MochiuWiki : SUSE, EC, PCB

「MySQL - 権限」の版間の差分

📢 Webサイト閉鎖と移転のお知らせ
このWebサイトは2026年9月に閉鎖いたします。
新しい記事は移転先で追加しております。（旧サイトでは記事を追加しておりません）

ビジュアルウィキテキスト
ページの作成:「== 概要 == 権限とは、ユーザがデータベースで実行することを許可されるアクションのことである。<br> <br> セキュリティ上の理由から、一般的には、特定のユーザとしてデータを作成して、処理を行うことが望ましいとされている。<br> <br> MySQLのユーザの権限を以下に示す。<br> * All PRIVILEGES *: データベースへのフルアクセス権を持つ。 * SELECT *: デー…」
 
編集の要約なし
 
(同じ利用者による、間の7版が非表示)
1行目: 1行目:
== 概要 ==
== 概要 ==
権限とは、ユーザがデータベースで実行することを許可されるアクションのことである。<br>
MySQLの権限システムは、データベースへのアクセスを制御し、セキュリティを維持するための基盤である。<br>
<br>
<br>
セキュリティ上の理由から、一般的には、特定のユーザとしてデータを作成して、処理を行うことが望ましいとされている。<br>
MySQLでは、ユーザに対してグローバルレベルからカラムレベルまでの細かい粒度で権限を付与することができる。<br>
権限は、データ操作権限、テーブル操作権限、ストアドプログラム関連権限、管理権限、レプリケーション関連権限等、多岐にわたる。<br>
<br>
<br>
MySQLのユーザの権限を以下に示す。<br>
権限の付与には <code>GRANT</code> コマンド、削除には <code>REVOKE</code> コマンドを使用する。<br>
* All PRIVILEGES
権限情報は、mysqlデータベース内の権限テーブル (mysql.user、mysql.db、mysql.tables_priv等) に格納される。<br>
*: データベースへのフルアクセス権を持つ。
<br>
* SELECT
MySQL 8.0以降では、ロール機能と動的権限が導入され、より柔軟な権限管理が可能になっている。<br>
*: データベースの情報を読み取ることができる。
<br>
* UPDATE
ロールを使用すると、複数の権限をまとめて名前付きの集合として管理でき、ユーザへの権限付与が容易になる。<br>
*: テーブルの行を更新することができる。
<br>
* INSERT
動的権限は、従来のSUPER権限を細分化したもので、より細かい粒度での管理権限の制御が可能である。<br>
*: テーブルへのレコードの挿入ができる。
<br><br>
* DELETE
 
*: テーブルからレコードの削除ができる。
== 権限の種類 ==
* CREATE
MySQLで管理される主要な権限種類を以下に示す。<br>
*: 新規にテーブルやデータベースを作成することができる。
<br>
* DROP
<center>
*: テーブルやデータベース全体を削除することができる。
{| class="wikitable"
* GRANT
|+ MySQLの権限一覧
*: 他のユーザの権限を変更することができる。
! カテゴリ !! 権限名 !! 説明
|-
| rowspan="4" | データ操作権限 || SELECT || テーブルからデータを読み取る権限
|-
| INSERT || テーブルに新しい行を挿入する権限
|-
| UPDATE || テーブルの既存データを更新する権限
|-
| DELETE || テーブルからデータを削除する権限
|-
| rowspan="5" | テーブル操作権限 || CREATE || 新しいデータベースやテーブルを作成する権限
|-
| DROP || データベースやテーブルを削除する権限
|-
| ALTER || テーブルの構造を変更する権限
|-
| INDEX || インデックスを作成または削除する権限
|-
| TRUNCATE || テーブルを切り詰める権限 (MySQL 8.0.13以降、DELETE権限から分離)
|-
| rowspan="4" | ストアドプログラム関連権限 || EXECUTE || ストアドプロシージャやストアドファンクションを実行する権限
|-
| CREATE ROUTINE || ストアドプロシージャやストアドファンクションを作成する権限
|-
| ALTER ROUTINE || ストアドプロシージャやストアドファンクションを変更または削除する権限
|-
| TRIGGER || トリガーを作成または削除する権限
|-
| rowspan="3" | ビュー・テンポラリテーブル関連権限 || CREATE VIEW || ビューを作成する権限
|-
| SHOW VIEW || ビューの定義を表示する権限
|-
| CREATE TEMPORARY TABLES || 一時テーブルを作成する権限
|-
| rowspan="8" | 管理権限 || SUPER || サーバの管理操作を実行する権限 (MySQL 8.0以降、多くの機能が動的権限に分離)
|-
| CREATE USER || ユーザアカウントを作成、削除、名前変更する権限
|-
| RELOAD || FLUSHコマンドを実行する権限
|-
| SHOW DATABASES || 全てのデータベースを表示する権限
|-
| PROCESS || 全てのプロセスを表示する権限
|-
| FILE || ファイルの読み書きを行う権限 (SELECT INTO OUTFILE、LOAD DATA INFILE等)
|-
| SHUTDOWN || サーバをシャットダウンする権限
|-
| GRANT OPTION || 自分の権限を他のユーザに付与する権限
|-
| rowspan="2" | レプリケーション関連権限 || REPLICATION SLAVE || レプリケーションスレーブがマスターに接続する権限
|-
| REPLICATION CLIENT || レプリケーションのステータスを確認する権限
|-
| ロック関連権限 || LOCK TABLES || 読み取り権限を持つテーブルに対してロックをかける権限
|-
| rowspan="4" | 特殊権限 || ALL PRIVILEGES || グローバルレベルまたは指定されたレベルでの全権限 (GRANT OPTIONを除く)
|-
| USAGE || 権限なし (アカウントの作成時に使用)
|-
| REFERENCES || 外部キーを作成する権限 (実装されていない)
|-
| EVENT || イベントスケジューラのイベントを作成、変更、削除する権限
|}
</center>
<br><br>
 
