ApsaraDB for SelectDB：基礎使用者權限

許可權說明

權限類別型

許可權層級

根據許可權適用範圍的不同，庫表的許可權分為以下層級：

資源的許可權分為以下兩個層級：

ADMIN/GRANT許可權說明

ADMIN_PRIV和GRANT_PRIV許可權同時擁有授予許可權的許可權，較為特殊。ADMIN_PRIV和GRANT_PRIV許可權相關的操作說明如下：

• CREATE USER

  • 擁有ADMIN許可權，或GLOBAL和DATABASE層級的GRANT許可權的使用者可以建立新使用者。

• DROP USER

  • 擁有ADMIN許可權或全域層級的GRANT許可權的使用者可以刪除使用者。

• CREATE/DROP ROLE

  • 擁有ADMIN許可權或全域層級的GRANT許可權的使用者可以建立角色。

• GRANT/REVOKE

  • 擁有ADMIN許可權，或者GLOBAL層級GRANT許可權的使用者，可以授予或撤銷任意使用者的許可權。

  • 擁有CATALOG層級GRANT許可權的使用者，可以授予或撤銷任意使用者對指定CATALOG的許可權。

  • 擁有DATABASE層級GRANT許可權的使用者，可以授予或撤銷任意使用者對指定資料庫的許可權。

  • 擁有TABLE層級GRANT許可權的使用者，可以授予或撤銷任意使用者對指定資料庫中指定表的許可權。

• SET PASSWORD

  • 擁有ADMIN許可權，或者GLOBAL層級GRANT許可權的使用者，可以設定任意使用者的密碼。

  • 普通使用者可以設定自己對應的UserIdentity的密碼。自己對應的UserIdentity可以通過SELECT CURRENT_USER();命令查看。

  • 擁有非GLOBAL層級GRANT許可權的使用者，不可以設定已存在使用者的密碼，僅能在建立使用者時指定密碼。

使用者屬性列表

部分與使用者相關的屬性如下表所示：

許可權操作

CREATE USER [IF EXISTS] user_identity [IDENTIFIED BY 'password']
[DEFAULT ROLE 'role_name']
[password_policy]

 DROP USER 'user_identity'
 
 `user_identity`:
     user@'host'
     user@['domain']

GRANT privilege_list ON priv_level TO user_identity [ROLE role_name]
 
GRANT privilege_list ON RESOURCE resource_name TO user_identity [ROLE role_name]

REVOKE privilege_list ON db_name[.tbl_name] FROM user_identity [ROLE role_name]
 
REVOKE privilege_list ON RESOURCE resource_name FROM user_identity [ROLE role_name]

 CREATE ROLE rol_name;

 DROP ROLE rol_name;

SHOW [ALL] GRANTS [FOR user_identity];

SHOW ROLES

SHOW PROPERTY [FOR user] [LIKE key]

SET PROPERTY [FOR 'user'] 'key' = 'value' [, 'key' = 'value']

參數說明

操作樣本

• 樣本1：建立使用者test_user且密碼為123456，允許從'172.10.XX.XX'地址登入。

  CREATE USER test_user@'172.10.XX.XX' IDENTIFIED BY '123456';

• 樣本2：刪除使用者test_user@'172.10.XX.XX'。

  DROP USER 'test_user'@'172.10.XX.XX'

• 樣本3：授予使用者test_user@'172.10.XX.XX'表test_ctl.test_db.test_table的讀取、修改和匯入許可權。

  GRANT SELECT_PRIV,ALTER_PRIV,LOAD_PRIV ON test_ctl.test_db.test_table TO 'test_user'@'172.10.XX.XX';

• 樣本4：撤銷使用者test_user資料庫test_db的讀取許可權。

  REVOKE SELECT_PRIV ON test_db.* FROM 'test_user'@'172.10.XX.XX';

• 樣本5：建立角色test_role。

  CREATE ROLE test_role;

• 樣本6：刪除角色test_role。

  DROP ROLE test_role;

• 樣本7：將資料庫test_ctl.test_db的所有表的匯入許可權授予於角色test_role。

  GRANT LOAD_PRIV ON test_ctl.test_db.* TO ROLE 'test_role';

