主页 / dba / 问题 / 327766
Accepted
vrms
Asked: 2023-06-01 22:20:53 +0800 CST

postgres - 在 SCHEMA 中授予 SELECT

  • 772

我用这个脚本创建了一个数据库、角色和模式：

-- -----------------------------------------------------------------------------
-- set variables ---------------------------------------------------------------
-- -----------------------------------------------------------------------------
\set dbname keycloak
\set schemaname :dbname
\set rolename :dbname

-- -----------------------------------------------------------------------------
-- create ROLE and Database ----------------------------------------------------
-- -----------------------------------------------------------------------------
CREATE ROLE :rolename WITH LOGIN ;
CREATE DATABASE :dbname WITH OWNER :rolename ;

-- -----------------------------------------------------------------------------
-- connect to DB, create SCHEMA & set privileges -------------------------------
-- -----------------------------------------------------------------------------
\c :dbname
REVOKE ALL ON SCHEMA public FROM PUBLIC ;
CREATE SCHEMA :schemaname AUTHORIZATION :rolename ;
ALTER ROLE :rolename SET search_path=:schemaname ;
GRANT ALL ON ALL TABLES IN SCHEMA :schemaname TO :rolename ;
REVOKE ALL ON DATABASE :dbname FROM PUBLIC ;

这一切似乎都适用于keycloakROLE 可以在keycloak数据库上执行的操作。

现在我想将 SELECT 授予keycloak_reader该 SCHEMA keycloak 内所有表上的角色。此外，该角色应该授予其他角色（应该继承那些 SELECT 能力 [理想情况下包括 search_path]）。

我试过

GRANT CONNECT ON DATABASE keycloak TO keycloak_reader ;
\c keycloak
GRANT SELECT ON ALL TABLES IN SCHEMA keycloak TO keycloak_reader ;
ALTER ROLE keycloak SET search_path=keyckloak ;

我可以连接，但无法选择任何内容（权限被拒绝）。既不作为keycloak_reader，也不作为组成员的任何角色keycloak_reader。

我究竟做错了什么？

postgresql

1 个回答

  1. Best Answer

    除了数据库中对象（表、序列、函数等）级别的权限外，用户还应该USAGE对该架构具有特权，以便实际使用架构中的任何对象。

    所以你需要添加：

    grant usage on schema keyckloak to keycloak_reader;

    这很容易错过，如果您指定表名和架构（不依赖于 search_path），错误消息只会说您没有架构权限。

    不能继承角色的配置设置。此处的文档中提到了这一点：

    请注意，附加到没有 LOGIN 权限的角色的特定于角色的默认值是相当无用的，因为它们永远不会被调用。

    • 1

相关问题