# CREATE ROLE #### 功能描述 创建角色。 角色是拥有数据库对象和权限的实体。在不同的环境中角色可以认为是一个用户，一个组或者兼顾两者。 #### 注意事项 - 在数据库中添加一个新角色，角色无登录权限。 - 创建角色的用户必须具备CREATE ROLE的权限或者是系统管理员。 #### 语法格式 ``` CREATE ROLE role_name [ [ WITH ] option [ ... ] ] { PASSWORD | IDENTIFIED BY } { 'password' [EXPIRED] | DISABLE }; ``` 其中角色信息设置子句option语法为： ``` {SYSADMIN | NOSYSADMIN} | {MONADMIN | NOMONADMIN} | {OPRADMIN | NOOPRADMIN} | {POLADMIN | NOPOLADMIN} | {AUDITADMIN | NOAUDITADMIN} | {CREATEDB | NOCREATEDB} | {USEFT | NOUSEFT} | {CREATEROLE | NOCREATEROLE} | {INHERIT | NOINHERIT} | {LOGIN | NOLOGIN} | {REPLICATION | NOREPLICATION} | {PERSISTENCE | NOPERSISTENCE} | CONNECTION LIMIT connlimit | VALID BEGIN 'timestamp' | VALID UNTIL 'timestamp' | USER GROUP 'groupuser' | NODE GROUP logic_cluster_name | IN ROLE role_name [, ...] | IN GROUP role_name [, ...] | ROLE role_name [, ...] | ADMIN role_name [, ...] | USER role_name [, ...] | DEFAULT TABLESPACE tablespace_name | PROFILE DEFAULT | PROFILE profile_name | PGUSER ``` #### 参数说明 - **role_name** 角色名称。 取值范围：字符串，要符合[标识符说明](https://support.huaweicloud.com/distributed-m-comp-devg-v8-gaussdb/gaussdb-81-0040.html#ZH-CN_TOPIC_0000002558805265)，且最多为63个字符。若超过63个字符，数据库会截断并保留前63个字符当做角色名称。在创建角色时，数据库的时候会给出提示信息。角色名支持使用反引号括起来，当sql_mode设置为ANSI_QUOTES，也可以用双引号括起来。不用反引号、双引号括起来的角色名会被转换为小写。 ![](https://support.huaweicloud.com/distributed-m-comp-devg-v8-gaussdb/public_sys-resources/note_3.0-zh-cn.png) 标识符需要为字母、下划线、数字（0-9）或美元符号（$），且必须以字母（a-z）或下划线（_）开头。 - **password** 登录密码。 密码规则如下： - 密码默认不少于8个字符。 - 不能与用户名及用户名倒序相同。 - 至少包含大写字母（A-Z），小写字母（a-z），数字（0-9），非字母数字字符（限定为\~!@#$%\^\&\*()-_=+\\\|\[{}\];:,\<.\>/?）四类字符中的三类字符。 - 密码也可以是符合格式要求的密文字符串，这种情况主要用于用户数据导入场景，不推荐用户直接使用。如果直接使用密文密码，用户需要知道密文密码对应的明文，并且保证密码复杂度，数据库不会校验密文密码复杂度，直接使用密文密码的安全性由用户保证。 - 创建角色时，应当使用单引号将用户密码括起来。 取值范围：不为空的字符串。 - **EXPIRED** 在创建用户时可指定EXPIRED参数，即创建密码失效用户，该用户不允许执行简单查询和扩展查询。只有在修改自身密码后才可正常执行语句。 - **DISABLE** 默认情况下，用户可以更改自己的密码，除非密码被禁用。要禁用用户的密码，请指定DISABLE。禁用某个用户的密码后，将从系统中删除该密码，此类用户只能通过外部认证来连接数据库，例如：kerberos认证。只有管理员才能启用或禁用密码。普通用户不能禁用初始用户的密码。要启用密码，请运行ALTER USER并指定密码。 - **SYSADMIN \| NOSYSADMIN** 决定一个新角色是否为"系统管理员"，具有SYSADMIN属性的角色拥有系统最高权限。 缺省为NOSYSADMIN。 三权分立关闭时，具有SYSADMIN属性的用户有权限创建具有SYSADMIN、CREATEROLE、AUDITADMIN、MONADMIN、POLADMIN、CREATEDB属性的用户和普通用户。 三权分立打开时，具有SYSADMIN属性的用户无权创建用户。 - **MONADMIN \| NOMONADMIN** 定义角色是否是监控管理员。 缺省为NOMONADMIN。 - **OPRADMIN \| NOOPRADMIN** 定义角色是否是运维管理员。 缺省为NOOPRADMIN。 - **POLADMIN \| NOPOLADMIN** 定义角色是否是安全策略管理员。 缺省为NOPOLADMIN。 - **AUDITADMIN \| NOAUDITADMIN** 定义角色是否有审计管理属性。 缺省为NOAUDITADMIN。 - **CREATEDB \| NOCREATEDB** 决定一个新角色是否能创建数据库。 新角色没有创建数据库的权限。 缺省为NOCREATEDB。 - **USEFT \| NOUSEFT** 该参数为保留参数，暂未启用。 - **CREATEROLE \| NOCREATEROLE** 决定一个角色是否可以创建新角色（也就是执行CREATE ROLE和CREATE USER）。 