Create a database account for an ApsaraDB RDS for MySQL instance - ApsaraDB RDS

Découvrez comment créer des comptes de base de données pour une instance ApsaraDB RDS for MySQL ou ApsaraDB RDS for MySQL Serverless.

ApsaraDB RDS for MySQL Serverless

Prérequis

Vous avez créé une instance ApsaraDB RDS for MySQL.

Remarque

Pour créer un utilisateur RAM pour votre compte Alibaba Cloud et lui accorder les autorisations nécessaires à la gestion des instances, consultez la rubrique Créer un utilisateur RAM Créer un utilisateur RAM.

Types de comptes

Les instances ApsaraDB RDS for MySQL ou prennent en charge deux types de comptes de base de données : les comptes privilégiés et les comptes standard. Vous pouvez gérer l'ensemble des comptes et des bases de données depuis la console ApsaraDB RDS. Pour plus d'informations sur les autorisations associées à chaque type de compte, consultez la rubrique Liste des autorisations de compte.

Remarque

Il est impossible de modifier le type d'un compte après sa création. Vous pouvez supprimer le compte puis en créer un nouveau portant le même nom.

Type de compte

Description

Privileged Account

Ce type de compte se crée et se gère exclusivement via la console ou par API.
Chaque instance ne prend en charge qu'un seul compte privilégié, lequel permet de gérer l'ensemble des comptes standard et des bases de données.
Ce compte offre des autorisations étendues pour une gestion fine et personnalisée des droits. Par exemple, vous pouvez attribuer des droits de requête sur différentes tables à différents utilisateurs.
Il dispose d'autorisations sur toutes les bases de données au sein de l'instance.
Il peut déconnecter n'importe quel compte.

Standard Account

Vous pouvez créer et gérer ce type de compte via la console, par API ou en exécutant une instruction SQL.
Vous pouvez créer plusieurs comptes standard pour une même instance.
Par défaut, un compte standard possède uniquement les autorisations de connexion à une base de données. Vous devez lui accorder manuellement les autorisations supplémentaires requises. Pour plus d'informations, consultez la rubrique Modifier les autorisations d'un compte.
Un compte standard ne permet ni de créer, ni de gérer, ni de déconnecter d'autres comptes.
Comptes créés par des instructions SQL : les comptes standard créés via des instructions SQL (telles que CREATE USER) apparaissent dans la liste de gestion des comptes de la console ApsaraDB RDS, où vous pouvez consulter leurs informations. La gestion des autorisations de ces comptes s'effectue à l'aide d'instructions SQL (GRANT/REVOKE) ou d'opérations API. Pour plus d'informations, consultez la rubrique Instructions SQL courantes.

Type de compte

Nombre de bases de données

Nombre de tables

compte privilégié

Illimité

< 200 000

compte standard

500

< 200 000

Remarque

Le nombre maximal de répertoires pris en charge par le système de fichiers sous-jacent peut limiter le nombre de bases de données que vous êtes en mesure de créer.

Créer un compte privilégié

Accédez à la page Instances. Dans la barre de navigation supérieure, sélectionnez la région où réside l'instance RDS. Localisez ensuite l'instance RDS concernée et cliquez sur son ID.
Dans le volet de navigation de gauche, cliquez sur Accounts.
Cliquez sur Create Account.

Configurez les paramètres suivants.

Paramètre	Description
Database Account	Saisissez un nom pour le compte. Ce dernier doit respecter les exigences suivantes : Le nom du compte doit comporter entre 2 et 16 caractères pour MySQL 5.6, et entre 2 et 32 caractères pour MySQL 8.0 et MySQL 5.7. Il doit être composé de lettres, de chiffres et de traits de soulignement (_). Il doit commencer par une lettre et se terminer par une lettre ou un chiffre. Le nom doit être unique au sein de l'instance. Le nom d'un compte standard ne doit pas ressembler à celui du compte privilégié. Par exemple, si le compte privilégié est nommé `Test1`, vous ne pouvez pas nommer un compte standard `test1`. Le nom ne doit pas correspondre à un mot clé réservé.
Account Type	Sélectionnez Privileged Account.
New Password	Définissez un mot de passe pour le compte. Celui-ci doit satisfaire aux critères suivants : Le mot de passe doit comporter entre 8 et 32 caractères. Il doit contenir au moins trois des types de caractères suivants : lettres majuscules, lettres minuscules, chiffres et caractères spéciaux. Les caractères spéciaux autorisés sont `!@#$%^&()_+-=`. Remarque* Veillez à la sécurité de votre mot de passe. En cas d'oubli, vous pouvez le réinitialiser. Les instances ApsaraDB RDS for MySQL 5.7 et 8,0 prennent en charge des politiques de mot de passe personnalisées afin de renforcer la sécurité de l'accès à la base de données.
Confirm Password	Saisissez à nouveau le mot de passe.
Description	Saisissez une description pour faciliter la gestion du compte. Celle-ci peut comporter jusqu'à 256 caractères et ne doit pas contenir `http://` ni `https://`.

