ロールの有効化

ユーザーには複数のロールを付与できます。ロールを付与された後、そのロールがセッション内で有効な状態にある場合、ユーザーはそのロールに含まれる権限を使用できます。そうでない場合は、そのロールに含まれる権限を使用できません。現在のセッションでどのロールが有効な状態にあるか確認するには、CURRENT_ROLE() 関数を使用してクエリできます。

デフォルトでは、他のユーザーやロールに付与されたロールは、セッション内で自動的に有効にはなりません。

ユーザーがログイン時にデフォルトで有効にするロールの指定

OceanBaseデータベースのMySQLモードでは、SET DEFAULT ROLE ステートメント、または ALTER USER ステートメントの DEFAULT ROLE 句を使用して、ユーザーがログイン時にデフォルトで有効にするロールを指定できます。

前提条件

• 現在のユーザーは、指定しようとしているロールを所有している必要があります。

• 現在のユーザーは CREATE USER 権限も所有している必要があります。これは、SET DEFAULT ROLE ステートメントまたは ALTER USER ステートメントを実行するために必要です。

SET DEFAULT ROLE ステートメントによる設定例

SET DEFAULT ROLE ステートメントを使用する場合、1つのステートメントで複数のユーザーのログイン時のデフォルト有効ロールを同時に指定できます。

• ユーザー test1 がログインする際、デフォルトで付与されたすべてのロールを無効にする

  obclient [oceanbase]> SET DEFAULT ROLE NONE TO test1;
  

  複数のユーザーを指定する必要がある場合、例えば、ユーザー test1 と test2 のログイン時に付与されたすべてのロールをデフォルトで無効にする場合、例は以下のとおりです：

  obclient [oceanbase]> SET DEFAULT ROLE NONE TO test1,test2;
  

• ユーザー test1 がログインする際、デフォルトで付与されたすべてのロールを有効にする

  obclient [oceanbase]> SET DEFAULT ROLE ALL TO test1;
  

• ユーザー test1 がログインする際、デフォルトで付与された employee と developer のロールを有効にする

  obclient [oceanbase]> SET DEFAULT ROLE employee,developer TO test1;
  

ALTER USER ステートメントによる設定例

ALTER USER ステートメントを使用する場合、各ステートメントではログイン時にデフォルトで有効にするロールを1つのユーザーに対してのみ指定できます。

• ユーザー test1 がログインする際、ユーザーに付与されたすべてのロールをデフォルトで無効にします。

  obclient [oceanbase]> ALTER USER test1 DEFAULT ROLE NONE;
  

• ユーザー test1 がログインする際、ユーザーに付与されたすべてのロールをデフォルトで有効にします。

  obclient [oceanbase]> ALTER USER test1 DEFAULT ROLE ALL;
  

• ユーザー test1 がログインする際、ユーザーに付与された employee と developer のロールをデフォルトで有効にします。

  obclient [oceanbase]> ALTER USER test1 DEFAULT ROLE employee,developer;
  

ユーザーがログインする際に自動的にすべてのロールを有効にする

上記のロールの有効化方法以外に、ALTER SYSTEM 権限を持つユーザーはグローバル変数 activate_all_roles_on_login を使用して、ログイン時にユーザーに付与されたすべてのロールを自動的に有効にすることもできます。この変数のデフォルト値は off であり、ログイン時にユーザーに付与されたすべてのロールを自動的に有効にする機能を無効にすることを意味します。

この変数を設定する前に、以下の点に注意してください：

• 変数 activate_all_roles_on_login の値が on の場合、この設定の優先順位は SET DEFAULT ROLE ステートメントまたは ALTER USER ステートメントで指定されたデフォルトの有効なロールよりも高くなります。システムは変数 activate_all_roles_on_login の設定を使用し、ログイン時にユーザーに付与されたすべてのロールをデフォルトで自動的に有効にします。

• 変数 activate_all_roles_on_login の値が off の場合、システムは SET DEFAULT ROLE ステートメントまたは ALTER USER ステートメントで指定されたデフォルトの有効なロールを使用します。

ログイン時にユーザーに付与されたすべてのロールを自動的に有効にするには、以下のステートメントを使用します：

obclient [oceanbase]> SET GLOBAL activate_all_roles_on_login = on;

現在のセッションで有効なロールを指定する

OceanBaseデータベースのMySQLモードでは、現在のセッション内で SET ROLE ステートメントを使用して、現在ログインしているユーザーに付与されたロールを指定して有効にすることができます。

操作例は以下のとおりです：

• 現在のセッションで、デフォルトのロール設定を維持します。

  obclient [oceanbase]> SET ROLE DEFAULT;
  

  ステートメント実行後、システムは変数 activate_all_roles_on_login の値および SET DEFAULT ROLE ステートメントまたは ALTER USER ステートメントで設定されたデフォルトの有効なロールに基づいてロールを有効にします：

  • 変数 activate_all_roles_on_login の値が on の場合、セッション内でユーザーに付与されたすべてのロールを有効にします。

  • 変数 activate_all_roles_on_login の値が off の場合、セッション内で SET DEFAULT ROLE ステートメントまたは ALTER USER ステートメントで指定されたデフォルトの有効なロールを有効にします。

• 現在のセッションで、ユーザーが付与されたすべてのロールを無効にすることを指定します。

  obclient [oceanbase]> SET ROLE NONE;
  

• 現在のセッションで、ユーザーが付与されたすべてのロールを有効にすることを指定します。

  obclient [oceanbase]> SET ROLE ALL;
  

• 現在のセッションで、ユーザーが付与されたロールのうち、role1 ロールを除くすべてのロールを有効にすることを指定します。

  obclient [oceanbase]> SET ROLE ALL EXCEPT role1;
  

  複数の除外ロールを指定できます。

• 現在のセッションで、ユーザーの employee および developer ロールを有効にすることを指定します。

  obclient [oceanbase]> SET ROLE employee,developer;
  

関連ドキュメント

ロールの確認