إدارة الصلاحيات والأدوار عبر GRANT و REVOKE ومبدأ أقل الصلاحيات في MySQLMySQL Privileges Roles GRANT REVOKE and Least Privilege

ينص مبدأ أقل الصلاحيات (Principle of Least Privilege — PoLP) على منح كل مستخدم أو خدمة خلفية أو أداة تقارير الحد الأدنى فقط من الصلاحيات، وعلى أضيق نطاق ممكن من قواعد البيانات والجداول لأداء وظيفته المحددة دون أي صلاحية إضافية:

• خطورة منح ALL PRIVILEGES ON *.* لتطبيقات الويب: إذا اتصل تطبيق الويب بحساب يملك صلاحيات شاملة أو صلاحية DROP، فإن أي خطأ برمجي أو ثغرة في التطبيق قد تؤدي إلى مسح الجداول بالكامل أو قراءة قواعد بيانات أخرى على نفس الخادم.
• فصل الصلاحيات حسب طبيعة العمل (Separation of Duties):
  • حساب تطبيق الويب ('shop_app'): يُمنح فقط صلاحيات SELECT, INSERT, UPDATE على قاعدة بيانات المتجر shop_db.* دون صلاحيات تعديل الهيكل (DDL).
  • حساب التحديثات الهندسية ('schema_migrator'): يُستخدم فقط أثناء نشر التحديثات لتنفيذ CREATE, ALTER, INDEX.
  • حساب التقارير والتحليلات ('report_reader'): يُقيد بصلاحية القراءة فقط SELECT على الجداول أو العروض المخصصة.

+-----------------+--------------------+-------------------------------+
| Account         | Target Scope       | Allowed Privileges            |
+-----------------+--------------------+-------------------------------+
| shop_app        | shop_db.*          | SELECT, INSERT, UPDATE        |
| report_reader   | shop_db.orders     | SELECT                        |
+-----------------+--------------------+-------------------------------+

يطبق خادم MySQL 8 الرقابة على الصلاحيات عبر تسلسل هرمي يتكون من خمسة مستويات (Scopes) تُحدد بواسطة جملة ON داخل أمر المنح:

• 1. النطاق الشامل للخادم (ON *.*): يُحفظ في جدول mysql.user وmysql.global_grants، ويسري على جميع قواعد البيانات والجداول في الخادم (يُقتصر على مديري قواعد البيانات فقط).
• 2. نطاق قاعدة البيانات (ON shop_db.*): يُحفظ في جدول mysql.db، ويسري على كافة الجداول والعروض داخل قاعدة البيانات shop_db وحدها.
• 3. نطاق الجدول المحدد (ON shop_db.orders): يُحفظ في جدول mysql.tables_priv، ويقصر الصلاحية على جدول واحد بعينه.
• 4. نطاق العمود (SELECT (order_id, status) ON shop_db.orders): يُحفظ في جدول mysql.columns_priv، ويسمح بقراءة أو تعديل أعمدة محددة فقط مع حجب الأعمدة الحساسة كالرواتب أو رموز الدفع.
• 5. نطاق البرامج المخزنة (ON PROCEDURE shop_db.calc_tax): يُحفظ في جدول mysql.procs_priv، ويمنح صلاحية التنفيذ EXECUTE لإجراء مخزن أو دالة محددة.

بعد إنشاء الحساب بأمر CREATE USER، نستخدم الأمر القياسي GRANT لمنحه الصلاحيات الدقيقة التي يحتاجها على قاعدة البيانات أو الجدول المستهدف:

• GRANT SELECT, INSERT, UPDATE ON shop_db.* TO 'shop_app'@'10.0.1.%';: يمنح حساب التطبيق صلاحيات القراءة والإدراج والتحديث على جميع جداول قاعدة البيانات shop_db.
• GRANT SELECT ON shop_db.products TO 'report_reader'@'localhost';: يمنح صلاحية القراءة فقط على جدول المنتجات وحده.
• تجنب منح WITH GRANT OPTION لحسابات التطبيقات: تسمح هذه الإضافة للمستخدم بمنح صلاحياته لحسابات أخرى؛ لذا يجب قصرها على مديري النظام فقط.
• فصل الإنشاء عن المنح في MySQL 8: لم يعد خادم MySQL 8 يقبل كتابة IDENTIFIED BY داخل أمر GRANT؛ بل يجب إنشاء المستخدم أولاً بـ CREATE USER ثم منحه الصلاحيات بـ GRANT.

