Creació de rols - Historial de revisió

Joan: /* Rols per defecte */

2022-03-07T19:07:54Z

Rols per defecte

Joan: /* Refrència */

2022-03-07T18:34:57Z

Refrència

Joan: /* Rols */

2022-03-07T17:07:22Z

Rols

Joan: /* Rols */

2022-03-07T17:06:38Z

Rols

Joan: /* Eliminar els rols i eliminar els usuaris */

2022-03-07T16:44:11Z

Eliminar els rols i eliminar els usuaris

Joan: /* Revocar privilegis dels rols */

2022-03-07T16:43:39Z

Revocar privilegis dels rols

Joan: /* Rols */

2022-03-07T16:34:37Z

Rols

Joan a 16:20, 7 març 2022

2022-03-07T16:20:54Z

Joan: Es crea la pàgina amb «=Introducció= Els ''rols'' és la manera de crear una abstracció sobre els usuaris. #Crearem rols #Assignem privilegis als rols #Assignem els rols als usuaris. D'aqu...».

2022-03-07T16:20:41Z

Es crea la pàgina amb «=Introducció= Els ''rols'' és la manera de crear una abstracció sobre els usuaris. #Crearem rols #Assignem privilegis als rols #Assignem els rols als usuaris. D'aqu...».

Pàgina nova

=Introducció=
Els ''rols'' és la manera de crear una abstracció sobre els usuaris.
#Crearem rols
#Assignem privilegis als rols
#Assignem els rols als usuaris.
D'aquesta manera, quan tenim una política complerta de seguretat amb molts usuaris, podem utilitzar els rols. Igual que faríem amb la seguretat d'un sistema operatiu.
=Refrència=
=Rols=
Seguim l'exemple dels apunts:
<pre>
mysql> CREATE DATABASE crm;

Query OK, 1 row affected (0,01 sec)

mysql> use crm

Database changed

mysql> CREATE TABLE customers(
id INT PRIMARY KEY AUTO_INCREMENT,
first_name VARCHAR(255) NOT NULL,
last_name VARCHAR(255) NOT NULL,
phone VARCHAR(15) NOT NULL,
email VARCHAR(255)
);

Query OK, 0 rows affected (0,07 sec)

mysql> INSERT INTO customers(first_name,last_name,phone,email)
VALUES('John','Doe','(408)-987-7654','john.doe@mysqltutorial.org'),
('Lily','Bush','(408)-987-7985','lily.bush@mysqltutorial.org');

Query OK, 2 rows affected (0,03 sec)
Records: 2 Duplicates: 0 Warnings: 0

mysql> SELECT * FROM customers;
+----+------------+-----------+----------------+-----------------------------+
| id | first_name | last_name | phone | email |
+----+------------+-----------+----------------+-----------------------------+
| 1 | John | Doe | (408)-987-7654 | john.doe@mysqltutorial.org |
| 2 | Lily | Bush | (408)-987-7985 | lily.bush@mysqltutorial.org |
+----+------------+-----------+----------------+-----------------------------+
</pre>

Crearem tres ''rols'' diferenciats: un de desenvolupador, un amb permisos de lectura, i un amb permisos d'escriptura:
<pre>
CREATE ROLE
crm_dev,
crm_read,
crm_write;
</pre>

Donem els permisos als rols:
<pre>
GRANT ALL
ON crm.*
TO crm_dev;

GRANT SELECT
ON crm.*
TO crm_read;

GRANT INSERT, UPDATE, DELETE
ON crm.*
TO crm_write;
</pre>
I ara creem els usuaris:
<pre>
mysql> -- developer user
mysql> CREATE USER crm_dev1@localhost IDENTIFIED BY 'Secure$1782';

mysql> -- read access user
mysql> CREATE USER crm_read1@localhost IDENTIFIED BY 'Secure$5432';

mysql> -- read/write users
mysql> CREATE USER crm_write1@localhost IDENTIFIED BY 'Secure$9075';
mysql> CREATE USER crm_write2@localhost IDENTIFIED BY 'Secure$3452';
</pre>
De moment, aquests usuaris encara no tenen cap permís.

Ara assignem els rols als usuaris:
<pre>
GRANT crm_dev TO crm_dev1@localhost;

GRANT crm_read TO crm_read1@localhost;

GRANT crm_read, crm_write TO crm_write1@localhost, crm_write2@localhost;
</pre>
I ara mirem com ha quedat l'assignació de privilegis als usuaris:
<pre>
mysql> SHOW GRANTS FOR crm_dev1@localhost;
+-----------------------------------------------+
| Grants for crm_dev1@localhost |
+-----------------------------------------------+
| GRANT USAGE ON *.* TO `crm_dev1`@`localhost` |
| GRANT `crm_dev`@`%` TO `crm_dev1`@`localhost` |
+-----------------------------------------------+
</pre>
Veiem que té assignat el rol de ''crm_dev'', però no veiem quins privilegis representa. Amb la clàusula ''USING'' podem veure els privilegis:
<pre>
mysql> SHOW GRANTS FOR crm_dev1@localhost USING crm_dev;
+-----------------------------------------------------------+
| Grants for crm_dev1@localhost |
+-----------------------------------------------------------+
| GRANT USAGE ON *.* TO `crm_dev1`@`localhost` |
| GRANT ALL PRIVILEGES ON `crm`.* TO `crm_dev1`@`localhost` |
| GRANT `crm_dev`@`%` TO `crm_dev1`@`localhost` |
+-----------------------------------------------------------+
</pre>
Els privilegis de ''crm_write1'':
<pre>
mysql> SHOW GRANTS FOR crm_write1@localhost USING crm_write;
+---------------------------------------------------------------------+
| Grants for crm_write1@localhost |
+---------------------------------------------------------------------+
| GRANT USAGE ON *.* TO `crm_write1`@`localhost` |
| GRANT INSERT, UPDATE, DELETE ON `crm`.* TO `crm_write1`@`localhost` |
| GRANT `crm_read`@`%`,`crm_write`@`%` TO `crm_write1`@`localhost` |
+---------------------------------------------------------------------+
</pre>
Els privilegis de ''crm_read1'':
<pre>
mysql> SHOW GRANTS FOR crm_read1@localhost USING crm_read;
+----------------------------------------------------+
| Grants for crm_read1@localhost |
+----------------------------------------------------+
| GRANT USAGE ON *.* TO `crm_read1`@`localhost` |
| GRANT SELECT ON `crm`.* TO `crm_read1`@`localhost` |
| GRANT `crm_read`@`%` TO `crm_read1`@`localhost` |
+----------------------------------------------------+
</pre>

