七個實驗掌握 MySQL 8.0 角色功能-愛可生

作者：楊濤濤

資深數據庫專家，專研 MySQL 十餘年。擅長 MySQL、PostgreSQL、MongoDB 等開源數據庫相關的備份恢復、SQL 調優、監控運維、高可用架構設計等。目前任職於愛可生，為各大運營商及銀行金融企業提供 MySQL 相關技術支持、MySQL 相關課程培訓等工作。

本文來源：原創投稿

*愛可生開源社區出品，原創內容未經授權不得隨意使用，轉載請聯繫小編並註明來源。

角色一直存在各個數據庫中，比如 SQL Server、Oracle 等，MySQL 自從版本 8.0 release，引入了角色這個概念。

角色的概念

角色就是一組針對各種數據庫權限的集合。

比如，把一個角色分配給一個用戶，那這個用戶就擁有了這個角色包含的所有權限。一個角色可以分配給多個用戶，另外一個用戶也可以擁有多個角色，兩者是多對多的關係

。不過 MySQL 角色目前還沒有提供類似於其他數據庫的系統預分配的角色。比如某些數據庫的 db_owner、 db_datareader 、 db_datawriter 等等。那接下來我分幾個方面，來示例說明角色的使用以及相關注意事項。

示例 1：一個完整角色的授予步驟

用管理員創建三個角色：db_owner, db_datareader, db_datawriter

<code>mysql> create role db_owner,db_datareader,db_datawriter;Query OK, 
0
 
rows 
affected
 (
0.02
 sec
)mysql> grant all 
on
 ytt_new.* to db_owner
;Query OK, 
0
 
rows 
affected
 (
0.01
 sec
)mysql> grant 
select
 
on
 ytt_new.* to db_datareader
;Query OK, 
0
 
rows 
affected
 (
0.01
 sec 
)mysql> grant insert,delete,update 
on
 ytt_new.* to db_datawriter
;Query OK, 
0
 
rows 
affected
 (
0.01
 sec
)
/<code>

創建三個普通用戶，分別為 ytt1、ytt2、ytt3。

<code>mysql> create user ytt1 identified 
by
 
'ytt'
,ytt2 identified 
by
 
'ytt'
,ytt3 identified 
by
 
'ytt'
;Query OK, 
0
 rows affected (
0.01
 sec)/<code>

分別授予這三個用戶對應的角色。

<code>-- 授權角色mysql> grant db_owner to ytt1;Query OK, 
0
 
rows 
affected
 (
0.02
 sec
)-- 激活角色mysql>  
set
 
default
 role db_owner to ytt1
;Query OK, 
0
 
rows 
affected
 (
0.00
 sec
)mysql> grant db_datareader to ytt2
;Query OK, 
0
 
rows 
affected
 (
0.01
 sec
)mysql> 
set
 
default
 role db_datareader to ytt2
;Query OK, 
0
 
rows 
affected
 (
0.01
 sec
)mysql> grant db_datawriter to ytt3
;Query OK, 
0
 
rows 
affected
 (
0.01
 sec
)mysql> 
set
  
default
 role db_datawriter to ytt3
;Query OK, 
0
 
rows 
affected
 (
0.01
 sec
)
/<code>

以上是角色授予的一套完整步驟。那上面有點非常規的地方是激活角色這個步驟。MySQL 角色在創建之初默認是沒有激活的，也就是說創建角色，並且給一個用戶特定的角色，這個用戶其實並不能直接使用這個角色，除非激活了才可以。