• 樣本8：將使用者test_user@'172.10.XX.XX'的角色修改為test_role。

  GRANT "test_role" TO test_user@'172.10.XX.XX';

• 樣本9：查看使用者test_user@'%'的許可權。

  SHOW GRANTS FOR test_user@'%';

• 樣本10：查看使用者test_user的屬性。

  # 查看使用者的全部屬性
  SHOW PROPERTY FOR 'test_user';
  
  # 使用LIKE運算式查看使用者的具體屬性
  SHOW PROPERTY FOR 'test_user' LIKE '%max_user_connections%';

• 樣本11：設定使用者test_user的屬性。

  SET PROPERTY FOR 'test_user' 'max_user_connections' = '1000';

最佳實務

常見許可權系統的使用情境如下：

• 情境一

  叢集的使用者分為管理員（Admin）、開發工程師（RD）和使用者（Client）。其中管理員擁有整個叢集的所有許可權，主要負責叢集的搭建、節點管理等。開發工程師負責業務建模，包括建庫建表、資料的匯入和修改等。使用者訪問不同的資料庫和表來擷取資料。

  在這種情境下，可以為管理員賦予ADMIN許可權或GRANT許可權。對RD賦予對任意或指定資料庫表的 CREATE、DROP、ALTER、LOAD、SELECT許可權。對Client賦予對任意或指定資料庫表SELECT許可權。同時，也可以通過建立不同的角色，來簡化對多個使用者的授權操作。

• 情境二

  一個叢集內有多個業務，每個業務可能使用一個或多個資料。每個業務需要管理自己的使用者。在這種情境下，管理使用者可以為每個資料庫建立一個擁有DATABASE層級GRANT許可權的使用者。該使用者僅可以對使用者進行指定的資料庫的授權。

• 情境三

  ApsaraDB for SelectDB本身不支援黑名單，只有白名單功能，但可以通過某些方式來類比黑名單。假設先建立了名為test_user1@'192.%'的使用者，表示允許來自192.*的使用者登入。此時如果想禁止來自192.168.XX.XX的使用者登入。則可以再建立一個使用者test_user2@'192.168.XX.XX'的使用者，並設定一個新的密碼。因為192.168.XX.XX的優先順序高於192.%，所以來自192.168.XX.XX將不能再使用舊密碼進行登入。​

許可權注意事項

• 執行個體初始化時，會自動建立如下角色和使用者：

  • operator角色：該角色為營運操作角色，擁有Node_priv和Admin_priv許可權，即對雲資料庫 SelectDB 版的所有許可權，允許從任意節點登入。僅執行個體內建的root使用者（root@'%'）擁有該角色。

  • admin角色：該角色為管理角色，擁有Admin_priv許可權，即除節點變更以外的所有許可權，允許從任意節點登入。執行個體初始化會自動建立一個該角色的使用者admin（admin@'%'），支援建立多個該角色的使用者。

• 不支援刪除或更改預設建立的角色或使用者的許可權。

• 忘記admin密碼。如果忘記了admin密碼無法登入，可以在管控平台上重設admin密碼，詳情請參見重設執行個體admin密碼。

• ADMIN_PRIV許可權只能在GLOBAL層級授予或撤銷。

• 擁有GLOBAL層級GRANT_PRIV等同於擁有ADMIN_PRIV，因為該層級的GRANT_PRIV有授予任意許可權的許可權，請謹慎使用。

• 通過SELECT current_user();和SELECT user();可以分別查看current_user和user。其中current_user表示目前使用者是以哪種身份通過認證系統的，而user則是使用者當前實際的user_identity。所有的許可權都是賦予某一個current_user的，真實使用者擁有對應的current_user的所有許可權。

  舉例說明：假設建立了user1@'192.%'這個使用者，但是來自192.168.XX.XX的使用者user1登入了系統，則此時的current_user為user1@'192.%'，而user為user1@'192.168.XX.XX'。

常見問題

Q：如何解決在建立使用者並且進行授權時，遇到網域名稱與IP衝突或重複IP衝突的問題？

A：執行DROP USER刪除出現衝突的使用者後重新建立使用者，即可解決問題。