编组

OceanBase 迁移服务（OceanBase Migration Service，OMS）迁移数据库前，请确保所有数据源已创建一个数据库用户作为迁移用户或同步用户。该用户需要具备源端和目标端数据源对应的权限。

权限列表

下表为各类数据库的迁移/同步用户需要具备的详细权限列表。创建数据源前，请确认已为指定用户赋予相关权限。

数据库类型	迁移端	必备的用户权限
MySQL	源端	数据库用户需要对待迁移的数据库具备读权限。 `GRANT SELECT ON <迁移库>.;` MySQL 增量同步时，数据库用户需要具备 `REPLICATION CLIENT` 和 `REPLICATION SLAVE` 权限。 `GRANT REPLICATION CLIENT, REPLICATION SLAVE ON .* TO <user_name> WITH GRANT OPTION;` 如果您在添加 MySQL 数据源时，勾选了增量同步时，允许 OMS 向该实例自动写入增量心跳数据，OMS 会向对应的 MySQL 数据库创建并更新 `drc.heartbeat` 表。此时，MySQL 数据库用户需要具备创建表、写表的权限。添加数据源详情请参见添加 MySQL 数据源。赋予数据库用户创建表的权限 `GRANT CREATE ON drc.heartbeat TO '<user_name>';` 赋予数据库用户写表的权限 `GRANT INSERT, UPDATE, DELETE ON drc.heartbeat TO '<user_name>';` 同步增量日志拉取用户需要具备 `SELECT .` 权限。 `GRANT SELECT ON .;`
MySQL	目标端	执行下述命令，为 MySQL 用户授权。 `GRANT <privilege_type> ON <db_name>.<table_name> TO '<user_name>'@'<host>' [WITH GRANT OPTION];` `privilege_type`：授予该账号 `SELECT`、`INSERT`、 `UPDATE` 和 `REFERENCES` 等操作权限。如果需要授予该账号所有权限，请使用 ALL。 `db_name`：数据库名。如果要授予该账号具备所有数据库的操作权限，请使用星号（）。 `table_name`：表名。如果要授予该账号具备所有表的操作权限，请使用星号（）。 `user_name`：待授权的账号。 `host`：允许该账号登录的主机，如果允许该账号从任意主机登录，请使用百分号（%）。 `WITH GRANT OPTION`：授予该账号使用 `GRANT` 命令的权限，该参数为可选。
Oracle	源端目标端	Oracle 数据库至 OceanBase 数据库的迁移和 OceanBase 数据库至 Oracle 数据库的迁移所需要的权限是一致的。详情请参见下文的《Oracle 数据库作为源端和目标端的权限说明》。
OceanBase 数据库 MySQL 租户	源端	OceanBase 数据库 MySQL 租户同步至 Kafka、RocketMQ 和 DataHub 时，源端迁移用户需要的权限：对源端数据库具备 `SELECT` 权限。对源端租户的 OceanBase 和 MySQL 数据库的 `SELECT` 权限。如果是增量数据同步的场景，您需要在 OceanBase 数据库的 sys 租户下创建一个用户，并赋予其 `select on .` 权限。用户名、密码需要和部署文件 `config.yaml` 文件中的配置一致。 OceanBase MySQL 逻辑表到 OceanBase 数据库 MySQL 租户物理表汇聚同步时，源端不使用数据源账号，默认使用 `config.yaml` 文件中的 `drc_user` 和 `drc_password` 账号：当选择需要增量同步，需要在 sys 租户下创建该账号并具备 `SELECT` 权限，同时需要在同步的源端租户下创建该账号并具备 `SELECT` 权限。当选择需要全量同步，需要在同步的源端租户下创建该账号，且具备 `SELECT` 权限。
OceanBase 数据库 MySQL 租户	目标端	MySQL 迁移至 OceanBase 数据库 MySQL 租户时，OceanBase 数据库 MySQL 租户迁移用户的权限如下：对目标端数据库具备 `SELECT`、`INSERT`、`UPDATE` 和 `DELETE` 权限。对 OceanBase、MySQL 库具备 `SELECT` 权限。
OceanBase 数据库 Oracle 租户	源端	OceanBase 数据库 Oracle 租户同步至 kafka、RocketMQ 和 DataHub 时：对于 OceanBase 数据库 2.2.70 之前的版本，源端迁移用户需要的权限为 `GRANT SELECT ON . TO <user_name>;`。对于 OceanBase 数据库 2.2.70 及以上的版本，源端迁移用户需要的权限为 `GRANT DBA TO <user_name>;`。
OceanBase 数据库 Oracle 租户	目标端	Oracle 数据库的数据迁移至 OceanBase 数据库 Oracle 租户时，迁移用户的权限请参见下文的《OceanBase 数据库 Oracle 租户作为目标端的权限说明》。
DB2 LUW 数据库	源端	DB2 LUW 数据库作为源端和目标端时，用户均需要具备 sysadm 权限。
DB2 LUW 数据库	目标端	DB2 LUW 数据库作为源端和目标端时，用户均需要具备 sysadm 权限。
DataHub	目标端	Datahub 根据 endpoint/ak/sk 进行鉴权，详情请参见 DataHub 权限控制。 DataHub 用户需要具备 `GetProject`、`CreateTopic`、`ListTopic`、`GetTopic`、`ListShard`、`PutRecords`、`GetRecords` 和 `GetCursor` 权限。
Kafka	目标端	如果 Kafka 存在鉴权，请参见添加 Kafka 数据源。 Kafka 用户需要具备进行以下操作的权限：创建和查看 Topic 查看 Topic Partition 信息写入 Record 读取 Record
RocketMQ	目标端	如果使用的是阿里云 RocketMQ，请参见 RocketMQ 的权限策略。 RocketMQ 用户需要具备进行以下操作的权限：创建和查看 Topic 查看 Topic MessageQueue 信息写入 Record 读取 Record

