DevOpsナレッジハブ
DevOpsナレッジハブ

MySQLユーザー権限の付与と取り消しに関するベストプラクティス

`GRANT`および`REVOKE`コマンドに関するこの包括的なガイドで、MySQLの高度なセキュリティを実現しましょう。最小権限の原則を適用し、特定のユーザーアカウントを作成し、ホスト制限を課すことで、ユーザー権限を安全に管理する方法を学びましょう。本記事では、実用的な例、段階的な手順、およびグローバル、データベース、テーブル、カラムレベルのアクセスを制御するための不可欠なベストプラクティスを提供し、データが不正な公開から保護されることを保証します。効果的にデータベースセキュリティ体制を強化しましょう。

39 ビュー

MySQLユーザー権限の付与と取り消しに関するベストプラクティス

データベースのセキュリティは、あらゆるアプリケーション環境において最も重要です。MySQLでは、効果的なユーザー権限管理がこのセキュリティの要となります。不適切に設定されたユーザー権限は、データが不正なアクセス、変更、あるいは破壊にさらされる可能性があり、重大なセキュリティ侵害や運用の中断につながります。

この包括的なガイドでは、必須コマンドであるGRANTとREVOKEについて深く掘り下げ、MySQLでユーザーアクセスを安全に管理するための知識を提供します。さまざまな種類の権限、それらを適用および削除するための正しい構文、そして決定的に重要な「最小権限の原則」に焦点を当てて解説します。これらのベストプラクティスを遵守することで、データベースのセキュリティ体制が大幅に強化され、ユーザーとアプリケーションが必要な操作のために厳密に必要とされるアクセスのみを持つことが保証されます。

MySQL権限の理解

GRANTとREVOKEについて詳しく説明する前に、MySQLで利用可能な権限の異なるスコープとタイプを理解することが重要です。権限は、ユーザーが実行できるアクションと、どのデータベースオブジェクトに対して実行できるかを定義します。

MySQLの権限は、そのスコープによって分類できます。

  • グローバル権限 (*.*): MySQLサーバー上のすべてのデータベースとテーブルに適用されます。例としては、SUPER、PROCESS、RELOAD、CREATE USERなどがあります。
  • データベース権限 (database_name.*): 特定のデータベース内のすべてのテーブルとオブジェクトに適用されます。例としては、SELECT、INSERT、UPDATE、DELETE、CREATE、DROPなどがあります。
  • テーブル権限 (database_name.table_name): 特定のテーブル内のすべてのカラムに適用されます。これは一般的ではありませんが、非常にきめ細かな制御に役立ちます。
  • カラム権限 (database_name.table_name.column_name): テーブル内の特定のカラムに適用されます。
  • ルーチン権限 (database_name.routine_name): ストアドプロシージャと関数に適用され、EXECUTEとALTER ROUTINEを制御します。
  • プロキシ権限: あるユーザーが別のユーザーとして動作することを許可し、ユーザーIDを管理するアプリケーションに役立ちます。

一般的な特定の権限には以下が含まれます。

  • SELECT: テーブルからデータを読み取ります。
  • INSERT: テーブルに新しい行を追加します。
  • UPDATE: テーブル内の既存の行を変更します。
  • DELETE: テーブルから行を削除します。
  • CREATE: データベース、テーブル、またはインデックスを作成します。
  • DROP: データベース、テーブル、またはインデックスを削除します。
  • ALTER: テーブル構造を変更します。
  • INDEX: インデックスを作成または削除します。
  • REFERENCES: 外部キー制約を設定します。
  • CREATE VIEW、SHOW VIEW: ビューを管理します。
  • CREATE ROUTINE、ALTER ROUTINE、EXECUTE: ストアドプロシージャと関数を管理および実行します。
  • FILE: サーバーホスト上のファイルを読み書きします（非常に強力なため、極度の注意を払って使用してください）。
  • GRANT OPTION: ユーザーが自身の権限を他のユーザーに付与することを許可します。これは非常に強力な権限であり、めったに付与すべきではありません。