Query OK, 0 rows affected (0.01 sec)
Query OK, 0 rows affected (0.01 sec)

تتطلب المراجعة الأمنية الدورية فحص الصلاحيات الفعلية الممنوحة لكل حساب عبر SHOW GRANTS، وسحب أي صلاحية زائدة فوراً عبر الأمر القياسي REVOKE:

• SHOW GRANTS FOR 'shop_app'@'10.0.1.%';: يعرض قائمة دقيقة بجميع جمل GRANT المطبقة حالياً على هذا الحساب.
• REVOKE UPDATE ON shop_db.* FROM 'shop_app'@'10.0.1.%';: يسحب صلاحية التحديث فوراً من الحساب مع الإبقاء على صلاحيتي SELECT وINSERT دون تأثر.
• قاعدة تطابق النطاق عند السحب: لسحب صلاحية مُنحت على مستوى قاعدة البيانات (ON shop_db.*)، يجب تحديد نفس النطاق تماماً (ON shop_db.*) داخل جملة REVOKE.
• REVOKE ALL PRIVILEGES, GRANT OPTION FROM 'user'@'host';: يجرد الحساب من كافة الصلاحيات في جميع المستويات ويعيده إلى حالة USAGE الأساسية دون حذف الحساب نفسه.

+------------------------------------------------------------------+
| Grants for [email protected].%                                     |
+------------------------------------------------------------------+
| GRANT USAGE ON *.* TO `shop_app`@`10.0.1.%`                      |
| GRANT SELECT, INSERT ON `shop_db`.* TO `shop_app`@`10.0.1.%`     |
+------------------------------------------------------------------+

بدلاً من تكرار أوامر المنح الفردية لعشرات المطورين أو الخدمات، يوفر خادم MySQL 8 نظام التحكم بالوصول المبني على الأدوار (Role-Based Access Control — RBAC)، حيث يمثل الدور حزمة صلاحيات مسماة قابلة لإعادة الاستخدام:

• CREATE ROLE IF NOT EXISTS 'app_read_only', 'app_writer';: ينشئ أدواراً وظيفية معيارية على مستوى الخادم.
• GRANT SELECT ON shop_db.* TO 'app_read_only';: يمنح الصلاحيات للدور الوظيفي نفسه.
• GRANT 'app_read_only' TO 'report_reader'@'localhost';: يُسند الدور الوظيفي إلى حساب المستخدم (أو عدة حسابات معاً).
• SET DEFAULT ROLE ALL TO 'report_reader'@'localhost';: خطوة جوهرية؛ لأن الأدوار الممنوحة في MySQL 8 تكون غير مفعلة افتراضياً عند تسجيل الدخول ما لم يتم تفعيلها تلقائياً عبر SET DEFAULT ROLE أو داخل الجلسة عبر SET ROLE ALL.
• SELECT CURRENT_ROLE();: يتحقق من الدور الوظيفي النشط حالياً في الجلسة.

+--------------------+
| CURRENT_ROLE()     |
+--------------------+
| `app_read_only`@`%` |
+--------------------+

يلخص الجدول المرجعي التالي أهم الصلاحيات ونطاقاتها وأوامر الأدوار الوظيفية (RBAC) في خادم MySQL 8:

ملخص الدرس: أتقنت في هذا الدرس تصميم الصلاحيات وفق مبدأ أقل الصلاحيات (PoLP)، والمستويات الخمسة لنطاقات الصلاحيات، وأوامر GRANT وREVOKE وSHOW GRANTS، وإدارة الأدوار الوظيفية (RBAC) في MySQL 8.
الخطوة التالية والدرس القادم: انتقل إلى الدرس التالي لتعلّم النسخ الاحتياطي واستعادة قواعد البيانات عبر أداة mysqldump والسجل الثنائي.