影響を受けるアカウントごとに、ALTER USER は mysql.user システムテーブルの対応する行を変更して、ステートメントで指定されたプロパティを反映します。 未指定のプロパティは現在の値を保持します。

各アカウント名には、セクション6.2.4「アカウント名の指定」で説明されている形式が使用されます。 アカウント名のホスト名部分は、省略すると'%'にデフォルト設定されます。 CURRENT_USER または CURRENT_USER() を指定して、現在のセッションに関連付けられているアカウントを参照することもできます。

一方の構文の場合のみ、USER() 関数でアカウントを指定できます:

ALTER USER USER() IDENTIFIED BY 'auth_string';

この構文を使用すると、アカウントに文字どおりの名前を付けずに自分のパスワードを変更できます。 (構文では、ALTER USER 認証オプション で説明されている REPLACE、RETAIN CURRENT PASSWORD および DISCARD OLD PASSWORD 句もサポートされています。)

MySQL 8.0.21 以降では、セクション13.7.1.3「CREATE USER ステートメント」 で説明されているように、ユーザーコメントおよびユーザー属性がサポートされます。 これらは、それぞれ COMMENT および ATTRIBUTE オプションを使用して、ALTER USER を使用して変更できます。 同じ ALTER USER ステートメントで両方のオプションを指定することはできません。指定しようとすると構文エラーが発生します。

ユーザーコメントおよびユーザー属性は、JSON オブジェクトとして INFORMATION_SCHEMA.USER_ATTRIBUTES テーブルに格納されます。この説明で後述するように、ユーザーコメントは、このテーブルの ATTRIBUTE カラムの comment キーの値として格納されます。 COMMENT テキストは任意の任意の引用符付きテキストで、既存のユーザーコメントを置換できます。 ATTRIBUTE 値は、JSON オブジェクトの有効な文字列表現である必要があります。 これは、JSON_MERGE_PATCH() 関数が既存のユーザー属性および新しいユーザー属性で使用されているかのように、既存のユーザー属性とマージされます。再使用されるキーについては、次に示すように、新しい値によって古い値が上書きされます:

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+----------------+
| USER | HOST      | ATTRIBUTE      |
+------+-----------+----------------+
| bill | localhost | {"foo": "bar"} |
+------+-----------+----------------+
1 row in set (0.11 sec)

mysql> ALTER USER 'bill'@'localhost' ATTRIBUTE '{"baz": "faz", "foo": "moo"}';
Query OK, 0 rows affected (0.22 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+------------------------------+
| USER | HOST      | ATTRIBUTE                    |
+------+-----------+------------------------------+
| bill | localhost | {"baz": "faz", "foo": "moo"} |
+------+-----------+------------------------------+
1 row in set (0.00 sec)

ユーザー属性からキーとその値を削除するには、次のように、キーを JSON null に設定します (小文字で引用符で囲まれていない必要があります):

mysql> ALTER USER 'bill'@'localhost' ATTRIBUTE '{"foo": null}';
Query OK, 0 rows affected (0.08 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+----------------+
| USER | HOST      | ATTRIBUTE      |
+------+-----------+----------------+
| bill | localhost | {"baz": "faz"} |
+------+-----------+----------------+
1 row in set (0.00 sec)

既存のユーザーコメントを空の文字列に設定するには、ALTER USER ... COMMENT ''を使用します。 これにより、USER_ATTRIBUTES テーブルに空の comment 値が残されます。ユーザーコメントを完全に削除するには、カラムキーの値を JSON null に設定して ALTER USER ... ATTRIBUTE ... を使用します (小文字では引用符で囲まれていません)。 これは、次の一連の SQL ステートメントで示されています:

mysql> ALTER USER 'bill'@'localhost' COMMENT 'Something about Bill';
Query OK, 0 rows affected (0.06 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+---------------------------------------------------+
| USER | HOST      | ATTRIBUTE                                         |
+------+-----------+---------------------------------------------------+
| bill | localhost | {"baz": "faz", "comment": "Something about Bill"} |
+------+-----------+---------------------------------------------------+
1 row in set (0.00 sec)