== 権限レベル ==
MySQLの権限は、以下に示す6つのレベルで管理される。<br>
<br>
==== グローバルレベル ====
サーバ全体に対する権限である。<br>
<br>
* 全てのデータベースとテーブルに適用される。
* mysql.userテーブルに格納される。
* 管理権限 (CREATE USER、SUPER、RELOAD等) はグローバルレベルでのみ付与可能
<br>
<syntaxhighlight lang="mysql">
# グローバルレベルでの権限付与
GRANT SELECT, INSERT, UPDATE ON *.* TO 'user'@'host';
</syntaxhighlight>
<br>
==== データベースレベル ====
特定のデータベースに対する権限である。<br>
<br>
* 指定されたデータベース内の全てのオブジェクトに適用される。
* mysql.dbテーブルに格納される。
<br>
<syntaxhighlight lang="mysql">
# データベースレベルでの権限付与
GRANT ALL PRIVILEGES ON my_database.* TO 'user'@'host';
</syntaxhighlight>
<br>
==== テーブルレベル ====
特定のテーブルに対する権限である。<br>
<br>
* 指定されたテーブル内の全てのカラムに適用される。
* mysql.tables_privテーブルに格納される。
<br>
<syntaxhighlight lang="mysql">
# テーブルレベルでの権限付与
GRANT SELECT, INSERT ON my_database.my_table TO '<ユーザ名>'@'<ホスト名 または IPアドレス>';
</syntaxhighlight>
<br>
==== カラムレベル ====
特定のカラムに対する権限である。<br>
<br>
* SELECT、INSERT、UPDATE権限のみカラムレベルで付与可能
* mysql.columns_privテーブルに格納される。
<br>
<syntaxhighlight lang="mysql">
# カラムレベルでの権限付与
GRANT SELECT (id, name), UPDATE (name) ON my_database.my_table TO '<ユーザ名>'@'<ホスト名 または IPアドレス>';
</syntaxhighlight>
<br>
==== ルーチンレベル ====
ストアドプロシージャやストアドファンクションに対する権限である。<br>
<br>
* EXECUTE、ALTER ROUTINE権限がルーチンレベルで付与可能
* mysql.procs_privテーブルに格納される。
<br>
<syntaxhighlight lang="mysql">
# ルーチンレベルでの権限付与
GRANT EXECUTE ON PROCEDURE my_database.my_procedure TO '<ユーザ名>'@'<ホスト名 または IPアドレス>';
</syntaxhighlight>
<br>
==== プロキシレベル ====
あるユーザが別のユーザとしてログインできる権限である。<br>
<br>
* mysql.proxies_privテーブルに格納される。
* 主にプラグイン認証と組み合わせて使用される。
<br>
<syntaxhighlight lang="mysql">
# プロキシ権限の付与
GRANT PROXY ON 'proxied_user'@'host' TO 'proxy_user'@'host';
</syntaxhighlight>
<br><br>
 
