TiDB 用户账户管理

迈不过友情╰ 2023-06-19 02:16 52阅读 0赞

# 用户名和密码 #

TiDB 将用户账户存储在 `mysql.user` 系统表里面。每个账户由用户名和 host 作为标识。每个账户可以设置一个密码。

通过 MySQL 客户端连接到 TiDB 服务器，通过指定的账户和密码登录：

mysql --port 4000 --user xxx --password

例：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0l0aXNzb2hhcmR0b2c_size_16_color_FFFFFF_t_70]  
使用缩写的命令行参数则是：

mysql -P 4000 -u xxx -p

例：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0l0aXNzb2hhcmR0b2c_size_16_color_FFFFFF_t_70 1]

# 添加用户 #

添加用户有两种方式：

*  通过标准的用户管理的 SQL 语句创建用户以及授予权限，比如 `CREATE USER` 和 `GRANT`。
 *  直接通过 `INSERT`、`UPDATE` 和 `DELETE` 操作授权表。

推荐使用第一种方式。第二种方式修改容易导致一些不完整的修改，因此不推荐。还有另一种可选方式是使用第三方工具的图形化界面工具。

CREATE USER [IF NOT EXISTS]
        user [auth_spec] [, user [auth_spec]] ...

auth_spec: { 
        IDENTIFIED BY 'auth_string'
      | IDENTIFIED BY PASSWORD 'hash_string'
    }

*  `IDENTIFIED BY ‘auth_string’`：设置登录密码时，`auth_string` 会被 TiDB 经过加密存储在  
    `mysql.user` 表中。
 *  `IDENTIFIED BY PASSWORD ‘hash_string’`：设置登录密码，`hash_string` 是一个类似于  
    `*EBE2869D7542FCE37D1C9BBC724B97BDE54428F1` 的 41 位字符串，会被 TiDB 直接存储在 `mysql.user` 表中，该字符串可以通过 `SELECT password(‘auth_string’)` 加密得到。

CREATE USER 'test'@'127.0.0.1' IDENTIFIED BY 'xxx'; #test用户名 127.0.0.1允许访问的IP xxx密码

TiDB 的用户账户名由一个用户名和一个主机名组成。账户名的语法为 `‘user_name’@‘host_name’`。

*  `user_name` 大小写敏感。
 *  `host_name` 可以是一个主机名或 IP 地址。主机名或 IP 地址中允许使用通配符 `%` 和 `_`。例如，名为 `‘%’`  
    的主机名可以匹配所有主机，`‘192.168.1.%’` 可以匹配子网中的所有主机。

host 支持模糊匹配，比如：

CREATE USER 'test'@'192.168.100.%';

允许 `test` 用户从 `192.168.100` 子网的任何一个主机登录。

如果没有指定 host，则默认是所有 IP 均可登录。如果没有指定密码，默认为空：

CREATE USER 'test';

等价于：

CREATE USER 'test'@'%' IDENTIFIED BY '';

下面的例子用 `CREATE USER` 和 `GRANT` 语句创建了四个账户：

**1. 第一个**

mysql> CREATE USER 'test'@'192.168.100.%' IDENTIFIED BY '123456'; #创建用户名为test的用户，允许192.168.100.下面的所有ip登录，密码为123456 Query OK, 0 rows affected mysql> GRANT ALL PRIVILEGES ON *.* TO 'test'@'192.168.100.%' WITH GRANT OPTION; #为test授予所有权限 Query OK, 0 rows affected mysql> SHOW GRANTS FOR 'test'@'192.168.100.%'; #使用 SHOW GRANTS 可以看到为一个用户授予的权限： +-------------------------------------------------------------------------+ | Grants for test@192.168.100.% | +-------------------------------------------------------------------------+ | GRANT ALL PRIVILEGES ON *.* TO 'test'@'192.168.100.%' WITH GRANT OPTION |
    +-------------------------------------------------------------------------+
    1 row in set
    
    mysql>

再来查询一下所有用户：

select user,host from mysql.user;

+--------+---------------+
    | user   | host          |
    +--------+---------------+
    | root   | %             |
    | test   | %             |
    | test   | 192.168.100.% | ##刚刚添加进去的
    | wenxun | 192.168.100.% |
    +--------+---------------+
    4 rows in set

**2. 第二个**

mysql> CREATE USER 'angle'@'%' IDENTIFIED BY '123456'; #创建用户名为angle的用户，允许所有ip登录，密码为123456 Query OK, 0 rows affected mysql> GRANT ALL PRIVILEGES ON *.* TO 'angle'@'%' WITH GRANT OPTION; #为angle授予所有权限 Query OK, 0 rows affected mysql> SHOW GRANTS FOR 'angle'@'%'; #使用 SHOW GRANTS 可以看到为一个用户授予的权限 +--------------------------------------------------------------+ | Grants for angle@% | +--------------------------------------------------------------+ | GRANT ALL PRIVILEGES ON *.* TO 'angle'@'%' WITH GRANT OPTION |
    +--------------------------------------------------------------+
    1 row in set

再来查询一下所有用户：

select user,host from mysql.user;

+--------+---------------+
    | user   | host          |
    +--------+---------------+
    | angle  | %             |  #刚刚添加进去的
    | root   | %             |
    | test   | %             |
    | test   | 192.168.100.% |
    | wenxun | 192.168.100.% |
    +--------+---------------+
    5 rows in set