GRANTコマンド: 権限を安全に付与する

GRANTコマンドは、MySQLユーザーに権限を割り当てるために使用されます。権限を付与する際には、最小権限の原則を考慮することが重要です。つまり、厳密に必要なものだけを付与するべきです。

基本構文

GRANTコマンドの一般的な構文は次のとおりです。

GRANT privileges ON object TO 'user'@'host' [IDENTIFIED BY 'password'] [WITH GRANT OPTION];
  • privileges: カンマ区切りの権限リスト（例: SELECT, INSERT）。
  • object: スコープを指定します（例: グローバルな*.*、database_name.*、database_name.table_name）。
  • 'user'@'host': ユーザー名と接続元のホストを含むユーザーアカウント。hostはIPアドレス、ホスト名、またはワイルドカード（任意のホストの場合は%、ローカル接続の場合はlocalhost）にできます。
  • IDENTIFIED BY 'password': (オプション) ユーザーが存在しない場合、この句はユーザーを作成し、そのパスワードを設定します。ユーザーが存在する場合、パスワードを更新します。
  • WITH GRANT OPTION: (オプション) ユーザーが指定された権限を他のユーザーに付与することを許可します。

実践例

いくつかの一般的なシナリオを見ていきましょう。

  1. 新しいユーザーの作成とグローバルな読み取り専用アクセスの付与（強く推奨されません）

    sql CREATE USER 'global_reader'@'localhost' IDENTIFIED BY 'StrongPass123!'; GRANT SELECT ON *.* TO 'global_reader'@'localhost'; FLUSH PRIVILEGES;

    警告: SELECTを*.*に付与すると、すべてのデータベースとテーブルへのアクセスが許可されます。これは通常、アプリケーションユーザーには広すぎるため、特定の管理タスクに絶対に必要な場合を除いて避けるべきです。

  2. アプリケーションユーザーへの特定のデータベースに対するフルアクセスの付与

    アプリケーションユーザーが自身のデータベース内のデータを管理する必要がある一般的なシナリオです。

    sql CREATE USER 'app_user'@'localhost' IDENTIFIED BY 'AppPassSecure!'; GRANT SELECT, INSERT, UPDATE, DELETE ON `myapp_db`.* TO 'app_user'@'localhost'; FLUSH PRIVILEGES;

    ここで、app_userはmyapp_dbデータベース内でのみ基本的なCRUD操作を実行できますが、新しいテーブルを作成したりスキーマを変更したりすることはできません。

  3. 特定のテーブルへの読み取り専用アクセスの付与

    特定のテーブルからのみ読み取る必要があるレポートツールの場合。

    sql CREATE USER 'report_tool'@'%' IDENTIFIED BY 'ReportSecret!'; GRANT SELECT ON `sales_db`.`orders` TO 'report_tool'@'%'; FLUSH PRIVILEGES;

    '%'ホストにより、report_toolはどのホストからでも接続できますが、sales_db内のordersテーブルに対するSELECTアクセスのみが許可されます。

  4. GRANT OPTIONの付与（極度の注意を払って使用してください）

    管理者が特定のデータベースの権限管理を委任する必要がある場合。

    sql CREATE USER 'db_admin'@'localhost' IDENTIFIED BY 'AdminPass#456'; GRANT ALL PRIVILEGES ON `inventory_db`.* TO 'db_admin'@'localhost' WITH GRANT OPTION; FLUSH PRIVILEGES;

    db_adminは、inventory_db上の任意の権限を他のユーザーに付与できるようになりました。これは中央の制御を迂回する強力な権限であり、避けられない場合にのみ使用すべきです。