== 権限テーブル ==
MySQLの権限情報は、mysqlデータベース内の複数のテーブルに格納される。<br>
<br>
==== mysql.user ====
グローバルレベルの権限とユーザアカウント情報を格納する。<br>
<br>
* ユーザ名、ホスト名、認証情報を含む。
* 全ての静的権限のグローバルレベルでの付与状態を格納する。
* アカウントリソース制限 (最大接続数、最大クエリ数等) も管理
<br>
<center>
{| class="wikitable"
|+ 主要なカラム
! カラム名 !! 説明
|-
| Host || ユーザが接続できるホスト名
|-
| User || ユーザ名
|-
| authentication_string || 暗号化されたパスワード
|-
| Select_priv, Insert_priv, Update_priv, Delete_priv || 各種権限のフラグ (Y/N)
|}
</center>
<br>
<syntaxhighlight lang="mysql">
# グローバル権限の確認
SELECT Host, User, Select_priv, Insert_priv, Update_priv, Delete_priv
FROM mysql.user
WHERE User = 'username';
</syntaxhighlight>
<br>
==== mysql.db ====
データベースレベルの権限を格納する。<br>
<br>
* 各ユーザが特定のデータベースに対して持つ権限を管理
<br>
<center>
{| class="wikitable"
|+ 主要なカラム
! カラム名 !! 説明
|-
| Host, Db, User || 権限が適用されるホスト、データベース、ユーザ
|-
| Select_priv, Insert_priv, Update_priv, Delete_priv, Create_priv, Drop_priv || 各種権限のフラグ (Y/N)
|}
</center>
<br>
<syntaxhighlight lang="mysql">
# データベースレベル権限の確認
SELECT Host, Db, User, Select_priv, Insert_priv, Create_priv
FROM mysql.db
WHERE User = 'username';
</syntaxhighlight>
<br>
==== mysql.tables_priv ====
テーブルレベルの権限を格納する。<br>
<br>
* 特定のテーブルに対する権限を管理
<br>
<center>
{| class="wikitable"
|+ 主要なカラム
! カラム名 !! 説明
|-
| Host, Db, User, Table_name || 権限が適用されるホスト、データベース、ユーザ、テーブル
|-
| Table_priv || テーブルレベルの権限 (Select, Insert, Update, Delete, Create, Drop, Alter, Index等)
|-
| Column_priv || カラムレベルの権限が存在する場合、その権限種類
|}
</center>
<br>
<syntaxhighlight lang="mysql">
# テーブルレベル権限の確認
SELECT Host, Db, User, Table_name, Table_priv
FROM mysql.tables_priv
WHERE User = 'username';
</syntaxhighlight>
<br>
==== mysql.columns_priv ====
カラムレベルの権限を格納する。<br>
<br>
* 特定のカラムに対するSELECT、INSERT、UPDATE権限を管理
<br>
<center>
{| class="wikitable"
|+ 主要なカラム
! カラム名 !! 説明
|-
| Host, Db, User, Table_name, Column_name || 権限が適用されるホスト、データベース、ユーザ、テーブル、カラム
|-
| Column_priv || カラムレベルの権限 (Select, Insert, Update)
|}
</center>
<br>
<syntaxhighlight lang="mysql">
# カラムレベル権限の確認
SELECT Host, Db, User, Table_name, Column_name, Column_priv
FROM mysql.columns_priv
WHERE User = 'username';
</syntaxhighlight>
<br>
==== mysql.procs_priv ====
ストアドプロシージャとストアドファンクションに対する権限を格納する。<br>
<br>
* EXECUTE、ALTER ROUTINE権限を管理
<br>
<center>
{| class="wikitable"
|+ 主要なカラム
! カラム名 !! 説明
|-
| Host, Db, User, Routine_name, Routine_type || 権限が適用されるホスト、データベース、ユーザ、ルーチン名、ルーチンタイプ (PROCEDURE / FUNCTION)
|-
| Proc_priv || ルーチンに対する権限 (Execute, Alter Routine)
|}
</center>
<br>
<syntaxhighlight lang="mysql">
# ルーチンレベル権限の確認
SELECT Host, Db, User, Routine_name, Routine_type, Proc_priv
FROM mysql.procs_priv
WHERE User = 'username';
</syntaxhighlight>
<br><br>
<br><br>


