如何在PostgreSQL中创建只读用户？

Question

我想在PostgreSQL中创建一个只能从特定数据库中执行SELECT的用户.在MySQL中,命令是:

GRANT SELECT ON mydb.* TO 'xxx'@'%' IDENTIFIED BY 'yyy';

PostgreSQL中的等效命令或命令系列是什么？

我试过了...

postgres=# CREATE ROLE xxx LOGIN PASSWORD 'yyy';
postgres=# GRANT SELECT ON DATABASE mydb TO xxx;

但似乎您可以在数据库上授予的唯一内容是CREATE,CONNECT,TEMPORARY和TEMP.

Answer 1

将使用/选择授予单个表

如果仅将CONNECT授予数据库,则用户可以连接但没有其他权限.您必须单独为表和名称上的名称空间(模式)和SELECT授予USAGE,如下所示:

GRANT CONNECT ON DATABASE mydb TO xxx;
-- This assumes you're actually connected to mydb..
GRANT USAGE ON SCHEMA public TO xxx;
GRANT SELECT ON mytable TO xxx;

多个表/视图(PostgreSQL 9.0+)

在最新版本的PostgreSQL中,您可以使用单个命令为模式中的所有表/视图/等授予权限,而不必逐个键入它们:

GRANT SELECT ON ALL TABLES IN SCHEMA public TO xxx;

这仅影响已创建的表.更强大的是,您可以在将来自动为新对象分配默认角色:

ALTER DEFAULT PRIVILEGES IN SCHEMA public
   GRANT SELECT ON TABLES TO xxx;

请注意,默认情况下,这只会影响发出此命令的用户创建的对象(表):尽管也可以在发布用户所属的任何角色上设置它.但是,在创建新对象时,您不会为您所属的所有角色选择默认权限...所以仍然存在一些问题.如果采用数据库具有拥有角色的方法,并且模式更改是作为拥有角色执行的,那么您应该为该拥有角色分配默认权限.恕我直言,这有点令人困惑,你可能需要尝试提出一个功能的工作流程.

多个表/视图(9.0之前的PostgreSQL版本)

为避免冗长的多表更改出错,建议使用以下"自动"过程生成GRANT SELECT每个表/视图所需的内容:

SELECT 'GRANT SELECT ON ' || relname || ' TO xxx;'
FROM pg_class JOIN pg_namespace ON pg_namespace.oid = pg_class.relnamespace
WHERE nspname = 'public' AND relkind IN ('r', 'v', 'S');

这应该在公共的所有表,视图和序列上输出相关的GRANT命令到GRANT SELECT,用于复制粘贴爱.当然,这仅适用于已创建的表.

Answer 2

请注意,PostgreSQL 9.0(今天在beta测试中)将有一个简单的方法:

test=> GRANT SELECT ON ALL TABLES IN SCHEMA public TO joeuser;
GRANT

Answer 3

从这篇博客中摘录:

创建只读用户的脚本:

CREATE ROLE Read_Only_User WITH LOGIN PASSWORD 'Test1234' 
NOSUPERUSER INHERIT NOCREATEDB NOCREATEROLE NOREPLICATION VALID UNTIL 'infinity';

为此只读用户分配权限:

GRANT CONNECT ON DATABASE YourDatabaseName TO Read_Only_User;
GRANT USAGE ON SCHEMA public TO Read_Only_User;
GRANT SELECT ON ALL TABLES IN SCHEMA public TO Read_Only_User;
GRANT SELECT ON ALL SEQUENCES IN SCHEMA public TO Read_Only_User;

Answer 4

这是我发现添加只读用户的最佳方式(使用PostgreSQL 9.0或更新版本):

$ sudo -upostgres psql postgres
postgres=# CREATE ROLE readonly WITH LOGIN ENCRYPTED PASSWORD '<USE_A_NICE_STRONG_PASSWORD_PLEASE';
postgres=# GRANT SELECT ON ALL TABLES IN SCHEMA public TO readonly;

然后登录所有相关的机器(主机+读取从机/热备机等)并运行:

$ echo "hostssl <PUT_DBNAME_HERE> <PUT_READONLY_USERNAME_HERE> 0.0.0.0/0 md5" | sudo tee -a /etc/postgresql/9.2/main/pg_hba.conf
$ sudo service postgresql reload

Answer 5

默认情况下,新用户将具有创建表的权限.如果您打算创建只读用户,这可能不是您想要的.

