Роли в базе данных и управление доступом

Проектирование баз данных

Lis Sulmont

Curriculum Manager

Предоставление и отзыв доступа к представлению

GRANT privilege(s) или REVOKE privilege(s)

ON object

TO role или FROM role

GRANT UPDATE ON ratings TO PUBLIC; 
REVOKE INSERT ON films FROM db_user;

CREATE ROLE data_analyst;

CREATE ROLE intern WITH PASSWORD 'PasswordForIntern' VALID UNTIL '2020-01-01';

CREATE ROLE admin CREATEDB;

ALTER ROLE admin CREATEROLE;

¹ http://bit.ly/postgresql_attributes

GRANT UPDATE ON ratings TO data_analyst;

REVOKE UPDATE ON ratings FROM data_analyst;

Доступные привилегии в PostgreSQL:

SELECT, INSERT, UPDATE, DELETE, TRUNCATE, REFERENCES, TRIGGER, CREATE, CONNECT, TEMPORARY, EXECUTE и USAGE

¹ http://bit.ly/postgresql_privileges

Роль — это сущность, которая может выступать как пользователь и/или группа
- Пользовательские роли
- Групповые роли

Схема ролей: внешний круг — групповая роль, три внутренних круга — пользовательские роли

CREATE ROLE data_analyst;

CREATE ROLE intern WITH PASSWORD 'PasswordForIntern' VALID UNTIL '2020-01-01';

CREATE ROLE data_analyst;

CREATE ROLE alex WITH PASSWORD 'PasswordForIntern' VALID UNTIL '2020-01-01';

GRANT data_analyst TO alex;

REVOKE data_analyst FROM alex;

Роль	Разрешённый доступ
pg_read_all_settings	Чтение всех переменных конфигурации, включая те, которые обычно видны только суперпользователям.
pg_read_all_stats	Чтение всех представлений pg_stat_* и использование различных расширений статистики, включая доступные только суперпользователям.
pg_signal_backend	Отправка сигналов другим бэкендам (например: отмена запроса, завершение сеанса).
Другие...	Другие...

¹ http://bit.ly/default_roles_postgresql

Роль может предоставить конкретному пользователю избыточный доступ
- Это требует внимательного контроля

Проектирование баз данных