ApsaraDB for SelectDB:基本権限の管理

権限で許可される操作

CREATE USER [IF EXISTS] user_identity [IDENTIFIED BY 'password']
[DEFAULT ROLE 'role_name']
[password_policy]

 DROP USER 'user_identity'
 
 `user_identity`:
     user@'host'
     user@['domain']

GRANT privilege_list ON priv_level TO user_identity [ROLE role_name]
 
GRANT privilege_list ON RESOURCE resource_name TO user_identity [ROLE role_name]

REVOKE privilege_list ON db_name[.tbl_name] FROM user_identity [ROLE role_name]
 
REVOKE privilege_list ON RESOURCE resource_name FROM user_identity [ROLE role_name]

 CREATE ROLE rol_name;

 DROP ROLE rol_name;

SHOW [ALL] GRANTS [FOR user_identity];

SHOW ROLES

SHOW PROPERTY [FOR user] [LIKE key]

SET PROPERTY [FOR 'user'] 'key' = 'value' [, 'key' = 'value']

パラメーターの説明

操作例

• 例 1: test_user という名前のユーザーを作成します。ユーザーのパスワードは 123456 で、ユーザーは CIDR ブロック 172.10.0.0/16 からログインリクエストを送信できます。

  CREATE USER test_user@'172.10.%' IDENTIFIED BY '123456';

• 例 2: ユーザー ID が test_user@'172.10.%' であるユーザーを削除します。

  DROP USER 'test_user'@'172.10.%';

• 例 3: ユーザー ID が test_user@'172.10.%' であるユーザーに、test_db.test_table テーブルに対する読み取り、変更、およびインポート権限を付与します。

  GRANT SELECT_PRIV,ALTER_PRIV,LOAD_PRIV ON test_db.test_table TO 'test_user'@'172.10.%';

• 例 4: test_db データベースに対する読み取り権限を、test_user という名前のユーザーから取り消します。

  REVOKE SELECT_PRIV ON test_db.* FROM 'test_user'@'172.10.%';

• 例 5: test_role という名前のロールを作成します。

  CREATE ROLE test_role;

• 例 6: test_role という名前のロールを削除します。

  DROP ROLE test_role;

• 例 7: test_role という名前のロールに、test_db データベース内のすべてのテーブルに対するインポート権限を付与します。

  GRANT LOAD_PRIV ON test_db.* TO ROLE 'test_role';

• 例 8: ユーザー ID が test_user@'172.10.%' であるユーザーに割り当てられたロールを test_roletest_role

  GRANT "test_role" TO test_user@'172.10.%';

• 例 9: ユーザー ID が test_user@'%' であるユーザーの権限をクエリします。

  SHOW GRANTS FOR test_user@'%';

• 例 10: test_user という名前のユーザーのプロパティをクエリします。

  # ユーザーのすべてのプロパティをクエリします。
  SHOW PROPERTY FOR 'test_user';
  
  # LIKE 式を使用して、ユーザーの特定のプロパティをクエリします。
  SHOW PROPERTY FOR 'test_user' LIKE '%max_user_connections%';

• 例 11: test_user という名前のユーザーのプロパティを構成します。

  SET PROPERTY FOR 'test_user' 'max_user_connections' = '1000';

ベストプラクティス

権限管理システムは、一般的に次のシナリオで使用されます。

• シナリオ 1

  クラスターのユーザーは、管理者、R&D エンジニア、および一般ユーザーに分類されます。管理者はクラスターに対するすべての権限を持ち、クラスターの構築やノードの管理など、クラスター管理を担当します。R&D エンジニアは、データベースとテーブルの作成、データのインポートと変更など、サービスモデリングを担当します。一般ユーザーは、さまざまなデータベースとテーブルのデータにアクセスします。

  このシナリオでは、管理者に ADMIN_PRIV または GRANT_PRIV 権限を付与できます。R&D エンジニアには、1 つ以上のデータベースとテーブルに対する CREATE、DROP、ALTER、LOAD、および SELECT 権限を付与できます。一般ユーザーには、1 つ以上のデータベースとテーブルに対する SELECT 権限を付与できます。また、さまざまなロールを作成して、複数のユーザーに簡単に権限を付与することもできます。

• シナリオ 2

  クラスターはさまざまなサービスを提供します。各サービスは、1 つ以上のデータレコードを使用する場合があります。各サービスのユーザーの権限を管理する必要があります。このシナリオでは、管理者は各データベースのデータベースレベルで GRANT_PRIV 権限を持つユーザーを作成できます。このユーザーは、指定されたデータベースに対する権限のみをユーザーに付与できます。

• シナリオ 3

  SelectDB はブラックリストをサポートしておらず、ホワイトリストのみをサポートしています。ただし、特定の方法を使用してブラックリストをシミュレートできます。たとえば、ユーザー ID が test_user1@'192.%' であるユーザーを作成します。ユーザーは、192.* の IP アドレスからログインリクエストを送信できます。この場合、CIDR ブロック 192.168.0.0/16 からのログインリクエストを拒否する場合、ユーザー ID が test_user2@'192.168.%' である別のユーザーを作成し、ユーザーの新しいパスワードを構成できます。 192.168.% の優先度は 192.% よりも高くなります。したがって、ユーザーは元のパスワードを使用して CIDR ブロック 192.168.0.0/16 から SelectDB インスタンスにログインできなくなります。

