如何在 Tarantool 中授予用户仅执行特定功能的权限

Question

现在的挑战是：有 2 个函数。并且有一个用户只能执行其中之一。问题是怎么做？如果你只是写： box.schema.user.grant ('user', 'execute', 'function', 'dima', nil, {if_not_exists = true}) 那么用户 'user' 根本无法连接。将显示一条错误消息：用户“user”拒绝执行对 Universe“的访问”。如何正确提供访问权限？

        box.once("schema", function()
        box.schema.user.create('superuser', {password = '11111111'})
        box.schema.user.create('user', {password = '11111111'})
        box.schema.user.grant('superuser', 'read,write,execute','universe', nil, {if_not_exists = true})
        box.schema.user.grant('user','execute','function','dima',nil, {if_not_exists = true})
        end)
        function reload(proc)
            package.loaded[proc]=nil return require(proc)
                end
        ws = reload('project/init')

功能点：

local obj={}

function obj.open()
    return 'dima'
end

return obj

功能 dima2：

local obj={}

function obj.open()
    return 'dima2'
end

return obj

初始化.lua：

obj = {}
  collectgarbage('collect')
  net   = require('net.box')
  fiber = require('fiber')
  uuid  = require('uuid')
  -- modules
  obj.dima  = reload('project/dima')
  obj.dima2 = reload('project/dima2')
return obj

Answer 1

为了仅允许访问一项功能，您可以执行以下操作：

box.cfg({listen=3301})

foo = function() print("bar") end

box.schema.user.create('myuser', {if_not_exists=true, password = 'secret'})

-- setuid is required here so that the function, when called by user with
-- restricted rights, will have access to everything
box.schema.func.create('foo', {if_not_exists=true, setuid=true})

box.schema.user.grant('myuser', 'execute', 'function', 
                      'foo', {if_not_exists=true})

然后打开一个单独的 tarantool 提示（不是 tarantoolctl！下面的解释）并输入：

net_box = require('net.box')
c = net_box.connect('myuser:secret@localhost:3301')
c:call('foo')

然后你会在第一个控制台中看到“bar”。

您看到“用户 'user' 拒绝执行对 Universe 的访问”的原因是因为您尝试使用 tarantoolctl 进行连接，这需要对整个数据库的读取访问权限。通过连接器或 net.box 调用时会很好。