Oracle 数据库作为源端和目标端的权限说明

Oracle 数据库作为源端时的正向迁移和作为目标端时的反向回流需要的权限是一致的。创建用户后，不同版本的 Oracle 数据库及用户角色所需要赋予的权限说明如下。

说明：

本文提供的是非最小化权限说明，需要赋予迁移用户 SELECT ANY TRANSACTION、SELECT ANY TABLE 和 SELECT ANY DICTIONARY 权限。
以 Oracle 数据库作为源端时，您可以对 ANY 进行细化，赋予迁移用户最小化权限以提高安全性。详情请参见源端 Oracle 数据库的最小化权限。

12C 以下 DBA 用户权限赋予说明

如果用户的环境允许为迁移用户赋予数据库管理员（DBA）角色，且 Oracle 数据库的版本为 12C 之前的版本，则只需要执行下述语句，为迁移用户赋予 DBA 权限即可。

GRANT DBA TO <user_name>;

12C 以下非 DBA 用户权限赋予说明

如果用户环境对迁移用户的授权较为谨慎，且 Oracle 数据库的版本为 12C 之前的版本，操作如下：

授予 CONNECT 权限。
```
GRANT CONNECT TO <user_name>;
```
赋予迁移用户 CREATE SESSION、ALTER SESSION、SELECT ANY TRANSACTION、SELECT ANY TABLE 和 SELECT ANY DICTIONARY 权限。
```
GRANT CREATE SESSION, ALTER SESSION,
SELECT ANY TRANSACTION, SELECT ANY TABLE, SELECT ANY DICTIONARY TO <user_name>;
```

赋予迁移用户 LOGMINER 相关权限。

GRANT EXECUTE ON SYS.DBMS_LOGMNR TO <user_name>;

赋予迁移用户 CREATE TABLE 和 UNLIMITED TABLESPACE 权限。
```
GRANT CREATE TABLE, UNLIMITED TABLESPACE TO <user_name>;
```

如果迁移的 Schema 名称和 user_name 一致，执行下述语句。

GRANT CREATE SEQUENCE,CREATE VIEW TO <user_name>;

如果迁移的 Schema 名称和 user_name 不一致，执行下述语句。

GRANT CREATE ANY TABLE,CREATE ANY INDEX,DROP ANY TABLE,ALTER ANY TABLE,COMMENT ANY TABLE,
DROP ANY INDEX,ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE,DROP ANY SEQUENCE,
CREATE ANY VIEW,DROP ANY VIEW,INSERT ANY TABLE,DELETE ANY TABLE,UPDATE ANY TABLE TO <user_name>;