権限の使用上の注意

• SelectDB インスタンスが初期化されると、次のロールとユーザーが自動的に作成されます。

  • operator: このロールは、SelectDB に対する NODE_PRIV および ADMIN_PRIV 権限を持ち、任意のノードから SelectDB インスタンスにログインできます。このロールは、ユーザー ID が root@'%' である組み込みインスタンスユーザーにのみ割り当てられます。

  • admin: このロールは管理ロールであり、ADMIN_PRIV 権限を持ちます。このロールは、ノードの変更権限を除くすべての権限を持ち、ノードから SelectDB インスタンスにログインできます。SelectDB インスタンスが初期化されると、システムはユーザー ID が admin@'%' であるユーザーを自動的に作成し、admin ロールをユーザーに割り当てます。複数のユーザーを作成し、admin ロールをユーザーに割り当てることができます。

• 自動的に作成されたロールまたはユーザーの権限を取り消したり変更したりすることはできません。

• admin ロールが割り当てられているユーザーのパスワードを忘れて SelectDB インスタンスにログインできない場合は、SelectDB コンソールでユーザーのパスワードをリセットできます。詳細については、「インスタンスの管理者ユーザーのパスワードをリセットする」をご参照ください。

• ADMIN_PRIV 権限は、グローバルレベルでのみ付与または取り消すことができます。

• グローバルレベルの GRANT_PRIV 権限は、すべての権限を付与する権限を持っているため、ADMIN_PRIV 権限と同等です。グローバルレベルで GRANT_PRIV 権限を使用する場合は注意してください。

• SELECT current_user(); 文を実行して current_user をクエリし、SELECT user(); ステートメント 文を実行して user をクエリできます。current_usercurrent_user は、現在のユーザーが身元認証に使用するユーザー ID を示し、user はユーザーの実際のユーザー ID を示します。ユーザー は、ユーザーの実際のユーザー ID を示します。すべての権限は、現在のユーザーが身元認証を通過するために使用するユーザー ID に付与され、ユーザーはそのユーザー ID の権限を持ちます。

  たとえば、ユーザー ID が user1@'192.%' であるユーザーと、user1 という名前のユーザーが CIDR ブロック 192.168.0.0/16現在のユーザー から SelectDB インスタンスにログインしたとします。この場合、現在のユーザーが使用するユーザー ID は user1@'192.%' であり、ユーザーの実際のユーザー ID は user1@'192.168.%' です。user1@'192.168.%'。

権限の構文の詳細

権限の種類

権限レベル

権限レベルは、データとリソースに適用されます。

データは、グローバル、カタログ、データベース、テーブルのレベルに分類されます。次の表に、権限レベルを示します。

ADMIN_PRIV および GRANT_PRIV 権限

ADMIN_PRIV 権限と GRANT_PRIV 権限の両方で、権限を付与できます。このセクションでは、ADMIN_PRIV および GRANT_PRIV 権限の使用上の注意について説明します。

• CREATE USER

  • ADMIN_PRIV 権限、またはグローバルレベルとデータベースレベルの GRANT_PRIV 権限を持つユーザーは、ユーザーを作成できます。

• DROP USER

  • ADMIN_PRIV 権限、またはグローバルレベルの GRANT_PRIV 権限を持つユーザーは、ユーザーを削除できます。

• CREATE/DROP ROLE

  • ADMIN_PRIV 権限、またはグローバルレベルの GRANT_PRIV 権限を持つユーザーは、ロールを作成できます。

• GRANT/REVOKE

  • ADMIN_PRIV 権限、またはグローバルレベルの GRANT_PRIV 権限を持つユーザーは、ユーザーに権限を付与したり、ユーザーから権限を取り消したりできます。

  • カタログレベルの GRANT_PRIV 権限を持つユーザーは、指定されたカタログに対する権限をユーザーに付与したり、ユーザーから権限を取り消したりできます。

  • データベースレベルの GRANT_PRIV 権限を持つユーザーは、指定されたデータベースに対する権限をユーザーに付与したり、ユーザーから権限を取り消したりできます。

  • テーブルレベルの GRANT_PRIV 権限を持つユーザーは、指定されたデータベース内の指定されたテーブルに対する権限をユーザーに付与したり、ユーザーから権限を取り消したりできます。

• SET PASSWORD

  • ADMIN_PRIV 権限、またはグローバルレベルの GRANT_PRIV 権限を持つユーザーは、すべてのユーザーのパスワードを設定できます。

  • 一般ユーザーは、自分のユーザー ID に対応するパスワードを設定できます。SELECT CURRENT_USER(); 文を実行して、ユーザー ID をクエリできます。

  • グローバルレベルではない GRANT_PRIV 権限を持つユーザーは、既存のユーザーのパスワードを設定できません。このようなユーザーは、ユーザーを作成するときにのみパスワードを設定できます。

ユーザープロパティ

次の表に、ユーザーに関連するプロパティを示します。

FAQ

Q: ユーザーを作成し、ユーザーに権限を付与するときに、ドメイン名が IP アドレスと競合する場合、または IP アドレスの競合が発生する場合はどうすればよいですか？

DROP USER 文を実行してユーザーを削除し、別のユーザーを作成します。