Cliquez sur OK.

Réinitialiser les autorisations d'un compte

Si un problème survient avec le compte privilégié, comme la révocation accidentelle d'autorisations (REVOKE), vous pouvez restaurer ses droits en les réinitialisant.

Accédez à la page Instances. Dans la barre de navigation supérieure, sélectionnez la région où réside l'instance RDS. Localisez ensuite l'instance RDS concernée et cliquez sur son ID.
Dans le volet de navigation de gauche, cliquez sur Accounts.
À droite du Privileged Account, cliquez sur Reset Account Permissions.
Saisissez le mot de passe du compte privilégié, puis cliquez sur OK pour réinitialiser les autorisations.

Créer un compte standard

Accédez à la page Instances. Dans la barre de navigation supérieure, sélectionnez la région où réside l'instance RDS. Localisez ensuite l'instance RDS concernée et cliquez sur son ID.
Dans le volet de navigation de gauche, cliquez sur Accounts.
Cliquez sur Create Account.

Configurez les paramètres suivants.

Paramètre	Description
Database Account	Saisissez un nom pour le compte. Ce dernier doit respecter les exigences suivantes : Le nom du compte doit comporter entre 2 et 16 caractères pour MySQL 5.6, et entre 2 et 32 caractères pour MySQL 8.0 et MySQL 5.7. Il doit être composé de lettres, de chiffres et de traits de soulignement (_). Il doit commencer par une lettre et se terminer par une lettre ou un chiffre. Le nom doit être unique au sein de l'instance. Le nom d'un compte standard ne doit pas ressembler à celui du compte privilégié. Par exemple, si le compte privilégié est nommé `Test1`, vous ne pouvez pas nommer un compte standard `test1`. Le nom ne doit pas correspondre à un mot clé réservé.
Account Type	Sélectionnez Standard Account.
Authorize Database:	Accordez des autorisations sur une ou plusieurs bases de données au compte. Vous pouvez laisser ce paramètre vide et attribuer les autorisations après la création du compte. Sélectionnez une ou plusieurs bases de données dans le panneau de gauche, puis cliquez sur l'icône > pour les ajouter au panneau de droite. Dans le panneau de droite, choisissez un niveau d'autorisation pour chaque base de données : Read/Write (DDL + DML), Read-Only, DDL Only ou DML Only. Pour attribuer les mêmes autorisations à plusieurs bases de données, cliquez sur le niveau d'autorisation souhaité à côté de Set All to dans le coin supérieur droit du panneau de droite. Remarque Pour plus de détails sur chaque autorisation, consultez la rubrique Liste des autorisations de compte.
New Password	Définissez un mot de passe pour le compte. Celui-ci doit satisfaire aux critères suivants : Le mot de passe doit comporter entre 8 et 32 caractères. Il doit contenir au moins trois des types de caractères suivants : lettres majuscules, lettres minuscules, chiffres et caractères spéciaux. Les caractères spéciaux autorisés sont `!@#$%^&()_+-=`. Remarque* Veillez à la sécurité de votre mot de passe. En cas d'oubli, vous pouvez le réinitialiser. Les instances ApsaraDB RDS for MySQL 5.7 et 8,0 prennent en charge des politiques de mot de passe personnalisées afin de renforcer la sécurité de l'accès à la base de données.
Confirm Password	Saisissez à nouveau le mot de passe.
Description	Saisissez une description pour faciliter la gestion du compte. Celle-ci peut comporter jusqu'à 256 caractères et ne doit pas contenir `http://` ni `https://`.

Cliquez sur OK.

Référence API

Appelez l'opération CreateAccount pour créer un compte de base de données.