一个拥有CREATEROLE权限的角色也可以修改和删除其他角色。 缺省为NOCREATEROLE。 三权分立关闭时，具有CREATEROLE属性的用户有权限创建具有CREATEROLE、AUDITADMIN、MONADMIN、POLADMIN、CREATEDB属性的用户和普通用户。 三权分立打开时，具有CREATEROLE属性的用户有权限创建具有CREATEROLE、MONADMIN、POLADMIN、CREATEDB属性的用户和普通用户。 - **INHERIT \| NOINHERIT** 这些子句决定一个角色是否"继承"它所在组的角色的权限。不推荐使用。 - **LOGIN \| NOLOGIN** 具有LOGIN属性的角色才可以登录数据库。一个拥有LOGIN属性的角色可以认为是一个用户。 缺省为NOLOGIN。 - **REPLICATION \| NOREPLICATION** 定义角色是否允许流复制或设置系统为备份模式。REPLICATION属性是特定的角色，仅用于复制。 缺省为NOREPLICATION。 - **PERSISTENCE \| NOPERSISTENCE** 定义永久用户。仅允许初始用户创建、修改和删除具有PERSISTENCE属性的永久用户。 - **CONNECTION LIMIT** **connlimit** 声明该角色可以使用的并发连接数量。 ![](https://support.huaweicloud.com/distributed-m-comp-devg-v8-gaussdb/public_sys-resources/notice_3.0-zh-cn.png) - 系统管理员不受此参数的限制。 - connlimit数据库主节点单独统计，数据库M-Compatibility整体的连接数 = connlimit \* 当前正常数据库主节点个数。 取值范围：\[-1, 2\^31-1\]的整数。缺省值为-1，表示没有限制。 - **VALID BEGIN** **'timestamp'** 设置角色生效的时间戳。如果省略了该子句，角色无有效开始时间限制，timestamp为生效时间，格式为'YYYY-MM-DD HH:mm:ss'。 - **VALID UNTIL** **'timestamp'** 设置角色失效的时间戳。如果省略了该子句，角色无有效结束时间限制，timestamp为失效时间，格式为'YYYY-MM-DD HH:mm:ss'。 - **USER GROUP** **'groupuser'** 创建一个user的子用户。当前版本暂不支持。 - **IN ROLE** **role_name** 新角色立即拥有IN ROLE子句中列出的一个或多个现有角色拥有的权限。不推荐使用。 - **IN GROUP** **role_name** IN GROUP是IN ROLE过时的拼法。不推荐使用。 - **ROLE** **role_name** ROLE子句列出一个或多个现有的角色，它们将自动添加为这个新角色的成员，拥有新角色所有的权限。 - **ADMIN** **role_name** ADMIN子句类似ROLE子句，不同的是ADMIN后的角色可以把新角色的权限赋给其他角色。 - **USER** **role_name** USER子句是ROLE子句过时的拼法。 - **DEFAULT TABLESPACE** **tablespace_name** DEFAULT TABLESPACE子句将被忽略，无实际意义。 - **PROFILE** **profile_name** PROFILE子句将被忽略，无实际意义。 - **PGUSER** 当前版本该属性没有实际意义，仅为了语法的前向兼容而保留。 #### 示例 ``` --创建一个角色，名为manager，密码为********。 m_db=# CREATE ROLE manager IDENTIFIED BY '********'; --创建一个角色，从2015年1月1日开始生效，到2026年1月1日失效。 m_db=# CREATE ROLE miriam WITH LOGIN PASSWORD '********' VALID BEGIN '2015-01-01' VALID UNTIL '2026-01-01'; --修改角色manager的密码为********。 m_db=# ALTER ROLE manager IDENTIFIED BY '********' REPLACE '**********'; --修改角色manager为系统管理员。 m_db=# ALTER ROLE manager SYSADMIN; --删除角色manager。 m_db=# DROP ROLE manager; --删除角色miriam。 m_db=# DROP GROUP miriam; ``` #### 相关链接 [SET ROLE](https://support.huaweicloud.com/distributed-m-comp-devg-v8-gaussdb/gaussdb-81-0131.html#ZH-CN_TOPIC_0000002527965452)，[ALTER ROLE](https://support.huaweicloud.com/distributed-m-comp-devg-v8-gaussdb/gaussdb-81-0052.html#ZH-CN_TOPIC_0000002527805456)，[DROP ROLE](https://support.huaweicloud.com/distributed-m-comp-devg-v8-gaussdb/gaussdb-81-0092.html#ZH-CN_TOPIC_0000002558805299)，[GRANT](https://support.huaweicloud.com/distributed-m-comp-devg-v8-gaussdb/gaussdb-81-0102.html#ZH-CN_TOPIC_0000002527965436)