partial_revokes システム変数は、アカウントに権限制限を設定できるかどうかを制御します。 デフォルトでは、partial_revokes は無効になっており、グローバル権限を部分的に取り消そうとするとエラーが発生します:

mysql> CREATE USER u1;
mysql> GRANT SELECT, INSERT ON *.* TO u1;
mysql> REVOKE INSERT ON world.* FROM u1;
ERROR 1141 (42000): There is no such grant defined for user 'u1' on host '%'

REVOKE 操作を許可するには、partial_revokes を有効にします:

SET PERSIST partial_revokes = ON;

SET PERSIST は、実行中の MySQL インスタンスの値を設定します。 また、値が保存され、その後のサーバーの再起動に引き継がれます。 後続の再起動に引き継ぐことなく、実行中の MySQL インスタンスの値を変更するには、PERSIST ではなく GLOBAL キーワードを使用します。 セクション13.7.6.1「変数代入の SET 構文」を参照してください。

partial_revokes が有効になっている場合、部分的な取消しは成功します:

mysql> REVOKE INSERT ON world.* FROM u1;
mysql> SHOW GRANTS FOR u1;
+------------------------------------------+
| Grants for u1@%                          |
+------------------------------------------+
| GRANT SELECT, INSERT ON *.* TO `u1`@`%`  |
| REVOKE INSERT ON `world`.* FROM `u1`@`%` |
+------------------------------------------+

SHOW GRANTS の出力には、部分的な取消しが REVOKE ステートメントとしてリストされます。 この結果は、world スキーマのテーブルに対して INSERT を実行できないことを除き、u1 にグローバルな SELECT および INSERT 権限があることを示しています。 つまり、u1 による world テーブルへのアクセスは読取り専用です。

サーバーは、部分的な取消しによって実装された権限制限を mysql.user システムテーブルに記録します。 アカウントに部分的な失効がある場合、その User_attributes カラム値には Restrictions 属性があります:

mysql> SELECT User, Host, User_attributes->>'$.Restrictions'
       FROM mysql.user WHERE User_attributes->>'$.Restrictions' <> '';
+------+------+------------------------------------------------------+
| User | Host | User_attributes->>'$.Restrictions'                   |
+------+------+------------------------------------------------------+
| u1   | %    | [{"Database": "world", "Privileges": ["INSERT"]}] |
+------+------+------------------------------------------------------+

部分的な取消し操作には、次の条件があります:

前述のように、スキーマレベルの権限の部分的な取消しは、SHOW GRANTS 出力に REVOKE ステートメントとして表示されます。 これは、SHOW GRANTS が「「プレーン」」スキーマレベルの権限を表す方法とは異なります:

ユーザーが権限を付与すると、権限受領者がその権限を持たない権限をすでに持っていないかぎり、権限受領者はその権限を継承します。 次の 2 人のユーザーについて考えてみます。いずれかのユーザーにグローバル SELECT 権限があります:

CREATE USER u1, u2;
GRANT SELECT ON *.* TO u2;

管理ユーザー admin に、グローバルだが部分的に取り消された SELECT 権限があるとします:

mysql> CREATE USER admin;
mysql> GRANT SELECT ON *.* TO admin WITH GRANT OPTION;
mysql> REVOKE SELECT ON mysql.* FROM admin;
mysql> SHOW GRANTS FOR admin;
+------------------------------------------------------+
| Grants for admin@%                                   |
+------------------------------------------------------+
| GRANT SELECT ON *.* TO `admin`@`%` WITH GRANT OPTION |
| REVOKE SELECT ON `mysql`.* FROM `admin`@`%`          |
+------------------------------------------------------+

admin によって SELECT が u1 および u2 にグローバルに付与される場合、結果はユーザーごとに異なります:

GRANT ステートメントに AS user 句が含まれている場合、適用される権限制限は、ステートメントを実行するユーザーではなく、句で指定されたユーザー/ロールの組合せに対する権限制限です。 AS 句の詳細は、セクション13.7.1.6「GRANT ステートメント」 を参照してください。

アカウントに付与される新しい権限の制限は、そのアカウントの既存の制限に追加されます:

mysql> CREATE USER u1;
mysql> GRANT SELECT, INSERT, UPDATE, DELETE ON *.* TO u1;
mysql> REVOKE INSERT ON mysql.* FROM u1;
mysql> SHOW GRANTS FOR u1;
+---------------------------------------------------------+
| Grants for u1@%                                         |
+---------------------------------------------------------+
| GRANT SELECT, INSERT, UPDATE, DELETE ON *.* TO `u1`@`%` |
| REVOKE INSERT ON `mysql`.* FROM `u1`@`%`                |
+---------------------------------------------------------+
mysql> REVOKE DELETE, UPDATE ON db2.* FROM u1;
mysql> SHOW GRANTS FOR u1;
+---------------------------------------------------------+
| Grants for u1@%                                         |
+---------------------------------------------------------+
| GRANT SELECT, INSERT, UPDATE, DELETE ON *.* TO `u1`@`%` |
| REVOKE UPDATE, DELETE ON `db2`.* FROM `u1`@`%`          |
| REVOKE INSERT ON `mysql`.* FROM `u1`@`%`                |
+---------------------------------------------------------+

権限制限の集計は、権限が明示的に明示的に取り消された場合 (前述のとおり)、およびステートメントを実行するユーザーまたは AS user 句に指定されたユーザーから制限が暗黙的に継承された場合の両方に適用されます。

アカウントにスキーマに対する権限制限がある場合:

アカウントにグローバル権限の制限がある場合、その制限は次のいずれかのアクションによって削除されます:

