ApsaraDB RDS for PostgeSQLインスタンスの権限を管理する

権限管理の原則

ロールは権限セットとして作成されます。 ロールを使用して、きめ細かいレベルで権限を管理できます。 ロールにはログイン権限がありません。 ログイン権限を付与できるユーザーを作成できます。 ApsaraDB RDS for PostgeSQLの管理モデルでは、ユーザーの権限は、ユーザーに関連付けられているロールの権限とログイン権限で構成されます。 ユーザーの権限は、関連するロールの権限によって異なります。

権限管理のモデル

ApsaraDB RDS for PostgeSQLの管理モデルは、使いやすく、効果的で、ほとんどのビジネスシナリオに適しています。

• RDSインスタンス用に特権アカウントを作成できます。 特権アカウントには、RDSインスタンスに対するすべての権限があり、少数のデータベース管理者のみが使用できます。
• 1つの所有者と、{project}_role_readwriteおよび {project}_role_readonlyという名前の2つのロールを作成できます。 所有者と役割を使用して、チームまたはプロジェクトを管理できます。
  説明

  より細かいレベルで権限を管理したい場合は、ビジネス要件に基づいてロールを作成できます。
• ユーザーを作成できます。 ユーザーの権限は、ユーザーに関連付けられているロールの権限とログオン権限で構成されます。
• チームまたはプロジェクトに対して複数のスキーマを定義できます。 スキーマレベルまたはロールレベルで権限を付与することを推奨します。
• publicという名前のスキーマにテーブルを配置しないでください。 既定では、すべてのユーザーには、publicスキーマに対するCREATEアクセス許可とUSAGEアクセス許可があります。

権限管理の例

手順

1. rdspg_ownerという名前の所有者と、rdspg_role_readwriteおよびrdspg_role_readonlyという名前の2つのロールをプロジェクトに作成します。
   RDSインスタンスのdbsuperuserという名前の特権アカウントを使用して、データベース管理者として次の操作を実行します。

   --- rdspg_ownerは所有者のユーザー名です。 この例のパスワードは参照用です。 パスワードを所有者の実際のパスワードに置き換えます。 
   LOGIN PASSWORD 'asdfy181BASDfadasdbfas' でユーザーrdspg_ownerを作成します。ROLE rdspg_role_readwriteを作成します。ROLE rdspg_role_readonlyを作成します。--- rdspg_ownerの所有者の資格情報を使用して作成されたテーブルに対して、DQL SELECT操作とDML UPDATE、INSERT、およびDELETE操作を実行する権限をrdspg_role_readwriteロールに付与します。 
   ROLE rdspg_ownerのALTER DEFAULTの優先事項rdspg_role_readwriteにすべてのテーブルを付与します。--- rdspg_ownerの所有者の資格情報を使用して作成されたシーケンスに対して、DQL SELECT操作とDML UPDATE、INSERT、およびDELETE操作を実行する権限をrdspg_role_readwriteロールに付与します。 
   ROLE rdspg_ownerのALTER DEFAULT特権rdspg_role_readwriteへのシーケンスのすべてを承認します。--- rdspg_ownerの資格情報を使用して作成されたテーブルに対してDQL SELECT操作を実行する権限をrdspg_role_readonlyロールに付与します。 
   ROLE rdspg_ownerのALTER DEFAULT PRIVILEGES rdspg_role_readonly; 

2. rdspg_readwriteとrdspg_readonlyという名前の2人のユーザーを作成します。
   RDSインスタンスのdbsuperuserという名前の特権アカウントを使用して、データベース管理者として次の操作を実行します。

   --- DQL SELECT操作およびDML UPDATE、INSERT、およびDELETE操作を実行する権限をrdspg_readwriteユーザーに付与します。 
   LOGIN PASSWORD 'dfandfnapSDhf23hbEfabf' でユーザーrdspg_readwriteを作成します。GRANT rdspg_role_readwriteからrdspg_readwriteへ。--- DQL SELECT操作を実行する権限をrdspg_readonlyユーザーに付与します。 
   LOGIN PASSWORD 'F89h912badSHfadsd01zlk' でユーザーrdspg_readonlyを作成します。GRANT rdspg_role_readonlyからrdspg_readonlyへ。

3. rdspgという名前のスキーマを作成し、そのスキーマに対する権限をrdspg_role_readwriteロールとrdspg_role_readonlyロールに付与します。
   RDSインスタンスのdbsuperuserという名前の特権アカウントを使用して、データベース管理者

   として次の操作を実行します。--- rdspg_ownerをrdspgスキーマの所有者として指定します。
   スキーマrdspg認証を作成rdspg_owner;
   
   --- rdspgスキーマの権限をrdspg_role_readwriteロールとrdspg_role_readonlyロールに付与します。 
   SCHEMA rdspgからrdspg_role_readwriteへのGRANT USAGE;
   SCHEMA rdspgからrdspg_role_readonlyへの穀物の使用; 

   説明

   rdspg_readwriteユーザーとrdspg_readonlyユーザーは、関連するロールの権限に対する変更を継承します。 rdspg_readwriteユーザーまたはrdspg_readonlyユーザーに権限を付与する必要はありません。

シナリオ

CREATE TABLE rdspg.test(id bigserial primary key, name text);
CREATE INDEX idx_test_name on rdspg.test(name); 

シナリオ2: ビジネス開発にrdspg_readwriteユーザーまたはrdspg_readonlyユーザーを使用する

シナリオ3: プロジェクトの権限を別のプロジェクトに付与

--- rdspg_role_readonlyロールの権限をemployee_readwriteユーザーに付与します。 
GRANT rdspg_role_readonlyからemployee_readwriteへ。

シナリオ4: rdspg_2という名前のスキーマを作成し、rdspg_2スキーマに対する権限をロールに付与する

CREATE SCHEMA rdspg_1 AUTHORIZATION rdspg_owner;

--- rdspg_2スキーマのアクセス権限をロールに付与します。 
--- rdspg_1スキーマのテーブルに対してDDL CREATE、DROP、およびALTER操作を実行する権限を付与します。 
SCHEMA rdspg_1からrdspg_role_readwriteへの穀物の使用。SCHEMA rdspg_1からrdspg_role_readonlyへの穀物の使用; 

権限の照会