MySQLの保護-安全なインストールのためのデータアクセス権限の利用

MySQLのインストールセキュリティは、すべてのMySQLDBAが念頭に置いておくべきものです。 MySQLセキュリティ全体をどのように処理する必要があるかについては説明しましたが（以前の投稿のいくつか、特にMySQLセキュリティシリーズのパート1とパート2をご覧ください）、特定のセキュリティ関連の問題については説明していません。特権に関連する問題を含みます。ここでそれを行います。

MySQLの権限とは何ですか？

MySQLの権限をアカウントに付与できます。 MySQLでアカウント権限を付与する場合は、アカウントが実行できる操作を決定します。特権は、データベースまたはデータベースオブジェクト（テーブル、インデックス、ビューなど）のいずれかに付与できます。特権は動的または静的にすることもできます。静的特権はサーバーに組み込まれていますが、動的特権は実行時に定義できます。

MySQLセキュリティの権限を利用する方法

MySQLで特権を利用するには、次のことを覚えておく必要があります。

• 特権を割り当てたり取り消したりするには、MySQLユーザーが必要です。ユーザーは、CREATE USERクエリを実行して作成できます：
  

  CREATE USER ‘demouser’@’localhost’ IDENTIFIED BY ‘password’;

• 特権を割り当てまたは取り消すには、それぞれGRANTステートメントとREVOKEステートメントを使用します。
  

  GRANT ALL ON demo_db.* TO ‘demouser’@’localhost’;
  REVOKE INSERT ON *.* FROM ‘demouser’@’localhost’;

• FLUSH PRIVILEGESを実行すると、特権を保存できます。 SHOWGRANTSを実行してそれらを表示します。

• GRANTステートメントを使用して、特権と役割の両方を付与することはできません。ステートメントは、特権または役割のいずれかを付与する必要があります。

MySQLのインストールをより安全にするために、次のことを考慮してください。

• ユーザーにタスクを実行するために必要な権限のみを付与します（たとえば、それが必要ありません）

• 一般に、MySQLをUnix rootユーザーとして実行することは避けてください。これは、FILE権限を持つすべてのユーザーが原因となる可能性があるためです。 rootとしてファイルを作成するサーバー。

• 管理者ではないユーザーにFILE権限を付与しないでください（上記の説明を参照）

  >

• mysqldを通常の非特権ユーザーとして実行することを検討してください。

• 管理者ではないユーザーにPROCESSまたはSUPER特権を付与しないでください。 PROCESS特権により、ユーザーはMySQLで実行されているすべてのプロセスを表示できます。 SUPER特権は、特に、サーバー構成の変更を有効にし、CREATE SERVER、ALTER SERVER、およびDROP SERVERステートメントの使用を有効にし、KILLステートメントの使用を有効にして、ユーザーが他のアカウントに属するステートメントを強制終了できるようにします。 MySQLは、SUPER特権を持つユーザーのために追加の接続を予約していることに注意してください。 SUPER特権により、ユーザーはレプリケーションサーバーを制御することもできます。

上記のアドバイスに従ってください。そうすれば、より安全なMySQLインストールへの道を順調に進むはずです。ただし、新しいバージョンのMySQLを使用している場合は、もう1つ注意する必要があります。MySQLはMySQL8.0.16で役割を導入しています。

CREATE ROLE [IF NOT EXISTS] ‘role_1’;
GRANT SELECT ON db_name.* TO user_name;
GRANT role_1 TO [email protected];

SHOW GRANTS FOR ‘username’;