6.2.7 Adding Accounts, Assigning Privileges, and Dropping Accounts — MySQL 5.7

6.2.7 Добавление учетных записей, назначение привилегий и удаление учетных записей

Для управления учетными записями MySQL используйте SQL-команды, предназначенные для этой цели:

CREATE USER и DROP USER создают и удаляют учетные записи.
GRANT и REVOKE назначают привилегии и отзываю привилегии для учетных записей.
SHOW GRANTS отображает назначения привилегий учетных записей.

Команды управления учетными записями вызывают соответствующие изменения в базах грантов, которые рассматриваются в Раздел 6.2.3, «Таблицы грантов».

Примечание

Не рекомендуется и осуществляется на свой страх и риск прямое изменение таблиц грантов с помощью команд, таких как INSERT, UPDATE или DELETE. Сервер может игнорировать строки, которые становятся некорректными в результате таких изменений.

Начиная с MySQL 5.7.18, для любой операции, изменяющей таблицу грантов, сервер проверяет, соответствует ли таблица ожидаемой структуре, и выдает ошибку, если это не так. mysql_upgrade необходимо запустить, чтобы обновить таблицы до ожидаемой структуры.

Другой вариант создания учетных записей — использование графического инструмента MySQL Workbench. Кроме того, несколько сторонних программ предлагают возможности администрирования учетных записей MySQL. phpMyAdmin является одной из таких программ.

В данном разделе рассматриваются следующие темы:

Дополнительную информацию о здесь обсуждаемых командах см. в Раздел 13.7.1, «Команды управления учетными записями».

Создание учетных записей и предоставление привилегий

Следующие примеры демонстрируют, как использовать программу-клиент mysql для настройки новых учетных записей. В этих примерах предполагается, что учетная запись MySQL root имеет привилегию CREATE USER и все привилегии, которые она предоставляет другим учетным записям.

В командной строке подключитесь к серверу как пользователь MySQL root, введя соответствующий пароль в запросе пароля:

$> mysql -u root -p
Enter password: (enter root password here)

После подключения к серверу вы можете добавить новые учетные записи. В следующем примере используются команды CREATE USER и GRANT для настройки четырех учетных записей (где вы видите 'password', замените соответствующим паролем):

CREATE USER 'finley'@'localhost'
  IDENTIFIED BY 'password';
GRANT ALL
  ON *.*
  TO 'finley'@'localhost'
  WITH GRANT OPTION;

CREATE USER 'finley'@'%.example.com'
  IDENTIFIED BY 'password';
GRANT ALL
  ON *.*
  TO 'finley'@'%.example.com'
  WITH GRANT OPTION;

CREATE USER 'admin'@'localhost'
  IDENTIFIED BY 'password';
GRANT RELOAD,PROCESS
  ON *.*
  TO 'admin'@'localhost';

CREATE USER 'dummy'@'localhost';

Учетные записи, созданные этими командами, имеют следующие свойства:

Две учетные записи имеют имя пользователя finley. Обе являются суперпользовательскими учетными записями с полными глобальными привилегиями для выполнения любых действий. Учетная запись 'finley'@'localhost' может использоваться только при подключении с локального хоста. Учетная запись 'finley'@'%.example.com' использует подстановку '%' в части хоста, поэтому ее можно использовать для подключения с любого хоста в домене example.com.

Учетная запись 'finley'@'localhost' необходима, если есть анонимная учетная запись пользователя для localhost. Без учетной записи 'finley'@'localhost' эта анонимная учетная запись пользователя имеет приоритет при подключении finley с локального хоста, и finley обрабатывается как анонимный пользователь. Причина в том, что у анонимной учетной записи пользователя есть значение столбца Host более конкретное, чем у учетной записи 'finley'@'%', и поэтому она появляется раньше в порядке сортировки таблицы user. (Дополнительную информацию о сортировке таблицы user см. в Раздел 6.2.5, «Контроль доступа, этап 1: Проверка подключения».)
Учетная запись 'admin'@'localhost' может использоваться только пользователем admin для подключения с локального хоста. Ей предоставляются глобальные административные привилегии RELOAD и PROCESS. Эти привилегии позволяют пользователю admin выполнять команды mysqladmin reload, mysqladmin refresh и mysqladmin flush-xxx, а также mysqladmin processlist. Привилегии доступа к базам данных не предоставляются. Вы можете добавить такие привилегии с помощью команд GRANT.
Учетная запись 'dummy'@'localhost' не имеет пароля (что небезопасно и не рекомендуется). Эта учетная запись может использоваться только для подключения с локального хоста. Привилегии не предоставляются. Предполагается, что вы предоставите конкретные привилегии для учетной записи с помощью команд GRANT.