== 権限の付与 ==
== ロール機能 (MySQL 8.0以降) ==
ユーザにどの程度の権限を付与するかどうかに応じて、以下の権限のうち1つ、または、複数を付与することができる。<br>
MySQL 8.0以降では、ロール機能が導入され、複数のユーザに対して一貫した権限セットを付与することができる。<br>
<br>
ロールは、名前付きの権限の集合であり、ユーザに付与することで権限を一括管理できる。<br>
<br>
==== ロールの作成と削除 ====
ロールの作成と削除は、以下に示すコマンドで実行する。<br>
<br>
<syntaxhighlight lang="mysql">
# ロールの作成
CREATE ROLE 'app_developer', 'app_read', 'app_write';
# ロールの削除
DROP ROLE 'app_developer';
</syntaxhighlight>
<br>
==== ロールへの権限付与 ====
ロールに対して権限を付与することで、そのロールを持つ全てのユーザが権限を継承する。<br>
<br>
<syntaxhighlight lang="mysql">
# ロールに権限を付与
GRANT SELECT, INSERT, UPDATE, DELETE ON my_database.* TO 'app_read';
GRANT CREATE, DROP, ALTER ON my_database.* TO 'app_developer';
</syntaxhighlight>
<br>
==== ユーザへのロール付与 ====
ロールをユーザに付与することで、ロールに含まれる権限がユーザに適用される。<br>
<br>
<syntaxhighlight lang="mysql">
# ユーザにロールを付与
GRANT 'app_read', 'app_write' TO 'user1'@'localhost';
# ロールをアクティブ化するにはSET ROLEコマンドを使用
SET ROLE 'app_read';
# 全ての付与されたロールをアクティブ化
SET ROLE ALL;
</syntaxhighlight>
<br>
==== デフォルトロール ====
ユーザのログイン時に自動的にアクティブ化されるロールを設定できる。<br>
<br>
<syntaxhighlight lang="mysql">
# デフォルトロールの設定
SET DEFAULT ROLE 'app_read', 'app_write' TO 'user1'@'localhost';
# 全ての付与されたロールをデフォルトに設定
SET DEFAULT ROLE ALL TO 'user1'@'localhost';
# デフォルトロールの確認
SHOW GRANTS FOR 'user1'@'localhost' USING 'app_read';
</syntaxhighlight>
<br>
<br>
MySQLサーバに接続する。<br>
==== mandatory_rolesシステム変数 ====
mysql -u <ユーザ名> -p
全てのユーザに自動的に付与される必須ロールを設定できる。<br>
<br>
<br>
ユーザに権限を付与するために使用される基本的なシンタックスを示す。<br>
<syntaxhighlight lang="mysql">
  GRANT <権限の種類> ON *.* TO '<ユーザ名>'@'<ホスト名またはIPアドレス>';
  # mandatory_rolesの設定
  GRANT <権限の種類> ON <データベース名>.<テーブル名> TO '<ユーザ名>'@'<ホスト名またはIPアドレス>';
  SET PERSIST mandatory_roles = 'role1,role2';
   
   
  例. 全てのデータベースおよびテーブルに対して、hogeユーザにInsert権限を付与する場合
  # 設定の確認
  GRANT INSERT ON *.* TO 'hoge'@'localhost';
SELECT @@mandatory_roles;
</syntaxhighlight>
<br>
必須ロールは、全てのユーザに自動的に付与され、ログイン時にアクティブ化される。<br>
ユーザは必須ロールを削除またはアクティブ化解除することはできない。<br>
<br><br>
 
== 動的権限 (MySQL 8.0以降) ==
MySQL 8.0以降では、動的権限が導入され、より細かい粒度での権限管理が可能である。<br>
<br>
==== 動的権限の概要 ====
動的権限は、静的権限 (従来の権限) とは異なり、サーバの実行時に追加または削除できる権限である。<br>
<br>
* 静的権限は、サーバのコードに固定されており、mysql.userテーブルに列として存在する。
* 動的権限は、mysql.global_grantsテーブルに格納され、柔軟に管理できる。
* MySQL 8.0以降、多くのSUPER権限の機能が個別の動的権限に分離された。
<br>
<syntaxhighlight lang="mysql">
# 動的権限の付与
  GRANT SYSTEM_VARIABLES_ADMIN ON *.* TO '<ユーザ名>'@'<ホスト名 または IPアドレス>';
   
   
  例. piyoデータベースの全てのテーブルに対して、hogeユーザにInsert権限を付与する場合
  # 動的権限の確認
  GRANT INSERT ON piyo.* TO 'hoge'@'localhost';
SELECT * FROM mysql.global_grants WHERE User = 'username';
</syntaxhighlight>
<br>
==== 主要な動的権限 ====
下表に、MySQL 8.0以降で導入された主要な動的権限を示す。<br>
<br>
<center>
{| class="wikitable"
|+ MySQL 8.0以降の主要な動的権限
! 権限名 !! 機能 !! 備考
|-
| SYSTEM_VARIABLES_ADMIN || グローバルシステム変数の設定と永続化 || SET PERSISTコマンドを実行する権限
|-
| CONNECTION_ADMIN || 接続制限を無視してサーバに接続 || max_connectionsを超えて接続可能
|-
| BACKUP_ADMIN || バックアップ操作を実行 || LOCK INSTANCE FOR BACKUP、LOCK TABLES FOR BACKUPを実行
|-
| REPLICATION_SLAVE_ADMIN || レプリケーションスレーブの管理 || START SLAVE、STOP SLAVE、CHANGE MASTERコマンドを実行
|-
| CLONE_ADMIN || クローン操作の管理 || CLONE INSTANCEコマンドを実行
|-
| GROUP_REPLICATION_ADMIN || グループレプリケーションの管理 || START GROUP_REPLICATION、STOP GROUP_REPLICATIONを実行
|-
| BINLOG_ADMIN || バイナリログの管理 || PURGE BINARY LOGS、SET sql_log_binコマンドを実行
|-
| ROLE_ADMIN || ロールの管理 || WITH ADMIN OPTIONなしで付与されたロールを他のユーザに付与可能
|-
| ENCRYPTION_KEY_ADMIN || 暗号化キーの管理 || ALTER INSTANCE ROTATE INNODB MASTER KEYを実行
|-
| RESOURCE_GROUP_ADMIN || リソースグループの管理 || CREATE RESOURCE GROUP、ALTER RESOURCE GROUPを実行
|-
| SESSION_VARIABLES_ADMIN || グローバルシステム変数の設定 || SET GLOBALで一部の制限されたシステム変数を設定可能
|-
| SET_USER_ID || DEFINERの設定 || CREATE DEFINERでストアドプログラムやビューを作成可能
|-
| PERSIST_RO_VARIABLES_ADMIN || 読み取り専用システム変数の永続化 || SET PERSISTで読み取り専用変数を設定可能
|-
| AUDIT_ADMIN || 監査ログの設定 || 監査ログプラグインの設定を変更可能
|}
</center>
<br>
<syntaxhighlight lang="mysql">
# 複数の動的権限を付与
  GRANT SYSTEM_VARIABLES_ADMIN, CONNECTION_ADMIN, BACKUP_ADMIN
ON *.* TO 'admin_user'@'localhost';
   