**3. 第三个**

mysql> CREATE USER 'admin'@'%' IDENTIFIED BY '123456'; #创建一个名为admin的用户，允许所有ip登录，设置密码为123456 Query OK, 0 rows affected mysql> GRANT RELOAD,PROCESS ON *.* TO 'admin'@'%'; #为admin用户设置RELOAD,PROCESS权限 Query OK, 0 rows affected mysql> SHOW GRANTS FOR 'admin'@'%'; #使用 SHOW GRANTS 可以看到为一个用户授予的权限 +-------------------------------------+ | Grants for admin@% | +-------------------------------------+ | GRANT Process ON *.* TO 'admin'@'%' |
    +-------------------------------------+
    1 row in set

再来查询一下所有用户：

select user,host from mysql.user;

+--------+---------------+
    | user   | host          |
    +--------+---------------+
    | admin  | %             |##刚刚添加的用户
    | angle  | %             |
    | root   | %             |
    | test   | %             |
    | test   | 192.168.100.% |
    | wenxun | 192.168.100.% |
    +--------+---------------+
    6 rows in set

**4. 第四个**

mysql> CREATE USER 'boss'@'%'; #创建一个名为boss的用户，允许所有ip登录，不设置密码。 Query OK, 0 rows affected mysql> GRANT RELOAD,PROCESS ON *.* TO 'boss'@'%'; #为boss用户设置reload,process权限。 Query OK, 0 rows affected mysql> SHOW GRANTS FOR 'boss'@'%'; #使用 SHOW GRANTS 可以看到为一个用户授予的权限 +------------------------------------+ | Grants for boss@% | +------------------------------------+ | GRANT Process ON *.* TO 'boss'@'%' |
    +------------------------------------+
    1 row in set

再来查询一下所有用户：

select user,host from mysql.user;

+--------+---------------+
    | user   | host          |
    +--------+---------------+
    | admin  | %             |
    | angle  | %             |
    | boss   | %             |  #刚刚添加的用户
    | root   | %             |
    | test   | %             |
    | test   | 192.168.100.% |
    | wenxun | 192.168.100.% |
    +--------+---------------+
    7 rows in set

###### 最后我们去`user`表中看一下到底有没有添加进去： ######

![在这里插入图片描述][20191204095911873.png]

###### 很显然我们都已经添加了进去！ ######

# 删除用户 #

使用 DROP USER 语句可以删除用户，例如：

DROP USER 'test'@'localhost';

这个操作会清除用户在 mysql.user 表里面的记录项，并且清除在授权表里面的相关记录。

例：我们删除一个没有密码的`test`用户

DROP USER 'test'@'%';
    Query OK, 0 rows affected

mysql> select user,host from mysql.user; 
    +--------+---------------+
    | user   | host          |
    +--------+---------------+
    | admin  | %             |
    | angle  | %             |
    | boss   | %             |
    | root   | %             |
    | test   | 192.168.100.% |
    | wenxun | 192.168.100.% |
    +--------+---------------+
    6 rows in set

![在这里插入图片描述][20191204100437256.png]  
已经删除！

# 保留用户账户 #

TiDB 在数据库初始化时会生成一个 `‘root’@’%’` 的默认账户。

# 设置资源限制 #

暂不支持。

# 设置密码 #

TiDB 将密码存在 `mysql.user` 系统数据库里面。只有拥有 `CREATE USER` 权限，或者拥有 `mysql` 数据库权限（`INSERT` 权限用于创建，`UPDATE` 权限用于更新）的用户才能够设置或修改密码。

*  在 `CREATE USER` 创建用户时可以通过 `IDENTIFIED BY` 指定密码：

CREATE USER 'test'@'localhost' IDENTIFIED BY 'mypass';

*  为一个已存在的账户修改密码，可以通过 `SET PASSWORD FOR` 或者 `ALTER USER` 语句完成：

SET PASSWORD FOR 'root'@'%' = 'xxx';

或者：

ALTER USER 'test'@'localhost' IDENTIFIED BY 'mypass';

例：修改用户名为boss的密码，修改密码为boss

mysql> SET PASSWORD FOR 'boss'@'%' = 'boss';
    Query OK, 0 rows affected

直接在`user`表中看一下有什么不一样  
![在这里插入图片描述][2019120410121193.png]  
再来更改用户名为boss的密码，修改密码为123456

mysql> SET PASSWORD FOR 'boss'@'%' = '123456';
    Query OK, 0 rows affected

直接在`user`表中看一下有什么不一样  
![在这里插入图片描述][20191204101334951.png]

# 忘记 `root` 密码 #

1.  修改配置文件，在 `security` 部分添加 `skip-grant-table`：

[security]
    skip-grant-table = true

1.  然后使用 `root` 登录后修改密码：

mysql -h 127.0.0.1 -P 4000 -u root

# FLUSH PRIVILEGES #

如果授权表已被直接修改，运行如下命令可使改动立即生效：

FLUSH PRIVILEGES;

详情参见[TiDB数据库权限管理][TiDB]。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0l0aXNzb2hhcmR0b2c_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20191203202734898.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0l0aXNzb2hhcmR0b2c=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0l0aXNzb2hhcmR0b2c_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20191203202900895.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0l0aXNzb2hhcmR0b2c=,size_16,color_FFFFFF,t_70
[20191204095911873.png]: https://img-blog.csdnimg.cn/20191204095911873.png
[20191204100437256.png]: https://img-blog.csdnimg.cn/20191204100437256.png
[2019120410121193.png]: https://img-blog.csdnimg.cn/2019120410121193.png
[20191204101334951.png]: https://img-blog.csdnimg.cn/20191204101334951.png
[TiDB]: https://blog.csdn.net/Itissohardtog/article/details/103382358