DBMS 权限

为了拥有一个管理员角色，它包含所有 DBMS 权限但并非所有数据库权限的子集，您可以复制 admin 角色并撤销或拒绝不需要的权限。第二种选择是通过授予所需的权限从头开始构建自定义管理员。

例如，可以使用第二种选择创建一个只管理用户和角色的管理员角色

结果角色具有仅允许用户和角色管理的权限。要将角色 usermanager 的所有权限列为命令，请运行此查询

请注意，此角色不允许所有 DBMS 功能。例如，该角色缺少管理、创建和删除数据库以及执行 admin 过程的权限。要创建更强大的管理员，您可以授予一组不同的权限。

在以下示例中，创建了一个新的管理员角色，以执行几乎所有 DBMS 功能，但数据库管理除外。但是，该角色仍然具有一些有限的数据库功能，例如管理事务

结果角色具有的权限包括所有 DBMS 权限，但创建、删除和修改数据库以及管理事务的权限除外。使用以下查询将角色 customAdministrator 的所有权限列为命令

用于角色管理的 DBMS 权限可以使用 Cypher 管理命令进行分配。它们可以像其他权限一样被授予、拒绝和撤销。

通过 CREATE ROLE 权限可以授予添加角色的能力。请看示例

结果角色具有仅允许添加角色的权限。使用以下查询将角色 roleAdder 的所有权限列为命令

通过 RENAME ROLE 权限可以授予重命名角色的能力。请看示例

结果角色具有仅允许重命名角色的权限。使用以下查询列出角色 roleNameModifier 的所有权限

通过 DROP ROLE 权限可以授予删除角色的能力。请看示例

结果角色具有仅允许删除角色的权限。使用以下查询列出角色 roleDropper 的所有权限

通过 ASSIGN ROLE 权限可以授予将角色分配给用户的能力。请看示例

结果角色具有仅允许分配/授予角色的权限。使用以下查询将角色 roleAssigner 的所有权限列为命令

通过 REMOVE ROLE 权限可以授予从用户中移除角色的能力。请看示例

结果角色具有仅允许移除/撤销角色的权限。使用以下查询将角色 roleRemover 的所有权限列为命令

通过 SHOW ROLE 权限可以授予显示角色的能力。具有此权限的角色被允许执行 SHOW ROLES 和 SHOW POPULATED ROLES 管理命令。对于 SHOW ROLES WITH USERS 和 SHOW POPULATED ROLES WITH USERS 管理命令，需要同时具备此权限和 SHOW USER 权限。以下查询显示了如何授予 SHOW ROLE 权限的示例

为了使用 SHOW ROLES WITH USERS 和 SHOW POPULATED ROLES WITH USERS 管理命令，需要同时具备 SHOW ROLE 和 SHOW USER 权限。请看一个如何授予 SHOW ROLE 权限的示例

结果角色具有仅允许显示角色的权限。使用以下查询将角色 roleShower 的所有权限列为命令

通过 ROLE MANAGEMENT 权限可以授予创建、重命名、删除、分配、移除和列出角色的权限。请看示例

结果角色拥有管理角色的所有权限。使用以下查询将角色 roleManager 的所有权限列为命令

用于用户管理的 DBMS 权限可以使用 Cypher 管理命令进行分配。它们可以像其他权限一样被授予、拒绝和撤销。

通过 CREATE USER 权限可以授予添加用户的能力。请看示例

结果角色具有仅允许添加用户的权限。使用此查询将角色 userAdder 的所有权限列为命令

通过 RENAME USER 权限可以授予重命名用户的能力。以下查询显示了此示例

结果角色具有仅允许重命名用户的权限

列出角色 userNameModifier 的所有权限

通过 ALTER USER 权限可以授予修改用户的能力。请看示例

结果角色具有仅允许修改用户的权限。使用以下查询将角色 userModifier 的所有权限列为命令

被授予 ALTER USER 权限的用户被允许运行 ALTER USER 管理命令，其中包含一个或多个 SET PASSWORD、SET PASSWORD CHANGE [NOT] REQUIRED、SET AUTH、REMOVE AUTH 和 SET STATUS 部分

通过 SET PASSWORDS 权限可以授予修改用户密码以及这些密码是否在首次登录时必须更改的能力。请看示例

结果角色具有仅允许修改用户密码以及这些密码是否在首次登录时必须更改的权限。使用以下查询将角色 passwordModifier 的所有权限列为命令

被授予 SET PASSWORDS 权限的用户被允许运行 ALTER USER 管理命令，其中包含 SET PASSWORD 和 SET PASSWORD CHANGE [NOT] REQUIRED 部分中的一个或两个

