**前言：**

上篇文章，我們介紹了 MySQL 許可權管理相關知識。當資料庫例項中存在大量的庫或使用者時，許可權管理將會變得越來越繁瑣，可能要頻繁進行許可權變更。MySQL 8.0 新增了 role 功能，使得許可權管理更加方便，本篇文章我們來看下 8.0 下的 role 功能。

#### 1. role 簡介

role 角色功能對於 Oracle 資料庫來說不算是什麼特殊，在 Oracle 中經常被用到。MySQL 8.0 版本終於新增了 role 功能，為資料庫使用者許可權管理提供了一種新思路。

role 可以看做一個許可權的集合，這個集合有一個統一的名字 role 名。可以給多個資料庫使用者授予同個 role 的許可權，許可權變更可直接透過修改 role 來實現，不需要每個使用者一個一個的去變更，方便運維和管理。role 可以建立、刪除、修改並作用到它管理的使用者上。

下面我們具體來體驗下 role 角色功能：

```sql
# 建立role
mysql> create role 'dev_role';
Query OK, 0 rows affected (0.15 sec)

# 給role授予許可權
mysql> grant select on db1.* to 'dev_role'@'%';
Query OK, 0 rows affected (0.12 sec)

# 檢視role的許可權
mysql> show grants for 'dev_role'@'%';
+-------------------------------------------+
| Grants for dev_role@%                     |
+-------------------------------------------+
| GRANT USAGE ON *.* TO `dev_role`@`%`      |
| GRANT SELECT ON `db1`.* TO `dev_role`@`%` |
+-------------------------------------------+

# 建立使用者 並賦予角色許可權
mysql> create user 'dev1'@'%' identified by '123456';
Query OK, 0 rows affected (0.68 sec)

mysql> grant 'dev_role' to 'dev1'@'%';
Query OK, 0 rows affected (0.38 sec)

# 檢視使用者許可權
mysql> show grants for 'dev1'@'%';
+------------------------------------+
| Grants for dev1@%                  |
+------------------------------------+
| GRANT USAGE ON *.* TO `dev1`@`%`   |
| GRANT `dev_role`@`%` TO `dev1`@`%` |
+------------------------------------+
2 rows in set (0.63 sec)

# 使用dev1使用者登入
root@localhost ~]# mysql -udev1 -p123456

mysql> show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
+--------------------+
1 row in set (0.34 sec)

mysql> select CURRENT_ROLE();
+----------------+
| CURRENT_ROLE() |
+----------------+
| NONE           |
+----------------+
1 row in set (0.59 sec)
```

什麼情況？貌似和我們想象不同，賦予使用者某個角色許可權後，該使用者並沒有獲得相應許可權。

出現上述情況的原因是，在使用者會話中，授予該使用者的角色處於非活動狀態。只有授予的角色在會話中處於活動狀態時，該使用者才擁有此角色的許可權，要確定當前會話中哪些角色處於活動狀態，可以使用 CURRENT_ROLE() 函式。

```sql
# 使用 set default role 命令啟用角色
mysql> SET DEFAULT ROLE ALL TO dev1;
Query OK, 0 rows affected (0.77 sec)

# 重新登入 發現許可權正常
root@localhost ~]# mysql -udev1 -p123456

mysql> select CURRENT_ROLE();
+----------------+
| CURRENT_ROLE() |
+----------------+
| `dev_role`@`%` |
+----------------+
1 row in set (0.57 sec)

除了使用 set default role 命令啟用角色外，還可以修改系統變數 activate_all_roles_on_login ，該變數決定是否自動啟用 role ，預設為 OFF 即不自動啟用，建議將該變數改為 ON ，這樣以後賦予角色給新使用者後就不需要再手動啟用了。

```sql
# 檢視 activate_all_roles_on_login 變數
mysql> show variables like 'activate_all_roles_on_login';
+-----------------------------+-------+
| Variable_name               | Value |
+-----------------------------+-------+
| activate_all_roles_on_login | OFF   |
+-----------------------------+-------+
1 row in set (1.53 sec)

# 啟用該變數 先動態啟用 之後可以將此引數加入my.cnf配置檔案中
mysql> set global activate_all_roles_on_login = on;
Query OK, 0 rows affected (0.50 sec)

# 之後角色就會自動啟用
mysql> create user 'dev2'@'%' identified by '123456';
Query OK, 0 rows affected (0.68 sec)

mysql> grant 'dev_role' to 'dev2'@'%';
Query OK, 0 rows affected (0.38 sec)

root@localhost ~]# mysql -udev2 -p123456

mysql> select CURRENT_ROLE();
+----------------+
| CURRENT_ROLE() |
+----------------+
| `dev_role`@`%` |
+----------------+
1 row in set (0.57 sec)

#### 2. role 相關操作

上面我們介紹了建立角色及給使用者授予角色許可權，關於 role 相關操作還有很多，我們接著來看下。

```sql
# 變更角色許可權
mysql> grant select on db2.* to 'dev_role'@'%';
Query OK, 0 rows affected (0.33 sec)

# 擁有該角色的使用者 重新登入後許可權也會對應變化
root@localhost ~]# mysql -udev1 -p123456

mysql> show databases;
+--------------------+
| Database           |
+--------------------+
| db1                |
| db2                |
| information_schema |
+--------------------+
3 rows in set (2.01 sec)

# 回收角色許可權
mysql> revoke SELECT ON db2.* from 'dev_role'@'%';
Query OK, 0 rows affected (0.31 sec)

# 撤銷使用者的角色
mysql> revoke 'dev_role'@'%' from 'dev1'@'%';
Query OK, 0 rows affected (0.72 sec)

mysql> show grants for 'dev1'@'%';
+----------------------------------+
| Grants for dev1@%                |
+----------------------------------+
| GRANT USAGE ON *.* TO `dev1`@`%` |
+----------------------------------+
1 row in set (1.06 sec)

# 刪除角色 (刪除角色後 對應的使用者也會失去該角色的許可權)
mysql> drop role dev_role;
Query OK, 0 rows affected (0.89 sec)
```

我們還可以透過 mandatory_roles 變數來配置強制性角色。使用強制性角色，伺服器會為全部的使用者戶預設賦予該角色，而不需要顯示執行授予角色。可以使用 my.cnf 檔案或者使用 SET PERSIST 進行配置，例如：

```sql
# my.cnf 配置
[mysqld]
mandatory_roles='dev_role'

# set 更改變數
SET PERSIST mandatory_roles = 'dev_role';
```

需要注意的是，配置在 mandatory_roles 中的角色不能撤銷其許可權，也不能刪除。

**總結：**

關於 role 角色相關知識，簡單總結幾點如下：

- role 是一個許可權的集合，可以被賦予不同許可權。
- 開啟 activate_all_roles_on_login 變數，才可以自動啟用角色。
- 一個使用者可以擁有多個角色，一個角色也可以授予多個使用者。
- 角色許可權變化會應用到對應使用者。
- 刪除角色，則擁有此角色的使用者也會喪失此角色的許可權。
- 可設定強制性角色，使得所有使用者都擁有此角色的許可權。
- 角色管理和使用者管理相似，只是角色不能用於登入資料庫。

MySQL角色(role)功能介紹

相關文章