Data Management:Gerenciar permissões de usuário em bancos de dados MySQL

Pré-requisitos

Antes de começar, verifique se você tem:

• Um banco de dados compatível com MySQL: ApsaraDB RDS for MySQL, PolarDB for MySQL, AnalyticDB for MySQL, banco de dados MySQL autogerenciado, banco de dados MariaDB nativo ou ApsaraDB for MariaDB

• Uma função de sistema no DMS: administrador do DMS, administrador de banco de dados (DBA) ou usuário comum (como proprietário da instância)

Visão geral

Os consoles do RDS e do PolarDB permitem atribuir permissões amplas a bancos de dados MySQL, como acesso somente leitura, leitura e escrita ou execução de instruções DML e DDL. Para um controle mais flexível e granular, use o recurso de gerenciamento de contas do DMS.

Com o gerenciamento de contas do DMS, você pode:

• Conceder permissões globais a um usuário para executar instruções SELECT e UPDATE em todos os bancos de dados de uma instância

• Conceder permissões de SELECT em uma tabela específica ou de UPDATE em um campo específico

As permissões globais aplicam-se a todos os bancos de dados de uma instância. As permissões granulares podem ser aplicadas a bancos de dados específicos ou a todos os bancos de dados da instância.

Para obter a lista completa de permissões suportadas, consulte Permissões globais suportadas e Permissões granulares suportadas.

Criar uma conta de banco de dados

1. Faça logon no console do DMS V5.0.console do DMS V5.0

2. No painel de navegação à esquerda, clique com o botão direito na instância que deseja gerenciar e selecione Account Management.

   No modo simples, clique em Database instances no painel de navegação à esquerda. Na lista de instâncias, clique com o botão direito na instância desejada e selecione Account Management .

3. Na página Account Management, clique em Create User no canto superior esquerdo.

4. Na caixa de diálogo Create User, configure a aba Basic settings: o DMS gera e executa automaticamente o comando CREATE USER 'Username'@'Hostname' IDENTIFIED BY 'Password'; para cada banco de dados na instância. Para definir limites de recursos para a conta, clique em Advanced Options. O DMS gera e executa a seguinte instrução com base nas suas configurações:

   Parâmetro	Descrição
   User name	Nome usado para fazer logon no banco de dados.
   Host	Restringe o endereço IP de origem da conexão da conta. Insira % para permitir conexões de qualquer endereço IP (todos os clientes). Insira um IP ou sub-rede específica (por exemplo, 10.5.10.%) para restringir o acesso. O valor padrão é %.
   Password	Senha para logon nos bancos de dados desta instância.
   Confirm Password	Digite a senha novamente para confirmar.

   GRANT USAGE ON *.* TO 'Username'@'Hostname' WITH MAX_QUERIES_PER_HOUR 100 MAX_UPDATES_PER_HOUR 200 MAX_CONNECTIONS_PER_HOUR 300 MAX_USER_CONNECTIONS 400;

   

   

5. Clique na aba Global permissions e selecione as permissões a conceder.

   As Global permissions aplicam-se a todos os bancos de dados da instância. Se uma permissão estiver ausente, a instância não a suporta ou sua conta não tem autorização para concedê-la. Se você estiver usando uma conta padrão, faça logon com uma conta privilegiada e tente novamente.

   

6. Clique na aba Object permissions para atribuir permissões granulares a bancos de dados, tabelas ou campos específicos. Por exemplo, para permitir que a conta consulte e insira dados em rds_db e exclua dados de rds_db.rds_table, o DMS gera e executa:

   Object permissions (permissões granulares) aplicam-se a objetos específicos dentro de uma instância. Para a maioria das contas, conceda permissões no nível de objeto em vez de permissões globais para seguir o princípio do menor privilégio.

   GRANT SELECT,INSERT ON `rds_db`.* TO 'Username'@'Hostname';
   GRANT DELETE ON `rds_db`.`rds_table` TO 'Username'@'Hostname';

   

7. Clique em Confirm.

8. Na mensagem Preview SQL Statement, revise o SQL gerado e clique em Confirm.

   Se a instância for gerenciada no modo Security Collaboration, as instruções SQL poderão ser bloqueadas por regras de segurança. Siga as instruções na tela ou entre em contato com um DBA ou administrador do DMS. Para modificar regras de segurança, consulte Perguntas frequentes .

Editar ou excluir uma conta de banco de dados

Você pode modificar o username, a password, as global permissions e as fine-grained permissions de qualquer conta que tenha autorização para gerenciar. Também é possível revogar permissões ou excluir contas.

1. Faça logon no console do DMS V5.0.

2. No painel de navegação à esquerda, clique com o botão direito na instância que deseja gerenciar e selecione Account Management.

   No modo simples, clique em Database instances no painel de navegação à esquerda. Na lista de instâncias, clique com o botão direito na instância desejada e selecione Account Management .

3. Na página Account Management, localize a conta:

   • Clique em Edit na coluna Operation para modificar a conta.

   • Clique em Delete na coluna Operation para excluir a conta.

Permissões globais suportadas

As permissões globais aplicam-se a todos os bancos de dados de uma instância.

Permissões granulares suportadas

As permissões granulares aplicam-se a bancos de dados, tabelas, campos ou outros objetos específicos dentro de uma instância.

Perguntas frequentes

Por que o DMS bloqueia minha instrução CREATE USER com um erro de regra de segurança?

Isso ocorre quando a instância é gerenciada no modo Security Collaboration e o conjunto de regras de segurança ativo não permite a execução direta de instruções DCL no SQL Console. Para resolver, adicione CREATE_USER à regra All DCL can execute directly in SQLConsole:

1. No painel de navegação à esquerda, clique com o botão direito na instância e selecione View Details para localizar o conjunto de regras de segurança atribuído à instância.

2. Faça logon no console do DMS V5.0. Na barra de navegação superior, escolha Security and disaster recovery (DBS) > Security Rules.

3. Na aba Security Rules, localize o conjunto de regras e clique em Edit na coluna Actions.

4. No painel de navegação à esquerda, clique em SQL Correct.

5. Defina Checkpoints como SQL execution rules.

6. Localize a regra All DCL can execute directly in SQLConsole e clique em Edit na coluna Actions.

7. Na caixa de diálogo Change Rule - SQL Correct, adicione CREATE_USER no editor SQL.

8. Clique em Submit.