В предыдущем примере привилегии предоставляются на глобальном уровне. В следующем примере создаются три учетные записи и предоставляется доступ на более низких уровнях; то есть, к конкретным базам данных или объектам в базах данных. Каждая учетная запись имеет имя пользователя custom, но части имени хоста различаются:

CREATE USER 'custom'@'localhost'
  IDENTIFIED BY 'password';
GRANT ALL
  ON bankaccount.*
  TO 'custom'@'localhost';

CREATE USER 'custom'@'host47.example.com'
  IDENTIFIED BY 'password';
GRANT SELECT,INSERT,UPDATE,DELETE,CREATE,DROP
  ON expenses.*
  TO 'custom'@'host47.example.com';

CREATE USER 'custom'@'%.example.com'
  IDENTIFIED BY 'password';
GRANT SELECT,INSERT,UPDATE,DELETE,CREATE,DROP
  ON customer.addresses
  TO 'custom'@'%.example.com';

Три учетные записи могут использоваться следующим образом:

Учетная запись 'custom'@'localhost' имеет все привилегии уровня базы данных для доступа к базе данных bankaccount. К серверу можно подключаться только с локального хоста.
Учетная запись 'custom'@'host47.example.com' имеет определенные привилегии уровня базы данных для доступа к базе данных expenses. К серверу можно подключаться только с хоста host47.example.com.
Учетная запись 'custom'@'%.example.com' имеет определенные привилегии уровня таблицы для доступа к таблице addresses в базе данных customer с любого хоста в домене example.com. К серверу можно подключаться со всех машин в домене из-за использования символа подстановки % в части хоста имени учетной записи.

Проверка привилегий и свойств учетной записи

Чтобы увидеть привилегии для учетной записи, используйте SHOW GRANTS:

mysql> SHOW GRANTS FOR 'admin'@'localhost';
+-----------------------------------------------------+
| Grants for admin@localhost                          |
+-----------------------------------------------------+
| GRANT RELOAD, PROCESS ON *.* TO 'admin'@'localhost' |
+-----------------------------------------------------+

Чтобы увидеть свойства учетной записи, не являющиеся привилегиями, используйте SHOW CREATE USER:

mysql> SHOW CREATE USER 'admin'@'localhost'\G
*************************** 1. row ***************************
CREATE USER for admin@localhost: CREATE USER 'admin'@'localhost'
IDENTIFIED WITH 'mysql_native_password'
AS '*67ACDEBDAB923990001F0FFB017EB8ED41861105'
REQUIRE NONE PASSWORD EXPIRE DEFAULT ACCOUNT UNLOCK

Отзыв привилегий учетной записи

Для отзыва привилегий учетной записи используйте команду REVOKE. Привилегии могут быть отозваны на разных уровнях, так же как и предоставлены на разных уровнях.

Отзыв глобальных привилегий:

REVOKE ALL
  ON *.*
  FROM 'finley'@'%.example.com';

REVOKE RELOAD
  ON *.*
  FROM 'admin'@'localhost';

Отзыв привилегий уровня базы данных:

REVOKE CREATE,DROP
  ON expenses.*
  FROM 'custom'@'host47.example.com';

Отзыв привилегий уровня таблицы:

REVOKE INSERT,UPDATE,DELETE
  ON customer.addresses
  FROM 'custom'@'%.example.com';

Чтобы проверить эффект отзыва привилегий, используйте SHOW GRANTS:

mysql> SHOW GRANTS FOR 'admin'@'localhost';
+---------------------------------------------+
| Grants for admin@localhost                  |
+---------------------------------------------+
| GRANT PROCESS ON *.* TO 'admin'@'localhost' |
+---------------------------------------------+

Удаление учетных записей

Для удаления учетной записи используйте команду DROP USER. Например, чтобы удалить некоторые из ранее созданных учетных записей:

DROP USER 'finley'@'localhost';
DROP USER 'finley'@'%.example.com';
DROP USER 'admin'@'localhost';
DROP USER 'dummy'@'localhost';