13.7.1.4 GRANT 구문

GRANT
    priv_type [(column_list)]
      [, priv_type [(column_list)]] ...
    ON [object_type] priv_level
    TO user_specification [, user_specification] ...
    [REQUIRE {NONE | ssl_option [[AND] ssl_option] ...}]
    [WITH {GRANT OPTION | resource_option} ...]

GRANT PROXY ON user_specification
    TO user_specification [, user_specification] ...
    [WITH GRANT OPTION]

object_type: {
    TABLE
  | FUNCTION
  | PROCEDURE
}

priv_level: {
    *
  | *.*
  | db_name.*
  | db_name.tbl_name
  | tbl_name
  | db_name.routine_name
}

user_specification:
    user [ auth_option ]

auth_option: {
    IDENTIFIED BY 'auth_string'
  | IDENTIFIED BY PASSWORD 'hash_string'
  | IDENTIFIED WITH auth_plugin
  | IDENTIFIED WITH auth_plugin AS 'hash_string'
}

ssl_option: {
    SSL
  | X509
  | CIPHER 'cipher'
  | ISSUER 'issuer'
  | SUBJECT 'subject'
}

resource_option: {
  | MAX_QUERIES_PER_HOUR count
  | MAX_UPDATES_PER_HOUR count
  | MAX_CONNECTIONS_PER_HOUR count
  | MAX_USER_CONNECTIONS count
}

GRANT 문은 MySQL 사용자 계정에 권한을 부여합니다. GRANT 는 또한 보안 연결을 사용하거나 서버 리소스에 대한 액세스 제한 등의 다른 계정 특성을 지정하는 기능도 있습니다. GRANT 를 사용하려면 GRANT OPTION 권한이 필요하며 부여하려고하는 권한을 가지고 있어야합니다.

일반적으로 데이터베이스 관리자는 먼저 CREATE USER 를 사용하여 계정을 만든 다음 GRANT 를 사용하여 그 권한과 특성을 정의합니다. 예 :

 CREATE USER 'jeffrey'@ 'localhost'IDENTIFIED BY 'mypass';
 GRANT ALL ON db1. * TO 'jeffrey'@ 'localhost';
 GRANT SELECT ON db2.invoice TO 'jeffrey'@ 'localhost';
 GRANT USAGE ON *. * TO 'jeffrey'@ 'localhost'WITH MAX_QUERIES_PER_HOUR 90;

그러나 GRANT 문에 지정된 계정이 존재하지 않는 경우 GRANT 는 나중에 NO_AUTO_CREATE_USER SQL 모드의 설명에 표시된 조건에 따라 계정을 만들 수 있습니다.

REVOKE 문 GRANT 관련하고 관리자가 계정 권한을 삭제할 수 있도록합니다. 섹션 13.7.1.6 "REVOKE 구문" 을 참조하십시오.

mysql 프로그램에서 성공적으로 실행 된 경우 GRANT 는 Query OK, 0 rows affected 에 응답합니다. 그러면 어떤 권한이 부여되었는지를 판정하려면, SHOW GRANTS 를 사용합니다. 섹션 13.7.5.22 "SHOW GRANTS 구문" 을 참조하십시오.

GRANT 문이 섹션의 다음 항목에서 설명되어있는 몇 가지 측면이 있습니다.

MySQL에서 지원하는 권한

다음 표는 GRANT 및 REVOKE 문에 지정할 수있는 허용되는 priv_type 권한 유형과 각 권한을 부여 할 수있는 수준을 요약 한 것입니다. 이러한 권한의 자세한 내용은 섹션 6.2.1 "MySQL에서 제공되는 권한" 을 참조하십시오.

트리거는 테이블에 연결된위한 트리거를 만들거나 삭제하려면 트리거가 아니라이 테이블에 대한 TRIGGER 권한이 있어야합니다.

GRANT 문은 ALL [PRIVILEGES] 또는 PROXY 권한은 단독으로 지정해야 다른 권한과 동시에 지정할 수 없습니다. ALL [PRIVILEGES] 은 GRANT OPTION 및 PROXY 권한을 제외한 권한이 부여되는 수준에서 사용 가능한 모든 권한을 나타냅니다.

USAGE 를 지정하면 권한이없는 사용자를 만들고있는 계정의 REQUIRE 또는 WITH 절을 그 기존의 권한을 변경하지 않고 지정할 수 있습니다.

MySQL 계정 정보는 mysql 데이터베이스 테이블에 저장되어 있습니다. 이 데이터베이스와 액세스 제어 시스템은 섹션 6.2 "MySQL 권한 시스템" 에서 광범위하게 설명되어 있습니다. 자세한 내용은이 섹션을 참조하도록하십시오.

