無料PHPプログラム

MySQL 権限システムでは、すべてのユーザが許可がある操作だけを行います。ユーザは MySQL サーバに接続すると、 接続元のホスト と 指定するユーザ名 でそのアイデンティティ (ID) を認識します。接続後のリクエスト発行では、権限システムが、ユーザ ID と それが行なう操作に応じて権限を設定します。

MySQL では、ホスト名とユーザ名を使用してユーザを認証します。1 つのユーザ名がインターネット上のどこででも同じユーザを示しているという保証がないためです。たとえば、 office.example.com から接続したユーザ joe は、home.example.com から接続した joe と同一人物とは限りません。 MySQL では、同じユーザ名でも異なるホストから接続するユーザ間で区別して、これを処理します。office.example.com から接続したjoe と、home.example.com から接続した joe には別々の権限セットを設定します。

MySQL のアクセス制御には、サーバに接続するクライアント プログラムを実行するときに、 2 段階を踏みます。

接続中に権限を変更した場合（ユーザ自身または第三者によって）、必ずしもその変更は次のクエリに反映するとは限りません。詳細は、項4.7.7. 「権限の変更が反映するタイミング」 を参照してください。

サーバは、mysql データベース (mysql と名付けられたデータベース) の権限テーブルに権限情報を保管します。MySQL サーバは、起動するとこのテーブルの内容をメモリに読み込み、項4.7.7. 「権限の変更が反映するタイミング」 で示すような状況においては、それらを再読み込みします。アクセス制御の決定は、権限テーブルの内部コピーを基に行います。

通常、GRANT や REVOKE などのクエリを使用して、権限テーブルの内容を間接的に操作し、アカウントのセットアップや権限のコントロールを行ないます。項12.5.1. 「アカウント管理ステートメント」 も参照してください。ここでは、権限テーブルの根本的なストラクチャと、サーバがクライアントとのやりとりでどのようにそれを使用するかについて説明します。

サーバでは、両方の段階でのアクセス制御で、mysql データベースの user、 db、 そして host テーブルを使用します。user と db のフィールドをここで示します。host テーブルは、db テーブルと類似しますが、項4.7.6. 「アクセス制御の段階 2： 接続確認」 で説明するように特別な使い方をします。

Event_priv と Trigger_priv のフィールドは MySQL 5.1.6 で追加しました。

アクセス制御の 2 段階目 (要求確認) で、要求がテーブルに関連する場合、サーバはそれぞれのクライアントに適切な権限があるかどうかを確認します。それに加えて、user、 db、 host の権限テーブルで、サーバが tables_priv と columns_priv テーブルを参照します。tables_priv と columns_priv テーブルで、テーブルとカラムの適切な権限制御を行なうことができます。これには次のフィールドがあります。

Timestamp と Grantor のフィールドは現在未使用です。.

ストアド ルーチンに関わる要求確認では、サーバは procs_priv テーブルを参照します。このテーブルには次のようなフィールドがあります。

Routine_type は、'FUNCTION' または 'PROCEDURE' の値を伴う ENUM フィールドであり、その行が示すルーチンのタイプを指します。このフィールドでは、関数とプロシージャが同じ名前である場合に、別々に権限を与えます。

Timestamp と Grantor のフィールドは現在未使用です。.

それぞれの権限テーブルには、スコープ フィールドと権限フィールドがあります。

スコープフィールドは文字列です。ここで示すように、それぞれのデフォルト値は空文字列です。

アクセスをチェックでは、Host 値の比較には大文字と小文字を区別します。User、Password、Db、および Table_name の値については大文字と小文字を区別します。Column_name と Routine_name の値は、大文字と小文字の区別は不要です。

user、 db、 host のテーブルでは、それぞれの権限を別々のカラムにリストしています。これは、ENUM('N','Y') DEFAULT 'N' と宣言しています。つまり、それぞれの権限は無効化、および有効化が可能です。

tables_priv、 columns_priv、procs_priv のテーブルでは、権限フィールドは SET フィールドとして宣言しています。これらのフィールド値はテーブルでコントロールしている権限の組み合わせを含みます。

ここで、サーバが権限テーブルをどのように使用するかを簡潔に説明します。

注意： 管理者権限 （RRELOAD、SHUTDOWN など）は、user テーブルで指定します。管理操作はデータベース固有ではなく、サーバそのもので行う操作です。そのため、この権限を他の権限テーブルで設定する必要はありません。実際に、管理操作を実行できるかどうか決定するときには、user テーブルを参照するだけで済みます。

FILE 権限は user テーブルで指定します。 これは管理者権限ではありません。サーバ ホスト上でのファイルの読み書きは、アクセスしているデータベースからは独立しています。

mysqld サーバは権限テーブルの内容を、起動時に 1 回メモリへ読み取ります。FLUSH PRIVILEGES ステートメントを発行するか、または mysqladmin flush-privileges あるいは mysqladmin reload のコマンドを実行して、このテーブルの再読み込みを行なうことも可能です。権限テーブルへの変更してから反映できるまでの詳細は 項4.7.7. 「権限の変更が反映するタイミング」 を参照してください。

権限テーブルの内容を変更するときは、その変更で、目的とする権限を適切に設定したかどうを確認してください。任意のアカウントへの権限をチェックするには、SHOW GRANTS ステートメントを使用します。(項12.5.4.16. 「SHOW GRANTS 構文」 を参照のこと。) たとえば、Host が pc84.example.com で、User が bob のアカウントに与えた権限を確認するには、次のようにステートメントを発行します。

SHOW GRANTS FOR 'bob'@'pc84.example.com';

権限関連問題の追加的な診断ヘルプに関しては、項4.7.8. 「Access denied エラーの原因」 を参照してください。その他、セキュリティに関連のアドバイスに関しては、項4.6. 「セキュリティ問題」 を参照してください。