mySQL Datenbank für einen Benutzer readonly

[baumina]

Auf einem entfernten Rechner möchte ich gerne dass ein Benutzer auf einer Datenbank nur Leserechte und auf allen anderen Datenbanken Schreibrechte hat. Im Moment hat dieser Benutzer Schreibrechte auf allen Datenbanken (Eintrag in der Tabelle User mit Host = '%'). Leider habe auf dem entfernten Rechner keine mySQLAdministrator.exe oder WorkBench drauf. Von meiner lokalen mySQLAdministrator.exe aus darf ich die Zugriffsrechte auf diesem Server leider nicht ändern.

Das Handbuch bzgl. des Grant-Befehls, verstehe ich irgendwie nicht und im Suchen bin ich heute nicht gut. Wer kann mir den (die) richtigen GRANT-Befehl(e) (oder insert into mysql.User?) nennen?

[jobo]

Eigentlich läuft sowas doch in jeder DB gleich, oder?
Grant [INSERT],[UPDATE],[DELETE],[SELECT] on <Tablename> to <auser>;
für alle Tabellen versteht sich

oder

hier ist was Konkretes, Pauschales auf Englisch, passt wahrscheinlich nicht ganz zu Deinen Zugriffsmöglichkeiten. mySQL Reference sollte sicher mehr Details liefern:
http://www.symantec.com/business/sup...&id=HOWTO16962

[p80286]

Wäre es vllt. überlegenswert statt die Rechte jedem einzelnen Benutzer zu geben, erst einmal eine Rolle zu definieren und dem Benutzer diese zu geben?
Bei mehreren Benutzern sollte das unter dem Strich effizenter sein.

Gruß
K-H

[baumina]

Es handelt sich genau um 1 einzigen Benutzer, der Schreibzugriff auf alle Datenbanken haben soll, nur bei einer einziger Datenbank soll genau dieser eine Benutzer nur Leserechte haben. Wie ich das löse ist eigentlich egal, ob über Rollen oder Rechte. Wichtig ist nur, dass sich die Anmeldung dieses Benutzers an die verschiedenen Datenbanken nicht ändern darf (also keinen anderen Namen).

Wie ist es eigentlich wenn ich einen weiteren Datensatz in die Users-Tabelle aufnehme, z.B.

Im Moment vorhanden:
Host : %
User : MeinBenutzer
Lese-Rechte : Y
Schreib-Rechte : Y

Neu:
Host : %.DBName
User : MeinBenutzer
Lese-Rechte : Y
Schreib-Rechte : N

würde das gehen?

[DeddyH]

Bevor Du da händisch in Systemtabellen herumfummelst, würde ich dem User/der Rolle einfach alle Rechte für die DB entziehen und dann die benötigten (das dürfte ja mindestens SELECT sein) wieder erteilen.

[jobo]

Kann ich DeddyH nur zustimmen.
Systemtabellen selbst anfassen ist böse.

Was hindert Dich, das mal eben mit XAMPP auszuprobieren?

Revoke / Grant / flush privileges. Das sieht recht übersichtlich aus.

[baumina]

Danke für eure Antworten.

@jobo: auf dem Rechner kann ich von hier aus nichts installieren, also kein XAMPP oder was immer das ist.

@DeddyH : Das Handbuch habe ich schon wie oben gesagt gelesen, allerdings nicht verstanden, aber ich versuche mich einfach nochmals es zu kapieren.

[DeddyH]

jobo meinte wahrscheinlich, Du sollst auf Deinem Rechner XAMPP installieren und damit herumprobieren. Sobald Du dann eine funktionierende Lösung hast, kannst Du das ja beim Kunden anwenden. Das dürfte um Längen ungefährlicher sein, als gleich an der Produktiv-DB zu üben ;)

[baumina]

Ich habe hier bei mir im Haus einen mysql-Server laufen auf dem ich das natürlich zuerst ausprobieren werde. Da kann ich das auch ganz leicht über der mySQLAdministrator.exe machen. Beim entfernten Rechner kann ich das halt nicht mit der exe machen, dort ist der Benutzer-Rechte-Bereich ausgegraut. Deswegen denke ich dass ich mit einer anderen Software (wie XAMPP) ebenfalls den Benutzerrechte-Bereich von hier aus nicht ändern darf.

Deswegen brauche ich die GRANT und was weiß ich noch alles Befehle. Ich mach mich jetzt nochmal ans mysql-Handbuch, oder ich finde ich ja doch noch Beispiele in den Weiten des Internets.

[DeddyH]

Wenn mich nicht alles täuscht (ich bin nicht so der mySQL-Experte), müsste es so gehen:

SQL-Code:

REVOKE ALL ON DBName.* FROM Benutzername

Damit hat der Benutzer zwar Server-global immer noch alle Rechte, auf der angegebenen DB aber keine mehr. Die müssen nun erteilt werden:

SQL-Code:

GRANT SELECT ON DBName.* TO Benutzername

Welche Rechte genau benötigt werden, hängt von der DB-Struktur ab, ggf. muss da z.B. noch EXECUTE mit in die Liste, zusätzlich zum SELECT.