被授予 SET AUTH 权限的用户被允许运行 ALTER USER 管理命令，其中包含 SET AUTH 和 REMOVE AUTH 部分中的一个或两个

通过 SET USER STATUS 权限可以授予修改用户账户状态的能力。请看示例

结果角色具有仅允许修改用户账户状态的权限。使用以下查询将角色 statusModifier 的所有权限列为命令

被授予 SET USER STATUS 权限的用户被允许运行 ALTER USER 管理命令，其中只包含 SET STATUS 部分

为了能够修改用户的 home 数据库，授予 SET USER HOME DATABASE 权限。请看示例

结果角色具有仅允许修改用户 home 数据库的权限。使用以下查询将角色 statusModifier 的所有权限列为命令

被授予 SET USER HOME DATABASE 权限的用户被允许运行 ALTER USER 管理命令，其中只包含 SET HOME DATABASE 或 REMOVE HOME DATABASE 部分

通过 DROP USER 权限可以授予删除用户的能力。请看示例

结果角色具有仅允许删除用户的权限。使用以下查询将角色 userDropper 的所有权限列为命令

通过 SHOW USER 权限可以授予显示用户的能力。请看示例

结果角色具有仅允许显示用户的权限。使用以下查询将角色 userShower 的所有权限列为命令

通过 USER MANAGEMENT 权限可以授予创建、重命名、修改、删除和列出用户的权限。请看示例

结果角色拥有管理用户的所有权限。使用以下查询将角色 userManager 的所有权限列为命令

用于模拟的 DBMS 权限可以通过 Cypher 管理命令进行分配。它们可以像其他权限一样被授予、拒绝和撤销。

模拟是指用户能够承担另一个用户的角色（以及因此的权限），但受到限制，不能以被模拟用户的身份执行更新 admin 命令（即，他们仍然能够使用 SHOW 命令）。

通过 IMPERSONATE 权限可以授予模拟用户的能力。

以下查询显示了此示例。请注意，userImpersonator 必须是现有角色才能使此查询生效

结果角色具有允许模拟所有用户的权限

也可以拒绝和撤销该权限。请看一个示例，它显示了 userImpersonator 用户如何能够模拟所有用户，除了 alice

要授予（或撤销）模拟特定用户或用户子集的权限，您可以首先使用此查询列出它们

用于数据库管理的 DBMS 权限可以通过 Cypher 管理命令进行分配。它们可以像其他权限一样被授予、拒绝和撤销。

通过 CREATE DATABASE 权限可以授予创建标准数据库的能力。请看示例

结果角色具有仅允许创建标准数据库的权限。使用以下查询将角色 databaseAdder 的所有权限列为命令

通过 CREATE COMPOSITE DATABASE 权限可以授予创建复合数据库的能力。请看示例

结果角色具有仅允许创建复合数据库的权限。使用以下查询将角色 compositeDatabaseAdder 的所有权限列为命令

通过 DROP DATABASE 权限可以授予删除标准数据库的能力。请看示例

结果角色具有仅允许删除标准数据库的权限。使用以下查询将角色 databaseDropper 的所有权限列为命令

通过 DROP COMPOSITE DATABASE 权限可以授予删除复合数据库的能力。请看示例

结果角色具有仅允许删除复合数据库的权限。使用以下查询将角色 compositeDatabaseDropper 的所有权限列为命令

通过 ALTER DATABASE 权限可以授予修改标准数据库的能力。请看示例

结果角色具有仅允许修改标准数据库的权限。使用以下查询将角色 databaseModifier 的所有权限列为命令

通过 SET DATABASE ACCESS 权限可以授予修改对标准数据库的访问权限的能力。请看示例

结果角色具有仅允许修改对标准数据库的访问权限的权限。使用以下查询将角色 accessModifier 的所有权限列为命令

通过 COMPOSITE DATABASE MANAGEMENT 权限可以授予创建和删除复合数据库的能力。请看示例

结果角色拥有管理复合数据库的所有权限。使用以下查询将角色 compositeDatabaseManager 的所有权限列为命令

通过 DATABASE MANAGEMENT 权限可以授予创建、删除和修改数据库的能力。请看示例

结果角色拥有管理标准和复合数据库以及别名的所有权限。使用以下查询将角色 databaseManager 的所有权限列为命令

用于别名管理的 DBMS 权限可以使用 Cypher 管理命令进行分配，并可应用于本地和远程别名。它们可以像其他权限一样被授予、拒绝和撤销。也可以使用数据库管理命令管理别名。