   
  例. piyoデータベースのfugaテーブルに対して、hogeユーザにInsert権限を付与する場合
  # 動的権限の削除
  GRANT INSERT ON piyo.fuga TO 'hoge'@'localhost';
  REVOKE SYSTEM_VARIABLES_ADMIN ON *.* FROM 'admin_user'@'localhost';
</syntaxhighlight>
<br><br>
 
== 権限の付与 ==
権限の付与には、<code>GRANT</code> コマンドを使用する。<br>
<br>
<br>
全てのデータベースに対して、ユーザに全ての権限を付与する。<br>
<syntaxhighlight lang="mysql">
  GRANT ALL PRIVILEGES ON *.* TO '<ユーザ名>'@'<ホスト名またはIPアドレス>';
# 基本的な構文
GRANT 権限リスト ON レベル TO 'ユーザ'@'ホスト';
# グローバルレベルでの権限付与
GRANT SELECT, INSERT, UPDATE ON *.* TO 'user1'@'localhost';
# データベースレベルでの権限付与
  GRANT ALL PRIVILEGES ON my_database.* TO 'user2'@'%';
# テーブルレベルでの権限付与
GRANT SELECT, INSERT ON my_database.users TO 'user3'@'192.168.1.%';
# カラムレベルでの権限付与
GRANT SELECT (id, name, email), UPDATE (email) ON my_database.users TO 'user4'@'localhost';
# ルーチンレベルでの権限付与
GRANT EXECUTE ON PROCEDURE my_database.my_proc TO 'user5'@'localhost';
GRANT EXECUTE ON FUNCTION my_database.my_func TO 'user5'@'localhost';
# GRANT OPTIONを付与 (自分の権限を他のユーザに付与可能)
GRANT SELECT, INSERT ON my_database.* TO 'user6'@'localhost' WITH GRANT OPTION;
# ユーザの作成と同時に権限を付与
CREATE USER 'newuser'@'localhost' IDENTIFIED BY 'password';
GRANT SELECT, INSERT ON my_database.* TO 'newuser'@'localhost';
# MySQL 8.0以降 : ロールを付与
GRANT 'app_developer' TO 'user7'@'localhost';
# MySQL 8.0以降 : 動的権限を付与
GRANT SYSTEM_VARIABLES_ADMIN ON *.* TO 'admin_user'@'localhost';
</syntaxhighlight>
<br>
<br>
特定のデータベースに対して、ユーザに全ての権限を付与する。<br>
ホスト指定の例を以下に示す。<br>
GRANT ALL PRIVILEGES ON <データベース名>.* TO '<ユーザ名>'@'<ホスト名またはIPアドレス>';
* <code>'user'@'localhost'</code>
*: ローカルホストからの接続のみ許可
* <code>'user'@'%'</code>
*: 全てのホストからの接続を許可
* <code>'user'@'192.168.1.%'</code>
*: 192.168.1.xのIPアドレスからの接続を許可
* <code>'user'@'example.com'</code>
*: example.comドメインからの接続を許可
<br><br>
<br><br>


== 権限の確認 ==
== 権限の確認 ==
MySQLサーバに接続する。<br>
付与されている権限を確認するには、<code>SHOW GRANTS</code> コマンドを使用する。<br>
  mysql -u <ユーザ名> -p
<br>
  <syntaxhighlight lang="mysql">
# 現在のユーザの権限を確認
SHOW GRANTS;
# 特定のユーザの権限を確認
SHOW GRANTS FOR 'user1'@'localhost';
# ロールを含めて権限を確認 (MySQL 8.0以降)
SHOW GRANTS FOR 'user1'@'localhost' USING 'role1', 'role2';
# 現在アクティブなロールの確認 (MySQL 8.0以降)
SELECT CURRENT_ROLE();
# ユーザに付与されているロールの確認
SELECT * FROM mysql.role_edges WHERE TO_USER = 'user1';
# 動的権限の確認
SELECT * FROM mysql.global_grants WHERE User = 'user1' AND Host = 'localhost';
</syntaxhighlight>
<br>
<br>
あるユーザが現在持っている全ての権限を表示する。<br>
出力例を以下に示す。<br>
  SHOW GRANTS FOR <ユーザ名>;
<syntaxhighlight lang="mysql">
  SHOW GRANTS FOR 'user1'@'localhost';
# 出力:
# GRANT USAGE ON *.* TO `user1`@`localhost`
# GRANT SELECT, INSERT, UPDATE ON `my_database`.* TO `user1`@`localhost`
# GRANT SELECT (id, name) ON `my_database`.`users` TO `user1`@`localhost`
</syntaxhighlight>
<br><br>
<br><br>


