GRANT

説明

このステートメントは、指定されたユーザーまたはロールに対応する権限を付与するか、ロールをユーザーまたはロールに付与するために使用します。

使用上の制限と注意事項

ループ状の GRANT 操作はサポートされていません。例えば、ロールAがロールBに権限を付与し、ロールBがロールCに権限を付与した後、ロールCがロールAに権限を付与するとエラーが発生します。

権限要件

オブジェクト権限をユーザーに付与する場合の権限要件

• GRANTステートメントを実行する際、現在のユーザーは付与される権限を持っていなければなりません。例えば、ユーザーuser1がユーザーuser2にテーブルtbl1のSELECT権限を付与したい場合、ユーザーuser1はテーブルtbl1のSELECT権限を持っていなければなりません。

• GRANTステートメントを実行する際、現在のユーザーはGRANT OPTION権限を持っている必要があります。OceanBaseデータベースの権限の詳細については、MySQLモードの権限分類を参照してください。

ロールをユーザーまたは他のロールに付与する場合の権限要件

• 現在のユーザーがSUPER権限を持っている場合、すべてのロールをGRANTできます。
• ロールを他のユーザーまたはロールに付与する場合、現在のユーザーは付与するロールを所有しており、かつADMIN OPTION権限を持っている必要があります。現在のユーザーが持っている権限を確認する操作については、ユーザー権限の確認を参照してください。

構文

オブジェクト権限をユーザーまたはロールに付与する

GRANT priv_type[(column_name_list)] [, priv_type[(column_name_list)] ...]
    ON [object_type] priv_level
    TO {user [, user...]}
    [WITH GRANT OPTION];

priv_type:
    READ
    | WRITE

column_name_list:
    column_name [, column_name ...]

object_type:
    TABLE
    | FUNCTION
    | PROCEDURE
    | CATALOG
    | LOCATION

user:
    user_or_role
    | user_name IDENTIFIED [WITH auth_plugin] BY password
    | user_name IDENTIFIED [WITH auth_plugin] BY PASSWORD password

user_or_role:
    user_name | role_name

ロールをユーザーまたはロールに付与する

GRANT role_name [, role_name ...]
    TO user_or_role [, user_or_role ...]
    [WITH ADMIN OPTION];

user_or_role:
    user_name | role_name

パラメータの説明

object_type

• TABLE：権限の対象がテーブルであることを示します。

• FUNCTION：権限の対象が関数であることを示します。

• PROCEDURE：権限の対象がストアドプロシージャであることを示します。

• CATALOG：権限の対象がカタログであることを示します。

• LOCATION：権限の対象がロケーションであることを示します。ユーザーにロケーションオブジェクトに対する権限を付与できるものは以下のとおりです：

  • READ：ロケーションオブジェクトに対する読み取り権限を示します。
  • WRITE：ロケーションオブジェクトに対する書き込み権限を示します。

  説明

  OceanBaseデータベースV4.4.x系では、GRANT ステートメントはV4.4.1バージョンから LOCATION パラメータおよび対応する READ と WRITE 権限をサポートしています。

例：

• user001 に test データベース内のすべてのオブジェクトに対する SELECT 権限を付与します。指定されたオブジェクトが指定されたタイプではないため、エラーが発生します。

  GRANT SELECT ON TABLE test.* TO user001;
  

  実行結果は次のとおりです：

  ERROR 1144 (42000): Illegal GRANT/REVOKE command; please consult the manual to see which privileges can be used
  

• user001 に test データベース内のテーブル tbl1 に対する SELECT 権限を付与します。

  GRANT SELECT ON TABLE test.tbl1 TO user001;
  

• user002 に test データベース内の関数 calculate_salary の実行権限を付与します。

  GRANT EXECUTE ON FUNCTION test.calculate_salary TO user002;
  

• user003 に test データベース内のストアドプロシージャ pro_generate_data の実行権限を付与します。

  GRANT EXECUTE ON PROCEDURE test.pro_generate_data TO user003;
  

• user004 にカタログオブジェクト test_odps_catalog に対する SELECT および USE CATALOG 権限を付与します。

  GRANT SELECT, USE CATALOG ON CATALOG test_odps_catalog TO user004 WITH GRANT OPTION;
  

• user005 にロケーションオブジェクト test_location_local に対する読み取り権限を付与します。

  GRANT READ ON LOCATION test_location_local TO user005 WITH GRANT OPTION;
  

例

例1：オブジェクトに権限を付与する

• 既存のユーザー user1 にデータベース db1 の CREATE VIEW 権限を付与し、他のユーザーへの同権限の再付与を許可します。

  GRANT CREATE VIEW ON db1.* TO user1 WITH GRANT OPTION;
  

• 既存のユーザー user1 にデータベース db1 の CREATE 権限を付与し、user1 のパスワードを変更します。

  GRANT CREATE ON db1.* TO user1 IDENTIFIED by '********';
  

  実行後、mysql.user テーブルの user1 ユーザーのパスワードを確認すると、最新に設定したパスワードに更新されていることが確認できます。

• 不存在のユーザー user2 にデータベース db1 の CREATE 権限を付与し、user2 にパスワードを設定します。

  GRANT CREATE ON db1.* TO user2 IDENTIFIED by '********';
  

• 既存のユーザー user001 にデータベース test 内のテーブル tbl1 の列 col1 に対する SELECT 権限を付与します。

  GRANT SELECT(col1) ON test.tbl1 TO user001;
  

• ユーザー user005 にグローバルレベルの CREATE CATALOG および USE CATALOG 権限を付与します。

  GRANT CREATE CATALOG, USE CATALOG ON *.* TO user004 WITH GRANT OPTION;
  

例2：ロールをユーザーまたは別のロールに付与する

• ロール role001 の権限をロール role002 に付与し、再付与を許可します。

  GRANT role001 TO role002 WITH ADMIN OPTION;
  

• ロール role001 の権限をユーザー user001 に付与し、再付与を許可します。

  GRANT role001 TO user001 WITH ADMIN OPTION;
  

関連ドキュメント

• ユーザー権限の付与操作については、権限の付与を参照してください。
• ユーザー権限の確認操作については、ユーザー権限の確認を参照してください。
• 作成したユーザー情報はmysql.userテーブルで確認できます。mysql.userテーブルの詳細については、mysql.userを参照してください。
• ロールへの権限の追加
• ロールのユーザーまたは別のロールへの付与
• ロールの有効化
• 間接的な権限付与