通过 CREATE ALIAS 权限可以授予创建别名的能力。请看示例

结果角色具有仅允许创建别名的权限。使用以下查询将角色 aliasAdder 的所有权限列为命令

通过 DROP ALIAS 权限可以授予删除别名的能力。请看示例

结果角色具有仅允许删除别名的权限。使用以下查询列出角色 aliasDropper 的所有权限

通过 ALTER ALIAS 权限可以授予修改别名的能力。请看示例

结果角色具有仅允许修改别名的权限。使用以下查询将角色 aliasModifier 的所有权限列为命令

通过 SHOW ALIAS 权限可以授予列出别名的能力。请看示例

结果角色具有仅允许修改别名的权限。使用以下查询将角色 aliasLister 的所有权限列为命令

通过 ALIAS MANAGEMENT 权限可以授予列出、创建、删除和修改别名的权限。请看示例

结果角色拥有管理别名的所有权限。使用以下查询将角色 aliasManager 的所有权限列为命令

用于服务器管理的 DBMS 权限可以使用 Cypher 管理命令进行分配。它们可以像其他权限一样被授予、拒绝和撤销。

用于权限管理的 DBMS 权限可以通过 Cypher 管理命令进行分配。它们可以像其他权限一样被授予、拒绝和撤销。

通过 SHOW PRIVILEGE 权限可以授予列出权限的能力。

具有此权限的用户被允许执行 SHOW PRIVILEGES 和 SHOW ROLE roleName PRIVILEGES 管理命令。要执行 SHOW USER username PRIVILEGES 管理命令，需要同时具备此权限和 SHOW USER 权限。以下查询显示了如何授予 SHOW PRIVILEGE 权限的示例

结果角色具有仅允许显示权限的权限。使用以下查询将角色 privilegeShower 的所有权限列为命令

通过 ASSIGN PRIVILEGE 权限可以授予将权限分配给角色的能力。具有此权限的用户被允许执行 GRANT 和 DENY 管理命令。请看一个如何授予此权限的示例

结果角色具有仅允许分配权限的权限。使用以下查询将角色 privilegeAssigner 的所有权限列为命令

通过 REMOVE PRIVILEGE 权限可以授予从角色中移除权限的能力。

具有此权限的用户被允许执行 REVOKE 管理命令。请看一个如何授予此权限的示例

结果角色具有仅允许移除权限的权限。使用以下查询将角色 privilegeRemover 的所有权限列为命令

通过 PRIVILEGE MANAGEMENT 权限可以授予列出、分配和移除权限的权限。请看示例

结果角色拥有管理权限的所有权限。使用以下查询将角色 privilegeManager 的所有权限列为命令

用于过程和用户定义函数执行的 DBMS 权限可以通过 Cypher 管理命令进行分配。它们可以像其他权限一样被授予、拒绝和撤销。

通过 SHOW SETTING 权限可以授予显示配置设置的能力。具有此权限的角色被允许查询与名称通配符匹配的配置设置。

以下查询显示了如何授予此权限的示例

拥有 configurationViewer 角色的用户可以查询 server.bolt 命名空间中的任何设置。

更新后的角色 configurationViewer 具有仅允许查询 server.bolt 命名空间中设置的权限。使用以下查询将角色 configurationViewer 的所有权限列为命令

要拒绝角色访问特定设置，首先授予 SHOW SETTINGS *，然后拒绝不需要的设置。例如，以下查询允许查询所有设置，除了以 dbms.security 开头的那些

结果角色具有允许查询所有设置（以 dbms.security 开头的除外）的权限。使用以下查询将角色 deniedConfigurationViewer 的所有权限列为命令

如查询结果所示，对任何以 dbms.security 开头的设置的访问都被阻止，但其余设置仍然可以查询。

以下权限可以通过一个命令实现

例如，要授予角色 dbmsManager 以上能力，请使用以下查询

授予的权限可以通过 SHOW PRIVILEGES 命令查看

过程、用户定义函数和设置名称的名称通配符是文件扩展名通配符的简化版本。它只允许两个通配符：* 和 ?，分别用于多字符和单字符匹配。在此情况下，* 表示 0 个或更多字符，? 精确匹配一个字符。

给定以下过程列表

以下示例演示了如何在控制过程访问中使用名称通配符模式。请注意，相同的规则也适用于用户定义函数和设置。

拥有 globbing1 角色的用户可以运行所有过程。

拥有 globbing2 角色的用户可以运行过程 mine.public.exampleProcedure 和 mine.private.exampleProcedure，但不能运行其他过程。

拥有 globbing3 角色的用户可以运行过程 mine.public.exampleProcedure1、mine.private.exampleProcedure1 和 mine.private.exampleProcedure2，但不能运行其他过程。

拥有 globbing4 角色的用户可以运行过程 your.exampleProcedure、mine.public.exampleProcedure 和 mine.private.exampleProcedure，但不能运行其他过程。

拥有 globbing5 角色的用户可以运行过程 mine.public.exampleProcedure、mine.public.exampleProcedure1 和 mine.public.exampleProcedure42，但不能运行其他过程。

拥有 globbing6 角色的用户可以运行过程 mine.public.with#Special§Characters 和 mine.private.with#Special§Characters，但不能运行其他过程。