Início / dba / Perguntas / 98892
Accepted
WildWezyr
Asked: 2015-04-27 11:08:31 +0800 CST

Concessões mínimas para acesso de tabela única somente leitura no PostgreSQL

  • 772

A seguir está uma lista de comandos que parecem funcionar para criar um novo usuário (login) e conceder acesso somente leitura para uma tabela especificada no PostgreSQL.

Vamos supor que esses comandos sejam executados no login com privilégios suficientes (ou seja postgres, login na instalação padrão).

CREATE ROLE user_name NOSUPERUSER NOCREATEDB 
NOCREATEROLE NOINHERIT LOGIN PASSWORD 'pwd' VALID UNTIL 'infinity';

Agora eu quero conceder selectna tabela tab_abcno banco de dados db_xyz, então aqui vai (o banco de dados db_xyzé selecionado como atual via PgAdmin ou algo parecido):

grant select on tab_abc to user_name;

A questão é: isso é suficiente ou deveria haver mais concessões (banco de dados connect, usagetalvez)?

Esses comandos parecem funcionar para mim, mas minha instalação padrão tem configurações de segurança padrão. Quais concessões adicionais devo adicionar se o administrador do servidor configurou uma segurança mais forte?

Parece que não preciso conceder connectnem usage- isso está implícito ao conceder select? É sempre assim?

postgresql permissions

1 respostas

  1. Best Answer

    A questão é: isso é suficiente ou deveria haver mais concessões (conexão de banco de dados, uso talvez)?

    A segurança pode ser reforçada a partir do padrão principalmente nestes pontos:

    • O pg_hba.confarquivo. Ele filtra as conexões antes que qualquer privilégio de banco de dados seja considerado. O padrão é relativamente aberto para conexões locais, mas pode ser restrito a uma lista explícita de bancos de dados, nomes de usuário e origens de rede.

    • As permissões para público , o pseudo-papel que qualquer um tem. Um usuário pode se conectar implicitamente apenas se o privilégio de conexão for concedido a PUBLIC. Consulte O usuário criado pode acessar todos os bancos de dados no PostgreSQL sem nenhuma concessão . Um banco de dados pode ter todos os privilégios revogados de público. Consulte REVOKE no documento para obter a versão principal do PostgreSQL que você está usando.

    • A existência do publicesquema. Ele é criado com o banco de dados por padrão por conveniência, mas não é obrigatório. Em vez de remover as permissões públicas do publicesquema, pode fazer sentido para os DBAs simplesmente descartar o publicesquema quando novos usuários não deveriam ter nenhuma permissão implícita.

    No caso em que esses padrões foram removidos, para ler uma tabela, um novo usuário deve receber:

    GRANT CONNECT ON DATABASE dbname TO username;

    No nível do banco de dados:

    GRANT USAGE ON SCHEMA schemaname TO username;
GRANT SELECT ON schemaname.tablename TO username;
    • 18

relate perguntas