RDS MySQL高权限账号只能通过控制台或API创建，一个实例仅限一个，创建后不可更改类型；不支持SQL语句（如CREATE USER）创建，因其权限由阿里云底层注入，非MySQL原生授权表映射，且账号名全局唯一、密码强度严格，创建失败常见于实例状态异常或已存在高权限账号。

不能在RDS MySQL中“自定义创建”高权限账号——它只能通过控制台或API创建，且一个实例仅允许存在一个，创建后类型不可更改。

高权限账号的创建入口和限制

高权限账号不是用 CREATE USER 或 GRANT SQL 语句创建的，RDS 层面做了硬性拦截：即使你用高权限账号连接后执行 CREATE USER 'admin2'@'%' IDENTIFIED BY 'xxx';，该账号在 RDS 控制台不会显示，也无法被赋予实例级权限（如 RELOAD、EVENT、SUPER 等），更无法执行 KILL 其他连接。

• 必须通过 RDS 控制台「账号管理」→「创建账号」，并明确选择「高权限账号」类型
• 创建时账号名需满足：MySQL 8.0/5.7 为 2–32 字符，以字母开头、字母或数字结尾，仅支持字母、数字、下划线
• 密码强度要求严格：8–32 位，必须含大写、小写、数字、特殊字符（!@#$%^&*()_+-=）中任意三种
• 创建成功后，该账号自动拥有所有数据库的 ALL PRIVILEGES，且能管理其他普通账号、断开任意连接、启用事件调度器等

为什么不能用 SQL 创建高权限账号

RDS MySQL 的高权限账号本质是云平台托管的“管控代理”，其权限由阿里云底层服务注入，不依赖 MySQL 原生授权表（mysql.user 等）的完整映射。你看到的 SELECT * FROM mysql.user WHERE user = 'rdsAdmin' 结果，只是平台同步的部分字段，缺失关键权限字段（如 Super_priv 始终为 N），这是有意为之的安全隔离设计。

• 直接执行 GRANT ALL ON *.* TO 'xxx'@'%' 会报错：ERROR 1045 (28000): Access denied for user 'xxx'@'%' (using password: YES)（即使你是当前高权限账号）
• SHOW GRANTS FOR 'xxx'@'%' 返回的结果也仅反映平台允许暴露的部分权限，不等于真实能力边界
• 试图修改 mysql.user 表或绕过控制台操作，会导致账号被平台自动冻结或删除

创建失败的常见原因和应对

控制台点击「确定」后提示失败，多数不是配置错误，而是受实例状态或平台策略限制：

• 实例处于「配置变更中」「备份中」或「主备切换」状态 → 等待状态恢复后再试
• 实例已存在一个高权限账号 → 没有二次创建入口；如需更换，必须先在控制台「删除」原账号（注意：删除后所有依赖该账号的自动化任务、DMS 连接、定时事件都会中断）
• 账号名与已有普通账号重名 → RDS 要求实例内账号名全局唯一，包括高权与普通账号
• 地域或可用区配额不足（极少见，多见于新购试用账号）→ 换个地域重试，或联系客服提升配额

真正容易被忽略的是：高权限账号一旦创建，就绑定到该实例生命周期，无法迁移、无法降级、无法导出权限脚本。后续所有权限精细化控制（比如只给某个库的 SELECT + INSERT），都必须靠它去给普通账号授，而不是自己直接操作业务表。