• 18.3 管理用户以及授权

    18.3 管理用户以及授权

    在生产环境中总不能一直“死啃”root管理员。为了保障数据库系统的安全性，以及让其他用户协同管理数据库，我们可以在MariaDB数据库管理系统中为他们创建多个专用的数据库管理账户，然后再分配合理的权限，以满足他们的工作需求。为此，可使用root管理员登录数据库管理系统，然后按照“CREATE USER 用户名@主机名 IDENTIFIED BY '密码'; ”的格式创建数据库管理账户。再次提醒大家，一定不要忘记每条数据库命令后面的分号（;）。

    1. MariaDB [(none)]> CREATE USER luke@localhost IDENTIFIED BY 'linuxprobe';
    2. Query OK, 0 rows affected (0.00 sec)

    创建的账户信息可以使用select命令语句来查询。下面命令查询的是账户luke的主机名称、账户名称以及经过加密的密码值信息：

    1. MariaDB [(none)]> use mysql
    2. Reading table information for completion of table and column names
    3. You can turn off this feature to get a quicker startup with -A
    4. Database changed
    5. MariaDB [mysql]> SELECT HOST,USER,PASSWORD FROM user WHERE USER="luke";
    6. +-----------+------+-------------------------------------------+
    7. | host      | user | password                                  |
    8. +-----------+------+-------------------------------------------+
    9. | localhost | luke | *55D9962586BE75F4B7D421E6655973DB07D6869F |
    10. +-----------+------+-------------------------------------------+

    不过，用户luke仅仅是一个普通账户，没有数据库的任何操作权限。不信的话，可以切换到luke账户来查询数据库管理系统中当前都有哪些数据库。可以发现，该账户甚至没法查看完整的数据库列表（刚才使用root账户时可以查看到3个数据库列表）：

    1. MariaDB [mysql]> exit
    2. Bye
    3. [root@linuxprobe ~]# mysql -u luke -p
    4. Enter password: 此处输入luke账户的数据库密码
    5. Welcome to the MariaDB monitor.  Commands end with ; or \g.
    6. Your MariaDB connection id is 6
    7. Server version: 5.5.35-MariaDB MariaDB Server
    8. Copyright (c) 2000, 2013, Oracle, Monty Program Ab and others.
    9. Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.
    10. MariaDB [(none)]> show databases;
    11. +--------------------+
    12. | Database           |
    13. +--------------------+
    14. | information_schema |
    15. +--------------------+
    16. 1 row in set (0.03 sec)

    数据库管理系统所使用的命令一般都比较复杂。我们以grant命令为例进行说明。grant命令用于为账户进行授权，其常见格式如表18-1所示。在使用grant命令时需要写上要赋予的权限、数据库及表单名称，以及对应的账户及主机信息。其实，只要理解了命令中每个字段的功能含义，也就不觉得命令复杂难懂了。

    表18-1 GRANT命令的常见格式以及解释

    命令作用
    GRANT 权限 ON 数据库.表单名称 TO 用户名@主机名对某个特定数据库中的特定表单给予授权
    GRANT 权限 ON 数据库. TO 用户名@主机名对某个特定数据库中的所有表单给予授权
    GRANT 权限 ON . TO 用户名@主机名对所有数据库及所有表单给予授权
    GRANT 权限1,权限2 ON 数据库. TO 用户名@主机名对某个数据库中的所有表单给予多个授权
    GRANT ALL PRIVILEGES ON . TO 用户名@主机名对所有数据库及所有表单给予全部授权（需谨慎操作）

    当然，账户的授权工作肯定是需要数据库管理员来执行的。下面以root管理员的身份登录到数据库管理系统中，针对mysql数据库中的user表单向账户luke授予查询、更新、删除以及插入等权限。

    刘遄老师特别懂同学们现在心里想的是什么~哈哈，我起初也觉得在每条数据库命令后都要加上;（分号）来结束特别的不方便，时常还会忘记，但敲的命令多了也就自然习惯了。授权操作执行后来查看下luke用户的权限吧：