mysql> ALTER USER 'bill'@'localhost' COMMENT '';
Query OK, 0 rows affected (0.09 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+-------------------------------+
| USER | HOST      | ATTRIBUTE                     |
+------+-----------+-------------------------------+
| bill | localhost | {"baz": "faz", "comment": ""} |
+------+-----------+-------------------------------+
1 row in set (0.00 sec)

mysql> ALTER USER 'bill'@'localhost' ATTRIBUTE '{"comment": null}';
Query OK, 0 rows affected (0.07 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+----------------+
| USER | HOST      | ATTRIBUTE      |
+------+-----------+----------------+
| bill | localhost | {"baz": "faz"} |
+------+-----------+----------------+
1 row in set (0.00 sec)

auth_option 値が user 値に従うことを許可する ALTER USER 構文の場合、auth_option は、アカウント認証プラグイン、資格証明 (パスワードなど) またはその両方を指定して、アカウントがどのように認証されるかを示します。 各 auth_option 値は、直前に指定されたアカウントにのみを適用します。

user 仕様に従って、ステートメントに SSL/TLS、リソース制限、パスワード管理およびロックプロパティのオプションを含めることができます。 このようなオプションはすべて、ステートメントに対する global であり、ステートメントで指定された all アカウントに適用されます。

例: アカウントパスワードを変更して期限切れにします。 そのため、ユーザーは指定されたパスワードで接続し、次の接続時に新しいパスワードを選択する必要があります:

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED BY 'new_password' PASSWORD EXPIRE;

例: caching_sha2_password 認証プラグインと指定されたパスワードを使用するようにアカウントを変更します。 180 日ごとに新しいパスワードを選択し、ログイン失敗トラッキングを有効にする必要があります。これにより、次の 3 つのパスワードが連続して正しくないと、一時的なアカウントのロックが 2 日間発生します:

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH caching_sha2_password BY 'new_password'
  PASSWORD EXPIRE INTERVAL 180 DAY
  FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 2;

例: アカウントのロックまたはロック解除:

ALTER USER 'jeffrey'@'localhost' ACCOUNT LOCK;
ALTER USER 'jeffrey'@'localhost' ACCOUNT UNLOCK;

例: SSL を使用して接続し、1 時間あたり 20 の接続を確立するためのアカウントが必要です:

ALTER USER 'jeffrey'@'localhost'
  REQUIRE SSL WITH MAX_CONNECTIONS_PER_HOUR 20;

例: アカウントごとのプロパティおよびグローバルプロパティを指定して、複数のアカウントを変更します:

ALTER USER
  'jeffrey'@'localhost'
    IDENTIFIED BY 'jeffrey_new_password',
  'jeanne'@'localhost',
  'josh'@'localhost'
    IDENTIFIED BY 'josh_new_password'
    REPLACE 'josh_current_password'
    RETAIN CURRENT PASSWORD
  REQUIRE SSL WITH MAX_USER_CONNECTIONS 2
  PASSWORD HISTORY 5;

jeffrey に続く IDENTIFIED BY 値は直前のアカウントにのみ適用されるため、パスワードは jeffrey の'jeffrey_new_password'にのみ変更されます。 jeanne の場合、アカウントごとの値はありません (そのため、パスワードは変更されません)。 josh の場合、IDENTIFIED BY は新しいパスワード ('josh_new_password') を確立し、ALTER USER ステートメントを発行するユーザーが現在のパスワード ('josh_current_password') を知っていることを確認するために REPLACE が指定され、現在のパスワードもアカウントセカンダリパスワードとして保持されます。 (その結果、josh はプライマリパスワードまたはセカンダリパスワードのいずれかを使用して接続できます。)

残りのプロパティは、ステートメントで指定されたすべてのアカウントにグローバルに適用されるため、両方のアカウントについて次のようになります:

例: アカウントにプライマリパスワードのみを残して、josh のセカンダリパスワードを破棄します:

ALTER USER 'josh'@'localhost' DISCARD OLD PASSWORD;

特定のタイプのオプションがない場合、アカウントはその点で変更されません。 たとえば、ロックオプションを指定しない場合、アカウントのロック状態は変更されません。

アカウント名の後に、アカウント認証プラグインまたは資格証明 (あるいはその両方) を指定する auth_option 認証オプションを続けることができます。 また、置換するアカウントの現在のパスワードを指定する password-verification 句や、アカウントにセカンダリパスワードがあるかどうかを管理する句も含めることができます。

