权限管理 #

集群生态工具的权限 #

SphereEx-Boot 的权限 #

SphereEx-Boot 无权限控制。

SphereEx-Console 的权限 #

角色权限说明

SphereEx-Console 访问组件的权限

功能列表

• 新建用户

适用场景

创建 SphereEx-Console 管理用户。

注意事项

拥有超级管理员或系统管理员权限。

操作步骤

1. 登录 SphereEx-Console。
2. 点击 首页右上角头像->用户管理 进入用户列表。
3. 点击右上角 添加用户，进入添加用户页面。
4. 填写信息，具体参数见下表。

5. 点击 确定，完成用户添加。

• 修改密码

适用场景

修改 SphereEx-Console 的用户密码。

注意事项

如下为不同角色的用户可修改密码的范围。

操作步骤

1. 登录 SphereEx-Console。
2. 点击首页右上角头像->用户管理 进入用户列表。
3. 点击操作列 修改密码 按钮，进入修改密码页面。
4. 填写信息，具体参数见下表。

5. 点击 确定，完成用户添加。

• 权限管理

适用场景

修改 SphereEx-Console 的用户密码

注意事项

管理普通用户的集群权限，角色不能修改，用户权限被修改后，需要重新登录才能刷新权限。

操作步骤

1. 登录 SphereEx-Console。
2. 点击 首页右上角头像->用户管理 进入用户列表。
3. 点击操作列 权限管理 按钮，进入权限管理页面。
4. 填写信息，具体参数见下表。

5. 点击 确定，完成权限调整。

• 删除

适用场景

删除系统管理员或普通管理员。

注意事项

删除用户，如下为不同角色的用户可删除用户的范围：

操作步骤

1. 登录 SphereEx-Console。
2. 点击 首页右上角头像->用户管理 进入用户列表。
3. 点击操作列 删除 按钮。
4. 提示框中点击 确定，完成用户的删除。

集群组件的权限 #

访问组件的权限：

集群权限 #

集群权限管理，即计算节点的权限管理。

权限分级 #

DistSQL 权限的分级与标准数据库权限类似，同样拥有全局权限、库级对象权限、表级对象权限。目前 DistSQL 不存在列级操作，因此权限分级中也没有列级权限。

DistSQL 权限的授权项相较于标准的数据库权限种类更多。DistSQL 权限授权项由 操作 + 操作对象 组成，其组合方式如下。

• 全局权限

全局权限，是指用户获得的授权不区分目标对象，用户可对任意的逻辑库、逻辑表执行对应操作。

例如，以下指令将全局的 INSERT、SELECT、UPDATE 和 DELETE 权限赋予用户 ‘sharding’@'%'，则该用户能够对任何逻辑库中的表执行 DML 操作。

-- 以下两个语句等效
GRANT DIST INSERT,SELECT,UPDATE,DELETE TO 'sharding'@'%';
GRANT DIST INSERT,SELECT,UPDATE,DELETE TO sharding;

例如，以下指令将全局的 SHOW SHARDING 权限赋予用户 ‘sharding’@'%'，则该用户能够对任何逻辑库中的分片规则执行 SHOW 操作。

GRANT DIST SHOW SHARDING TO 'sharding'@'%';

另外，因为 DistSQL 授权项较多，对于一次授予多个授权项时，可以使用语法类型作为授权项。例如，以下指令将所有操作对象全局的 SHOW 权限赋予用户 ‘sharding’@'%'，则该用户能够对任何逻辑库中的任何操作对象执行 SHOW 操作。

GRANT DIST RQL SHARDING TO 'sharding'@'%';

需要注意的是，全局权限包含两项特殊权限：CREATE_USER 和 SUPER。

其中，获得 CREATE_USER 授权的用户，可执行以下操作：

SUPER 代表的是数据库系统的最高权限，默认情况下，ShardingSphere 启动前配置的初始用户拥有 SUPER 授权。

• 对象权限

对象权限，指授予的权限受作用范围限制，用户不可在授权范围之外执行相应操作。

对象权限的作用范围可以是所有逻辑库，也可以指定单个或多个逻辑库及库中的表和列。

例如，以下指令将逻辑库 sharding_db 中 t_order 表的所有权限授予用户 ‘sharding’@'%'，此后该用户可以对 sharding_db.t_order 表执行操作。但若无额外授权，该用户不能操作 sharding_db 中的其它表。

GRANT DIST ALL ON sharding_db.t_order TO sharding;

例如，以下指令将逻辑库 sharding_db 中分片规则 t_order 的创建和修改权限授予用户 ‘sharding’@'%'，此后该用户可以对 sharding_db.t_order 规则执行创建和修改操作。但若无额外授权，该用户不能操作 sharding_db 中的其它规则。

GRANT DIST CREATE SHARDING, ALTER SHARDING ON sharding_db.t_order TO 'sharding'@'%';

