MySQL运维实战(2.3)MySQL的权限体系

随笔1个月前发布 白明了
30 0 0

合集 – MySQL运维实战(9)
1.MySQL运维实战(1.1)安装部署:使用RPM进行安装部署01-042.MySQL运维实战(1.2)安装部署:使用二进制安装部署01-043.MySQL运维实战(1.3)安装部署:源码编译安装01-044.MySQL运维实战(2)MySQL用户和权限管理01-055.MySQL运维实战(2.1) 登录失败次数太多导致主机被锁住的问题处理01-086.MySQL运维实战(2.2)忘记密码如何处理01-09
7.MySQL运维实战(2.3)MySQL的权限体系01-098.MySQL运维实战(2.4) SSL认证在MySQL中的应用01-109.MySQL运维实战(3.1) MySQL官方客户端使用介绍01-11

收起

作者:俊达

MySQL权限划分

MySQL权限按授权范围可以分为三大类:全局权限、数据库权限和对象权限。

全局权限主要用于管理系统模块,这些权限涵盖了对MySQL服务器整体的操作和管理,与具体的数据库或对象无关,因此在授权时需要指定为.
数据库权限是用于管理数据库,这些权限针对特定数据库,允许用户执行与该数据库相关的操作,例如创建、修改、删除数据库等。在授权时需指定database_name.*。
对象权限是用于管理数据库对象,涉及对具体数据库对象(如表、字段)的权限管理,允许用户对特定对象执行特定操作,例如对表进行查询、更新或删除操作。授权时需指定为database_name.table_name或database_name.table_name.column_name。

这种分类使得MySQL的权限管理更加灵活,可以根据实际需求精细地控制不同级别的权限,保障数据库安全性和管理的有效性。

MySQL各权限说明

权限名称 授权范围 描述
ALL 全局权限 实例所有权限
CREATE ROLE 全局权限 创建数据库角色
CREATE TABLESPACE 全局权限 创建表空间
CREATE USER 全局权限 创建数据库用户
DROP ROLE 全局权限 删除数据库角色
PROCESS 全局权限 查看实例中的所有session(show processlist)
默认只能看登录用户的session
PROXY 全局权限
RELOAD 全局权限 执行下面的操作需要reload权限
flush privileges
flush logs
REPLICATION CLIENT 全局权限 查看复制信息的权限(show slave status)
REOLICATION SLAVE 全局权限 复制权限(从主库复制数据)
SHUTDOWN 全局权限 关闭实例
SUPER 全局权限 超级权限
kill任何用户的session
修改参数
管理复制(start slave,change master等)
USAGE 全局权限 无任何权限
SHOW DATABASES 全局权限 查看数据库列表
show databases
CREATE 数据库权限 创建数据库、表
INDEX 对象权限 创建索引(create index)
CREATE VIEW 对象权限 创建视图
CREATE ROUTINE 数据库权限 创建存储过程、函数
DROP 数据库权限 删除表、视图、存储过程、触发器、定时任务
ALTER 对象权限 修改表结构和表的索引
即使没有index权限,也可以使用alter语句添加或删除索引
修改表名称时,同时需要drop权限
ALTER ROUTINE 对象权限 修改存储过程、函数
EVENT 全局权限 创建、删除调度任务
TRIGGER 对象权限 创建触发器的权限
SELECT 对象权限 查询数据
INSERT 对象权限 插入数据
UPDATE 对象权限 更新数据
DELETE 对象权限 删除数据
EXECUTE 对象权限 执行存储过程的权限
REFERENCE 数据库权限 外键引用权限
LOCK TABLES 数据库权限 执行lock tables权限,需要同时对表有select权限
SHOW VIEW 对象权限 查看视图定义(show create view)

一个例子:授权库不一致导致访问报错

1、创建账号并授权
授予账号(cc@%) select和create view的权限。

mysql> create database hello_db_x;
Query OK, 1 row affected (0.01 sec)

mysql> grant select on `hello\_db\_x`.* to 'cc'@'%' identified by '123';
Query OK, 0 rows affected, 1 warning (0.05 sec)

mysql> grant create view, show view on `hello_db_x`.* to 'cc'@'%';
Query OK, 0 rows affected (0.00 sec)

mysql> use hello_db_x;
Database changed
mysql> create table tx(a int);
Query OK, 0 rows affected (0.14 sec)