부여 테이블에 대소 문자가 혼합 된 데이터베이스 또는 테이블 이름을 포함 권한 행을 유지해야하며, lower_case_table_names 시스템 변수가 0이 아닌 값으로 설정되어있는 경우, REVOKE 를 사용하여 이러한 권한을 취소 할 수 없습니다. 부여 테이블을 직접 조작 할 수 있어야합니다. ( lower_case_table_names 이 설정되어있을 때, GRANT 는 이러한 행을 생성하지 않지만, 그 변수가 설정되기 전에 이러한 행이 작성되어 있었을 가능성이 있습니다.)

권한은 ON 절에 사용되는 구문에 따라 여러 수준에서 부여 할 수 있습니다. REVOKE 의 경우는 그 같은 ON 구문에서 어떤 권한을 취소 여부를 지정합니다. 다음 예제는 단순화를 위해 IDENTIFIED BY ' password ' 어구가 포함되어 있지 않지만 해당 계정이 존재하지 않는 경우 암호가없는 안전하지 않은 계정이 생성되지 않도록이 어구를 포함 같이하십시오.

글로벌 권한

글로벌 권한은 관리 권한입니다. 즉, 특정 서버의 모든 데이터베이스에 적용됩니다. 글로벌 권한을 할당하려면 ON *.* 구문을 사용합니다.

 GRANT ALL ON *. * TO 'someuser'@ 'somehost';
 GRANT SELECT, INSERT ON *. * TO 'someuser'@ 'somehost';

CREATE TABLESPACE , CREATE USER , FILE , PROCESS , RELOAD , REPLICATION CLIENT , REPLICATION SLAVE , SHOW DATABASES , SHUTDOWN , 그리고 SUPER 권한 관리 권한이며, 글로벌에게만 부여 할 수 있습니다.

기타 권한은 전역 적으로 또는보다 구체적인 수준에서 부여 할 수 있습니다.

MySQL은 글로벌 권한을 mysql.user 테이블에 저장합니다.

데이터베이스 권한

데이터베이스 권한은 특정 데이터베이스의 모든 개체에 적용됩니다. 데이터베이스 수준의 권한을 할당하려면 ON db_name .* 구문을 사용합니다.

 GRANT ALL ON mydb. * TO 'someuser'@ 'somehost';
 GRANT SELECT, INSERT ON mydb. * TO 'someuser'@ 'somehost';

ON *.* 대신 ON * 구문을 사용하며 기본 데이터베이스를 선택한 경우 권한은 기본 데이터베이스의 데이터베이스 수준에서 할당됩니다. 기본 데이터베이스가 존재하지 않으면 오류가 발생합니다.

CREATE , DROP , EVENT , GRANT OPTION 및 LOCK TABLES 권한은 데이터베이스 수준에서 지정할 수 있습니다. 또한 테이블 또는 루틴 권한을 데이터베이스 수준에서 지정할 수 있습니다. 이 경우 이러한 권한은 데이터베이스의 모든 테이블 또는 루틴에 적용됩니다.

MySQL 데이터베이스 권한을 mysql.db 테이블에 저장합니다.

테이블 권한

테이블 권한은 특정 테이블의 모든 컬럼에 적용됩니다. 테이블 레벨의 권한을 할당하려면 ON db_name.tbl_name 구문을 사용합니다.

 GRANT ALL ON mydb.mytbl TO 'someuser'@ 'somehost';
 GRANT SELECT, INSERT ON mydb.mytbl TO 'someuser'@ 'somehost';

db_name.tbl_name 대신 tbl_name 을 지정한 경우,이 문은 기본 데이터베이스의 tbl_name 에 적용됩니다. 기본 데이터베이스가 존재하지 않으면 오류가 발생합니다.

테이블 수준에서 허용되는 priv_type 값은 ALTER , CREATE VIEW , CREATE , DELETE , DROP , GRANT OPTION , INDEX , INSERT , SELECT , SHOW VIEW , TRIGGER 및 UPDATE 입니다.

MySQL은 테이블 권한 mysql.tables_priv 테이블에 저장합니다.

컬럼 권한

컬럼 권한은 특정 테이블의 단일 컬럼에 적용됩니다. 컬럼 레벨에서 부여 된 각 권한의 뒤에 괄호로 둘러싸인 하나 이상의 컬럼을 지정해야합니다.