権限付与のヒント

  • 最小権限の原則: ユーザーまたはアプリケーションが機能するために必要な最小限の権限セットのみを常に付与してください。専用のデータベース管理者アカウントでない限り、ALL PRIVILEGESは避けてください。
  • 特定のホスト: 可能な限り、ユーザーの接続を特定のIPアドレスまたはホスト名（'user'@'192.168.1.10'または'user'@'appserver.example.com'）に制限し、'%'は使用しないでください。
  • ユーザーの分離: 異なるアプリケーションやサービスであっても、同じデータベースにアクセスする場合でも、それぞれに個別のユーザーアカウントを作成してください。これにより、潜在的なセキュリティ侵害が分離されます。
  • アプリケーションにrootを使用しない: アプリケーションにrootユーザーアカウントを絶対に使用しないでください。専用の最小権限ユーザーを作成してください。

REVOKEコマンド: 権限を効果的に取り消す

REVOKEコマンドは、MySQLユーザーから権限を削除するために使用されます。これは、特にロールが変更されたり、アプリケーションが廃止されたりする場合に、安全なデータベース環境を維持するためにGRANTと同様に重要です。

基本構文

REVOKEコマンドの一般的な構文は次のとおりです。

REVOKE privileges ON object FROM 'user'@'host';
  • privileges: 取り消す権限のカンマ区切りのリスト。
  • object: 取り消し元のスコープ（権限が付与されたスコープと一致する必要があります）。
  • 'user'@'host': 権限を取り消すユーザーアカウント。

実践例

  1. アプリケーションユーザーからDELETE権限を取り消す

    アプリケーションがデータを削除する必要がなくなった場合、またはその権限をダウングレードしたい場合。

    sql REVOKE DELETE ON `myapp_db`.* FROM 'app_user'@'localhost'; FLUSH PRIVILEGES;

    これで、app_userはmyapp_db内でSELECT、INSERT、UPDATEは引き続き実行できますが、DELETEは実行できません。

  2. 委任された管理者からGRANT OPTIONを取り消す

    db_adminがinventory_dbに対する他のユーザーの権限を管理する必要がなくなった場合。

    sql REVOKE GRANT OPTION ON `inventory_db`.* FROM 'db_admin'@'localhost'; FLUSH PRIVILEGES;

    注: GRANT OPTIONを取り消すには、REVOKEステートメントでGRANT OPTIONを明示的に指定する必要があります。

  3. 特定のデータベースに対するすべての権限を取り消す

    ユーザーが特定のデータベースに対して持っているすべての権限を削除する場合。

    sql REVOKE ALL PRIVILEGES ON `old_db`.* FROM 'old_app'@'%'; FLUSH PRIVILEGES;

    警告: *.*に対するREVOKE ALL PRIVILEGESは、SUPER、CREATE USERなどを含むすべてのグローバル権限を取り消します。このスコープをグローバルに使用する際は注意してください。

  4. ユーザーアカウントを削除する

    ユーザーまたはアプリケーションが不要になった場合、ユーザーを完全に削除するのが最善です。

    sql DROP USER 'report_tool'@'%'; FLUSH PRIVILEGES;

    このコマンドは、ユーザーとそのすべての関連権限を削除します。

権限取り消しのヒント

  • スコープの一致: 取り消す際は、オブジェクトスコープ（*.*、database_name.*など）が、権限が最初に付与された方法と正確に一致していることを確認してください。database_name.*に対してSELECTを付与した場合、database_name.table_nameではなく、database_name.*から取り消す必要があります。
  • 確認: 権限を付与または取り消した後には、必ずSHOW GRANTS FOR 'user'@'host';を使用して変更を確認してください。
  • カスケード効果を考慮: GRANT OPTIONを持つユーザーが他のユーザーに権限を付与していた場合、そのGRANT OPTIONを取り消しても、彼らが付与した権限が自動的に取り消されるわけではありません。それらの権限は別途取り消す必要があります。

MySQLユーザー権限管理のベストプラクティス

堅牢な権限管理戦略を実装することは、データベースセキュリティにとって極めて重要です。

1. 最小権限の原則 (PoLP)