DistSQL 清单 #

说明：

• 为用户和角色「授权/撤销授权」的语法一致，将 ‘user’@‘host’ 替换为 role 即可；
• REVOKE DIST ALL 会同时撤销赋予给用户的所有角色。

权限控制的配置 #

用于配置登录计算节点的初始用户，和存储节点数据授权。

• 配置示例

rules:
  - !AUTHORITY
    users:
      - user: root@%
        password: root
    privilege:
      type: SphereEx:PERMITTED

用户管理 #

• 初始用户管理

初始用户由管理员在 DBPlusEngine 启动前指定。

• 普通用户管理

创建用户

CREATE DIST USER 语句用于创建带有指定密码的新用户。

在 DBPlusEngine 中，用户是由用户名和用户名所连接主机的组合。

示例：

• 创建一个名为 ‘sharding’ 的用户，密码为 ‘123456’，'%’ 表示不限制登录主机。

CREATE DIST USER 'sharding'@'%' IDENTIFIED BY '123456';

• 创建一个只能在 127.0.0.1 登录的用户。

CREATE DIST USER 'sharding'@'127.0.0.1' IDENTIFIED BY '123456';

修改用户

ALTER DIST USER 语句用于修改已有用户，目前只支持修改密码。

示例：

• 将 ‘sharding’@'%’ 的用户的密码改为 ‘sharding’。

ALTER DIST USER 'sharding'@'%' IDENTIFIED BY 'sharding';

删除用户

DROP DIST USER 语句用于删除用户。

示例：

• 将 ‘sharding’@'%’ 的用户从系统中移除。

DROP DIST USER 'sharding'@'%'；

查看用户列表

SHOW DIST USERS 语句用于查看用户列表。

示例：

• 查看全部用户，仅查询授权主机和用户名，不展示用户密码。

SHOW DIST USERS;

角色管理 #

• 创建角色

CREATE DIST ROLE 语句用于创建角色。

示例：

创建一个名为 ‘dml_only’ 的角色。

CREATE DIST ROLE dml_only;

• 删除角色

DROP DIST ROLE 语句用于删除角色。

示例：

将 ‘dml_only’ 的用户从系统中移除。

DROP DIST ROLE dml_only；

• 查看角色列表

SHOW DIST ROLES 语句用于查看角色列表。

示例：

查看已创建的全部角色名称。

SHOW DIST ROLES;

权限管理 #

• 授权 GRANT DIST privileges 语句用于向用户或角色授权。 示例：
  • 将全局 SELECT 权限授予用户 ‘sharding’@'%'。

GRANT DIST SELECT TO 'sharding'@'%';

• 将逻辑库 sharding_db 的 SELECT 和 INSERT 权限授予用户 ‘sharding’@'%'。

GRANT DIST SELECT, INSERT ON sharding_db.* TO 'sharding'@'%';

• 将逻辑表 sharding_db.t_order 的 SELECT 和 INSERT 权限授予用户 ‘sharding’@'%'。

  GRANT DIST SELECT, INSERT ON sharding_db.t_order TO 'sharding'@'%';

• 将逻辑表 sharding_db.t_order 中指定列的 SELECT 权限授予用户 ‘sharding’@'%'。

GRANT DIST SELECT (order_id), SELECT (user_id, status) ON sharding_db.t_order TO 'sharding'@'%';

• 将全局 SELECT、INSERT、UPDATE 和 DELETE 权限赋予给角色 dml_only。

GRANT DIST INSERT,SELECT,UPDATE,DELETE TO dml_only;

• 将角色 dml_only 赋予给用户 ‘sharding’@'%'。

GRANT DIST dml_only TO 'sharding'@'%';

• 撤销授权

REVOKE DIST privileges 语句用于撤销对用户或角色的授权。

示例：

• 撤销用户 ‘sharding’@'%’ 的全局 SELECT 授权。

REVOKE DIST SELECT FROM 'sharding'@'%';

• 撤销用户 ‘sharding’@'%’ 在逻辑库 sharding_db 的 SELECT 和 INSERT 授权。

REVOKE DIST SELECT, INSERT ON sharding_db.* FROM 'sharding'@'%';

• 撤销用户 ‘sharding’@'%’ 在逻辑辑表 sharding_db.t_order 的 SELECT 和 INSERT 授权。

REVOKE DIST SELECT, INSERT ON sharding_db.t_order FROM 'sharding'@'%';

• 撤销用户 ‘sharding’@'%’ 在逻辑表 sharding_db.t_order 中指定列的 SELECT 授权。

REVOKE DIST SELECT (order_id), SELECT (user_id, status) ON sharding_db.t_order FROM 'sharding'@'%';

• 撤销角色 dml_only 的全局 SELECT、INSERT、UPDATE 和 DELETE 授权。

REVOKE DIST INSERT,SELECT,UPDATE,DELETE FROM dml_only;

• 撤销赋予用户 ‘sharding’@'%’ 的 dml_only 角色。

REVOKE DIST dml_only FROM 'sharding'@'%';