Аутентификация: плагин аутентификации по умолчанию (определяется, как описано в The Default Authentication Plugin), и пустые учетные данные

Роль по умолчанию: NONE

SSL/TLS: NONE

Ограничения ресурсов: Неограниченные

Управление паролями: PASSWORD EXPIRE DEFAULT PASSWORD HISTORY DEFAULT PASSWORD REUSE INTERVAL DEFAULT PASSWORD REQUIRE CURRENT DEFAULT; отслеживание неудачных попыток входа и временная блокировка учетной записи отключены

Блокировка учетной записи: ACCOUNT UNLOCK

Подключения должны выполняться с помощью действительного сертификата X.509.

Разрешено до 60 запросов в час.

Изменение пароля не может использовать ни один из пяти последних паролей.

Учетная запись заблокирована по умолчанию, поэтому фактически она является заглушкой и не может использоваться до тех пор, пока администратор не разблокирует ее.

auth_plugin задает имя плагина аутентификации. Имя плагина может быть строковым литералом в кавычках или необработанным именем. Имена плагинов хранятся в столбце plugin таблицы системы mysql.user.

Для синтаксиса auth_option, не задающего плагин аутентификации, сервер назначит плагин по умолчанию, как описано в Плагине аутентификации по умолчанию. Описание каждого плагина см. в Разделе 8.4.1, «Плагины аутентификации».

Учетные данные, хранящиеся внутри, хранятся в таблице системы mysql.user. Значение 'auth_string' или RANDOM PASSWORD задают учетные данные учетной записи, соответственно, как строку в открытом виде (незашифрованную) или в формате хеша, ожидаемом плагином аутентификации, связанным с учетной записью:

IDENTIFIED BY 'auth_string'

Устанавливает плагин аутентификации учетной записи на плагин по умолчанию, передает значение 'auth_string' в открытом виде плагину для возможного хеширования и сохраняет результат в строке учетной записи в таблице системы mysql.user.

IDENTIFIED BY RANDOM PASSWORD

Устанавливает плагин аутентификации учетной записи на плагин по умолчанию, генерирует случайный пароль, передает значение пароля в открытом виде плагину для возможного хеширования и сохраняет результат в строке учетной записи в таблице системы mysql.user. Заявление также возвращает пароль в открытом виде в наборе результатов, чтобы сделать его доступным для пользователя или приложения, выполняющего это заявление. Подробную информацию о наборе результатов и характеристиках случайно сгенерированных паролей см. в Генерации случайных паролей.

IDENTIFIED WITH auth_plugin

Устанавливает плагин аутентификации учетной записи на auth_plugin, очищает учетные данные до пустой строки и сохраняет результат в строке учетной записи в таблице системы mysql.user.

IDENTIFIED WITH auth_plugin BY 'auth_string'

Устанавливает плагин аутентификации учетной записи на auth_plugin, передает значение 'auth_string' в открытом виде плагину для возможного хеширования и сохраняет результат в строке учетной записи в таблице системы mysql.user.

IDENTIFIED WITH auth_plugin BY RANDOM PASSWORD

Устанавливает плагин аутентификации учетной записи на auth_plugin, генерирует случайный пароль, передает значение пароля в открытом виде плагину для возможного хеширования и сохраняет результат в строке учетной записи в таблице системы mysql.user. Заявление также возвращает пароль в открытом виде в наборе результатов, чтобы сделать его доступным для пользователя или приложения, выполняющего это заявление. Подробную информацию о наборе результатов и характеристиках случайно сгенерированных паролей см. в Генерации случайных паролей.

IDENTIFIED WITH auth_plugin AS 'auth_string'

Устанавливает плагин аутентификации учетной записи на auth_plugin и сохраняет значение 'auth_string' как есть в строке учетной записи mysql.user. Если плагин требует хешированную строку, строка предполагается уже хешированной в формате, требуемом плагином.

2fa_auth_option: Определяет метод аутентификации второго фактора. В следующем примере caching_sha2_password определен как метод аутентификации первого фактора, а authentication_ldap_sasl — как метод аутентификации второго фактора.

CREATE USER 'u1'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com';

3fa_auth_option: После 2fa_auth_option может появиться клауза 3fa_auth_option для указания метода аутентификации третьего фактора. В следующем примере caching_sha2_password определен как метод аутентификации первого фактора, authentication_ldap_sasl — как метод аутентификации второго фактора, а authentication_webauthn — как метод аутентификации третьего фактора.

