MySQL には、ユーザーアカウントカテゴリの概念が組み込まれており、システムユーザーと通常のユーザーは SYSTEM_USER 権限を持っているかどうかによって区別されます:

SYSTEM_USER 権限は、特定のユーザーが他の権限を適用できるアカウント、およびそのユーザーが他のアカウントから保護されているかどうかに影響します:

ユーザーが通常のアカウントに対して特定の操作を実行するための適切な権限を持っている場合、SYSTEM_USER を使用すると、ユーザーはシステムアカウントに対しても操作を実行できます。 SYSTEM_USER は他の権限を意味しないため、特定のアカウント操作を実行する機能は、他の必要な権限を所有するための述語のままです。 たとえば、ユーザーが SELECT および UPDATE 権限を通常のアカウントに付与できる場合、SYSTEM_USER では、ユーザーは SELECT および UPDATE をシステムアカウントに付与することもできます。

システムアカウントと通常のアカウントの区別により、SYSTEM_USER 権限を持つアカウントを権限を持たないアカウントから保護することで、特定のアカウント管理の問題をより適切に制御できます。 たとえば、CREATE USER 権限では、新しいアカウントの作成のみでなく、既存のアカウントの変更および削除も可能です。 システムユーザーの概念がない場合、CREATE USER 権限を持つユーザーは、root アカウントを含む既存のアカウントを変更または削除できます。 システムユーザーの概念により、システムユーザーのみが行うことができるように、root アカウント (それ自体はシステムアカウント) への変更を制限できます。 CREATE USER 権限を持つ通常のユーザーは、既存のアカウントを変更または削除できますが、通常のアカウントのみです。

SYSTEM_USER 権限は、次の操作に影響します:

サーバー内で実行されているセッションは、システムユーザーと通常のユーザーの区別と同様に、システムセッションまたは通常のセッションと区別されます:

通常のセッションは、通常のユーザーに許可されている操作のみを実行できます。 システムセッションは、システムユーザーにのみ許可される操作を追加で実行できます。

セッションによって所有される権限は、基礎となるアカウントに直接付与される権限と、セッション内で現在アクティブなすべてのロールに付与される権限です。 したがって、そのアカウントに SYSTEM_USER 権限が直接付与されているか、セッションで SYSTEM_USER 権限を持つロールがアクティブ化されているため、セッションはシステムセッションである可能性があります。 セッション内でアクティブでないアカウントに付与されたロールは、セッション権限には影響しません。

ロールをアクティブ化および非アクティブ化すると、セッションが所有する権限が変更される可能性があるため、セッションは通常のセッションからシステムセッションに、またはその逆に変更される可能性があります。 セッションが SYSTEM_USER 権限を持つロールをアクティブ化または非アクティブ化すると、通常のセッションとシステムセッションの間の適切な変更は、そのセッションに対してのみ即時に行われます:

これらの操作は、既存のセッションには影響しません:

ロールのアクティブ化はセッションにのみ影響し、アカウントには影響しないため、SYSTEM_USER 権限を持つロールを通常のアカウントに付与しても、そのアカウントは通常のユーザーから保護されません。 このロールは、ロールがアクティブ化されているアカウントのセッションのみを保護し、通常のセッションによる強制終了からのみセッションを保護します。

アカウント操作には、アカウントの作成と削除、権限の付与と取消し、資格証明や認証プラグインなどのアカウント認証特性の変更、およびパスワード有効期限ポリシーなどの他のアカウント特性の変更が含まれます。

アカウント操作は、次の 2 つの方法で実行できます:

特定のアカウントによる変更からシステムアカウントを完全に保護するには、通常のアカウントにし、mysql スキーマに対する変更権限を付与しないでください:

すべてのスキーマに対するすべての権限を持つユーザー u1 を作成するとします。ただし、u1 はシステムアカウントを変更できない通常のユーザーである必要があります。 partial_revokes システム変数が有効になっている場合は、次のように u1 を構成します:

CREATE USER u1 IDENTIFIED BY 'password';

GRANT ALL ON *.* TO u1 WITH GRANT OPTION;
-- GRANT ALL includes SYSTEM_USER, so at this point
-- u1 can manipulate system or regular accounts

REVOKE SYSTEM_USER ON *.* FROM u1;
-- Revoking SYSTEM_USER makes u1 a regular user;
-- now u1 can use account-management statements
-- to manipulate only regular accounts

REVOKE ALL ON mysql.* FROM u1;
-- This partial revoke prevents u1 from directly
-- modifying grant tables to manipulate accounts

アカウントによるすべての mysql システムスキーマへのアクセスを防止するには、次に示すように、mysql スキーマに対するすべての権限を取り消します。 読取り専用アクセスなどの部分的な mysql スキーマアクセスを許可することもできます。 次の例では、SELECT, INSERT, UPDATE および DELETE 権限を持つアカウントをすべてのスキーマに対してグローバルに作成しますが、mysql スキーマに対しては SELECT のみを作成します:

CREATE USER u2 IDENTIFIED BY 'password';
GRANT SELECT, INSERT, UPDATE, DELETE ON *.* TO u2;
REVOKE INSERT, UPDATE, DELETE ON mysql.* FROM u2;

また、すべての mysql スキーマ権限を取り消し、特定の mysql テーブルまたはカラムへのアクセス権を付与することもできます。 これは、mysql で部分的な取消しを使用しても実行できます。 次のステートメントは、mysql スキーマ内の u1 への読取り専用アクセスを有効にしますが、user テーブルの db テーブル、Host カラムおよび User カラムに対してのみ有効にします:

CREATE USER u3 IDENTIFIED BY 'password';
GRANT ALL ON *.* TO u3;
REVOKE ALL ON mysql.* FROM u3;
GRANT SELECT ON mysql.db TO u3;
GRANT SELECT(Host,User) ON mysql.user TO u3;