您也可以执行下述语句。

GRANT CREATE ANY TABLE,CREATE ANY INDEX,DROP ANY TABLE,ALTER ANY TABLE,COMMENT ANY TABLE,
DROP ANY INDEX,ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE,DROP ANY SEQUENCE,
CREATE ANY VIEW,DROP ANY VIEW TO <user_name>;
# 加上需要迁移至 Oracle 数据库指定的表。
GRANT DELETE, INSERT, UPDATE ON <库名>.<表名> TO <user_name>;

12C 及以上 DBA 用户权限赋予说明

如果用户的环境允许为迁移用户赋予数据库管理员（DBA）角色，且 Oracle 数据库的版本为 12C 及以上的版本，则需要区分是否使用 12C/18C/19C 的可插拔数据库 Pluggable DataBase（PDB）。

非 PDB
1. 执行下述授权语句，为迁移用户赋予 DBA 权限。
```
GRANT DBA TO <user_name>;
```
2. 执行下述语句，赋予迁移用户对 SYS.USER$ 表的读权限。
```
GRANT SELECT ON SYS.USER$ TO <user_name>;
```
PDB

如果 Oracle 数据库迁移至 OceanBase Oracle 数据库的源端为 12C/18C/19C 的可插拔数据库 Pluggable DataBase（PDB）时，拉取 PDB 的账号需要是 Common 用户。
1. 执行下述语句，切换至 CDB$ROOT。
```
ALTER SESSION SET CONTAINER=CDB$ROOT;
```
  每个 Common 用户都可以连接到 Root 容器（被命名为 CDB$ROOT）、任何有连接权限的 PDB，并执行相关操作。
2. 执行下述语句，赋予迁移用户 DBA 权限。
```
GRANT DBA TO C##XXX CONTAINER=ALL;
```
3. 执行下述语句，赋予迁移用户对 SYS.USER$ 表的读权限。
```
GRANT SELECT ON SYS.USER$ TO C##XXX CONTAINER=ALL;
```

12C 及以上非 DBA 用户权限赋予说明

如果用户环境对迁移用户的授权较为谨慎，且 Oracle 数据库的版本为 12C 及以上的版本，操作如下：

非 PDB

授予 CONNECT 权限。
```
GRANT CONNECT TO <user_name>;
```
执行下述语句，赋予迁移用户对 SYS.USER$ 表的读权限。
```
GRANT SELECT ON SYS.USER$ TO <user_name>;
```
赋予迁移用户 CREATE SESSION、ALTER SESSION、SELECT ANY TRANSACTION、SELECT ANY TABLE 和 SELECT ANY DICTIONARY 权限。
```
GRANT CREATE SESSION, ALTER SESSION, SELECT ANY TRANSACTION, SELECT ANY TABLE, SELECT ANY DICTIONARY TO <user_name>;
```

赋予迁移用户 LOGMINER 相关权限。

GRANT LOGMINING TO <user_name>;
GRANT EXECUTE ON SYS.DBMS_LOGMNR TO <user_name>;

赋予迁移用户 CREATE TABLE 和 UNLIMITED TABLESPACE 权限。
```
GRANT CREATE TABLE, UNLIMITED TABLESPACE TO <user_name>;
```

如果迁移的 Schema 名称和 user_name 一致，执行下述语句。

GRANT CREATE SEQUENCE,CREATE VIEW TO <user_name>;

如果迁移的 Schema 名称和 user_name 不一致，执行下述语句。

GRANT CREATE ANY TABLE,CREATE ANY INDEX,DROP ANY TABLE,ALTER ANY TABLE,COMMENT ANY TABLE,
DROP ANY INDEX,ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE,DROP ANY SEQUENCE,
CREATE ANY VIEW,DROP ANY VIEW,INSERT ANY TABLE,DELETE ANY TABLE,UPDATE ANY TABLE TO <user_name>;

PDB

如果 Oracle 数据库迁移至 OceanBase Oracle 数据库的源端为 12C/18C/19C 的可插拔数据库 Pluggable DataBase（PDB）时，拉取 PDB 的账号需要是 Common 用户。

授予 CONNECT 权限。

GRANT CONNECT TO <C##XXX> CONTAINER=ALL;