CREATE USER 'u1'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com'
  AND IDENTIFIED WITH authentication_webauthn;

initial_auth_option: Указывает начальный метод аутентификации для настройки аутентификации без пароля FIDO/FIDO2. Как показано ниже, для включения аутентификации без пароля WebAuthn требуется временная аутентификация с помощью сгенерированного случайного пароля или указанного пользователем auth-string.

CREATE USER user
  IDENTIFIED WITH authentication_webauthn
  INITIAL AUTHENTICATION IDENTIFIED BY {RANDOM PASSWORD | 'auth_string'};

Сведения о настройке аутентификации без пароля с помощью подключаемого модуля аутентификации WebAuthn см. в Аутентификация без пароля WebAuthn.

NONE

Указывает, что все учетные записи, указанные в операторе, не требуют SSL или X.509. Разрешены незащищенные соединения, если имя пользователя и пароль корректны. Защищенные соединения могут быть использованы по выбору клиента, если у клиента есть соответствующие файлы сертификата и ключа.

CREATE USER 'jeffrey'@'localhost' REQUIRE NONE;

Клиенты по умолчанию пытаются установить защищенное соединение. Для клиентов, у которых REQUIRE NONE, попытка подключения переходит к незащищенному соединению, если защищенное соединение не может быть установлено. Чтобы потребовать защищенное соединение, клиенту необходимо указать только параметр --ssl-mode=REQUIRED; попытка подключения завершается ошибкой, если защищенное соединение не может быть установлено.

NONE — это значение по умолчанию, если не указаны параметры, относящиеся к SSL.

SSL

Сообщает серверу о разрешении только защищенных соединений для всех учетных записей, указанных в операторе.

CREATE USER 'jeffrey'@'localhost' REQUIRE SSL;

Клиенты по умолчанию пытаются установить защищенное соединение. Для учетных записей, у которых REQUIRE SSL, попытка подключения завершается ошибкой, если защищенное соединение не может быть установлено.

X509

Для всех учетных записей, указанных в операторе, требуется предоставление клиентом действительного сертификата, но точный сертификат, издатель и предмет не важны. Единственное требование заключается в том, чтобы его подпись можно было проверить с помощью одного из сертификатов удостоверяющего центра. Использование сертификатов X.509 всегда подразумевает шифрование, поэтому параметр SSL в этом случае не нужен.

CREATE USER 'jeffrey'@'localhost' REQUIRE X509;

Для учетных записей с REQUIRE X509 клиенты должны указать параметры --ssl-key и --ssl-cert для подключения. (Рекомендуется, но не обязательно, указать также --ssl-ca, чтобы можно было проверить предоставленный сервером публичный сертификат). Это верно для ISSUER и SUBJECT, поскольку эти REQUIRE параметры подразумевают требования X509.

ISSUER 'issuer'

Для всех учетных записей, указанных в операторе, требуется, чтобы клиенты представили действительный сертификат X.509, выданный центром сертификации 'issuer'. Если клиент представит сертификат, который действителен, но имеет другого издателя, сервер отклонит подключение. Использование сертификатов X.509 всегда подразумевает шифрование, поэтому параметр SSL в этом случае не нужен.

CREATE USER 'jeffrey'@'localhost'
  REQUIRE ISSUER '/C=SE/ST=Stockholm/L=Stockholm/
    O=MySQL/CN=CA/emailAddress=ca@example.com';

Поскольку ISSUER подразумевает требования X509, клиенты должны указать параметры --ssl-key и --ssl-cert для подключения. (Рекомендуется, но не обязательно, указать также --ssl-ca, чтобы можно было проверить предоставленный сервером публичный сертификат).

SUBJECT 'subject'

Для всех учетных записей, указанных в операторе, требуется предоставление клиентом действительного сертификата X.509, содержащего предмет subject. Если клиент представит сертификат, который действителен, но имеет другой предмет, сервер отклонит подключение. Использование сертификатов X.509 всегда подразумевает шифрование, поэтому параметр SSL в этом случае не нужен.

CREATE USER 'jeffrey'@'localhost'
  REQUIRE SUBJECT '/C=SE/ST=Stockholm/L=Stockholm/
    O=MySQL demo client certificate/
    CN=client/emailAddress=client@example.com';

MySQL выполняет простое сравнение строк значения 'subject' со значением в сертификате, поэтому регистр букв и порядок компонентов должны быть точно такими же, как в сертификате.

