Для каждого затронутого аккаунта ALTER USER изменяет соответствующую строку в таблице системы mysql.user, чтобы отразить свойства, указанные в операторе. Неуказанные свойства сохраняют свои текущие значения.

Каждое имя аккаунта использует формат, описанный в разделе 8.2.4 «Указание имён аккаунтов». Часть имени хоста аккаунта, если она опущена, по умолчанию равна '%'. Также можно указать CURRENT_USER или CURRENT_USER() для ссылки на аккаунт, связанный с текущей сессией.

В единственном случае аккаунт может быть указан с помощью функции USER():

ALTER USER USER() IDENTIFIED BY 'auth_string';

Этот синтаксис позволяет изменить свой собственный пароль, не называя свой аккаунт напрямую. (Синтаксис также поддерживает клаузы REPLACE, RETAIN CURRENT PASSWORD и DISCARD OLD PASSWORD, описанные в разделе Параметры аутентификации ALTER USER.)

Для синтаксиса ALTER USER, который допускает значение auth_option после значения user, auth_option показывает, как аккаунт выполняет аутентификацию, указав плагин аутентификации аккаунта, учетные данные (например, пароль) или оба. Каждое значение auth_option применяется только к аккаунту, указанному непосредственно перед ним.

После указания свойств user оператор может включать опции для SSL/TLS, лимитов ресурсов, управления паролями и свойств блокировки. Все такие опции являются глобальными для оператора и применяются к всем аккаунтам, указанным в операторе.

Пример: Изменить пароль аккаунта и установить его срок действия. В результате пользователь должен подключиться с указанным паролем и выбрать новый при следующем подключении:

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED BY 'new_password' PASSWORD EXPIRE;

Пример: Изменить аккаунт, чтобы использовать плагин аутентификации caching_sha2_password и заданный пароль. Требуется, чтобы новый пароль выбирался каждые 180 дней, и включить отслеживание неудачных попыток входа, так что три последовательных неправильных пароля приведут к временной блокировке аккаунта на два дня:

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH caching_sha2_password BY 'new_password'
  PASSWORD EXPIRE INTERVAL 180 DAY
  FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 2;

Пример: Заблокировать или разблокировать аккаунт:

ALTER USER 'jeffrey'@'localhost' ACCOUNT LOCK;
ALTER USER 'jeffrey'@'localhost' ACCOUNT UNLOCK;

Пример: Требовать, чтобы аккаунт подключался с использованием SSL и устанавливать лимит в 20 подключений в час:

ALTER USER 'jeffrey'@'localhost'
  REQUIRE SSL WITH MAX_CONNECTIONS_PER_HOUR 20;

Пример: Изменить несколько аккаунтов, указав некоторые свойства для каждого аккаунта и некоторые глобальные свойства:

ALTER USER
  'jeffrey'@'localhost'
    IDENTIFIED BY 'jeffrey_new_password',
  'jeanne'@'localhost',
  'josh'@'localhost'
    IDENTIFIED BY 'josh_new_password'
    REPLACE 'josh_current_password'
    RETAIN CURRENT PASSWORD
  REQUIRE SSL WITH MAX_USER_CONNECTIONS 2
  PASSWORD HISTORY 5;

Значение IDENTIFIED BY, следующая за jeffrey, применяется только к предшествующему аккаунту, поэтому оно меняет пароль на 'jeffrey_new_password' только для jeffrey. Для jeanne нет значения для каждого аккаунта (что приводит к тому, что пароль остается неизменным). Для josh, IDENTIFIED BY устанавливает новый пароль ('josh_new_password'), REPLACE указывается, чтобы проверить, что пользователь, выполняющий оператор ALTER USER, знает текущий пароль ('josh_current_password'), и что текущий пароль также сохраняется как вторичный пароль аккаунта. (В результате josh может подключиться с использованием основного или вторичного пароля.)

Остальные свойства применяются глобально ко всем аккаунтам, указанным в операторе, поэтому для обоих аккаунтов:

Пример: Удалить вторичный пароль для josh, оставив аккаунт только с основным паролем:

ALTER USER 'josh'@'localhost' DISCARD OLD PASSWORD;

В отсутствие конкретного типа опции аккаунт остается неизменным в этом отношении. Например, при отсутствии опции блокировки состояние блокировки аккаунта не изменяется.