FAQ

Restreindre l'accès au réseau interne

La console ne prend pas en charge ce paramétrage. Vous pouvez exécuter une instruction SQL pour restreindre les adresses IP sources autorisées à se connecter. Pour plus d'informations, consultez la rubrique Spécifier les adresses IP à partir desquelles un compte de base de données peut accéder à une base de données.

Autorisations granulaires

La console ne prend pas en charge ce paramétrage. Vous pouvez définir les autorisations en exécutant une instruction SQL. Pour plus d'informations, consultez la rubrique Limiter l'accès d'un compte à des tables, vues et colonnes spécifiques.

Comptes root

ApsaraDB RDS ne prend pas en charge les comptes root. Vous pouvez créer un Privileged Account (le compte disposant des autorisations les plus élevées dans ApsaraDB RDS) ainsi qu'un Standard Account.

Erreur lors de la création d'un utilisateur via l'API CreateAccount : AccountLimitExceeded ?

Problème

Lorsque vous appelez l'opération CreateAccount pour créer un compte de base de données, l'API peut renvoyer le message d'erreur suivant si vous fournissez des paramètres non valides :

"Code": "AccountLimitExceeded",
"Message": "AccountQuotaExceeded: Exceeding the allowed amount of account"

Cette erreur indique que l'instance a atteint le nombre maximal de comptes autorisés.

Cause

Quota de compte : une seule instance ne peut comporter qu'un seul compte privilégié.
Paramètres : dans MySQL, si AccountType est défini sur Super (compte privilégié) alors qu'un compte privilégié existe déjà sur l'instance, l'API renvoie l'erreur AccountLimitExceeded.

Solution

Pour créer un compte standard, définissez le paramètre AccountType sur Normal. ApsaraDB RDS n'impose aucune limite quant au nombre de comptes standard.
Pour créer un compte privilégié, définissez le paramètre AccountType sur Super. Dans la console ApsaraDB RDS, accédez à la page Accounts et vérifiez si un compte privilégié existe déjà. Si un compte privilégié existe déjà, n'en créez pas un second.

Mot de passe sans caractères spéciaux

Oui. Un mot de passe doit contenir des caractères appartenant à au moins trois des catégories suivantes : lettres majuscules, lettres minuscules, chiffres et caractères spéciaux. Par conséquent, vous pouvez omettre les caractères spéciaux si le mot de passe inclut des caractères issus des trois autres catégories.

Pourquoi obtiens-je une erreur d'autorisation sur la table mysql.rds_extra lors de l'abonnement aux journaux de l'instance ?

Les descriptions des comptes sont stockées dans la table rds_extra de la base de données mysql. Lorsque vous ajoutez une description, l'écriture dans la table rds_extra génère un événement binlog. Si un client est abonné à tous les journaux de l'instance et que le compte utilisé pour l'abonnement ne dispose pas d'autorisations sur la table mysql.rds_extra, une erreur signale l'absence d'autorisations sur cette table.

Comment définir la politique d'expiration des mots de passe pour un compte de base de données ?

RDS MySQL ne permet pas de définir la période d'expiration du mot de passe via le paramètre default_password_lifetime. Vous devez utiliser un compte privilégié pour exécuter la commande PASSWORD EXPIRE afin de définir une politique d'expiration pour des comptes individuels (non pris en charge sur l'édition Cluster). Par exemple :

CREATE USER 'testuser'@'%' IDENTIFIED BY 'StrongPass123!' PASSWORD EXPIRE INTERVAL 90 DAY;

Que faire si un compte privilégié reste à l'état Creating ?

Si la page Accounts affiche continuellement le Privileged Account avec l'état Creating, actualisez la page pour vérifier le statut le plus récent. Si le compte apparaît toujours comme étant en cours de création (Creating), effacez le cache de votre navigateur et reconnectez-vous à la page Accounts de la console. Le statut devrait généralement passer à Activated.

Combien de temps dois-je attendre avant de recréer un compte privilégié après en avoir supprimé un ?

Si vous créez un nouveau Privileged Account immédiatement après la suppression d'un Privileged Account, l'option Privileged Account dans le champ Account Type peut être temporairement indisponible. Cela ne signifie pas que la création a échoué. Attendez environ 3 minutes, puis actualisez la page Accounts. Vous pourrez créer le compte à nouveau dès que l'option Privileged Account redeviendra disponible. Une seule instance ne peut comporter qu'un seul Privileged Account.