用户的全部属性
  SHOW PROPERTY FOR 'test_user';
  
  # 使用LIKE表达式查看用户的具体属性
  SHOW PROPERTY FOR 'test_user' LIKE '%max_user_connections%';

• 示例11：设置用户test_user的属性。

  SET PROPERTY FOR 'test_user' 'max_user_connections' = '1000';

最佳实践

常见权限系统的使用场景如下：

• 场景一

  集群的使用者分为管理员（Admin）、开发工程师（RD）和用户（Client）。其中管理员拥有整个集群的所有权限，主要负责集群的搭建、节点管理等。开发工程师负责业务建模，包括建库建表、数据的导入和修改等。用户访问不同的数据库和表来获取数据。

  在这种场景下，可以为管理员赋予ADMIN权限或GRANT权限。对RD赋予对任意或指定数据库表的 CREATE、DROP、ALTER、LOAD、SELECT权限。对Client赋予对任意或指定数据库表SELECT权限。同时，也可以通过创建不同的角色，来简化对多个用户的授权操作。

• 场景二

  一个集群内有多个业务，每个业务可能使用一个或多个数据。每个业务需要管理自己的用户。在这种场景下，管理员用户可以为每个数据库创建一个拥有DATABASE层级GRANT权限的用户。该用户仅可以对用户进行指定的数据库的授权。

• 场景三

  云数据库 SelectDB 版本身不支持黑名单，只有白名单功能，但可以通过某些方式来模拟黑名单。假设先创建了名为test_user1@'192.%'的用户，表示允许来自192.*的用户登录。此时如果想禁止来自192.168.0.0/16的用户登录。则可以再创建一个用户test_user2@'192.168.%'的用户，并设置一个新的密码。因为192.168.%的优先级高于192.%，所以来自192.168.0.0/16将不能再使用旧密码进行登录。​

权限注意事项

• 实例初始化时，会自动创建如下角色和用户：

  • operator角色：该角色为运维操作角色，拥有Node_priv和Admin_priv权限，即对云数据库 SelectDB 版的所有权限，允许从任意节点登录。仅实例内置的root用户（root@'%'）拥有该角色。

  • admin角色：该角色为管理角色，拥有Admin_priv权限，即除节点变更以外的所有权限，允许从任意节点登录。实例初始化会自动创建一个该角色的用户admin（admin@'%'），支持创建多个该角色的用户。

• 不支持删除或更改默认创建的角色或用户的权限。

• 忘记admin密码。如果忘记了admin密码无法登录，可以在管控平台上重置admin密码，详情请参见重置实例admin密码。

• ADMIN_PRIV权限只能在GLOBAL层级授予或撤销。

• 拥有GLOBAL层级GRANT_PRIV等同于拥有ADMIN_PRIV，因为该层级的GRANT_PRIV有授予任意权限的权限，请谨慎使用。

• 通过SELECT current_user();和SELECT user();可以分别查看current_user和user。其中current_user表示当前用户是以哪种身份通过认证系统的，而user则是用户当前实际的user_identity。所有的权限都是赋予某一个current_user的，真实用户拥有对应的current_user的所有权限。

  举例说明：假设创建了user1@'192.%'这个用户，但是来自192.168.0.0/16的用户user1登录了系统，则此时的current_user为user1@'192.%'，而user为user1@'192.168.%'。

权限语法细节

权限类型

权限层级

权限层级适用于数据和资源。

数据分为全局（Global）、数据目录（Catalog）、数据库（Database）、数据表（Table）等层级，具体层级的权限介绍如下：

ADMIN/GRANT权限说明

ADMIN_PRIV和GRANT_PRIV权限同时拥有授予权限的权限，较为特殊。ADMIN_PRIV和GRANT_PRIV权限相关的操作说明如下：

• CREATE USER

  • 拥有ADMIN权限，或GLOBAL和DATABASE层级的GRANT权限的用户可以创建新用户。

• DROP USER

  • 拥有ADMIN权限或全局层级的GRANT权限的用户可以删除用户。

• CREATE/DROP ROLE

  • 拥有ADMIN权限或全局层级的GRANT权限的用户可以创建角色。

• GRANT/REVOKE

  • 拥有ADMIN权限，或者GLOBAL层级GRANT权限的用户，可以授予或撤销任意用户的权限。

  • 拥有CATALOG层级GRANT权限的用户，可以授予或撤销任意用户对指定CATALOG的权限。

  • 拥有DATABASE层级GRANT权限的用户，可以授予或撤销任意用户对指定数据库的权限。

  • 拥有TABLE层级GRANT权限的用户，可以授予或撤销任意用户对指定数据库中指定表的权限。

• SET PASSWORD

  • 拥有ADMIN权限，或者GLOBAL层级GRANT权限的用户，可以设置任意用户的密码。

  • 普通用户可以设置自己对应的UserIdentity的密码。自己对应的UserIdentity可以通过SELECT CURRENT_USER();命令查看。

  • 拥有非GLOBAL层级GRANT权限的用户，不可以设置已存在用户的密码，仅能在创建用户时指定密码。

用户属性列表

部分与用户相关的属性如下表所示：

常见问题

Q：如何解决在创建用户并且进行授权时，遇到域名与IP冲突或重复IP冲突的问题？

A：执行DROP USER删除出现冲突的用户后重新创建用户，即可解决问题。