执行下述语句，赋予迁移用户对 SYS.USER$ 表的读权限。
```
GRANT SELECT ON SYS.USER$ TO <C##XXX> CONTAINER=ALL;
```

赋予迁移用户 CREATE SESSION、ALTER SESSION、SELECT ANY TRANSACTION、SELECT ANY TABLE 和 SELECT ANY DICTIONARY 权限。

GRANT CREATE SESSION, ALTER SESSION,
SELECT ANY TRANSACTION, SELECT ANY TABLE, SELECT ANY DICTIONARY TO <C##XXX> CONTAINER=ALL;

赋予迁移用户 LOGMINER 相关权限。

GRANT LOGMINING TO <C##XXX> CONTAINER=ALL;
GRANT EXECUTE ON SYS.DBMS_LOGMNR TO <C##XXX> CONTAINER=ALL;

赋予迁移用户 CREATE TABLE 和 UNLIMITED TABLESPACE 权限。

GRANT CREATE TABLE, UNLIMITED TABLESPACE TO <C##XXX> CONTAINER=ALL;

如果迁移的 Schema 名称和 C##XXX 一致，执行下述语句。

GRANT CREATE SEQUENCE,CREATE VIEW TO <C##XXX> CONTAINER=ALL;

如果迁移的 Schema 名称和 C##XXX 不一致，执行下述语句。

GRANT CREATE ANY TABLE,CREATE ANY INDEX,DROP ANY TABLE,ALTER ANY TABLE,COMMENT ANY TABLE,
DROP ANY INDEX,ALTER ANY INDEX,CREATE ANY SEQUENCE,ALTER ANY SEQUENCE,DROP ANY SEQUENCE,
CREATE ANY VIEW,DROP ANY VIEW,INSERT ANY TABLE,DELETE ANY TABLE,UPDATE ANY TABLE TO <C##XXX> CONTAINER=ALL;

OceanBase 数据库 Oracle 租户作为目标端的权限说明

目标端 OceanBase 数据库 Oracle 租户的版本不同时，权限使用也不同。

OceanBase 数据库 Oracle 租户 2.2.5 或 2.2.3 版本的权限说明

您可以通过以下两种方式赋予迁移用户权限：

方式一
- 执行下述语句，授予迁移用户所有权限。该方式较为简单，但赋予的权限较大。
```
GRANT ALL PRIVILEGES ON *.* TO <user_name>;
```
方式二
1. 赋予迁移用户对 SYS 下系统视图的 SELECT 权限。
```
GRANT SELECT ON SYS.* TO <user_name>;
```
2. 赋予迁移用户对业务库表的各类权限。如果存在多个业务库，请分别进行授权。
```
GRANT SELECT,UPDATE,DELETE ON <db_name>.* TO <user_name>;
GRANT CREATE,INDEX,ALTER ON <db_name>.* TO <user_name>;
```

OceanBase 数据库 Oracle 租户 2.2.7 及以上版本的权限说明

您可以通过以下两种方式赋予迁移用户权限：

方式一

执行下述语句，操作较为简单，但赋予用户的权限较大。
```
GRANT DBA TO <user_name>;
```

方式二

赋予用户对业务库表的各类权限。如果存在多个业务库，请分别授权。

GRANT CONNECT TO <user_name>;
GRANT CREATE SESSION, ALTER SESSION, SELECT ANY TABLE, SELECT ANY DICTIONARY TO <user_name>;
GRANT CREATE ANY TABLE, CREATE ANY INDEX, CREATE ANY VIEW, INSERT ANY TABLE, UPDATE ANY TABLE, ALTER ANY TABLE, DELETE ANY TABLE TO <user_name>;

用户权限说明

权限列表

Oracle 数据库作为源端和目标端的权限说明

12C 以下 DBA 用户权限赋予说明

12C 以下非 DBA 用户权限赋予说明

12C 及以上 DBA 用户权限赋予说明

12C 及以上非 DBA 用户权限赋予说明

OceanBase 数据库 Oracle 租户作为目标端的权限说明

OceanBase 数据库 Oracle 租户 2.2.5 或 2.2.3 版本的权限说明

OceanBase 数据库 Oracle 租户 2.2.7 及以上版本的权限说明