作者:杨涛涛

资深数据库专家,专研 MySQL 十余年。擅长 MySQL、PostgreSQL、MongoDB 等开源数据库相关的备份恢复、SQL 调优、监控运维、高可用架构设计等。目前任职于爱可生,为各大运营商及银行金融企业提供 MySQL 相关技术支持、MySQL 相关课程培训等工作。

本文来源:原创投稿

*爱可生开源社区出品,原创内容未经授权不得随意使用,转载请联系小编并注明来源。

角色一直存在各个数据库中,比如 SQL Server、Oracle 等,MySQL 自从版本 8.0 release,引入了角色这个概念。

角色的概念

角色就是一组针对各种数据库权限的集合。

比如,把一个角色分配给一个用户,那这个用户就拥有了这个角色包含的所有权限。一个角色可以分配给多个用户,另外一个用户也可以拥有多个角色,两者是多对多的关系。不过 MySQL 角色目前还没有提供类似于其他数据库的系统预分配的角色。比如某些数据库的 db_owner、 db_datareader 、 db_datawriter 等等。那接下来我分几个方面,来示例说明角色的使用以及相关注意事项。

示例 1:一个完整角色的授予步骤

用管理员创建三个角色:db_owner, db_datareader, db_datawriter
  1. mysql> create role db_owner,db_datareader,db_datawriter;

  2. Query OK, 0 rows affected (0.02 sec)


  3. mysql> grant all on ytt_new.* to db_owner;

  4. Query OK, 0 rows affected (0.01 sec)


  5. mysql> grant select on ytt_new.* to db_datareader;

  6. Query OK, 0 rows affected (0.01 sec)


  7. mysql> grant insert,delete,update on ytt_new.* to db_datawriter;

  8. Query OK, 0 rows affected (0.01 sec)

创建三个普通用户,分别为 ytt1、ytt2、ytt3。
  1. mysql> create user ytt1 identified by 'ytt',ytt2 identified by 'ytt',ytt3 identified by 'ytt';

  2. Query OK, 0 rows affected (0.01 sec)

分别授予这三个用户对应的角色。
  1. -- 授权角色

  2. mysql> grant db_owner to ytt1;

  3. Query OK, 0 rows affected (0.02 sec)


  4. -- 激活角色

  5. mysql> set default role db_owner to ytt1;

  6. Query OK, 0 rows affected (0.00 sec)


  7. mysql> grant db_datareader to ytt2;

  8. Query OK, 0 rows affected (0.01 sec)


  9. mysql> set default role db_datareader to ytt2;

  10. Query OK, 0 rows affected (0.01 sec)


  11. mysql> grant db_datawriter to ytt3;

  12. Query OK, 0 rows affected (0.01 sec)


  13. mysql> set default role db_datawriter to ytt3;

  14. Query OK, 0 rows affected (0.01 sec)

以上是角色授予的一套完整步骤。那上面有点非常规的地方是激活角色这个步骤。MySQL 角色在创建之初默认是没有激活的,也就是说创建角色,并且给一个用户特定的角色,这个用户其实并不能直接使用这个角色,除非激活了才可以。

示例 2:一个用户可以拥有多个角色

  1. -- 用管理员登录并且创建用户

  2. mysql> create user ytt4 identified by 'ytt';

  3. Query OK, 0 rows affected (0.00 sec)


  4. -- 把之前的三个角色都分配给用户ytt4.

  5. mysql> grant db_owner,db_datareader,db_datawriter to ytt4;

  6. Query OK, 0 rows affected (0.01 sec)


  7. -- 激活用户ytt4的所有角色.

  8. mysql> set default role all to ytt4;

  9. Query OK, 0 rows affected (0.02 sec)


  10. -- ytt4 用户登录

  11. root@ytt-pc:/var/lib/mysql# mysql -uytt4 -pytt -P3304 -hytt-pc

  12. ...


  13. -- 查看当前角色列表

  14. mysql> select current_role();

  15. +--------------------------------------------------------+

  16. | current_role() |

  17. +--------------------------------------------------------+

  18. | `db_datareader`@`%`,`db_datawriter`@`%`,`db_owner`@`%` |

  19. +--------------------------------------------------------+

  20. 1 row in set (0.00 sec)


  21. -- 简单创建一张表并且插入记录, 检索记录,完了删掉这张表


  22. mysql> use ytt_new

  23. Database changed

  24. mysql> create table t11(id int);

  25. Query OK, 0 rows affected (0.05 sec)


  26. mysql> insert into t11 values (1);

  27. Query OK, 1 row affected (0.02 sec)


  28. mysql> select * from t11;

  29. +------+

  30. | id |

  31. +------+

  32. | 1 |

  33. +------+

  34. 1 row in set (0.00 sec)


  35. mysql> drop table t11;

  36. Query OK, 0 rows affected (0.04 sec)

示例 3:用户在当前 session 里角色互换

其实意思是说,用户连接到 MySQL 服务器后,可以切换当前的角色列表,比如由 db_owner 切换到 db_datareader。

  1. -- 还是之前的用户ytt4, 切换到db_datareader

  2. mysql> set role db_datareader;

  3. Query OK, 0 rows affected (0.00 sec)


  4. mysql> select current_role();

  5. +---------------------+

  6. | current_role() |

  7. +---------------------+

  8. | `db_datareader`@`%` |

  9. +---------------------+

  10. 1 row in set (0.00 sec)


  11. -- 切换后,没有权限创建表

  12. mysql> create table t11(id int);

  13. ERROR 1142 (42000): CREATE command denied to user 'ytt4'@'ytt-pc' for table 't11'



  14. -- 切换到 db_owner,恢复所有权限。

  15. mysql> set role db_owner;

  16. Query OK, 0 rows affected (0.00 sec)


  17. mysql> create table t11(id int);

  18. Query OK, 0 rows affected (0.04 sec)

示例 4:关于角色的两个参数

activate_all_roles_on_login:是否在连接 MySQL 服务时自动激活角色
mandatory_roles:强制所有用户默认角色
  1. -- 用管理员连接MySQL,

  2. -- 设置默认激活角色

  3. mysql> set global activate_all_roles_on_login=on;

  4. Query OK, 0 rows affected (0.00 sec)


  5. -- 设置强制给所有用户赋予角色db_datareader

  6. mysql> set global mandatory_roles='db_datareader';

  7. Query OK, 0 rows affected (0.00 sec)


  8. -- 创建用户ytt7.

