OceanBase系统架构访问控制

一个完善的数据库系统，除了需要管理用户外，也需要设置普通用户来进行数据库对象的操作，但普通用户必须拥有对应数据库对象的访问和操作权限，才能进行数据库对象的访问和操作，否则，用户无法进行任何操作。

权限分类

MySQL 模式的权限分为了 3 个级别：

• 管理权限：可以影响整个租户的权限，例如：修改系统设置、访问所有的表等权限。

• 数据库权限：可以影响某个特定数据库下所有对象的权限，例如：在对应数据库下创建删除表，访问表等权限。

• 对象权限：可以影响某个特定对象的权限，例如：访问一个特定的表、视图或索引的权限。

网络安全访问控制

OceanBase 数据库提供白名单策略，实现网络安全访问控制。租户白名单通过系统变量ob_tcp_invited_nodes 控制，支持列表形式取值，列表值之前使用英文逗号（,）分隔，例如：A,B,C,D。

用户登录时，OBServer 会将用户的 IP 地址依次和 A、B、C、D 进行匹配校验。如果全部不匹配，则拒绝访问。只要有任意一个匹配成功，则表示通过白名单。

列表值支持以下赋值：

• IP 地址，例如：192.168.1.1。匹配时采用等值匹配，即用户 Client IP 等于该 IP 值时，才算匹配。

• 包含百分号（%）或下划线（）的 IP 地址，例如：192.168.1.% 或 192.168.1.。匹配时采用模糊匹配，即类似 LIKE 语法。

• IP/NETMASK 地址，例如：192.168.1.0/24 或者 192.168.1.0/255.255.255.0。匹配时采用掩码匹配，只有满足 Client_IP & NetMask == IP 才算匹配成功，类似于 MySQL 的掩码匹配。