ALTER USER имеет операторы ADD, MODIFY и DROP, которые позволяют добавлять, изменять или удалять факторы аутентификации. В каждом случае оператор указывает операцию, выполняемую с одним фактором аутентификации, и необязательно операцию с другим фактором аутентификации. Для каждой операции элемент factor указывает ключевое слово FACTOR, предваряемое числом 2 или 3, чтобы указать, относится ли операция ко второму или третьему фактору аутентификации. (1 в этом контексте не допускается. Чтобы действовать с первым фактором аутентификации, используйте синтаксис, описанный в Параметры аутентификации ALTER USER.)

Ограничения оператора ALTER USER многофакторной аутентификации определяются системной переменной authentication_policy. Например, значение authentication_policy управляет количеством факторов аутентификации, которые могут иметь учетные записи, и для каждого фактора, какие методы аутентификации разрешены. См. Настройка политики многофакторной аутентификации.

Когда ALTER USER добавляет, изменяет или удаляет второй и третий факторы в одном операторе, операции выполняются последовательно, но если какая-либо операция в последовательности завершается ошибкой, весь оператор ALTER USER завершается ошибкой.

Для ADD каждый указанный фактор не должен уже существовать, иначе его нельзя добавить. Для MODIFY и DROP каждый указанный фактор должен существовать, чтобы его можно было изменить или удалить. Если определены второй и третий факторы, удаление второго фактора приводит к тому, что третий фактор занимает его место в качестве второго фактора.

Это выражение удаляет факторы аутентификации 2 и 3, что приводит к преобразованию учетной записи из 3FA в 1FA:

ALTER USER 'user' DROP 2 FACTOR 3 FACTOR;

Для дополнительных ADD, MODIFY и DROP примеров см. Начало работы с многофакторной аутентификацией.

Сведения о факторно-специфических правилах, определяющих плагин аутентификации по умолчанию для операторов аутентификации, не указывающих плагин, см. в разделе Плагин аутентификации по умолчанию.

ALTER USER содержит операторы, позволяющие регистрировать и аннулировать устройства FIDO/FIDO2. Дополнительную информацию см. в разделах Использование аутентификации WebAuthn, Удаление регистрации устройства для WebAuthn и описании опции --register-factor клиента mysql.

Опция --register-factor клиента mysql, используемая для регистрации устройств FIDO/FIDO2, заставляет клиента mysql сгенерировать и выполнить операторы INITIATE REGISTRATION и FINISH REGISTRATION. Эти операторы не предназначены для ручного выполнения.

ALTER USER ... DEFAULT ROLE определяет, какие роли станут активными при подключении пользователя к серверу и аутентификации, или при выполнении пользователем инструкции SET ROLE DEFAULT в сессии.

ALTER USER ... DEFAULT ROLE является альтернативной синтаксической конструкцией для SET DEFAULT ROLE (см. Раздел 15.7.1.9, «Инструкция SET DEFAULT ROLE»). Однако, ALTER USER может установить значение по умолчанию только для одного пользователя, в то время как SET DEFAULT ROLE может установить значение по умолчанию для нескольких пользователей. С другой стороны, вы можете указать CURRENT_USER в качестве имени пользователя для инструкции ALTER USER, но не для SET DEFAULT ROLE.

Каждое имя учетной записи пользователя использует описанный ранее формат.

Каждое имя роли использует формат, описанный в Разделе 8.2.5, «Указание имён ролей». Например:

ALTER USER 'joe'@'10.0.0.1' DEFAULT ROLE administrator, developer;

Часть имени роли, относящаяся к имени хоста, если она опущена, по умолчанию равна '%'.

Клауза, следующая за ключевыми словами DEFAULT ROLE, допускает следующие значения:

MySQL может проверять атрибуты сертификатов X.509 помимо обычной аутентификации на основе имени пользователя и учетных данных. Дополнительную информацию об использовании SSL/TLS с MySQL см. в Разделе 8.3, «Использование шифрованных подключений».

Для указания параметров SSL/TLS для учетной записи MySQL используйте клаузу REQUIRE, которая определяет одно или несколько значений tls_option.