要使用PostgreSQL 9.0+创建真正的只读用户,请运行以下步骤:

# This will prevent default users from creating tables
REVOKE CREATE ON SCHEMA public FROM public;

# If you want to grant a write user permission to create tables
# note that superusers will always be able to create tables anyway
GRANT CREATE ON SCHEMA public to writeuser;

# Now create the read-only user
CREATE ROLE readonlyuser WITH LOGIN ENCRYPTED PASSWORD 'strongpassword';
GRANT SELECT ON ALL TABLES IN SCHEMA public TO readonlyuser;

如果您的只读用户没有列出表的权限(即\d返回无结果),则可能是因为您没有USAGE该架构的权限.USAGE是一种权限,允许用户实际使用已分配的权限.这有什么意义？我不确定.修理:

# You can either grant USAGE to everyone
GRANT USAGE ON SCHEMA public TO public;

# Or grant it just to your read only user
GRANT USAGE ON SCHEMA public TO readonlyuser;

Answer 6

我阅读了所有可能的解决方案，这些都很好，如果您记得在授予之前连接到数据库；) 无论如何感谢所有其他解决方案！！！

user@server:~$ sudo su - postgres

创建 psql 用户：

postgres@server:~$ createuser --interactive 
Enter name of role to add: readonly
Shall the new role be a superuser? (y/n) n
Shall the new role be allowed to create databases? (y/n) n
Shall the new role be allowed to create more new roles? (y/n) n

启动 psql cli 并为创建的用户设置密码：

postgres@server:~$ psql
psql (10.6 (Ubuntu 10.6-0ubuntu0.18.04.1), server 9.5.14)
Type "help" for help.

postgres=# alter user readonly with password 'readonly';
ALTER ROLE

连接到目标数据库：

postgres=# \c target_database 
psql (10.6 (Ubuntu 10.6-0ubuntu0.18.04.1), server 9.5.14)
You are now connected to database "target_database" as user "postgres".

授予所有需要的权限：

target_database=# GRANT CONNECT ON DATABASE target_database TO readonly;
GRANT

target_database=# GRANT USAGE ON SCHEMA public TO readonly ;
GRANT

target_database=# GRANT SELECT ON ALL TABLES IN SCHEMA public TO readonly ;
GRANT

更改目标 db public shema 的默认权限：

target_database=# ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO readonly;
ALTER DEFAULT PRIVILEGES

Answer 7

我为此创建了一个方便的脚本; pg_grant_read_to_db.sh.此脚本为数据库模式中的所有表,视图和序列的指定角色授予只读权限,并将它们设置为默认值.

Answer 8

如果您的数据库位于公共模式中，则很容易（这假设您已经创建了readonlyuser）

db=> GRANT SELECT ON ALL TABLES IN SCHEMA public to readonlyuser;
GRANT
db=> GRANT CONNECT ON DATABASE mydatabase to readonlyuser;
GRANT
db=> GRANT SELECT ON ALL SEQUENCES IN SCHEMA public to readonlyuser;
GRANT

如果您的数据库正在使用customschema，请执行上述命令，但再添加一条命令：

db=> ALTER USER readonlyuser SET search_path=customschema, public;
ALTER ROLE

Answer 9

从 PostgreSQL v14 开始，您只需授予预定义pg_read_all_data角色即可：

GRANT pg_read_all_data TO xxx;