ApsaraDB for SelectDB:Gerenciar as permissões básicas

Conceitos principais

As propriedades do usuário pertencem ao nome de usuário , e não a uma identidade de usuário específica. Múltiplas identidades que compartilham o mesmo nome de usuário também compartilham um único conjunto de propriedades de usuário.

Funções integradas

Durante a inicialização de uma instância do SelectDB, duas funções e seus respectivos usuários são criados automaticamente.

Não é possível revogar ou modificar as permissões de funções ou usuários criados automaticamente.

Caso esqueça a senha do usuário admin e não consiga fazer login na instância, redefina-a pelo console do SelectDB. Para mais informações, consulte Redefinir a senha de um usuário admin para uma instância.

Tipos de permissão

A tabela a seguir descreve os tipos de permissão disponíveis e os níveis em que cada um pode ser aplicado.

Níveis de permissão

As permissões se aplicam a objetos de dados em quatro níveis de escopo.

As permissões de recurso usam um escopo separado (RESOURCE resource_name) e não correspondem aos níveis de dados.

Referência de sintaxe SQL

Permissões ADMIN_PRIV e GRANT_PRIV

Tanto ADMIN_PRIV quanto GRANT_PRIV permitem conceder permissões a outros usuários, mas seus escopos diferem.

• ADMIN_PRIV: Só pode ser concedida ou revogada no nível global. A permissão GRANT_PRIV no nível global equivale à ADMIN_PRIV — use ambas com cautela.

• GRANT_PRIV: Pode ter escopo global, de catálogo, de banco de dados ou de tabela. Um usuário com GRANT_PRIV em um determinado nível só pode conceder permissões dentro desse escopo.

A tabela abaixo mostra qual permissão é necessária para cada operação administrativa.

Usuários com GRANT_PRIV em um nível não global não podem alterar a senha de um usuário existente. Eles só podem definir uma senha ao criar um novo usuário.

Para consultar sua identidade de usuário autenticada atual, execute:

SELECT current_user();

Para consultar sua identidade de login real, execute:

SELECT user();

Todas as permissões são aplicadas com base no current_user, que é a identidade que passou pela autenticação.

Por exemplo, se você criar um usuário cuja identidade seja user1@'192.%' e user1 fizer login a partir do bloco CIDR 192.168.0.0/16, então current_user será user1@'192.%' e user será user1@'192.168.%'. Todas as permissões se aplicam à identidade current_user.

Propriedades do usuário

As propriedades do usuário controlam limites de recursos e comportamentos para um determinado nome de usuário. Defina-as com SET PROPERTY e consulte-as com SHOW PROPERTY.

Quando a mesma configuração existe em vários níveis, o sistema a resolve nesta ordem:

session variable > user property > global variable > default value

Exemplos

-- Create the user, allowing login from the 172.10.0.0/16 CIDR block
CREATE USER test_user@'172.10.%' IDENTIFIED BY '123456';

-- Grant read, modify, and import permissions on the table
GRANT SELECT_PRIV, ALTER_PRIV, LOAD_PRIV ON test_db.test_table TO 'test_user'@'172.10.%';

REVOKE SELECT_PRIV ON test_db.* FROM 'test_user'@'172.10.%';

-- Create the role
CREATE ROLE test_role;

-- Grant import permissions on all tables in test_db to the role
GRANT LOAD_PRIV ON test_db.* TO ROLE 'test_role';

-- Assign the role to a user
GRANT "test_role" TO test_user@'172.10.%';

-- Query all properties of a user
SHOW PROPERTY FOR 'test_user';

-- Filter by property name
SHOW PROPERTY FOR 'test_user' LIKE '%max_user_connections%';

-- Set a property
SET PROPERTY FOR 'test_user' 'max_user_connections' = '1000';

DROP USER 'test_user'@'172.10.%';
DROP ROLE test_role;

SHOW GRANTS FOR test_user@'%';

Melhores práticas

Observações de uso

• A permissão ADMIN_PRIV só pode ser concedida e revogada no nível global.

• A permissão GRANT_PRIV no nível global equivale à ADMIN_PRIV, pois permite conceder todas as permissões. Aplique-a com cautela.

• Todas as permissões são aplicadas com base no current_user (a identidade autenticada), e não na identidade de login real (user).

Perguntas frequentes

O que fazer se houver conflito entre um nome de domínio e um endereço IP ao criar um usuário?

Exclua o usuário conflitante com DROP USER e recrie-o com a identidade correta.

Para um conflito entre domínio e IP, crie primeiro o usuário com a identidade de domínio e depois conceda as permissões no nível de domínio:

CREATE USER test_user@['domain'];
GRANT SELECT_PRIV ON *.* TO test_user@['domain'];

Se o DNS resolver o domínio para IP1 e IP2, e você posteriormente conceder uma permissão diferente a test_user@'IP1', essa identidade receberá seu próprio conjunto de permissões — alterar test_user@['domain'] não afetará test_user@'IP1'.

O que fazer se houver conflito entre duas identidades de usuário com intervalos de IP sobrepostos?

Crie a identidade mais específica. O padrão de host mais específico tem prioridade.

CREATE USER test_user@'%' IDENTIFIED BY "12345";
CREATE USER test_user@'192.%' IDENTIFIED BY "abcde";

Uma tentativa de login a partir do intervalo 192.168.0.0/16 corresponde a 192.% (maior prioridade). O uso da senha 12345 nesse intervalo será rejeitado; use abcde em vez disso.

Próximos passos

• Conceder a um usuário as permissões para acessar clusters

• Redefinir a senha de um usuário admin para uma instância