== 権限の削除 ==
== 権限の削除 ==
特定のユーザから権限を削除する場合、<code>REVOKE</code>コマンドを使用する。<br>
権限の削除には、<code>REVOKE</code> コマンドを使用する。<br>
これは、<code>GRANT</code>コマンドと同様のシンタックスである。<br>
<br>
  REVOKE <権限の種類> ON *.* TO '<ユーザ名>'@'<ホスト名またはIPアドレス>';
<syntaxhighlight lang="mysql">
  REVOKE <権限の種類> ON <データベース名>.<テーブル名> TO '<ユーザ名>'@'<ホスト名またはIPアドレス>';
# 基本的な構文
REVOKE 権限リスト ON レベル FROM 'ユーザ'@'ホスト';
# グローバルレベルでの権限削除
REVOKE SELECT, INSERT ON *.* FROM 'user1'@'localhost';
# データベースレベルでの権限削除
REVOKE ALL PRIVILEGES ON my_database.* FROM 'user2'@'%';
# テーブルレベルでの権限削除
REVOKE INSERT, UPDATE ON my_database.users FROM 'user3'@'localhost';
# カラムレベルでの権限削除
REVOKE UPDATE (email) ON my_database.users FROM 'user4'@'localhost';
# GRANT OPTIONの削除
REVOKE GRANT OPTION ON my_database.* FROM 'user5'@'localhost';
# ロールの削除 (MySQL 8.0以降)
REVOKE 'app_developer' FROM 'user6'@'localhost';
# 動的権限の削除 (MySQL 8.0以降)
REVOKE SYSTEM_VARIABLES_ADMIN ON *.* FROM 'admin_user'@'localhost';
# 全ての権限を削除
REVOKE ALL PRIVILEGES, GRANT OPTION FROM 'user7'@'localhost';
</syntaxhighlight>
<br>
権限削除後は、<code>FLUSH PRIVILEGES</code> コマンドを実行して権限テーブルを再読み込みすることを推奨する。<br>
<syntaxhighlight lang="mysql">
FLUSH PRIVILEGES;
</syntaxhighlight>
<br><br>
 