@@ Línia 136: / Línia 136: @@
 | GRANT `crm_read`@`%` TO `crm_read1`@`localhost`    |
 +----------------------------------------------------+
 </pre>
@@ Línia 202: / Línia 216: @@
 +----------------+
 </pre>
 =Revocar privilegis dels rols=
 Evidentment, això només ho pot fer el root:

@@ Línia 223: / Línia 223: @@
 DROP USER crm_dev1@localhost;
 DROP USER crm_write1@localhost;
 DROP USER crm_read1@localhost;
 DROP DATABASE crm;
 </pre>

@@ Línia 196: / Línia 196: @@
 </pre>
 =Revocar privilegis dels rols=
-Evidentment, això només ho pot fer el root
+Evidentment, això només ho pot fer el root:

← Versió més antiga		Revisió del 16:20, 7 març 2022
Línia 1:		Línia 1:
		+	__TOC__
	=Introducció=		=Introducció=
	Els ''rols'' és la manera de crear una abstracció sobre els usuaris.		Els ''rols'' és la manera de crear una abstracció sobre els usuaris.

@@ Línia 7: / Línia 7: @@
 D'aquesta manera, quan tenim una política complerta de seguretat amb molts usuaris, podem utilitzar els rols. Igual que faríem amb la seguretat d'un sistema operatiu.
 =Refrència=
 =Rols=
 Seguim l'exemple dels apunts:

@@ Línia 77: / Línia 77: @@
 mysql> CREATE USER crm_write1@localhost IDENTIFIED BY 'Secure$9075';
 mysql> CREATE USER crm_write2@localhost IDENTIFIED BY 'Secure$3452';
 </pre>
 De moment, aquests usuaris encara no tenen cap permís.

@@ Línia 131: / Línia 131: @@
 +----------------------------------------------------+
 </pre>
 =Rols per defecte=
 <pre>

← Versió més antiga		Revisió del 16:34, 7 març 2022
Línia 131:		Línia 131:
	+----------------------------------------------------+		+----------------------------------------------------+
	</pre>		</pre>
		+	=Rols per defecte=
		+	<pre>
		+	$ mysql -u crm_read1 -p
		+
		+	mysql> use crm
		+	ERROR 1044 (42000): Access denied for user 'crm_read1'@'localhost' to database 'crm'
		+	</pre>
		+	No podem entrar a la base de dades, perquè de fet no tenim assignat cap rol:
		+	<pre>
		+	mysql> SELECT current_role();
		+	+----------------+
		+	\| current_role() \|
		+	+----------------+
		+	\| NONE \|
		+	+----------------+
		+	</pre>
		+	Per tal de què els privilegis associats al rol estiguin actius per a l'usuari, fem:
		+	<pre>
		+	mysql> SET DEFAULT ROLE ALL TO crm_read1@localhost;
		+	mysql> exit
		+	</pre>
		+	Sortim i tornem a logar-nos, i ara sí que tenim assignat el rol:
		+	<pre>
		+	mysql> SELECT current_role();
		+	+----------------+
		+	\| current_role() \|
		+	+----------------+
		+	\| `crm_read`@`%` \|
		+	+----------------+
		+	</pre>
		+	Ara ja podem canviar a la base de dades ''crm'', i podem fer una sessió de lectura sobre la taula ''customers'':
		+	<pre>
		+	mysql> use crm
		+
		+	Database changed
		+	mysql> select * from customers;
		+	+----+------------+-----------+----------------+-----------------------------+
		+	\| id \| first_name \| last_name \| phone \| email \|
		+	+----+------------+-----------+----------------+-----------------------------+
		+	\| 1 \| John \| Doe \| (408)-987-7654 \| john.doe@mysqltutorial.org \|
		+	\| 2 \| Lily \| Bush \| (408)-987-7985 \| lily.bush@mysqltutorial.org \|
		+	+----+------------+-----------+----------------+-----------------------------+
		+	2 rows in set (0,00 sec)
		+	</pre>
		+
		+	El mateix usuari pot desactiva o tornar a activar els rols:
		+	<pre>
		+	SET ROLE NONE;
		+	mysql> SELECT current_role();
		+	+----------------+
		+	\| current_role() \|
		+	+----------------+
		+	\| NONE \|
		+	+----------------+
		+
		+
		+	SET ROLE ALL;
		+	mysql> SELECT current_role();
		+	+----------------+
		+	\| current_role() \|
		+	+----------------+
		+	\| `crm_read`@`%` \|
		+	+----------------+
		+	</pre>
		+	=Revocar privilegis dels rols=
		+	Evidentment, això només ho pot fer el root