Поскольку SUBJECT подразумевает требования X509, клиенты должны указать параметры --ssl-key и --ssl-cert для подключения. (Рекомендуется, но не обязательно, указать также --ssl-ca, чтобы можно было проверить предоставленный сервером публичный сертификат).

CIPHER 'cipher'

Для всех учетных записей, указанных в операторе, требуется определённый метод шифрования для шифрования соединений. Этот параметр необходим для обеспечения использования шифров и длин ключей достаточной силы. Шифрование может быть слабым, если используются старые алгоритмы с короткими ключами шифрования.

CREATE USER 'jeffrey'@'localhost'
  REQUIRE CIPHER 'EDH-RSA-DES-CBC3-SHA';

MAX_QUERIES_PER_HOUR count, MAX_UPDATES_PER_HOUR count, MAX_CONNECTIONS_PER_HOUR count

Для всех учетных записей, указанных в операторе, эти параметры ограничивают количество запросов, обновлений и подключений к серверу, разрешенных каждой учетной записи в течение любого одного часа. Если count равно 0 (значение по умолчанию), это означает, что для учетной записи нет ограничений.

MAX_USER_CONNECTIONS count

Для всех учетных записей, указанных в операторе, ограничивает максимальное количество одновременных подключений к серверу каждой учетной записью. ненулевое значение count задает лимит для учетной записи явно. Если count равно 0 (значение по умолчанию), сервер определяет количество одновременных подключений для учетной записи по глобальному значению системной переменной max_user_connections. Если max_user_connections также равно нулю, для учетной записи нет ограничений.

Параметры истечения срока действия пароля: Вы можете вручную установить срок действия пароля учетной записи и установить политику истечения срока действия пароля. Параметры политики не приводят к истечению срока действия пароля. Вместо этого они определяют, как сервер применяет автоматическое истечение срока действия пароля учетной записи на основе возраста пароля, который оценивается с даты и времени последнего изменения пароля учетной записи.

Параметры повторного использования паролей: Вы можете ограничить повторное использование паролей на основе количества изменений паролей, прошедшего времени или того и другого.

Параметры обязательной проверки пароля: Вы можете указать, должны ли попытки смены пароля учетной записи указывать текущий пароль в качестве проверки, что пользователь, пытающийся произвести смену, действительно знает текущий пароль.

Параметры отслеживания неудачных попыток входа с неправильным паролем: Вы можете заставить сервер отслеживать неудачные попытки входа и временно блокировать учетные записи, для которых слишком много последовательных неправильных паролей. Требуемое количество неудач и время блокировки настраиваются.

PASSWORD EXPIRE

Немедленно отмечает пароль как истекший для всех учетных записей, перечисленных в инструкции.

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE;

PASSWORD EXPIRE DEFAULT

Устанавливает для всех учетных записей, указанных в инструкции, применение глобальной политики истечения срока действия, как указано в переменной системы default_password_lifetime.

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE DEFAULT;

PASSWORD EXPIRE NEVER

Этот параметр истечения срока действия переопределяет глобальную политику для всех учетных записей, указанных в инструкции. Для каждой из них отключается истечение срока действия пароля, поэтому пароль никогда не истекает.

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE NEVER;

PASSWORD EXPIRE INTERVAL N DAY

Этот параметр истечения срока действия переопределяет глобальную политику для всех учетных записей, указанных в инструкции. Для каждой из них устанавливается срок действия пароля на N дней. Следующая инструкция требует изменения пароля каждые 180 дней:

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE INTERVAL 180 DAY;

PASSWORD HISTORY DEFAULT

Устанавливает для всех учетных записей, указанных в инструкции, применение глобальной политики длины истории паролей, чтобы запретить повторное использование паролей до тех пор, пока не будет изменено количество изменений, указанное в переменной системы password_history.

CREATE USER 'jeffrey'@'localhost' PASSWORD HISTORY DEFAULT;

PASSWORD HISTORY N

Этот параметр длины истории переопределяет глобальную политику для всех учетных записей, указанных в инструкции. Для каждой из них устанавливается длина истории паролей на N паролей, чтобы запретить повторное использование любого из N последних выбранных паролей. Следующая инструкция запрещает повторное использование любого из предыдущих 6 паролей:

CREATE USER 'jeffrey'@'localhost' PASSWORD HISTORY 6;

PASSWORD REUSE INTERVAL DEFAULT

Устанавливает для всех учетных записей, указанных в инструкции, применение глобальной политики прошедшего времени, чтобы запретить повторное использование паролей, более новых, чем указанное количество дней в переменной системы password_reuse_interval.

