ALTER USER

説明

このステートメントは主に以下の操作を実行するために使用されます：

• データベースユーザーのパスワードを変更します。

• データベースユーザーが使用するプロファイルを変更します。

• データベースユーザー接続の暗号化方式を変更します。その他のユーザーパスワード変更方法については、SET PASSWORDを参照してください。

• パスワードローテーションシナリオでローテーション期間を早期終了します。

• データベースユーザーが保有するロールのデフォルトロールを変更します。

権限要件

現在のユーザー自身が実行できる変更を除き、このコマンドを使用して他のユーザーの情報を変更するには、ALTER USER権限が必要です。OceanBaseデータベースの権限の詳細については、Oracleモードの権限分類を参照してください。

使用上の制限及び注意事項

• プロキシユーザーがターゲットユーザーに代わってデータベースに接続する場合、現在はOBClientを介したデータベース接続のみをサポートしており、OBClientのバージョンはV2.2.6以降である必要があります。JavaドライバーとCドライバーによるデータベース接続は現在サポートされていません。
• SET PASSWORD/ALTER USER によるパスワード変更後、古いパスワードの高速認証キャッシュは無効となり、古いパスワードではログインできなくなります。
• 認証文字列の形式検証は IDENTIFIED WITH ... BY VALUES を対象とし、$S$ 形式を検証します。$A$（sha2）などの誤った形式は拒否されます。
• 対応していないODPでは、SM3ユーザー（認証プラグイン ob_sm3_password を使用するユーザー）の接続を完了できません。

構文

ALTER USER user_name
    { IDENTIFIED BY password
    | IDENTIFIED WITH auth_plugin [BY password]
    | EXPIRE PASSWORD ROLLOVER PERIOD
    | PROFILE {"profile_name" | DEFAULT}
    | REQUIRE {NONE | SSL | x509 | tls_option_list}
    | DEFAULT ROLE
            { role_name[,role_name...]
            | ALL [EXCEPT role_name[,role_name...]]
            | NONE
            }
    | GRANT CONNECT THROUGH proxy_user_name [with_clause]
    };

auth_plugin:
    caching_sha2_password
    | ob_sm3_password

tls_option_list:
    tls_option
    | tls_option_list tls_option

tls_option:
    CIPHER str_value
    | ISSUER str_value
    | SUBJECT str_value

with_clause:
    WITH ROLE {role_name[, role_name,...]}
    | WITH NO ROLE
    | WITH ROLE ALL EXCEPT {role_name[, role_name,...]}

パラメータの説明

auth_plugin

• caching_sha2_password：SHA-256 ベースのパスワード認証プラグインで、より高いセキュリティレベルを提供します。

  説明

  V4.4.2 では、V4.4.2 BP2 から認証プラグイン caching_sha2_password がサポートされています。

• ob_sm3_password：このプラグインは、認証プロトコルとステートマシンを caching_sha2_password と完全に共有します（AuthSwitch、高速認証/完全認証、TLS/RSAによるパスワードの暗号化送信）。ただし、アルゴリズムとメタデータは独立しており、パスワードの格納と認証検証に SHA-256 の代わりに SM3 ハッシュアルゴリズムを使用します。

  説明

  V4.4.2 では、V4.4.2 BP3 から認証プラグイン ob_sm3_password がサポートされています。

with_clause

• WITH ROLE {role_name[, role_name,...]}：プロキシユーザーがターゲットユーザーに代わってデータベースに接続する際、指定されたロール権限を自動的に取得し、有効にします。つまり、ターゲットユーザーで指定されたロール権限のみが有効になります。
• WITH NO ROLE：プロキシユーザーがターゲットユーザーに代わってデータベースに接続する際、ターゲットユーザーのいかなるロール権限も自動的に取得しません。つまり、ターゲットユーザーのすべてのロール権限は無効になります。
• WITH ROLE ALL EXCEPT {role_name[ ,role_name,...]}：プロキシユーザーがターゲットユーザーに代わってデータベースに接続する際、ターゲットユーザーで指定されたロールを除く他のすべてのロール権限を自動的に取得し、有効にします。

例

• ユーザー user1 のパスワードを変更します。

  obclient> ALTER USER user1 IDENTIFIED BY ******;
  Query OK, 0 rows affected
  

• ユーザー user1 の認証プラグインを caching_sha2_password に変更します。

  obclient> ALTER USER user1 IDENTIFIED WITH caching_sha2_password BY ******;
  Query OK, 0 rows affected
  

• ユーザー user1 の接続暗号化プロトコルを SSL に変更します。

  obclient> ALTER USER user1 REQUIRE SSL;
  Query OK, 0 rows affected
  

• ユーザー user1 が使用する Profile を profile1 に変更します。

  obclient> ALTER USER user1 PROFILE "profile1";
  Query OK, 0 rows affected
  

• パスワードローテーションのシナリオで、ユーザー user1 のローテーション期間を早期に終了します。

  obclient> ALTER USER user1 EXPIRE PASSWORD ROLLOVER PERIOD;
  Query OK, 0 rows affected
  

• ユーザー user1 のデフォルトロールを設定します。

  obclient> CREATE ROLE role1;
  Query OK, 0 rows affected
  
  obclient> CREATE ROLE role2 IDENTIFIED BY ******;
  Query OK, 0 rows affected
  
  obclient> CREATE ROLE role3 IDENTIFIED BY ******;
  Query OK, 0 rows affected
  
  obclient> GRANT role1,role2,role3 TO user1;
  Query OK, 0 rows affected
  
  obclient> ALTER USER user1 DEFAULT ROLE role1;
  Query OK, 0 rows affected
  

  説明

  ユーザー user1 は role1 の権限を直接使用できます。role2 と role3 の権限は、ユーザー user1 がセッション内で role2 と role3 を有効にした後でないと使用できません。

  ロールを有効にするコマンドの詳細については、SET ROLEを参照してください。

• シリアライズされた認証文字列（$S$...）を直接書き込みます。

  obclient> ALTER USER user001 IDENTIFIED WITH ob_sm3_password BY VALUES '$S$005$ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789.';