ALTER USER では、次の auth_option 構文が許可されます:

例: パスワードをクリアテキストで指定します。デフォルトのプラグインが使用されます:

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED BY 'password';

例: 認証プラグインをクリアテキストのパスワード値とともに指定します:

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH mysql_native_password
             BY 'password';

例: 前述の例と同様ですが、変更を行ったユーザーがそのパスワードを知っているアカウント要件を満たすために、現在のパスワードをクリアテキスト値として指定します:

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH mysql_native_password
             BY 'password'
             REPLACE 'current_password';

REPLACE は現在のユーザーパスワードの変更のみを許可されているため、現在のユーザーが jeffrey でないかぎり、前述のステートメントは失敗します。

例: 新しいプライマリパスワードを設定し、既存のパスワードをセカンダリパスワードとして保持します:

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED BY 'new_password'
  RETAIN CURRENT PASSWORD;

例: セカンダリパスワードを破棄し、アカウントにプライマリパスワードのみを残します:

ALTER USER 'jeffery'@'localhost' DISCARD OLD PASSWORD;

例: ハッシュされたパスワード値とともに認証プラグインを指定します:

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH mysql_native_password
             AS '*6C8989366EAF75BB670AD8EA7A7FC1176A95CEF4';

パスワードと認証プラグインの設定の詳細は、セクション6.2.14「アカウントパスワードの割り当て」およびセクション6.2.17「プラガブル認証」を参照してください。

ALTER USER ... DEFAULT ROLE では、ユーザーがサーバーに接続して認証するとき、またはユーザーがセッション中に SET ROLE DEFAULT ステートメントを実行するときにアクティブになるロールを定義します。

ALTER USER ... DEFAULT ROLE は、SET DEFAULT ROLE の代替構文です (セクション13.7.1.9「SET DEFAULT ROLE ステートメント」 を参照)。 ただし、ALTER USER では単一のユーザーに対してのみデフォルトを設定できますが、SET DEFAULT ROLE では複数のユーザーに対してデフォルトを設定できます。 一方、ALTER USER ステートメントのユーザー名として CURRENT_USER を指定できますが、SET DEFAULT ROLE のユーザー名は指定できません。

各ユーザーアカウント名には、前述の形式が使用されます。

各ロール名は、セクション6.2.5「ロール名の指定」 で説明されている形式を使用します。 例:

ALTER USER 'joe'@'10.0.0.1' DEFAULT ROLE administrator, developer;

ロール名のホスト名部分は、省略すると'%'にデフォルト設定されます。

DEFAULT ROLE キーワードに続く句では、次の値が許可されます:

MySQL では、ユーザー名と資格証明に基づく通常の認証に加えて、X.509 証明書属性をチェックできます。 MySQL での SSL/TLS の使用に関する背景情報は、セクション6.3「暗号化された接続の使用」 を参照してください。

MySQL アカウントの SSL/TLS 関連オプションを指定するには、1 つ以上の tls_option 値を指定する REQUIRE 句を使用します。

REQUIRE オプションの順序は関係ありませんが、オプションを 2 回指定することはできません。 AND キーワードは、REQUIRE オプション間のオプションです。

ALTER USER では、次の tls_option 値が許可されます:

SUBJECT、ISSUER および CIPHER オプションは、REQUIRE 句で組み合せることができます:

ALTER USER 'jeffrey'@'localhost'
  REQUIRE SUBJECT '/C=SE/ST=Stockholm/L=Stockholm/
    O=MySQL demo client certificate/
    CN=client/emailAddress=client@example.com'
  AND ISSUER '/C=SE/ST=Stockholm/L=Stockholm/
    O=MySQL/CN=CA/emailAddress=ca@example.com'
  AND CIPHER 'EDH-RSA-DES-CBC3-SHA';

セクション6.2.20「アカウントリソース制限の設定」 で説明されているように、アカウントによるサーバーリソースの使用に制限を設定できます。 そのためには、1 つ以上の resource_option 値を指定する WITH 句を使用します。

