TiDB ユーザー アカウント管理
このドキュメントでは、TiDB ユーザー アカウントを管理する方法について説明します。
ユーザー名とパスワード
TiDB は、ユーザー アカウントをmysql.userシステム データベースのテーブルに格納します。各アカウントは、ユーザー名とクライアント ホストによって識別されます。各アカウントにはパスワードが設定されている場合があります。
MySQL クライアントを使用して TiDBサーバーに接続し、指定したアカウントとパスワードを使用してログインできます。各ユーザー名は、32 文字以内である必要があります。
mysql --port 4000 --user xxx --password
または、コマンド ライン パラメータの省略形を使用します。
mysql -P 4000 -u xxx -p
ユーザー アカウントを追加する
TiDB アカウントは次の 2 つの方法で作成できます。
CREATE USERやGRANTなど、アカウントの作成と権限の確立を目的とした標準のアカウント管理 SQL ステートメントを使用する。INSERT、UPDATE、またはDELETEなどのステートメントを使用して特権テーブルを直接操作する。この方法を使用してアカウントを作成することはお勧めしません。更新が不完全になる可能性があるためです。
サードパーティの GUI ツールを使用してアカウントを作成することもできます。
CREATE USER [IF NOT EXISTS] user [IDENTIFIED BY 'auth_string'];
パスワードを割り当てた後、TiDB はauth_string暗号化してmysql.userテーブルに格納します。
CREATE USER 'test'@'127.0.0.1' IDENTIFIED BY 'xxx';
TiDB アカウントの名前は、ユーザー名とホスト名で構成されます。アカウント名の構文は、'user_name'@'host_name' です。
user_nameは大文字と小文字が区別されます。host_nameは、ワイルドカード%または_をサポートするホスト名または IP アドレスです。たとえば、ホスト名'%'すべてのホストに一致し、ホスト名'192.168.1.%'サブネット内のすべてのホストに一致します。
ホストはあいまい一致をサポートしています。
CREATE USER 'test'@'192.168.10.%';
testユーザーは、 192.168.10サブネット上の任意のホストからログインできます。
ホストが指定されていない場合、ユーザーは任意の IP からログインできます。パスワードが指定されていない場合、デフォルトは空のパスワードです。
CREATE USER 'test';
に相当：
CREATE USER 'test'@'%' IDENTIFIED BY '';
指定されたユーザーが存在しない場合、ユーザーの自動作成の動作はsql_modeに依存します。 sql_modeにNO_AUTO_CREATE_USERが含まれている場合、 GRANTステートメントはユーザーを作成せず、エラーが返されます。
たとえば、 sql_modeにNO_AUTO_CREATE_USER含まれず、次のCREATE USERおよびGRANTステートメントを使用して 4 つのアカウントを作成するとします。
CREATE USER 'finley'@'localhost' IDENTIFIED BY 'some_pass';
GRANT ALL PRIVILEGES ON *.* TO 'finley'@'localhost' WITH GRANT OPTION;
CREATE USER 'finley'@'%' IDENTIFIED BY 'some_pass';
GRANT ALL PRIVILEGES ON *.* TO 'finley'@'%' WITH GRANT OPTION;
CREATE USER 'admin'@'localhost' IDENTIFIED BY 'admin_pass';
GRANT RELOAD,PROCESS ON *.* TO 'admin'@'localhost';
CREATE USER 'dummy'@'localhost';
アカウントに付与された権限を確認するには、 SHOW GRANTSステートメントを使用します。
SHOW GRANTS FOR 'admin'@'localhost';
+-----------------------------------------------------+
| Grants for admin@localhost |
+-----------------------------------------------------+
| GRANT RELOAD, PROCESS ON *.* TO 'admin'@'localhost' |
+-----------------------------------------------------+
ユーザー アカウントを削除する
ユーザー アカウントを削除するには、 DROP USERステートメントを使用します。
DROP USER 'test'@'localhost';
この操作により、 mysql.userテーブル内のユーザーのレコードと権限テーブル内の関連レコードがクリアされます。
予約済みユーザー アカウント
TiDB は、データベースの初期化中に'root'@'%'デフォルト アカウントを作成します。
アカウントのリソース制限を設定する
現在、TiDB はアカウント リソース制限の設定をサポートしていません。
アカウントのパスワードを割り当てる
TiDB はパスワードをmysql.userシステム データベースに格納します。パスワードを割り当てたり更新したりする操作は、 CREATE USER権限、またはmysqlデータベースの権限( INSERT新しいアカウントを作成する権限、 UPDATE既存のアカウントを更新する権限) を持つユーザーにのみ許可されます。
新しいアカウントを作成するときにパスワードを割り当てるには、
CREATE USER使用し、IDENTIFIED BY句を含めます。CREATE USER 'test'@'localhost' IDENTIFIED BY 'mypass';既存のアカウントのパスワードを割り当てるか変更するには、
SET PASSWORD FORまたはALTER USERを使用します。SET PASSWORD FOR 'root'@'%' = 'xxx';または：
ALTER USER 'test'@'localhost' IDENTIFIED BY 'mypass';
rootパスワードを忘れる
構成ファイルを変更します。
tidb-server インスタンスの 1 つが配置されているマシンにログインします。
TiDB ノード展開ディレクトリの下にある
confディレクトリに入り、tidb.toml構成ファイルを見つけます。構成ファイルの
securityセクションに構成項目skip-grant-tableを追加します。securityセクションがない場合は、次の 2 行を tidb.toml 構成ファイルの末尾に追加します。[security] skip-grant-table = true
tidb-server プロセスを停止します。
tidb-server プロセスをビュー。
ps aux | grep tidb-servertidb-server に対応するプロセス ID (PID) を見つけ、
killコマンドを使用してプロセスを停止します。kill -9 <pid>
変更した構成を使用して TiDB を開始します。
ノート：
TiDB プロセスを開始する前に
skip-grant-tableを設定すると、オペレーティング システム ユーザーのチェックが開始されます。オペレーティング システムのrootユーザーのみが TiDB プロセスを開始できます。TiDB ノードの配置ディレクトリの下にある
scriptsディレクトリを入力します。オペレーティング システムの
rootアカウントに切り替えます。フォアグラウンドのディレクトリで
run_tidb.shスクリプトを実行します。新しいターミナル ウィンドウで
rootとしてログインし、パスワードを変更します。mysql -h 127.0.0.1 -P 4000 -u root
run_tidb.shスクリプトの実行を停止し、ステップ 1 で TiDB 構成ファイルに追加されたコンテンツを削除し、tidb-server が自動的に開始するのを待ちます。
FLUSH PRIVILEGES
ユーザーと権限に関連する情報は TiKVサーバーに保存され、TiDB はこの情報をプロセス内にキャッシュします。一般に、 CREATE USER 、 GRANT 、およびその他のステートメントによる関連情報の変更は、クラスター全体ですぐに反映されます。ネットワークが一時的に利用できないなどの影響があった場合は、TiDB が定期的にキャッシュ情報をリロードするため、約 15 分で変更が反映されます。
特権テーブルを直接変更した場合は、次のコマンドを実行して変更をすぐに適用します。
FLUSH PRIVILEGES;
詳細については、 権限管理を参照してください。