== 様々なユースケース ==
運用で使用される一般的な権限設定のパターンを以下に示す。<br>
<br>
==== バックアップ用ユーザ ====
データベースの完全バックアップを取得するために必要な権限を付与する。<br>
<br>
<syntaxhighlight lang="mysql">
# バックアップ用ユーザの作成
CREATE USER 'backup_user'@'localhost' IDENTIFIED BY 'secure_password';
# 必要な権限を付与
GRANT SELECT, RELOAD, LOCK TABLES, REPLICATION CLIENT ON *.* TO 'backup_user'@'localhost';
GRANT SHOW VIEW ON *.* TO 'backup_user'@'localhost';
GRANT PROCESS ON *.* TO 'backup_user'@'localhost';
# MySQL 8.0以降では、BACKUP_ADMIN動的権限も推奨
GRANT BACKUP_ADMIN ON *.* TO 'backup_user'@'localhost';
</syntaxhighlight>
<br>
<center>
{| class="wikitable"
|+ 付与される権限の説明
! 権限名 !! 説明
|-
| SELECT || データの読み取り
|-
| RELOAD || FLUSHコマンドの実行
|-
| LOCK TABLES || テーブルのロック
|-
| REPLICATION CLIENT || レプリケーション状態の確認
|-
| SHOW VIEW || ビュー定義の表示
|-
| PROCESS || プロセスリストの表示
|-
| BACKUP_ADMIN || バックアップ専用の操作 (MySQL 8.0以降)
|}
</center>
<br>
==== 読み取り専用ユーザ ====
データの参照のみを許可し、変更を禁止するユーザを作成する。<br>
<br>
<syntaxhighlight lang="mysql">
# 読み取り専用ユーザの作成
CREATE USER 'readonly_user'@'%' IDENTIFIED BY 'secure_password';
# SELECT権限のみを付与
GRANT SELECT ON my_database.* TO 'readonly_user'@'%';
# ビューも確認できるようにする場合
GRANT SHOW VIEW ON my_database.* TO 'readonly_user'@'%';
</syntaxhighlight>
<br>
* 特定のテーブルやカラムのみに制限する場合
*: <syntaxhighlight lang="mysql">
# 特定のテーブルのみ参照可能
GRANT SELECT ON my_database.public_table TO 'readonly_user'@'%';
# 特定のカラムのみ参照可能 (機密情報を除外)
GRANT SELECT (id, name, created_at) ON my_database.users TO 'readonly_user'@'%';
</syntaxhighlight>
<br>
==== アプリケーション用ユーザ ====
Webアプリケーション等から使用する一般的なユーザを作成する。<br>
<br>
  <syntaxhighlight lang="mysql">
# アプリケーション用ユーザの作成
CREATE USER 'app_user'@'192.168.1.%' IDENTIFIED BY 'secure_password';
# データ操作権限を付与
GRANT SELECT, INSERT, UPDATE, DELETE ON my_database.* TO 'app_user'@'192.168.1.%';
# ストアドプロシージャの実行権限を付与
GRANT EXECUTE ON my_database.* TO 'app_user'@'192.168.1.%';
# 一時テーブルの作成を許可
GRANT CREATE TEMPORARY TABLES ON my_database.* TO 'app_user'@'192.168.1.%';
# ロックを許可 (トランザクション処理で必要な場合)
GRANT LOCK TABLES ON my_database.* TO 'app_user'@'192.168.1.%';
</syntaxhighlight>
<br>
* 接続数制限を設定する場合
*: <syntaxhighlight lang="mysql">
# 1時間あたりの最大接続数を制限
ALTER USER 'app_user'@'192.168.1.%'
WITH MAX_CONNECTIONS_PER_HOUR 1000
      MAX_QUERIES_PER_HOUR 10000;
</syntaxhighlight>
<br>
==== 監視用ユーザ ====
データベースの状態監視やメトリクス収集に使用するユーザを作成する。<br>
<br>
<syntaxhighlight lang="mysql">
# 監視用ユーザの作成
CREATE USER 'monitor_user'@'localhost' IDENTIFIED BY 'secure_password';
# 必要な権限を付与
GRANT PROCESS ON *.* TO 'monitor_user'@'localhost';
GRANT REPLICATION CLIENT ON *.* TO 'monitor_user'@'localhost';
# パフォーマンススキーマへのアクセスを許可
GRANT SELECT ON performance_schema.* TO 'monitor_user'@'localhost';
# information_schemaへのアクセスを許可
GRANT SELECT ON information_schema.* TO 'monitor_user'@'localhost';
  </syntaxhighlight>
<br>
<center>
{| class="wikitable"
|+ 付与される権限の説明
! 権限名 !! 説明
|-
| PROCESS || 実行中のプロセスリストの表示 (SHOW PROCESSLIST)
|-
| REPLICATION CLIENT || レプリケーション状態の確認 (SHOW MASTER STATUS、SHOW SLAVE STATUS)
|-
| SELECT on performance_schema || パフォーマンスメトリクスの取得
|-
| SELECT on information_schema || スキーマ情報の取得
|}
</center>
<br>
==== レプリケーション用ユーザ ====
MySQLレプリケーションのスレーブサーバがマスターに接続するためのユーザを作成する。<br>
<br>
<syntaxhighlight lang="mysql">
# レプリケーション用ユーザの作成
CREATE USER 'repl_user'@'%' IDENTIFIED BY 'secure_password';
# レプリケーション権限を付与
GRANT REPLICATION SLAVE ON *.* TO 'repl_user'@'%';
# MySQL 8.0以降では、REPLICATION_SLAVE_ADMIN動的権限も推奨
GRANT REPLICATION_SLAVE_ADMIN ON *.* TO 'repl_user'@'%';
</syntaxhighlight>
<br>
* スレーブサーバでの設定例
*: <syntaxhighlight lang="mysql">
# スレーブサーバでマスターを設定
CHANGE MASTER TO
    MASTER_HOST='master_host',
    MASTER_USER='repl_user',
    MASTER_PASSWORD='secure_password',
    MASTER_LOG_FILE='mysql-bin.000001',
    MASTER_LOG_POS=107;
START SLAVE;
</syntaxhighlight>
<br><br>
 