CREATE USER 'jeffrey'@'localhost' PASSWORD REUSE INTERVAL DEFAULT;

PASSWORD REUSE INTERVAL N DAY

Этот параметр времени переопределяет глобальную политику для всех учетных записей, указанных в инструкции. Для каждой из них устанавливается интервал повторного использования паролей на N дней, чтобы запретить повторное использование паролей, более новых, чем это количество дней. Следующая инструкция запрещает повторное использование пароля в течение 360 дней:

CREATE USER 'jeffrey'@'localhost' PASSWORD REUSE INTERVAL 360 DAY;

PASSWORD REQUIRE CURRENT

Этот параметр проверки переопределяет глобальную политику для всех учетных записей, указанных в инструкции. Для каждой из них требуется указать текущий пароль при смене пароля.

CREATE USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT;

PASSWORD REQUIRE CURRENT OPTIONAL

Этот параметр проверки переопределяет глобальную политику для всех учетных записей, указанных в инструкции. Для каждой из них не требуется указать текущий пароль при смене пароля. (Текущий пароль может, но не обязательно должен быть указан.)

CREATE USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT OPTIONAL;

PASSWORD REQUIRE CURRENT DEFAULT

Устанавливает для всех инструкций, относящихся к учетной записи, применение глобальной политики проверки паролей, как указано в переменной системы password_require_current.

CREATE USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT DEFAULT;

FAILED_LOGIN_ATTEMPTS N

Нужно ли отслеживать попытки входа в учетную запись, в которых указан неправильный пароль. N должно быть числом от 0 до 32767. Значение 0 отключает отслеживание неудачных попыток входа. Значения больше 0 указывают, сколько последовательных неудачных попыток входа приводит к временному блокированию учетной записи (если PASSWORD_LOCK_TIME также не равно нулю).

PASSWORD_LOCK_TIME {N | UNBOUNDED}

Сколько времени блокировать учетную запись после слишком большого количества последовательных неудачных попыток входа с неправильным паролем. N должно быть числом от 0 до 32767 или UNBOUNDED. Значение 0 отключает временное блокирование учетной записи. Значения больше 0 указывают, на сколько дней заблокировать учетную запись. Значение UNBOUNDED приводит к тому, что продолжительность блокировки учетной записи не ограничена; после блокировки учетная запись остается заблокированной до разблокировки. Сведения о условиях разблокировки см. в разделе «Отслеживание неудачных попыток входа и временное блокирование учетной записи».

Комментарий пользователя

Для установки комментария пользователя добавьте COMMENT 'user_comment' к оператору CREATE USER, где user_comment - текст комментария пользователя.

Пример (без других параметров):

CREATE USER 'jon'@'localhost' COMMENT 'Some information about Jon';

Атрибут пользователя

Атрибут пользователя представляет собой JSON-объект, состоящий из одной или нескольких пар ключ-значение, и устанавливается путём включения ATTRIBUTE 'json_object' в состав CREATE USER. json_object должен быть корректным JSON-объектом.

Пример (без других параметров):

CREATE USER 'jim'@'localhost'
    ATTRIBUTE '{"fname": "James", "lname": "Scott", "phone": "123-456-7890"}';

Плагин, указанный в исходном операторе, если он был указан.

В противном случае, плагин аутентификации по умолчанию. В частности, если пользователь u1 уже существует и использует плагин аутентификации, отличный от стандартного, оператор, записанный в двоичный журнал для CREATE USER IF NOT EXISTS u1, называет плагин аутентификации по умолчанию. (Если оператор, записанный в двоичный журнал, должен указать плагин аутентификации, отличный от стандартного, для пользователя, укажите его в исходном операторе.)

Операторы CREATE USER ... IDENTIFIED WITH .. INITIAL AUTHENTICATION IDENTIFIED WITH ... записываются в двоичный журнал как CREATE USER .. IDENTIFIED WITH .. INITIAL AUTHENTICATION IDENTIFIED WITH .. AS 'password-hash', где password-hash - указанный пользователем auth-string или случайный пароль, сгенерированный сервером при указании пункта RANDOM PASSWORD.