複数の権限をグローバルに保持しているが、INSERT、UPDATE および DELETE に制限があるユーザー u1 について考えてみます:

mysql> CREATE USER u1;
mysql> GRANT SELECT, INSERT, UPDATE, DELETE ON *.* TO u1;
mysql> REVOKE INSERT, UPDATE, DELETE ON mysql.* FROM u1;
mysql> SHOW GRANTS FOR u1;
+----------------------------------------------------------+
| Grants for u1@%                                          |
+----------------------------------------------------------+
| GRANT SELECT, INSERT, UPDATE, DELETE ON *.* TO `u1`@`%`  |
| REVOKE INSERT, UPDATE, DELETE ON `mysql`.* FROM `u1`@`%` |
+----------------------------------------------------------+

制限のないアカウントから u1 にグローバルに権限を付与すると、権限制限が削除されます。 たとえば、INSERT の制限を削除するには:

mysql> GRANT INSERT ON *.* TO u1;
mysql> SHOW GRANTS FOR u1;
+---------------------------------------------------------+
| Grants for u1@%                                         |
+---------------------------------------------------------+
| GRANT SELECT, INSERT, UPDATE, DELETE ON *.* TO `u1`@`%` |
| REVOKE UPDATE, DELETE ON `mysql`.* FROM `u1`@`%`        |
+---------------------------------------------------------+

スキーマレベルで u1 に権限を付与すると、権限の制限がなくなります。 たとえば、UPDATE の制限を削除するには:

mysql> GRANT UPDATE ON mysql.* TO u1;
mysql> SHOW GRANTS FOR u1;
+---------------------------------------------------------+
| Grants for u1@%                                         |
+---------------------------------------------------------+
| GRANT SELECT, INSERT, UPDATE, DELETE ON *.* TO `u1`@`%` |
| REVOKE DELETE ON `mysql`.* FROM `u1`@`%`                |
+---------------------------------------------------------+

グローバル権限を取り消すと、その権限に対する制限も含めて権限が削除されます。 たとえば、DELETE の制限を削除するには、次のようにします (すべての DELETE アクセスを削除します):

mysql> REVOKE DELETE ON *.* FROM u1;
mysql> SHOW GRANTS FOR u1;
+-------------------------------------------------+
| Grants for u1@%                                 |
+-------------------------------------------------+
| GRANT SELECT, INSERT, UPDATE ON *.* TO `u1`@`%` |
+-------------------------------------------------+

アカウントにグローバルレベルとスキーマレベルの両方の権限がある場合、部分的な取消しを有効にするには、スキーマレベルで 2 回取り消す必要があります。 u1 に次の権限があり、INSERT がグローバルおよび world スキーマの両方で保持されているとします:

mysql> CREATE USER u1;
mysql> GRANT SELECT, INSERT ON *.* TO u1;
mysql> GRANT INSERT ON world.* TO u1;
mysql> SHOW GRANTS FOR u1;
+-----------------------------------------+
| Grants for u1@%                         |
+-----------------------------------------+
| GRANT SELECT, INSERT ON *.* TO `u1`@`%` |
| GRANT INSERT ON `world`.* TO `u1`@`%`   |
+-----------------------------------------+

world で INSERT を取り消すと、スキーマレベルの権限が取り消されます (SHOW GRANTS にはスキーマレベルの GRANT ステートメントは表示されなくなります):

mysql> REVOKE INSERT ON world.* FROM u1;
mysql> SHOW GRANTS FOR u1;
+-----------------------------------------+
| Grants for u1@%                         |
+-----------------------------------------+
| GRANT SELECT, INSERT ON *.* TO `u1`@`%` |
+-----------------------------------------+

world で INSERT を再度取り消すと、グローバル権限の部分的な取消しが実行されます (SHOW GRANTS にはスキーマレベルの REVOKE ステートメントが含まれるようになりました):

mysql> REVOKE INSERT ON world.* FROM u1;
mysql> SHOW GRANTS FOR u1;
+------------------------------------------+
| Grants for u1@%                          |
+------------------------------------------+
| GRANT SELECT, INSERT ON *.* TO `u1`@`%`  |
| REVOKE INSERT ON `world`.* FROM `u1`@`%` |
+------------------------------------------+

一部のスキーマのアカウントへのアクセスを提供し、他のスキーマのアカウントへのアクセスを提供するために、部分的な取消しでは、グローバル権限を付与せずにスキーマレベルのアクセス権を明示的に付与する方法の代替方法が提供されます。 2 つのアプローチには、長所と短所があります。

グローバル権限ではなく、スキーマレベルの権限を付与します:

部分的な取消しと組み合せたグローバル権限の付与:

明示的なスキーマレベルの付与を使用するアプローチは、アクセスがいくつかのスキーマに制限されているアカウントでは便利です。 部分的な取消しを使用するアプローチは、少数を除くすべてのスキーマへの広範なアクセス権を持つアカウントではより便利です。

一度有効にすると、アカウントに権限制限がある場合は partial_revokes を無効にできません。 そのようなアカウントが存在する場合、partial_revokes の無効化は失敗します:

制限が存在する場合に partial_revokes を無効にするには、最初に制限を削除する必要があります:

すべての権限制限を削除した後、部分的な取消しを無効にできます:

SET PERSIST partial_revokes = OFF;

レプリケーションシナリオでは、partial_revokes が任意のホストで有効になっている場合、すべてのホストで有効にする必要があります。 それ以外の場合、グローバル権限を部分的に取り消す REVOKE ステートメントは、レプリケーションが発生するすべてのホストで同じ効果がないため、レプリケーションの不整合またはエラーが発生する可能性があります。