[[404838]]

數據庫里對應的權限都可以指定賦予，那么角色的作用是什么?

數據庫里角色是一個命名的權限集合，為了對許多擁有相似權限的用戶進行分類管理，定義了角色的概念。與用戶賬戶一樣，角色可以具有授予和撤銷它們的特權。

比如：當多個用戶分配復雜又細致的權限時，角色的作用就體現出來了。就是把一堆權限給一個角色，新用戶只要使用這個角色，就能有對應的權限了。本文將探討MySQL 8.0里角色是怎樣實現的。

角色相關命令和配置方式：

1.命令接口：

2.my.cnf配置參數：

角色和用戶區別

1.不論創建用戶還是角色都是在mysql.user表里：

備注：區別在于account_locked，password_expired

2.查了對應的mysql庫發現沒有特別的role相關的表，那是否可以理解 role其實也是用戶，只是沒有密碼和鎖住無法登錄。

ALTER USER 'role_developer'@'%' IDENTIFIED BY '123456'; 
ALTER USER 'role_developer'@'%' ACCOUNT UNLOCK; 

備注：role賬號，發現可以正常登錄。到這里可以大致理解，實際上角色和用戶都是相等的。只是通過關系綁在一起。算是打破了常理，方式值得借鑒和學習。

看到這里，還是比較簡單易懂的，大致都有了解。下面是練習SQL語句。

例子

1.創建角色

mysql> 
DROP ROLE IF EXISTS  'role_developer'@'%' ,'role_read'@'%' ,'role_write'@'%' ; 
CREATE ROLE 'role_developer'@'%', 'role_read'@'%', 'role_write'@'%'          ; 

2.賦予權限

mysql> 
GRANT ALL ON world.* TO 'role_developer'; 
GRANTSELECTON world.* TO'role_read'; 
GRANTINSERT, UPDATE, DELETEON world.* TO'role_write'; 

3.創建用戶

mysql> 
DROP USER IF EXISTS  'user_dev'@'%' , 'user_read'@'%' ,'user_write'@'%'    ; 
CREATE USER 'user_dev'@'%'   IDENTIFIED BY '123456' ;  
CREATE USER 'user_read'@'%'  IDENTIFIED BY '123456' ;  
CREATE USER 'user_write'@'%' IDENTIFIED BY '123456' ; 

4.查詢用戶表狀態

mysql> 
SELECT  user,host,account_locked,password_expired  
FROM mysql.user WHERE user LIKE 'user_%' OR user LIKE 'role_%'; 

5.角色授予和撤銷:

mysql> 
GRANT 'role_developer'@'%' TO 'user_dev'@'%'; 
GRANT 'role_developer'@'%' TO 'user_read'@'%'  WITH ADMIN OPTION; 
GRANT 'role_write'@'%'     TO 'user_write'@'%' WITH admin OPTION; 
 
##回收角色 
# REVOKE 'role_developer'@'%' FROM  'user_dev'@'%'; 
# REVOKE 'role_developer'@'%' FROM  'user_read'@'%'; 
# REVOKE 'role_write'@'%'     FROM  'user_write'@'%'; 

6.激活ROLE

mysql> 
SET DEFAULT ROLE ALL TO  'user_dev'@'%'; 
SET DEFAULT ROLE ALL TO  'user_read'@'%'; 
SET DEFAULT ROLE ALL TO  'user_write'@'%'; 

可以用user賬號登錄操作了。

7.ROLE操作

mysql> 
SET ROLE NONE;                     #無角色  
SET ROLE ALL EXCEPT 'role_write';  #除已命名的角色外的所有角色             
SET ROLE ALL;                      #所有角色。 
SELECT CURRENT_ROLE();             #當前角色   

8.強制給所有用戶賦予角色，啟動角色方式

mysql> 
SET PERSIST mandatory_roles = 'role1,role2@%,r3@%.example.com'; 
SET PERSIST activate_all_roles_on_login = ON; 
[msyqld] 
mandatory_roles='role_developer' 
activate_all_roles_on_login = ON 
activate_all_roles_on_login： 

服務器會在登錄時激活每個帳戶的所有角色。這優先于使用SET default ROLE指定的默認角色。對于在定義器上下文中執行的存儲程序和視圖，也只在開始執行時應用。

9.其他

ROLES_GRAPHML:返回utf8字符串xml(graphml)有用戶信息，應該用戶api接口擴展。

mysql>SELECT ROLES_GRAPHML() 

總結：

便利用戶分類管理，實際場景用的不多。

角色和用戶是可互通的。

參考：

https://dev.mysql.com/doc/refman/8.0/en/roles.html

墨天輪原文鏈接：https://www.modb.pro/db/688988

關于作者

崔虎龍，云和恩墨MySQL技術顧問，長期服務于金融、游戲、物流等行業的數據中心，設計數據存儲架構，并熟悉數據中心運營管理的流程及規范，自動化運維等。擅長MySQL、Redis、MongoDB數據庫高可用設計和運維故障處理、備份恢復、升級遷移、性能優化。自學通過了MySQL OCP 5.6和MySQL OCP 5.7認證。2年多開發經驗，10年數據庫運維工作經驗，其中專職做MySQL工作8年;曾經擔任過項目經理、數據庫經理、數據倉庫架構師、MySQL技術專家、DBA等職務;涉及行業：金融(銀行、理財)、物流、游戲、醫療、重工業等。