GBase 8s数据库用户创建与权限管理指南

概述

GBase 8s作为企业级数据库产品，提供了灵活的用户管理机制。在GBase 8s中，用户管理主要分为两种方式：系统用户方式和数据库用户方式。本文将详细介绍这两种用户创建方式及其权限管理方法。

系统用户方式

GBase 8s默认使用系统用户连接数据库，这是最常用的用户管理方式。要创建数据库用户，首先需要在操作系统层面创建系统用户。

创建系统用户

使用root用户执行以下命令创建系统用户：

# 创建名为user1的系统用户
useradd user1

# 设置用户密码
passwd user1

通过这种方式创建的系统用户可以直接连接GBase 8s数据库，无需在数据库内部创建对应的用户记录。系统会自动将操作系统用户与数据库用户进行映射。

数据库用户方式

如果不希望使用系统用户，可以直接在数据库内部创建用户。这种方式需要先配置用户映射，然后才能创建数据库用户。

启用用户映射

首先需要开启用户映射功能：

# root用户执行
mkdir /etc/gbasedbt
echo "USER:daemon" > /etc/gbasedbt/allowed.surrogates

配置相关参数

使用gbasedbt用户设置必要的参数：

# 设置用户映射参数
onmode -wf USERMAPPING='ADMIN'

# 缓存代理用户信息
onmode -cache surrogates

# 创建默认用户
dbaccess sysuser - <<!
CREATE DEFAULT USER WITH PROPERTIES USER 'daemon';
!

创建数据库用户

配置完成后，可以创建数据库用户：

dbaccess sysuser -<<!
CREATE USER user1 WITH PASSWORD "GBase123";
!

用户权限管理

用户创建完成后，需要授予相应的权限才能连接数据库并执行操作。

授予连接权限

要让用户能够连接到特定数据库，需要授予CONNECT权限：

# 授予用户对testdb数据库的连接权限
echo "grant connect to user1" | dbaccess testdb -

授予DBA权限

如果需要让用户拥有数据库管理员权限，可以授予DBA权限：

# 授予用户对testdb数据库的DBA权限
echo "grant dba to user1" | dbaccess testdb -

权限管理最佳实践

在实际应用中，应遵循最小权限原则，只授予用户必要的权限：

1. 普通用户：通常只授予CONNECT权限和特定表的访问权限
2. 应用用户：根据应用需求授予相应权限，避免过度授权
3. 管理用户：谨慎授予DBA权限，仅限必要的管理员使用

用户映射机制说明

GBase 8s的用户映射机制是其安全体系的重要组成部分：

• 系统用户方式：直接使用操作系统用户身份访问数据库
• 数据库用户方式：通过用户映射将数据库用户映射到系统用户

用户映射配置文件allowed.surrogates定义了允许映射的用户关系，确保只有授权的映射关系才能生效。

安全建议

1. 密码策略：设置复杂密码，定期更换
2. 权限控制：遵循最小权限原则，避免过度授权
3. 审计跟踪：定期检查用户活动日志
4. 用户清理：及时删除不再需要的用户账户