== セキュリティの推奨事項 ==
権限管理におけるセキュリティの推奨事項を以下に示す。<br>
<br>
==== 最小権限の原則 ====
ユーザには、業務遂行に必要な最小限の権限のみを付与する。<br>
<br>
* グローバル権限 (*.*) は、管理ユーザ以外には付与しない。
* データベースレベル権限 (database.*)を優先的に使用する。
* 可能な限りテーブルレベルやカラムレベルで制限する。
* ALL PRIVILEGESは、本当に必要な場合のみ使用する。
<br>
<syntaxhighlight lang="mysql">
# 良い例 : 必要最小限の権限
GRANT SELECT, INSERT, UPDATE ON my_database.my_table TO 'user'@'localhost';
# 悪い例 : 不必要に広い権限
GRANT ALL PRIVILEGES ON *.* TO 'user'@'%';
</syntaxhighlight>
<br>
==== ホスト制限 ====
ユーザが接続できるホストを可能な限り制限する。<br>
<br>
* ワイルドカード (%) の使用は避け、具体的なホスト名やIPアドレスを指定する。
* アプリケーションサーバのIPアドレスのみを許可する。
* ローカル接続が必要な場合は、localhostに制限する。
<br>
<syntaxhighlight lang="mysql">
# 良い例: 特定のホストのみ接続可能
CREATE USER 'user'@'192.168.1.10' IDENTIFIED BY 'password';
CREATE USER 'user'@'localhost' IDENTIFIED BY 'password';
# 悪い例: 全てのホストから接続可能
CREATE USER 'user'@'%' IDENTIFIED BY 'password';
</syntaxhighlight>
<br>
==== 危険な権限の組み合わせ ====
以下に示す権限は、セキュリティリスクが高いため、慎重に扱う必要がある。<br>
<br>
<center>
{| class="wikitable"
|+ セキュリティリスクが高い権限
! 権限名 !! 説明
|-
| FILE権限 || ファイルシステムへのアクセスが可能になり、機密情報の読み取りや書き込みができる。
|-
| SUPER権限 (MySQL 8.0以降は動的権限に分離) || サーバの動作を変更できる強力な権限
|-
| GRANT OPTION || 自分の権限を他のユーザに付与できるため、権限の拡散につながる。
|-
| LOAD DATA INFILE || FILE権限が必要で、外部ファイルからデータをロードできる。
|-
| SELECT INTO OUTFILE || FILE権限が必要で、クエリ結果をファイルに書き出せる。
|}
</center>
<br>
<syntaxhighlight lang="mysql">
# FILE権限を持つユーザは、機密ファイルを読み取り可能
SELECT LOAD_FILE('/etc/passwd');
# SUPER権限を持つユーザは、バイナリログを無効化可能
SET GLOBAL sql_log_bin = 0;
</syntaxhighlight>
<br>
これらの権限は、管理者ユーザにのみ付与し、アプリケーション用ユーザには絶対に付与しない。<br>
<br>
==== 権限の定期的な監査 ====
権限の付与状況を定期的に確認し、不必要な権限を削除する。<br>
<br>
<syntaxhighlight lang="mysql">
# 全てのユーザの権限を確認
SELECT User, Host FROM mysql.user;
# 各ユーザの権限詳細を確認
SHOW GRANTS FOR 'user'@'host';
# グローバルレベルで強力な権限を持つユーザを確認
SELECT User, Host
FROM mysql.user
WHERE Super_priv = 'Y' OR File_priv = 'Y' OR Grant_priv = 'Y';
# 動的権限を持つユーザを確認 (MySQL 8.0以降)
SELECT * FROM mysql.global_grants;
# 全てのホストから接続可能なユーザを確認
SELECT User, Host FROM mysql.user WHERE Host = '%';
</syntaxhighlight>
<br>
定期的な監査により、以下に示す事柄を確認する。<br>
* 不要になったユーザアカウントの削除
* 過剰な権限を持つユーザの権限縮小
* ワイルドカードホスト (%) の使用状況の確認
* パスワードの有効期限と強度の確認
<br>
<syntaxhighlight lang="mysql">
# 不要なユーザの削除
DROP USER 'old_user'@'localhost';
# パスワードポリシーの確認
SHOW VARIABLES LIKE 'validate_password%';
# パスワードの有効期限を設定
ALTER USER 'user'@'host' PASSWORD EXPIRE INTERVAL 90 DAY;
</syntaxhighlight>
<br><br>
<br><br>
{{#seo:
|title={{PAGENAME}} : Exploring Electronics and SUSE Linux | MochiuWiki
|keywords=MochiuWiki,Mochiu,Wiki,Mochiu Wiki,Electric Circuit,Electric,pcb,Mathematics,AVR,TI,STMicro,AVR,ATmega,MSP430,STM,Arduino,Xilinx,FPGA,Verilog,HDL,PinePhone,Pine Phone,Raspberry,Raspberry Pi,C,C++,C#,Qt,Qml,MFC,Shell,Bash,Zsh,Fish,SUSE,SLE,Suse Enterprise,Suse Linux,openSUSE,open SUSE,Leap,Linux,uCLnux,電気回路,電子回路,基板,プリント基板
|description={{PAGENAME}} - 電子回路とSUSE Linuxに関する情報 | This page is {{PAGENAME}} in our wiki about electronic circuits and SUSE Linux
|image=/resources/assets/MochiuLogo_Single_Blue.png
}}


__FORCETOC__
__FORCETOC__
[[カテゴリ:MySQL]]
[[カテゴリ:MySQL]]
「http://mochiuwiki.e2.valueserver.jp/index.php?title=MySQL_-_権限」から取得