示例 2：一個用戶可以擁有多個角色

<code>-- 用管理員登錄並且創建用戶mysql> create user ytt4 identified 
by
 
'ytt'
;Query OK, 
0
 
rows 
affected
 (
0.00
 sec
)-- 把之前的三個角色都分配給用戶ytt4.mysql> grant db_owner,db_datareader,db_datawriter to ytt4
;Query OK, 
0
 
rows  
affected
 (
0.01
 sec
)-- 激活用戶ytt4的所有角色.mysql> 
set
 
default
 role all to ytt4
;Query OK, 
0
 
rows 
affected
 (
0.02
 sec
)-- ytt4 用戶登錄root@ytt-pc:/
var
/lib/mysql# mysql -uytt4 -pytt -P3304 -hytt-pc...-- 查看當前角色列表mysql> 
select
 
current_role
(
)
;+--------------------------------------------------------+| current_role()                                         |+--------------------------------------------------------+| `db_datareader`@`%`,`db_datawriter`@`%`,`db_owner`@`%` |+--------------------------------------------------------+
1
 
row 
in
 
set
 (
0.00
 sec
)-- 簡單創建一張表並且插入記錄， 檢索記錄，完了刪掉這張表mysql> use ytt_newDatabase changedmysql> create table 
t11
(
id 
int
) 
;Query OK, 
0
 
rows 
affected
 (
0.05
 sec
)mysql> insert 
into
 t11 
values
 (
1
)
;Query OK, 
1
 
row 
affected
 (
0.02
 sec
)mysql> 
select
 * 
from
 t11
;+------+| id   |+------+|    
1
 |+------+
1
 
row 
in
 
set
 (
0.00
 sec
)mysql> drop table t11
;Query OK, 
0
 
rows  
affected
 (
0.04
 sec
)
/<code>

示例 3：用戶在當前 session 裡角色互換

其實意思是說，用戶連接到 MySQL 服務器後，可以切換當前的角色列表，比如由 db_owner 切換到 db_datareader。

<code>-- 還是之前的用戶ytt4, 切換到db_datareadermysql> 
set
 role db_datareader;Query OK, 
0
 
rows 
affected
 (
0.00
 sec
)mysql> 
select
 
current_role
(
)
;+---------------------+| current_role()      |+---------------------+| `db_datareader`@`%` |+---------------------+
1
 
row 
in
 
set
 (
0.00
 sec
)-- 切換後，沒有權限創建表mysql> create table 
t11 
(
id 
int
)
;ERROR 
1142
 (
42000
): CREATE command denied to user 
'ytt4'
@
'ytt-pc'
 
for
 table 
't11'
-- 切換到 db_owner，恢復所有權限。mysql> 
set
 role db_owner;Query OK, 
0
 
rows 
affected
 (
0.00
 sec
)mysql> create table 
t11
(
id 
int
)
;Query OK, 
0
 
rows 
affected
 (
0.04
 sec
)
/<code>

示例 4：關於角色的兩個參數

activate_all_roles_on_login：是否在連接 MySQL 服務時自動激活角色

mandatory_roles：強制所有用戶默認角色

<code>-- 用管理員連接MySQL,-- 設置默認激活角色mysql> 
set
 global activate_all_roles_on_login=on;Query OK, 
0
 rows affected (
0.00
 sec)-- 設置強制給所有用戶賦予角色db_datareadermysql> 
set
 global mandatory_roles=
'db_datareader'
;Query OK, 
0
 rows affected (
0.00
 sec)-- 創建用戶ytt7.mysql> create user ytt7;Query OK, 
0
 rows affected (
0.01
 sec)-- 用 ytt7登錄數據庫root -pc:
/var/
lib/mysql# mysql -uytt7 -P3304 -hytt-pc...mysql> show grants;+-------------------------------------------+| Grants 
for
 ytt7@%                         |+-------------------------------------------+| GRANT USAGE ON *.* TO 
`ytt7`
@
`%`
          || GRANT SELECT ON 
`ytt_new`
.* TO 
`ytt7`
@
`%`
 || GRANT 
`db_datareader`
@
`%`
 TO 
`ytt7` 
@
`%`
   |+-------------------------------------------+
3
 rows 
in
 
set
 (
0.00
 sec)/<code>

示例 5 ：create role 和 create user 都有創建角色權限，兩者有啥區別？

以下分別創建兩個用戶 ytt8、ytt9，一個給 create role，一個給 create user 權限。

<code>-- 管理員登錄，創建用戶ytt8,ytt9.mysql> create user ytt8,ytt9;Query OK, 
0
 
rows 
affected
 (
0.01
 sec
)mysql> grant create role 
on
 *.* to ytt8
;Query OK, 
0
 
