我的书签
添加书签
移除书签应用场景
场景概述
- 如果你所在的企业部署了 MatrixOne 集群，那么部署完成后，集群初始化时即自动存在一个集群管理员账户，你可以联系 MatrxiOne 的项目经理或销售代表获取账号信息和初始密码。使用集群管理员的账号，你可以新建租户，管理租户生命周期，并将租户账号密码分配给你所在企业对应的负责人。管理租户的操作说明，详见快速开始：创建租户，验证资源隔离或权限管理操作指南。
- 如果你所在的企业仅需使用 MatrixOne 集群租户资源，完成部署后，MatrixOne 集群管理员会帮你开通租户管理员的账号，你可以联系 MatrxiOne 的项目经理或销售代表获取账号信息和初始密码。使用租户管理员的账号，你可以新建用户，管理用户生命周期、租户内的资源（用户、角色和权限），并将用户账号密码分配给你所在企业对应的负责人。管理用户的操作说明，详见快速开始：创建用户、创建角色和授权或权限管理操作指南。
场景一：新建数据管理员并赋权
场景介绍
在实际应用场景中，需要设立一个数据管理员的岗位，他负责管理整个数据库中资源分配的情况，比如说，公司其他成员需要被分配一个用户账号和密码，被分配角色，并被授予最低的使用权限。
前提条件
- 你首先需要拥有租户管理员的账号
- 已经连接上 MatrixOne 集群
解决方案
创建一个数据管理员的角色，授予他租户内的全局管理的权限，那么你需要做到如下几点：
- 创建一个新的用户账号，用户名为：dbauser；密码为：123456。
- 给这个用户账号分配一个数据管理员的角色，角色命名为：dba。
- 这个角色需要有以下权限：
- 拥有租户对象的全部权限：拥有这个权限，那么数据管理员就可以创建新用户、新角色、分配权限给其他用户。
- 拥有数据库对象的全部权限：拥有这个权限，那么数据管理员就可以新建、编辑、删除数据库。
- 拥有表对象的全部权限：拥有这个权限，那么数据管理员就可以新建、编辑、删除数据表。
操作步骤
步骤一：租户管理员开通并授权数据库管理员账号
- 使用你所拥有的租户管理员账号登录租户：
Note: 此处的租户管理员账号 account1 为示例，你可以在创建租户管理员时进行自定义。
1. mysql -h 127.0.0.1 -P 6001 -u account1:admin:admin -p
2. 创建一个用户账号，命名为 dbauser，密码为 123456：
1. create user dbauser identified by "123456";
3. 创建一个数据管理员的角色，命名为 dba：
1. create role dba;
4. 授权权限给角色如下权限：
- 租户对象的全部权限
- 数据库对象的全部权限
- 表对象的全部权限
1. grant all on account * to dba with grant option;
2. grant all on database * to dba with grant option;
3. grant all on table *.* to dba with grant option;
5. 授权角色 dba 给用户 dbauser：
1. grant dba to dbauser;
6. 查看权限授予情况：
1. show grants for dbauser@localhost;
步骤二：数据管理员登录账号并进行测试
- 使用数据管理员账号 dbauser 登录 MatrixOne：
1. mysql -h 127.0.0.1 -P 6001 -u account1:dbauser:dba -p
2. 查看 dbauser 所拥有的权限：
1. show grants for dbauser@localhost;
3. 查看 dbauser 的角色：
1. SET SECONDARY ROLE ALL;
2. use mo_catalog;
3. select mu.user_name,mr.role_name from mo_role mr,mo_user mu,mo_user_grant mug where mu.user_id=mug.user_id and mr.role_id=mug.role_id and mu.user_name='dbauser';
4. 实际操作一个数据库进行验证：
1. drop database if exists test;
2. create database test;
3. use test;
4. create table t1(a int);
5. insert into t1 values(1),(2),(3);
6. select * from t1;
5. 上面代码表示验证成功。
场景二：新系统上线
场景介绍
应用系统上线时，会根据应用系统的使用需求，创建新的数据库与对应数据库用户，并且授予这个用户拥有目标数据库的所有权限。
前提条件
- 你首先需要具有租户管理员的账号和权限（或者你本身作为一个用户，已经拥有创建新用户并可以授权给新用户数据库对象全部权限）
- 连接上 MatrixOne 集群
解决方案
-
需求 1：应用系统需要一套新的数据库专门应用于应用的开发。
-
解决方案：创建新的数据库，命名为 appdb。
-
需求 2：该应用系统需要专门的角色。
-
解决方案：创建新的数据库角色，命名为 approle，授权给这个角色全部的数据库权限。
-
需求 3：该应用系统需要专门的负责人管理这个数据库。
-
解决方案：创建新的数据库用户，命名为 appuser，把角色授权给这个用户。
操作步骤
步骤一：租户管理员开通并授权数据库用户账号
- 使用你所拥有的租户管理员账号登录租户：
Note: 此处的租户管理员账号 account1 为示例，你可以在创建租户管理员时进行自定义。
1. mysql -h 127.0.0.1 -P 6001 -u account1:admin:admin -p
2. 创建应用所需要的数据库，给数据库命名为 appdb：
1. create database appdb;
3. 创建一个命名为 approle 的角色，并授权给这个角色对于数据库 appdb 的全部操作权限：
1. create role approle;
2. grant all on database appdb to approle;
3. grant all on table appdb.* to approle;
4. 创建数据库用户 appuser，密码为 123456，并将角色 approle 分配给 appuser：
1. create user appuser identified by "123456" default role approle;
步骤二：数据库用户登录账号并进行测试
- 使用数据库用户账号 appuser 登录 MatrixOne：
1. mysql -h127.0.0.1 -utest:appuser -P6001 -p123456
2. 验证数据用户账号 appuser 的权限：
1. set secondary role all;
2. use appdb;
3. create table t1(a int);
4. insert into t1 values(1),(2),(3);
5. select * from t1;
6. drop table t1;
3. 上面代码表示验证成功。