Порядок параметров REQUIRE не имеет значения, но один и тот же параметр нельзя указать дважды. Ключевое слово AND является необязательным между параметрами REQUIRE.

Инструкция ALTER USER допускает следующие значения tls_option:

... (остальные элементы HTML переведены аналогично) ...

Можно установить лимиты использования ресурсов сервера для учетной записи, как описано в разделе 8.2.21, «Установка лимитов ресурсов учетной записи». Для этого используйте предложение WITH, которое задает одно или несколько значений resource_option.

Порядок следования параметров WITH не имеет значения, за исключением того, что если заданный лимит ресурсов указан несколько раз, приоритет имеет последнее значение.

ALTER USER допускает эти значения resource_option:

Пример:

ALTER USER 'jeffrey'@'localhost'
  WITH MAX_QUERIES_PER_HOUR 500 MAX_UPDATES_PER_HOUR 100;

ALTER USER поддерживает несколько значений password_option для управления паролями:

В этом разделе описывается синтаксис параметров управления паролями. Для получения информации о создании политики управления паролями см. Раздел 8.2.15, «Управление паролями».

Если указано несколько параметров управления паролями одного типа, последний имеет приоритет. Например, PASSWORD EXPIRE DEFAULT PASSWORD EXPIRE NEVER то же самое, что и PASSWORD EXPIRE NEVER.

Пароль клиента устарел, если срок действия пароля учетной записи истек вручную или возраст пароля считается больше, чем допустимый срок службы в соответствии с политикой автоматического истечения срока действия. В этом случае сервер либо отключает клиента, либо ограничивает разрешенные ему операции (см. Раздел 8.2.16, «Обработка сервером истекших паролей»). Операции, выполняемые ограниченным клиентом, приводят к ошибке, пока пользователь не установит новый пароль учетной записи.

ALTER USER допускает следующие значения password_option для управления истечением срока действия пароля:

ALTER USER допускает следующие значения password_option для управления повторным использованием предыдущих паролей на основе необходимого минимального числа изменений пароля:

ALTER USER допускает следующие значения password_option для управления повторным использованием предыдущих паролей на основе прошедшего времени:

ALTER USER допускает следующие значения password_option для управления тем, должны ли попытки изменить пароль учетной записи указывать текущий пароль, в качестве подтверждения того, что пользователь, пытающийся внести изменения, действительно знает текущий пароль:

ALTER USER допускает следующие значения password_option для управления отслеживанием неудачных попыток входа:

Для отслеживания неудачных попыток входа и временной блокировки параметры FAILED_LOGIN_ATTEMPTS и PASSWORD_LOCK_TIME учетной записи должны быть отличны от нуля. Следующий оператор изменяет учетную запись таким образом, что она остается заблокированной в течение двух дней после четырех неудачных попыток ввода пароля подряд:

ALTER USER 'jeffrey'@'localhost'
  FAILED_LOGIN_ATTEMPTS 4 PASSWORD_LOCK_TIME 2;

MySQL 8.4 поддерживает комментарии и атрибуты пользователей, как описано в разделе 15.7.1.3 «Заявление CREATE USER». Их можно изменить, используя ALTER USER с помощью опций COMMENT и ATTRIBUTE соответственно. Вы не можете указать обе опции в одном и том же заявлении ALTER USER; попытка сделать это приводит к синтаксической ошибке.

Комментарий и атрибут пользователя хранятся в таблице схемы информации USER_ATTRIBUTES в виде JSON-объекта; комментарий пользователя хранится как значение для ключа comment в столбце ATTRIBUTE этой таблицы, как показано далее в этом обсуждении. Текст COMMENT может быть любым произвольным цитируемым текстом и заменяет любой существующий комментарий пользователя. Значение ATTRIBUTE должно быть корректным строковым представлением JSON-объекта. Это объединяется с любым существующим атрибутом пользователя, как если бы функция JSON_MERGE_PATCH() использовалась для существующего атрибута пользователя и нового; для любых повторно используемых ключей новое значение перезаписывает старое, как показано здесь:

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+----------------+
| USER | HOST      | ATTRIBUTE      |
+------+-----------+----------------+
| bill | localhost | {"foo": "bar"} |
+------+-----------+----------------+
1 row in set (0.11 sec)

mysql> ALTER USER 'bill'@'localhost' ATTRIBUTE '{"baz": "faz", "foo": "moo"}';
Query OK, 0 rows affected (0.22 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+------------------------------+
| USER | HOST      | ATTRIBUTE                    |
+------+-----------+------------------------------+
| bill | localhost | {"baz": "faz", "foo": "moo"} |
+------+-----------+------------------------------+
1 row in set (0.00 sec)

Чтобы удалить ключ и его значение из атрибута пользователя, установите ключ в JSON null (должен быть в нижнем регистре и без кавычек), как показано ниже:

mysql> ALTER USER 'bill'@'localhost' ATTRIBUTE '{"foo": null}';
Query OK, 0 rows affected (0.08 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+----------------+
| USER | HOST      | ATTRIBUTE      |
+------+-----------+----------------+
| bill | localhost | {"baz": "faz"} |
+------+-----------+----------------+
1 row in set (0.00 sec)

Чтобы установить существующий комментарий пользователя на пустую строку, используйте ALTER USER ... COMMENT ''. Это оставляет пустое comment значение в таблице USER_ATTRIBUTES; чтобы полностью удалить комментарий пользователя, используйте ALTER USER ... ATTRIBUTE ... со значением для ключа столбца, установленным в JSON null (без кавычек, строчные буквы). Это проиллюстрировано следующей последовательностью SQL-заявлений:

mysql> ALTER USER 'bill'@'localhost' COMMENT 'Something about Bill';
Query OK, 0 rows affected (0.06 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+---------------------------------------------------+
| USER | HOST      | ATTRIBUTE                                         |
+------+-----------+---------------------------------------------------+
| bill | localhost | {"baz": "faz", "comment": "Something about Bill"} |
+------+-----------+---------------------------------------------------+
1 row in set (0.00 sec)

mysql> ALTER USER 'bill'@'localhost' COMMENT '';
Query OK, 0 rows affected (0.09 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+-------------------------------+
| USER | HOST      | ATTRIBUTE                     |
+------+-----------+-------------------------------+
| bill | localhost | {"baz": "faz", "comment": ""} |
+------+-----------+-------------------------------+
1 row in set (0.00 sec)

mysql> ALTER USER 'bill'@'localhost' ATTRIBUTE '{"comment": null}';
Query OK, 0 rows affected (0.07 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+----------------+
| USER | HOST      | ATTRIBUTE      |
+------+-----------+----------------+
| bill | localhost | {"baz": "faz"} |
+------+-----------+----------------+
1 row in set (0.00 sec)

MySQL поддерживает блокировку и разблокировку учетных записей с помощью опций ACCOUNT LOCK и ACCOUNT UNLOCK, которые указывают состояние блокировки учетной записи. Более подробная информация приведена в разделе 8.2.20 «Блокировка учетных записей».

Если указано несколько параметров блокировки учетной записи, приоритет имеет последний.

ALTER USER ... ACCOUNT UNLOCK разблокирует любую учетную запись, указанную в заявлении, которая временно заблокирована из-за слишком большого количества неудачных попыток входа. См. раздел 8.2.15 «Управление паролями».

ALTER USER записывается в двоичный журнал, если он выполняется успешно, но не в случае неудачи; в этом случае происходит откат и никаких изменений не вносится. Заявление, записанное в двоичный журнал, включает всех указанных пользователей. Если указан пункт IF EXISTS, это включает даже пользователей, которые не существуют и не были изменены.

Если исходное заявление изменяет учетные данные пользователя, заявление, записанное в двоичный журнал, указывает соответствующий плагин аутентификации для этого пользователя, определяемый следующим образом:

Если сервер добавляет плагин по умолчанию для любых пользователей в заявлении, записанном в двоичный журнал, он запишет предупреждение в журнал ошибок, указывая этих пользователей.

Если исходное заявление указывает опцию FAILED_LOGIN_ATTEMPTS или PASSWORD_LOCK_TIME, в записанном в двоичный журнал заявлении эта опция также будет указана.

ALTER USER с пунктами, поддерживающими многофакторную аутентификацию (MFA), записываются в двоичный журнал за исключением ALTER USER user factor INITIATE REGISTRATION.