rows 
affected
 (
0.02
 sec
)mysql> grant create user 
on
 *.* to ytt9
;Query OK, 
0
 
rows 
affected 
 (
0.01
 sec
)-- 用ytt8 登錄，root@ytt-pc:/
var
/lib/mysql# mysql -uytt8 -P3304 -hytt-pc...mysql> create role db_test
;Query OK, 
0
 
rows 
affected
 (
0.02
 sec
)-- 可以創建角色，但是不能創建用戶mysql> create user ytt10
;ERROR 
1227
 (
42000
): Access denied; 
you 
need
 (
at least one of
) the CREATE USER 
privilege
(
s
) 
for
 
this
 operationmysql> \qBye-- 用ytt9 登錄root@ytt-pc:/
var
/lib/mysql# mysql -uytt9 -P3304 -hytt-pc...-- 角色和用戶都能創建mysql> create role db_test2
;Query OK, 
0
 
rows 
affected
 (
0.02
 sec
)mysql> create user ytt10 
;Query OK, 
0
 
rows 
affected
 (
0.01
 sec
)mysql> \qBye
/<code>

那這裡其實看到 create user 包含了 create role，create user 即可以創建用戶，也可以創建角色。

示例 6：MySQL 用戶也可以當角色來用

<code>-- 用管理員登錄，創建用戶ytt11,ytt12.mysql> create user ytt11,ytt12;Query OK, 
0
 rows affected (
0.01
 sec)mysql> grant select on ytt_new.* to ytt11;Query OK, 
0
 rows affected (
0.01
 sec)-- 把ytt11普通用戶的權限授予給ytt12mysql> grant ytt11 to ytt12;Query OK, 
0
 rows affected (
0.01
 sec)-- 來查看 ytt12的權限，可以看到擁有了ytt11的權限mysql> show grants 
for
 ytt12;+-----------------------------------+| Grants 
for
 ytt12@%                |+-----------------------------------+| GRANT USAGE ON *.* TO 
`ytt12`
@
`%`
 || GRANT 
`ytt11`
@
`%`
 TO 
`ytt12`
@ 
`%`
  |+-----------------------------------+
2
 rows 
in
 
set
 (
0.00
 sec)-- 在細化點，看看ytt12擁有哪些具體的權限mysql> show grants 
for
 ytt12 using ytt11;+--------------------------------------------+| Grants 
for
 ytt12@%                         |+--------------------------------------------+| GRANT USAGE ON *.* TO 
`ytt12`
@
`%`
          || GRANT SELECT ON 
`ytt_new`
.* TO 
`ytt12`
@
`%`
 || GRANT 
`ytt11`
@
`%`
 TO 
`ytt12`
@
`%`
           |+--------------------------------------------+
3
 rows 
in
 
set
 (
0.00
 sec)/<code>

示例 7：角色的撤銷

角色撤銷和之前權限撤銷類似。要麼 revoke，要麼刪除角色，那這個角色會從所有擁有它的用戶上移除。

<code>-- 用管理員登錄，移除ytt2的角色mysql> revoke db_datareader 
from
 ytt2;Query OK, 
0
 rows affected (
0.01
 sec)-- 刪除所有角色mysql> drop role db_owner,db_datareader,db_datawriter;Query OK, 
0
 rows affected (
0.01
 sec)-- 對應的角色也從ytt1上移除掉了mysql> show grants 
for
 ytt1;+----------------------------------+| Grants 
for
 ytt1@%                |+----------------------------------+| GRANT USAGE ON *.* TO 
`ytt1`
@
`%`
 |+----------------------------------+
1
 row 
in
 
set
 (0.00 sec)/<code>

至此，我分了 7 個目錄說明了角色在各個方面的使用以及注意事項，希望對大家有幫助。