    1. [root@linuxprobe ~]# mysql -u root -p
    2. Enter password:此处输入root管理员在数据库中的密码
    3. MariaDB [(none)]> use mysql;
    4. Reading table information for completion of table and column names
    5. You can turn off this feature to get a quicker startup with -A
    6. Database changed
    7. MariaDB [mysql]> GRANT SELECT,UPDATE,DELETE,INSERT ON mysql.user TO luke@localhost;
    8. Query OK, 0 rows affected (0.00 sec)

    在执行完上述授权操作之后，我们再查看一下账户luke的权限：

    1. MariaDB [(none)]>  SHOW GRANTS FOR luke@localhost;
    2. +-------------------------------------------------------------------------------------------------------------+
    3. | Grants for luke@localhost |
    4. +-------------------------------------------------------------------------------------------------------------+
    5. | GRANT USAGE ON *.* TO 'luke'@'localhost' IDENTIFIED BY PASSWORD '*55D9962586BE75F4B7D421E6655973DB07D6869F' |
    6. | GRANT SELECT, INSERT, UPDATE, DELETE ON `mysql`.`user` TO 'luke'@'localhost' |
    7. +-------------------------------------------------------------------------------------------------------------+
    8. 2 rows in set (0.00 sec)

    上面输出信息中显示账户luke已经拥有了针对mysql数据库中user表单的一系列权限了。这时我们再切换到账户luke，此时就能够看到mysql数据库了，而且还能看到表单user（其余表单会因无权限而被继续隐藏）：

    1. [root@linuxprobe ~]# mysql -u luke -p
    2. Enter password:此处输入luke用户在数据库中的密码
    3. MariaDB [(none)]> show databases;
    4. +--------------------+
    5. | Database           |
    6. +--------------------+
    7. | information_schema |
    8. | mysql              |
    9. +--------------------+
    10. 2 rows in set (0.01 sec)
    11. MariaDB [(none)]> use mysql
    12. Reading table information for completion of table and column names
    13. You can turn off this feature to get a quicker startup with -A
    14. Database changed
    15. MariaDB [mysql]> SHOW TABLES;
    16. +-----------------+
    17. | Tables_in_mysql |
    18. +-----------------+
    19. | user            |
    20. +-----------------+
    21. 1 row in set (0.01 sec)
    22. MariaDB [mysql]> exit
    23. Bye

    大家不要心急，我们接下来会慢慢学习数据库内容的修改方法。当前，先切换回root账户，移除刚才的授权。

    1. [root@linuxprobe ~]# mysql -u root -p
    2. Enter password:此处输入root管理员在数据库中的密码
    3. MariaDB [(none)]> use mysql;
    4. Reading table information for completion of table and column names
    5. You can turn off this feature to get a quicker startup with -A
    6. Database changed
    7. MariaDB [(none)]> REVOKE SELECT,UPDATE,DELETE,INSERT ON mysql.user FROM luke@localhost;
    8. Query OK, 0 rows affected (0.00 sec)

    可以看到，除了移除授权的命令（revoke）与授权命令（grant）不同之外，其余部分都是一致的。这不仅好记而且也容易理解。执行移除授权命令后，再来查看账户luke的信息：

    1. MariaDB [(none)]> SHOW GRANTS FOR luke@localhost;
    2. +-------------------------------------------------------------------------------------------------------------+
    3. | Grants for luke@localhost |
    4. +-------------------------------------------------------------------------------------------------------------+
    5. | GRANT USAGE ON *.* TO 'luke'@'localhost' IDENTIFIED BY PASSWORD '*55D9962586BE75F4B7D421E6655973DB07D6869F' |
    6. +-------------------------------------------------------------------------------------------------------------+
    7. 1 row in set (0.00 sec)

    出现问题?大胆提问!

    因读者们硬件不同或操作错误都可能导致实验配置出错，请耐心再仔细看看操作步骤吧，不要气馁~

    Linux技术交流请加A群：560843(满)，B群：340829(推荐)，C群：463590（推荐），点此查看全国群。

    *本群特色：通过口令验证确保每一个群员都是《Linux就该这么学》的读者，答疑更有针对性，不定期免费领取定制礼品。