 GRANT SELECT (col1), INSERT (col1, col2) ON mydb.mytbl TO 'someuser'@ 'somehost';

컬럼에 대해서 (즉, column_list 절을 사용할 때) 허용되는 priv_type 값은 INSERT , SELECT 및 UPDATE 입니다.

MySQL은 컬럼 권한을 mysql.columns_priv 테이블에 저장합니다.

스토어드 루틴 권한

ALTER ROUTINE , CREATE ROUTINE , EXECUTE 및 GRANT OPTION 권한은 스토어드 루틴 (프로 시저 및 함수)에 적용됩니다. 이러한 권한은 글로벌 및 데이터베이스 수준에서 부여 할 수 있습니다. CREATE ROUTINE 을 제외하고 이러한 권한은 개별 루틴에 루틴 레벨에서 부여 할 수 있습니다.

 GRANT CREATE ROUTINE ON mydb. * TO 'someuser'@ 'somehost';
 GRANT EXECUTE ON PROCEDURE mydb.myproc TO 'someuser'@ 'somehost';

루틴 수준에서 허용되는 priv_type 값은 ALTER ROUTINE , EXECUTE 및 GRANT OPTION 입니다. CREATE ROUTINE 먼저 루틴을 만드는 데이 권한이 필요하기 때문에 일상 수준의 권한이 없습니다.

MySQL은 루틴 수준의 권한을 mysql.procs_priv 테이블에 저장합니다.

프록시 사용자 권한

PROXY 권한은 사용자가 다른 사용자의 프록시 수 있도록합니다. 프록시 사용자는 프록시 설정 된 사용자를 가장하거나 사용자의 식별 정보를 가져옵니다.

 GRANT PROXY ON 'localuser'@ 'localhost'TO 'externaluser'@ 'somehost';

PROXY 이 부여되는 경우, 그 권한은 GRANT 문에 지정되어있는 유일한 권한이어야하며 REQUIRE 절을 지정할 수 없으며 허용되는 유일한 WITH 옵션은 WITH GRANT OPTION 입니다.

프록시 설정에서는 프록시 사용자가 연결할 때 프록시 설정 된 사용자의 이름을 서버에 반환 플러그인을 통해 인증 할 및 프록시 사용자가 프록시 설정 된 사용자에 대한 PROXY 권한을 가지고 있어야합니다. 자세한 내용 및 예제는 섹션 6.3.9 "프록시 사용자" 를 참조하십시오.

MySQL은 프록시 권한을 mysql.proxies_priv 테이블에 저장합니다.

글로벌 데이터베이스, 테이블 및 루틴 레벨의 경우, GRANT ALL 은 부여하려고하는 레벨에 존재하는 권한만을 할당합니다. 예를 들어, GRANT ALL ON db_name .* 은 데이터베이스 수준의 문이기 때문에 FILE 등의 글로벌 전용 권한을 부여하지 않습니다. ALL 을 부여하더라도 PROXY 권한을 할당하지는 않습니다.

object_type 절 (존재하는 경우)는 연속적인 오브젝트가 테이블, 스토어드 함수 또는 저장 프로 시저 인 경우 TABLE , FUNCTION , 또는 PROCEDURE 로 지정하도록하십시오.

데이터베이스, 테이블, 열 또는 루틴에 대한 권한은 각 권한 수준에있는 권한의 논리 OR 로 부가 적으로 형성됩니다. 예를 들어, 사용자가 글로벌 SELECT 권한을 가지고 있다면, 데이터베이스, 테이블 또는 컬럼 레벨의 권한이 없음에 따라 그 권한을 거부 할 수 없습니다. 권한 확인 절차에 대한 자세한 내용은 섹션 6.2.5 "액세스 제어, 2 단계 : 요청 확인" 에 설명되어 있습니다.

MySQL에서는 존재하지 않는 데이터베이스 또는 테이블에 대한 권한을 부여 할 수 있습니다. 테이블의 경우, 부여 된 권한에 CREATE 권한이 포함되어 있어야합니다. 이 동작은 설계에 의한 것이며, 데이터베이스 관리자가 사용자 계정과 나중에 생성 된 데이터베이스 또는 테이블에 대한 권한을 준비 할 수 있도록하는 것을 목적으로하고 있습니다.

계정 이름과 암호

user 값은 GRANT 문이 적용되는 MySQL 계정을 나타냅니다. 모든 호스트의 사용자에 대한 권한 부여에 대응하기 위해 MySQL은 user_name @ host_name 형식에서 user 값 지정을 지원합니다. user_name 또는 host_name 값이 인용되지 않은 식별자로서 합법적 인 경우, 그것을 따옴표로 묶을 필요가 없습니다. 그러나 특수 문자 ( " - ")를 포함 user_name 문자열 또는 특수 문자 나 와일드 카드 문자 ( " % ")를 포함 host_name 문자열 (예를 들어, 'test-user'@'%.com' )를 지정하려면 따옴표가 필요합니다. 사용자 이름과 호스트 이름이 개별 따옴표로 묶어야합니다.