2、使用新账号登陆,创建视图
报没有create view的权限

root@box1 ~]# mysql -ucc -p123
mysql: [Warning] Using a password on the command line interface can be insecure.
Welcome to the MySQL monitor.  Commands end with ; or g.

mysql> show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| hello_db_x         |
+--------------------+
2 rows in set (0.00 sec)

mysql> use hello_db_x;


mysql> show tables;
+----------------------+
| Tables_in_hello_db_x |
+----------------------+
| tx                   |
+----------------------+
1 row in set (0.01 sec)

mysql> select * from tx;
Empty set (0.01 sec)


mysql> create or replace view v_xx as select * from tx;
ERROR 1142 (42000): CREATE VIEW command denied to user 'cc'@'localhost' for table 'v_xx'


mysql> show grants;
+------------------------------------------------------------+
| Grants for cc@%                                            |
+------------------------------------------------------------+
| GRANT USAGE ON *.* TO 'cc'@'%'                             |
| GRANT SELECT ON `hello\_db\_x`.* TO 'cc'@'%'               |
| GRANT CREATE VIEW, SHOW VIEW ON `hello_db_x`.* TO 'cc'@'%' |
+------------------------------------------------------------+

创建视图失败,但是通过show grants,可以看到账号有create view的权限。
3、分析原因
hello_db_x库存在2条授权记录,一条有select权限,但是没有create view权限,一条有create view权限,但是无select权限。
mysql使用没有create view权限的那条授权记录,导致create view失败。

mysql> select host, db, user, select_priv, create_view_priv, show_view_priv from mysql.db where user='cc';
+------+--------------+------+-------------+------------------+----------------+
| host | db           | user | select_priv | create_view_priv | show_view_priv |
+------+--------------+------+-------------+------------------+----------------+
| %    | hello_db_x   | cc   | N           | Y                | Y              |
| %    | hello\_db\_x | cc   | Y           | N                | N              |
+------+--------------+------+-------------+------------------+----------------+

4、解决: 重新授权,库名保持一致(包括转义符)

grant create view, show view on `hello\_db\_x`.* to 'cc'@'%';

select host, db, user, select_priv, create_view_priv, show_view_priv from mysql.db where user='cc';
+------+--------------+------+-------------+------------------+----------------+
| host | db           | user | select_priv | create_view_priv | show_view_priv |
+------+--------------+------+-------------+------------------+----------------+
| %    | hello_db_x   | cc   | N           | Y                | Y              |
| %    | hello\_db\_x | cc   | Y           | Y                | Y              |

账号和权限管理实践

以下是一些关于MySQL账号和权限管理的建议:

避免无密码和弱密码账号:
确保不使用没有密码或者弱密码的账号,可以利用validate_password插件来评估密码的强度,从而保证只有强密码被使用。
删除匿名用户: 删除所有用户名为空的匿名用户,以防止未经授权的访问。
最小权限原则: 按需分配权限,给予用户所需的最小权限。例如,对于只需要进行查询的账号,仅授予”select”权限。
区分业务账号权限:对于业务相关的账号,限制权限仅限于数据操作语言(DML)操作,如”insert”、”update”、”delete”、”select”、”lock tables”。通常不建议使用业务账号执行数据定义语言(DDL)操作(如”create”、”alter”、”drop”),以防止对数据库结构的意外更改。
创建专用的DBA账号: 为数据库管理员(DBA)创建单独的账号,赋予其DDL权限(如”create”、”drop”、”alter”等)。这种职责分离确保了管理任务与常规业务操作分离,增强了对数据库修改的安全性和控制。

这些措施可以有助于更好地保护MySQL数据库安全,并且有条不紊地管理账号和权限,减少潜在的安全风险。

© 版权声明

相关文章

暂无评论

您必须登录才能参与评论!
立即登录
暂无评论...