これは黄金律です。ユーザーまたはアプリケーションが意図する機能を実行するために必要な最小限の権限のみを付与してください。例えば：

  • レポートツールにはSELECTが必要です。
  • Webアプリケーションには通常、SELECT、INSERT、UPDATE、DELETEが必要です。
  • ETLプロセスには、INSERT、UPDATE、DELETE、CREATE TABLE、DROP TABLEが必要な場合があります（ただし、特定のステージングスキーマに対してのみ）。

2. 専用ユーザーアカウント

  • 共有アカウントを避ける: 各アプリケーション、サービス、または管理ユーザーは、独自のMySQLユーザーアカウントを持つべきです。これにより、監査と活動の追跡が容易になります。
  • アプリケーションにrootを使用しない: アプリケーションをrootユーザーとして接続するように設定してはなりません。rootユーザーは無制限のアクセス権を持ち、人間の管理者による重要な管理タスクにのみ使用すべきです。

3. 強力なパスワードとパスワードローテーション

  • すべてのMySQLユーザーアカウントに対して、強力でユニークなパスワードを強制します。利用可能な場合は、MySQLのパスワード検証プラグインを活用してください。
  • 特に高権限のアカウントについては、定期的なパスワードローテーションポリシーを実装してください。

4. ホスト制限

  • 可能な限り、ユーザーの接続を特定のIPアドレスまたはホスト名に制限してください。'%'をlocalhost、アプリケーションサーバーのIP、またはネットワークサブネット（'user'@'192.168.1.%'）に置き換えてください。これにより、未知の場所からの不正なアクセス試行を防ぎます。

5. 定期的な監査とレビュー

  • すべてのユーザーアカウントとそれに関連する権限を定期的にレビューします。不要なアカウントや不要な権限は削除してください。
  • 権限を検査するにはSHOW GRANTS FOR 'user'@'host';を使用します。
  • 大規模な環境の監査には、自動化ツールを検討してください。

6. 権限の文書化

  • データベースユーザー、そのロール、およびそれぞれに付与された権限を明確に文書化してください。これは一貫性を維持し、セキュリティ監査を容易にするのに役立ちます。

7. 開発、ステージング、本番環境の分離

  • 開発環境やステージング環境で本番の資格情報を使用しないでください。各環境は、独自の異なるユーザーと権限のセットを持つべきです。

8. 絶対に必要な場合を除き、GRANT OPTIONを避ける

  • WITH GRANT OPTIONを付与すると、そのユーザーに権限管理が委任され、中央のセキュリティポリシーを迂回する可能性があります。これは、非常に信頼できる管理者ユーザーにのみ、可能な限り最も制限的なスコープで予約してください。

現在の権限の表示

ユーザーに割り当てられている権限を確認するには、SHOW GRANTSコマンドを使用します。

SHOW GRANTS FOR 'username'@'host';

例:

SHOW GRANTS FOR 'app_user'@'localhost';

出力は次のようになる場合があります。

+-------------------------------------------------------------+
| Grants for app_user@localhost                               |
+-------------------------------------------------------------+
| GRANT USAGE ON *.* TO 'app_user'@'localhost'                |
| GRANT SELECT, INSERT, UPDATE ON `myapp_db`.* TO 'app_user'@'localhost' |
+-------------------------------------------------------------+

GRANT USAGE ON *.*の行は、ユーザーがグローバル権限を持たず、接続する能力のみを持つことを示します。

まとめ

MySQLユーザー権限の管理は、データベースセキュリティの重要な側面です。「最小権限の原則」への揺るぎないコミットメントをもってGRANTおよびREVOKEコマンドを注意深く適用することで、不正アクセスやデータ侵害のリスクを大幅に軽減できます。特定のユーザーアカウントを作成し、ホストによるアクセスを制限し、強力なパスワードを使用し、権限構造を定期的に監査することを忘れないでください。プロアクティブで規律ある権限管理は、単なるベストプラクティスではなく、安全で信頼性の高いMySQL環境を維持するための基本的な要件です。

データベースを監視し続け、アプリケーションのニーズの進化に合わせて権限戦略を調整し、セキュリティ体制が堅牢で潜在的な脅威に対して回復力があることを確認してください。