ALTER USER

説明

このステートメントは、主に以下の操作を実行するために使用されます：

• OceanBaseデータベースユーザーのパスワードを変更します。

• ユーザーをロックまたはアンロックします。ロックされたユーザーはデータベースへのログインが許可されません。

  説明

  現在のユーザーパスワードを変更する場合を除き、このコマンドを実行するには CREATE USER 権限が必要です。

• ユーザーがログイン時にデフォルトで有効にするロールを設定します。

• ユーザーのリソースオプションを変更します。

使用上の制限と注意事項

• SET PASSWORD/ALTER USER によるパスワード変更後、古いパスワードの高速認証キャッシュは無効となり、古いパスワードではログインできなくなります。
• 認証文字列の形式検証：IDENTIFIED AS/BY PASSWORD は $S$ 形式を検証し、$A$（sha2）などの誤った形式を拒否します。
• 標準のMySQL Connectorは、caching_sha2_password 認証プラグインを使用するユーザーとして接続できます。
• ob_sm3_password はOceanBase独自の認証プラグインであり、標準のMySQL Connectorや対応していないODPでは、この認証プラグインを使用するユーザーへの接続ができない場合があります。

権限要件

ALTER USER ステートメントを実行するには、現在のユーザーが CREATE USER 管理権限を持っている必要があります。OceanBaseデータベースの権限の詳細については、MySQLモードの権限分類を参照してください。

構文

• ユーザーパスワードの変更：

  ALTER USER 'user_name'
  IDENTIFIED [WITH auth_plugin]  BY 'password' | IDENTIFIED [WITH auth_plugin] AS 'auth_string'
  
  auth_plugin:
      mysql_native_password
      | caching_sha2_password
      | ob_sm3_password
  

• ユーザーパスワードの変更と現在のパスワードの保持（デュアルパスワードシナリオ、V4.4.2 BP1以降）：

  ALTER USER 'user_name' IDENTIFIED BY 'password' RETAIN CURRENT PASSWORD;
  

• 保持された古いパスワードの破棄（V4.4.2 BP1以降）：

  ALTER USER 'user_name' DISCARD OLD PASSWORD;
  

• ユーザーのロック：

  ALTER USER 'user_name' [ACCOUNT LOCK | ACCOUNT UNLOCK];
  

• ユーザーがログイン時にデフォルトで有効にするロールを設定します：

  ALTER USER user_name DEFAULT ROLE {NONE | ALL | role_name [, role_name ...]};
  

• ユーザーのリソースオプションを変更します：

  ALTER USER user_name WITH  resource_option [resource_option];
  
  resource_option:
      MAX_CONNECTIONS_PER_HOUR integer
      | MAX_USER_CONNECTIONS integer
  

パラメータ説明

auth_plugin

• mysql_native_password：従来のパスワード認証プラグインで、SHA-1ハッシュアルゴリズムを使用します。

• caching_sha2_password：SHA-256に基づくパスワード認証プラグインで、より高いセキュリティレベルを提供します。

  説明

  V4.4.2バージョンでは、V4.4.2 BP2バージョンから認証プラグインcaching_sha2_passwordがサポートされています。

• ob_sm3_password：このプラグインは、認証プロトコルとステートマシンをcaching_sha2_passwordと完全に共有します（AuthSwitch、高速認証/完全認証、TLS/RSAによるパスワードの暗号化送信）。ただし、アルゴリズムとメタデータは独立しており、パスワードの保存と認証検証にはSHA-256の代わりにSM3ハッシュアルゴリズムを使用します。

  説明

  V4.4.2バージョンでは、V4.4.2 BP3バージョンから認証プラグインob_sm3_passwordがサポートされています。

例

• 以下のコマンドを実行して、ユーザー sqluser01 のパスワードを ****** に変更します。

  obclient> ALTER USER 'sqluser01' IDENTIFIED BY '******';
  

• ユーザー sqluser01 のパスワードを NewSecret に変更し、パスワード変更前の古いパスワードを保持します（デュアルパスワード）。

  obclient> ALTER USER 'sqluser01'@'%' IDENTIFIED BY 'NewSecret' RETAIN CURRENT PASSWORD;
  

• ビジネス切り替え完了後、古いパスワードを破棄します。

  obclient> ALTER USER 'sqluser01'@'%' DISCARD OLD PASSWORD;
  

• mysql_native_password認証プラグインの使用を指定します。

  ALTER USER 'sqluser01'
  IDENTIFIED WITH mysql_native_password
             AS '******';
  

• caching_sha2_password認証プラグインの使用を指定します。

  ALTER USER 'sqluser02'
  IDENTIFIED WITH caching_sha2_password
             BY '******';
  

• ユーザー obsqluser01 をロックします。

  obclient> ALTER USER 'obsqluser01' ACCOUNT LOCK;
  

• ユーザー obsqluser01 のロックを解除します。

  obclient> ALTER USER 'obsqluser01' ACCOUNT UNLOCK;
  

• ユーザー user001 がログインする際、デフォルトでユーザーに付与された role001 および role002 ロールを有効にします。

  ALTER USER user001 DEFAULT ROLE role001, role002;
  

• シリアライズされた認証文字列（$S$...）を直接書き込みます。

  obclient> ALTER USER user001 IDENTIFIED WITH ob_sm3_password AS '$S$005$ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789.';
  

関連ドキュメント

• デュアルパスワードの管理
• ロールの有効化
• ロールの確認
• CURRENT_ROLE