  9. mysql> create user ytt7;

  10. Query OK, 0 rows affected (0.01 sec)


  11. -- 用 ytt7登录数据库

  12. root@ytt-pc:/var/lib/mysql# mysql -uytt7 -P3304 -hytt-pc

  13. ...


  14. mysql> show grants;

  15. +-------------------------------------------+

  16. | Grants for ytt7@% |

  17. +-------------------------------------------+

  18. | GRANT USAGE ON *.* TO `ytt7`@`%` |

  19. | GRANT SELECT ON `ytt_new`.* TO `ytt7`@`%` |

  20. | GRANT `db_datareader`@`%` TO `ytt7`@`%` |

  21. +-------------------------------------------+

  22. 3 rows in set (0.00 sec)

示例 5 :create role 和 create user 都有创建角色权限,两者有啥区别?

以下分别创建两个用户 ytt8、ytt9,一个给 create role,一个给 create user 权限。
  1. -- 管理员登录,创建用户ytt8,ytt9.

  2. mysql> create user ytt8,ytt9;

  3. Query OK, 0 rows affected (0.01 sec)


  4. mysql> grant create role on *.* to ytt8;

  5. Query OK, 0 rows affected (0.02 sec)


  6. mysql> grant create user on *.* to ytt9;

  7. Query OK, 0 rows affected (0.01 sec)


  8. -- 用ytt8 登录,

  9. root@ytt-pc:/var/lib/mysql# mysql -uytt8 -P3304 -hytt-pc

  10. ...


  11. mysql> create role db_test;

  12. Query OK, 0 rows affected (0.02 sec)


  13. -- 可以创建角色,但是不能创建用户

  14. mysql> create user ytt10;

  15. ERROR 1227 (42000): Access denied; you need (at least one of) the CREATE USER privilege(s) for this operation

  16. mysql> \q

  17. Bye


  18. -- 用ytt9 登录

  19. root@ytt-pc:/var/lib/mysql# mysql -uytt9 -P3304 -hytt-pc

  20. ...


  21. -- 角色和用户都能创建

  22. mysql> create role db_test2;

  23. Query OK, 0 rows affected (0.02 sec)


  24. mysql> create user ytt10;

  25. Query OK, 0 rows affected (0.01 sec)


  26. mysql> \q

  27. Bye

那这里其实看到 create user 包含了 create role,create user 即可以创建用户,也可以创建角色。

示例 6:MySQL 用户也可以当角色来用

  1. -- 用管理员登录,创建用户ytt11,ytt12.

  2. mysql> create user ytt11,ytt12;

  3. Query OK, 0 rows affected (0.01 sec)


  4. mysql> grant select on ytt_new.* to ytt11;

  5. Query OK, 0 rows affected (0.01 sec)


  6. -- 把ytt11普通用户的权限授予给ytt12

  7. mysql> grant ytt11 to ytt12;

  8. Query OK, 0 rows affected (0.01 sec)


  9. -- 来查看 ytt12的权限,可以看到拥有了ytt11的权限

  10. mysql> show grants for ytt12;

  11. +-----------------------------------+

  12. | Grants for ytt12@% |

  13. +-----------------------------------+

  14. | GRANT USAGE ON *.* TO `ytt12`@`%` |

  15. | GRANT `ytt11`@`%` TO `ytt12`@`%` |

  16. +-----------------------------------+

  17. 2 rows in set (0.00 sec)


  18. -- 在细化点,看看ytt12拥有哪些具体的权限

  19. mysql> show grants for ytt12 using ytt11;

  20. +--------------------------------------------+

  21. | Grants for ytt12@% |

  22. +--------------------------------------------+

  23. | GRANT USAGE ON *.* TO `ytt12`@`%` |

  24. | GRANT SELECT ON `ytt_new`.* TO `ytt12`@`%` |

  25. | GRANT `ytt11`@`%` TO `ytt12`@`%` |

  26. +--------------------------------------------+

  27. 3 rows in set (0.00 sec)

示例 7:角色的撤销

角色撤销和之前权限撤销类似。要么 revoke,要么删除角色,那这个角色会从所有拥有它的用户上移除。
  1. -- 用管理员登录,移除ytt2的角色

  2. mysql> revoke db_datareader from ytt2;

  3. Query OK, 0 rows affected (0.01 sec)


  4. -- 删除所有角色

  5. mysql> drop role db_owner,db_datareader,db_datawriter;

  6. Query OK, 0 rows affected (0.01 sec)


  7. -- 对应的角色也从ytt1上移除掉了

  8. mysql> show grants for ytt1;

  9. +----------------------------------+

  10. | Grants for ytt1@% |

  11. +----------------------------------+

  12. | GRANT USAGE ON *.* TO `ytt1`@`%` |

  13. +----------------------------------+

  14. 1 row in set (0.00 sec)

至此,我分了 7 个目录说明了角色在各个方面的使用以及注意事项,希望对大家有帮助。
分类: 8.0 新特性