安全管理对数据库至关重要,OceanBase 有专门的安全管理策略用来保证数据库数据安全和资源安全。OceanBase 数据库的安全管理策略主要包括资源隔离和权限控制:通过资源隔离限制可以访问到的数据,隔离保证资源安全;对于共享数据,通过权限设置访问权限,从而保证数据安全。
您可在 RAM 访问控制中,设置用户权限。
登录 RAM 访问控制台后,单击左侧导航栏的 权限策略管理,单击 创建权限策略。
在 新建自定义权限策略 页面,填写 策略名称,选择 脚本配置,为子账号创建权限策略。
创建完成后,单击左侧导航栏 用户,搜索需要增加权限的用户名称。
进入用户详情页面后,单击 权限管理。
在 个人权限 页签下,单击 添加权限。
在右侧弹出框中,单击 自定义策略,选择刚刚创建的权限策略,单击 确定。
系统租户和普通租户
OceanBase 支持多租户架构,租户是数据库对象管理和资源管理的基础,即租户即是各类数据库对象的容器,又是资源(CPU、Memory、IO 等)的容器。
多租户架构优势如下:
在数据安全方面,不允许跨租户的数据访问,确保用户的数据资产没有泄露的风险。
在资源使用方面,租户独占其资源配额。通过多租户架构,将数据和资源分离,这样就保证了数据资源在不同租户之间的安全性。
OceanBase 系统中包含两大类租户:系统租户和普通租户。系统租户是系统内置的,用于保存 OceanBase 正常运行的一些资源,进行集群管理操作和存储系统表。只有系统租户下的 root 用户能够增加和删除普通租户,修改系统配置项和进行每日合并等一些重要功能操作。
租户管理
在 OceanBase 中,不同租户之间的数据对象是完全隔离的,对象名字空间的最顶层就是租户。OceanBase 的租户权限管理有如下特点:
任何租户(不论是系统租户还是普通租户)下的用户不能跨租户访问其他普通租户下的用户数据。
不支持跨租户对用户进行授权。例如:A 租户下的管理员用户 u1,不能将 A 租户下的表 t1 的读写权限授予 B 租户下的任何用户。
只有系统租户下的管理员用户才有集群管理权限,执行系统管理操作,如创建/删除普通租户、设置系统配置参数、开启每日合并操作。
普通租户下的用户及权限和 MySQL 实例类似,既有具备租户内管理员权限的特权用户,也有普通用户。权限的授予及回收也和单个 MySQL 实例相同。
在跨租户数据访问方面有一个小小的例外,那就是普通租户下的用户,如果他具备访问系统视图的权限,实际上他是可以访问到系统租户下的系统表数据的,因为所有元信息都存放在系统租户下的系统表里。
数据库用户权限管理包括新建用户、删除用户、修改密码、修改用户名、锁定用户、用户授权和撤销授权等。OceanBase 中用户分为两类:系统租户下的用户,一般租户下的用户。创建用户时,如果 Session 当前租户为系统租户,则新建的用户为系统租户用户;反之为一般租户下的用户。
用户名称在租户内是唯一的,不同租户下的用户可以同名。用户名@租户名
在系统全局唯一。为区别系统租户和一般租户下的用户,建议对系统租户下的用户名称使用特定前缀。系统租户和普通租户都有一个内置用户 root,系统租户的 root 为系统管理员,普通租户的 root 为租户管理员。
一般租户下的用户只能拥有该租户下对象的访问权限,权限设计和 MySQL 兼容;系统租户下的用户可以被授予跨租户的对象访问权限。当前系统租户下的用户不允许访问一般租户下的用户表数据。
用户在登录 OceanBase 系统时需指定唯一的租户名。对于系统租户下的用户,在登录后,可以切换当前访问的租户;对于一般租户下的用户,不能切换到其他租户。 对于权限,可以分成以下几个层级:
全局层级:适用于所有的数据库。使用 GRANT ALL ON *.* 授予全局权限。
数据库层级:适用于一个给定数据库中的所有目标。使用 GRANT ALL ON db_name.* 授予数据库权限。
表层级:表权限适用于一个给定表中的所有列。使用 GRANT ALL ON db_name.tbl_name 授予表权限。
权限信息如下:
权限 | 说明 |
---|---|
ALL PRIVILEGES | 除 GRANT OPTION 以外所有权限 |
ALTER | ALTER TABLE 的权限 |
CREATE | CREATE TABLE 的权限 |
CREATE USER | CREATE USER,DROP USER,RENAME USER 和 REVOKE ALL PRIVILEGES 的权限 |
CREATE TABLEGROUP | 全局 CREATE TABLEGROUP 的权限 |
DELETE | DELETE 的权限 |
DROP | DROP 的权限 |
GRANT OPTION | GRANT OPTION 的权限 |
INSERT | INSERT 的权限 |
SELECT | SELECT 的权限 |
UPDATE | UPDATE 的权限 |
SUPER | SET GLOBAL 修改全局系统参数的权限 |
SHOW DATABASES | 全局 SHOW DATABASES 的权限 |
INDEX | CREATE INDEX, DROP INDEX 的权限 |
CREATE VIEW | 创建、删除视图的权限 |
SHOW VIEW | SHOW CREATE VIEW 权限 |
OceanBase 中,每个租户对应一个 MySQL 实例,OceanBase 的用户权限管理做到了和 MySQL 的兼容,操作和 MySQL 都是一样的。在用户的基础上,OceanBase 增加了多租户机制,因此也引入了租户权限管理,规定了不同租户之间数据和资源的使用权限。通过租户权限管理和用户权限管理保证了 OceanBase 的安全。
备案信息: 粤ICP备15087711号-2
Copyright © 2008-2024 啊嘎哇在线工具箱 All Rights.
本站所有资料来源于网络,版权归原作者所有,仅作学习交流使用,如不慎侵犯了您的权利,请联系我们。