호스트 이름에는 와일드 카드를 지정할 수 있습니다. 예를 들어, user_name @'%.example.com' 은 example.com 도메인의 모든 호스트의 user_name 에 적용되고 user_name @'192.168.1.%' 는 192.168.1 클래스 C 서브넷의 모든 호스트 user_name 에 적용됩니다.

간단한 형식 user_name 은 user_name @'%' 의 동의어입니다.

MySQL 사용자 이름에 와일드 카드를 지원하지 않습니다. 익명 사용자를 참조하려면 GRANT 문에서 빈 사용자 이름을 포함 계정을 지정합니다.

 GRANT ALL ON test. * TO '@'localhost '...

이 경우 익명 사용자의 올바른 암호를 사용하여 로컬 호스트에서 접속하는 모든 사용자에게 익명 사용자 계정과 관련된 권한으로 액세스가 허용됩니다.

계정 이름의 사용자 이름과 호스트 이름 값 자세한 내용은 섹션 6.2.3 "계정 이름 지정" 을 참조하십시오.

인용 된 값을 지정하려면, 데이터베이스, 테이블, 열 및 루틴 이름은 식별자 따옴표로 묶어야합니다. 사용자 이름과 호스트 이름은 식별자 또는 문자열로 따옴표로 묶어야합니다. 암호 문자열로 따옴표로 묶어야합니다. 문자열 및 식별자로 인용 부호로 둘러싸 방법에 대한 지침은 섹션 9.1.1 "문자열 리터럴" 및 섹션 9.2 "스키마 객체 이름" 을 참조하십시오.

글로벌 또는 데이터베이스 수준의 권한을 부여하는 GRANT 문에서 데이터베이스 이름을 지정하는 경우, " _ "와" % "와일드 카드가 허용됩니다. 즉, 예를 들어, 데이터베이스 이름의 일부로 " _ "문자를 사용하는 경우, 사용자가 와일드 카드 패턴과 일치하는 추가 데이터베이스에 액세스 할 수 없도록하기 위해 문자를 GRANT 문에서 ' \_ "로 지정하도록하십시오 (예를 들어, GRANT ... ON `foo\_bar`.* TO ... ).

전에 경고가 적용되는지 여부를 판정하려면, 모든 익명 사용자를 나열 다음 쿼리를 실행합니다.

 SELECT Host, User FROM mysql.user WHERE User = '';

지금 설명하는 문제를 해결하려면 다음 문을 사용하여 로컬 익명 사용자 계정을 삭제합니다.

 DROP USER ''@ 'localhost';

GRANT 는 최대 60 자 길이의 호스트 이름을 지원합니다. 데이터베이스, 테이블, 열 및 루틴 이름은 최대 64 문자를 지정할 수 있습니다. 사용자 이름에는 최대 16 문자를 지정할 수 있습니다.

사용자 서버 접속시의 인증 방법을 보여주기 위해 user_specification 절에는 인증 플러그인을 지정하기위한 IDENTIFIED WITH 또는 암호를 지정하기위한 IDENTIFIED BY 를 포함 할 수 있습니다. 사용자 지정 구문은 CREATE USER 문의 경우와 동일합니다. 자세한 내용은 섹션 13.7.1.2 "CREATE USER 구문" 을 참조하십시오.

IDENTIFIED BY 가 존재하며 글로벌 부여 권한 ( GRANT OPTION )을 지정하는 경우 계정이 이미 암호가 설정되어있는 경우에도 암호가 계정의 새 비밀번호입니다. IDENTIFIED BY 를 지정하지 않으면 계정의 비밀번호는 변경되지 않은 상태입니다.

GRANT 문에 지정된 계정이 존재하지 않는 경우 수행 할 작업은 NO_AUTO_CREATE_USER SQL 모드에 따라 다릅니다.

MySQL 5.6.12 시점에서는 계정이 이미 존재하는 경우, IDENTIFIED WITH 새 계정을 만들 때 사용되는 것을 목적으로하고 있기 때문에 금지됩니다.

다른 계정 특성

WITH 절은 다음의 몇 가지 용도로 사용됩니다.