WITH オプションの順序は重要ではありませんが、特定のリソース制限が複数回指定された場合は、最後のインスタンスが優先されます。

ALTER USER では、次の resource_option 値が許可されます:

例:

ALTER USER 'jeffrey'@'localhost'
  WITH MAX_QUERIES_PER_HOUR 500 MAX_UPDATES_PER_HOUR 100;

ALTER USER では、パスワード管理用にいくつかの password_option 値がサポートされています:

このセクションでは、パスワード管理オプションの構文について説明します。 パスワード管理のポリシーの確立の詳細は、セクション6.2.15「パスワード管理」 を参照してください。

特定のタイプの複数のパスワード管理オプションが指定されている場合は、最後のオプションが優先されます。 たとえば、PASSWORD EXPIRE DEFAULT PASSWORD EXPIRE NEVER は PASSWORD EXPIRE NEVER と同じです。

アカウントパスワードが手動で期限切れになった場合、または自動期限切れポリシーに従ってパスワードの有効期間が許可された存続期間を超えたとみなされた場合、クライアントには期限切れのパスワードがあります。 この場合、サーバーはクライアントを切断するか、クライアントに許可されている操作を制限します (セクション6.2.16「期限切れパスワードのサーバー処理」 を参照)。 制限付きクライアントによって実行される操作は、ユーザーが新しいアカウントパスワードを確立するまでエラーになります。

ALTER USER では、パスワードの有効期限を制御するために次の password_option 値が許可されます:

ALTER USER では、必要な最小パスワード変更数に基づいて以前のパスワードの再利用を制御するために、次の password_option 値が許可されています:

ALTER USER では、経過時間に基づいて以前のパスワードの再利用を制御するために、次の password_option 値が許可されます:

ALTER USER では、アカウントパスワードの変更の試行で現在のパスワードを指定する必要があるかどうかを制御するために、変更しようとしているユーザーが実際に現在のパスワードを知っていることを確認するために、次の password_option 値を許可しています:

MySQL 8.0.19 の時点で、ALTER USER は、失敗したログイン追跡を制御するために次の password_option 値を許可します:

ログイン失敗トラッキングと一時ロックを実行するには、アカウントの FAILED_LOGIN_ATTEMPTS オプションと PASSWORD_LOCK_TIME オプションの両方をゼロ以外にする必要があります。 次のステートメントは、パスワードが 4 回連続して失敗した後も 2 日間ロックされたままになるようにアカウントを変更します:

ALTER USER 'jeffrey'@'localhost'
  FAILED_LOGIN_ATTEMPTS 4 PASSWORD_LOCK_TIME 2;

MySQL では、アカウントのロック状態を指定する ACCOUNT LOCK および ACCOUNT UNLOCK オプションを使用したアカウントのロックおよびロック解除がサポートされています。 詳細は、セクション6.2.19「アカウントロック」を参照してください。

複数の account-locking オプションが指定されている場合は、最後のオプションが優先されます。

MySQL 8.0.19 の時点では、ログインの失敗回数が多すぎるために一時的にロックされているステートメントで指定されたアカウントは、ALTER USER ... UNLOCK によってロック解除されます。 セクション6.2.15「パスワード管理」を参照してください。

ALTER USER は、成功した場合はバイナリログに書き込まれますが、失敗した場合は書き込まれません。その場合、ロールバックが発生し、変更は行われません。 バイナリログに書き込まれるステートメントには、指定されたすべてのユーザーが含まれます。 IF EXISTS 句が指定されている場合、これには存在せず、変更されなかったユーザーも含まれます。

元のステートメントがユーザーの資格を変更した場合、バイナリログに書き込まれるステートメントは、そのユーザーに適用可能な認証プラグインを次のように指定します:

サーバーは、バイナリログに書き込まれたステートメント内の任意のユーザーのデフォルトの認証プラグインを追加すると、それらのユーザーを指定する警告をエラーログに書き込みます。

元のステートメントで FAILED_LOGIN_ATTEMPTS または PASSWORD_LOCK_TIME オプションが指定されている場合、バイナリログに書き込まれるステートメントにはそのオプションが含まれます。