<p>MySQL通过GRANT、REVOKE、角色配置及账户管理实现权限控制，遵循最小权限原则，结合密码策略、账户锁定、审计日志等机制保障安全。1. 创建用户使用CREATE USER；2. 授予权限用GRANT，如GRANT SELECT, INSERT ON mydb. TO ‘user’@’host’；3. 修改权限后执行FLUSH PRIVILEGES刷新；4. 撤销权限用REVOKE；5. 删除用户用DROP USER；6. 利用角色简化管理，如CREATE ROLE ‘readonly’并赋权；7. 遵循最小权限原则，按需分配；8. 避免滥用通配符；9. 启用connection_control插件实现账户锁定；10. 安装validate_password插件设置强密码策略；11. 使用PASSWORD EXPIRE强制定期改密；12. MySQL企业版支持双因素认证；13. 安装audit_log插件记录权限变更；14. 结合第三方工具增强审计；15. 定期审查权限并建立审批流程。</p>
MySQL安装后，管理用户权限主要通过GRANT和REVOKE语句，以及账户和角色配置来实现精细化的权限控制。
解决方案
MySQL的用户权限管理围绕着账户、权限和作用范围三个核心概念。账户是登录MySQL服务器的身份标识，权限决定了用户可以执行哪些操作，作用范围则限定了权限生效的数据库和表。
-
创建用户： 使用
CREATE USER
语句创建新用户。例如：
CREATE USER 'newuser'@'localhost' IDENTIFIED BY 'password';
这将在localhost上创建一个名为newuser的用户，并设置密码为password。
-
授予权限： 使用
GRANT
语句授予用户权限。例如：
GRANT SELECT, INSERT ON mydb.* TO 'newuser'@'localhost';
这将授予newuser在mydb数据库的所有表上的SELECT和INSERT权限。
-
刷新权限： 权限修改后，需要执行
FLUSH PRIVILEGES
语句来刷新权限缓存，使更改生效。
-
撤销权限： 使用
REVOKE
语句撤销用户的权限。例如：
REVOKE INSERT ON mydb.* FROM 'newuser'@'localhost';
这将撤销newuser在mydb数据库的所有表上的INSERT权限。
-
删除用户： 使用
DROP USER
语句删除用户。例如：
DROP USER 'newuser'@'localhost';
如何为不同类型的用户设置合适的权限？
不同类型的用户需要不同的权限。例如，数据库管理员需要拥有所有权限，而应用程序用户只需要拥有对特定表的读写权限。
-
识别用户类型： 首先，需要明确数据库中存在哪些类型的用户，例如管理员、开发人员、应用程序用户、报表用户等。
-
定义角色： MySQL 8.0引入了角色（Roles）的概念，可以将一组权限赋予一个角色，然后将角色赋予用户。这简化了权限管理。例如：
CREATE ROLE 'readonly'; GRANT SELECT ON mydb.* TO 'readonly'; CREATE ROLE 'webapp'; GRANT SELECT, INSERT, UPDATE ON mydb.mytable TO 'webapp'; GRANT 'readonly' TO 'webapp'; -- webapp角色继承readonly角色的权限 GRANT 'webapp' TO 'appuser'@'localhost';
这样，appuser就拥有了webapp角色的所有权限，包括对
mydb.mytable
的读写权限，以及
readonly
角色的SELECT权限。
-
最小权限原则： 始终遵循最小权限原则，只授予用户完成其工作所需的最小权限。这有助于提高数据库的安全性。例如，如果一个应用程序只需要读取数据，则只授予SELECT权限，而不要授予INSERT、UPDATE或DELETE权限。
-
使用通配符的风险： 尽量避免在
GRANT
语句中使用通配符
*
，因为这会授予用户对所有数据库或表的权限。如果必须使用通配符，请仔细评估风险。
账户锁定和密码策略如何保障MySQL安全？
账户锁定和密码策略是MySQL安全的重要组成部分。
-
账户锁定： MySQL可以配置账户锁定策略，当用户登录失败次数超过一定阈值时，账户将被锁定一段时间。这可以防止暴力破解密码。
SET GLOBAL login_attempts = 3; SET GLOBAL login_retry_interval = 60;
以上配置表示，如果用户在60秒内登录失败3次，则账户将被锁定。要启用账户锁定，需要安装
connection_control
插件。
-
密码策略： MySQL可以配置密码策略，要求用户设置符合一定复杂度的密码。这可以防止用户使用弱密码。
INSTALL PLUGIN validate_password SONAME 'validate_password.so'; SET GLOBAL validate_password.policy=STRONG; -- 设置密码策略为STRONG SET GLOBAL validate_password.length=8; -- 最小密码长度为8
使用
validate_password
插件可以强制用户设置强密码。
STRONG
策略要求密码包含大小写字母、数字和特殊字符。
-
密码过期： 可以设置密码过期时间，强制用户定期更改密码。
ALTER USER 'user'@'host' PASSWORD EXPIRE INTERVAL 90 DAY;
以上语句设置user的密码在90天后过期。
-
双因素认证： MySQL Enterprise Edition支持双因素认证，可以进一步提高安全性。
如何审计MySQL的用户权限变更？
对用户权限的任何更改都应进行审计，以便跟踪谁在何时更改了哪些权限。
-
启用审计日志： MySQL Enterprise Edition提供了审计日志功能，可以记录所有数据库操作，包括用户权限的更改。
INSTALL PLUGIN audit_log SONAME 'audit_log.so'; SET GLOBAL audit_log_policy = 'ALL'; -- 记录所有操作
启用审计日志后，所有权限更改都会被记录到审计日志文件中。
-
使用第三方审计工具： 也可以使用第三方审计工具来监控MySQL的用户权限变更。这些工具通常提供更强大的审计功能和报告功能。
-
定期审查权限： 定期审查用户权限，确保权限设置仍然符合最小权限原则。删除不再需要的用户账户和权限。
-
权限变更流程： 建立权限变更流程，要求所有权限变更都经过审批，并记录审批过程。这有助于防止未经授权的权限更改。