WITH GRANT OPTION 절은 사용자가 해당 사용자가 가지는 지정된 권한 수준에있는 모든 권한을 다른 사용자에게 부여 할 수 있도록합니다. 다른 권한을 가진 2 명의 사용자가 권한을 결합 할 수있는 가능성이 있기 때문에 GRANT OPTION 권한을 부여 상대에 충분히주의하십시오.

자신이 보유하지 않은 권한을 다른 사용자에게 부여 할 수 없습니다. GRANT OPTION 권한을 사용하여 할당 할 수있는 것은 자신이 보유하고있는 권한뿐입니다.

사용자에게 특정 권한 수준에서 GRANT OPTION 권한을 부여하면 그 사용자는 그 수준에 보유하고있는 (또는 앞으로 주어질 가능성이있는) 모든 권한도 사용자에서 다른 사용자에게 부여 될 수 있다는 점에 유의하십시오. 사용자 데이터베이스에 대한 INSERT 권한을 부여합니다. 그런 다음 데이터베이스에 대한 SELECT 권한을 부여하고 WITH GRANT OPTION 을 지정하면 사용자는 다른 사용자에게 SELECT 권한뿐만 아니라 INSERT 권한도 부여 할 수 있습니다. 그 후, 그 사용자에게 데이터베이스에 대한 UPDATE 권한을 부여하면 그 사용자는 INSERT , SELECT 및 UPDATE 를 부여 할 수 있습니다.

관리자가 아닌 사용자는 글로벌 또는 mysql 데이터베이스에 대한 ALTER 권한을 부여해서는 안됩니다. 그렇게하면 그 사용자는 테이블의 이름을 변경하여 권한 시스템의 파괴를 시도 할 수 있습니다.

특정 권한과 관련된 보안 위험 자세한 내용은 섹션 6.2.1 "MySQL에서 제공되는 권한" 을 참조하십시오.

일부 WITH 절 옵션은 계정을 사용하여 서버 자원 사용에 대한 제한을 지정합니다.

기존의 권한에 영향을주지 않고 기존 사용자에 대한 자원 제한을 지정하려면 GRANT USAGE 를 글로벌 수준에서 사용 ( ON *.* ) 변경되는 제한을 지정합니다. 예 :

 GRANT USAGE ON *. * TO ..​​.
   WITH MAX_QUERIES_PER_HOUR 500 MAX_UPDATES_PER_HOUR 100;

지정되지 않는 제한은 현재 값을 유지합니다.

서버 리소스에 대한 액세스 제한의 자세한 내용은 섹션 6.3.4 "계정 자원 제한 설정" 을 참조하십시오.

MySQL 사용자 이름과 암호 기반 인증의 일반 이외에 X509 인증서의 속성을 확인할 수 있습니다. MySQL 계정의 SSL 관련 옵션을 지정하려면 GRANT 문 REQUIRE 절을 사용합니다. (MySQL에서의 SSL 사용에 대한 배경 정보는 섹션 6.3.10 "안전한 연결을위한 SSL 사용" 을 참조하십시오.)

특정 계정의 연결 유형을 제한하려면 다음의 몇 가지 가능성이 있습니다.

SUBJECT , ISSUER 및 CIPHER 옵션을 REQUIRE 절에서 다음과 같이 결합 할 수 있습니다.

GRANT ALL PRIVILEGES ON test. * TO 'root'@ 'localhost'
  IDENTIFIED BY 'goodsecret'
  REQUIRE SUBJECT '/ C = EE / ST = Some-State / L = Tallinn /
    O = MySQL demo client certificate /
    CN = Tonu Samuel/emailAddress=tonu@example.com '
  AND ISSUER '/ C = FI / ST = Some-State / L = Helsinki /
    O = MySQL Finland AB / CN = Tonu Samuel/emailAddress=tonu@example.com '
  AND CIPHER 'EDH-RSA-DES-CBC3-SHA';

이러한 옵션의 순서는 문제가되지 않지만 어떤 옵션도 두 번 지정할 수 없습니다. AND 키워드는 REQUIRE 옵션 간의 옵션입니다.

1 명의 사용자 테이블, 열, 또는 일상 권한을 사용하는 경우 서버는 모든 사용자 테이블, 열 및 루틴 권한을 검사하기 위해이를 통해 MySQL이 조금 느려집니다. 마찬가지로 하나의 사용자 쿼리, 업데이트 또는 연결 수를 제한하면 서버는이 값을 모니터해야합니다.

MySQL 버전 표준 SQL 버전의 GRANT

MySQL 버전 표준 SQL 버전의 GRANT 의 가장 큰 차이점은 다음과 같습니다.