私と尘测蝉辩濒と搁翱尝贰
- 1. 私とMySQLとROLE MySQL Casual Talks vol.12 @lhfukamachi 1
- 2. 自己紹介 $ cat /etc/lhfukamachi/lhfukamachi-auto.cnf | jq { "Version": 0.0.5, "lhfukamachi": { "Metadata": { "BirthDay" : 622134000, "attribute" : "渋谷で働く見習いDBA", "Twitter" : "@lhfukamachi" } } 2
- 4. ROLE? 4
- 8. GRANT文一発でいけるかな mysql> SELECT @@version; +-----------+ | @@version | +-----------+ | 8.0.17 | +-----------+ 1 row in set (0.00 sec) おっ… 8
- 9. これはもしや… ですよね…: mysql> SELECT * FROM role_edges; +-----------+---------------+---------------+------------+------ | FROM_HOST | FROM_USER | TO_HOST | TO_USER | WITH_ +-----------+---------------+---------------+------------+------ | % | ro_role | % | rw_role | N | % | rw_role | % | app_user | N +-----------+---------------+---------------+------------+------ 2 rows in set (0.01 sec) 9
- 10. 「ROLEだ！！！」 10
- 13. 実はROLE全然怖くない 13
- 15. 管理編 15
- 16. 管理編 追加と削除 CREATE ROLE <ROLE_NAME> DROP ROLE <ROLE_NAME> カンマ区切りで複数同時作成/削除ができる。 mysql> CREATE ROLE role1, role2, role3; Query OK, 0 rows affected (0.01 sec) mysql> DROP ROLE role1, role2, role3; Query OK, 0 rows affected (0.16 sec) ちなみに権限があればDROP ROLEでユーザー削除できるし、 DROP USERでROLEを削除できてしまう。 16
- 17. 管理編 権限付与と剥奪 作ったROLEはGRANT文で権限を付与する。 付与した権限はREVOKE文で剥奪できる。 GRANT <権限> on d1.* TO <ROLE_NAME>; ROVOKE <権限> on d1.* FROM <ROLE_NAME>; 17
- 18. 管理編 ROLEの権限の確認 ユーザーの権限確認と同じようにSHOW GRANTS構 文 '%' がない場合は勝手に付与される mysql> SHOW GRANTS FOR ro_role; +-----------------------------------------+ | Grants for ro_role@% | +-----------------------------------------+ | GRANT USAGE ON *.* TO `ro_role`@`%` | | GRANT SELECT ON `d1`.* TO `ro_role`@`%` | +-----------------------------------------+ 18
- 19. 運用編 19
- 20. 運用編 ROLEの有効化 SET ROLE <ROLE名> 付与しただけでは利用できない。SET ROLE構文で有効化する必 要あり。 SET ROLE DEFAULT SET ROLE ALL SET ROLE ALL EXCEPT <ROLE_NAME> SET ROLE NONE; <ROLE_NAME>はカンマ区切りで複数指定可能 20
- 21. 運用編 SET DEFAULT ROLE <ROLE名> TO user@host; デフォルトで有効化するROLEを指定できる。 デフォルトとはサーバーに接続，認証した時，SET ROLE DEFAUL構文 SET DEFAULT ROLE NONE TO user@host; SET DEFAULT ROLE ALL TO user@host; ROLEもユーザーもカンマ区切りで複数指定可能。 21
- 22. ※それにしてもSET ROLE DEFAULTとSET DEFAULT ROLEがややこしい… 22
- 23. 運用編 CURRENT_ROLE() ログインしているユーザーの現在のROLEを確認す る > SELECT current_role(); +----------------+ | current_role() | +----------------+ | `ro_role`@`%` | +----------------+ 1 row in set (0.02 sec) 23
- 24. 運用編 mandatory_roles 全ユーザーに付与されるROLE my.cnfに記述するか、SET GLOBAL/PERSISTで付与 できる mandadory_rolesに設定されているROLEは削除でき ない。 mysql> DROP ROLE ro_role; ERROR 3628 (HY000): The role `ro_role`@`%` is a mandatory role and can't be revoked or dropped. The restriction can be lifted by excluding the role identifier from the global variable mandatory_roles. 24
- 26. 運用編 利用しているROLEの一覧をみたい mysqlスキーマのROLE_EDGESを確認。誰がどの ROLEを付与しているか確認できる。 mysql.userテーブルにもROLEは入っているが、通常のユーザーも混じ っている。 > SELECT concat(from_user,'@',from_host) as USER > ,concat(to_user,'@',to_host) as ROLE > ,with_admin_option FROM mysql.role_edges; +------------------+---------------+-------------------+ | USER | ROLE | with_admin_option | +------------------+---------------+-------------------+ | app_developer@% | dev1@localhost| N | +------------------+---------------+-------------------+ 26
- 27. 運用編 defaultのROLEを確認したい mysql.default_rolesを確認する mysql> SELECT concat(user,'@',host) as USER , > concat(default_role_user,'@',default_role_host) > as ROLE FROM mysql.default_roles; +-------------------------+-----------+ | USER | ROLE | +-------------------------+-----------+ | test_user@% | rw_role@% | | test_user@192.168.198.1 | rw_role@% | | test_user@localhost | ro_role@% | | test_user@localhost | rw_role@% | +-------------------------+-----------+ 27
- 28. 発展編?? 28
- 29. 発展編?? 新たなユーザーへのROLEの付与 5.7ではCREATE USERしてGRANT文で権限付与し ていた。 8.0でROLEを利用している場合はDEFAULT ROLE を付与して1文でユーザー作成と権限付与ができ る。 mysql> CREATE USER test_user@'%' IDENTIFIED BY 'test_user' > DEFAULT ROLE rw_role; Query OK, 0 rows affected (0.00 sec) 29
- 32. ね、怖くないでしょ？ 32