Gerenciando funções e atributos de função no PostgreSQL

Introdução

O que são funções?

Atributos de função

• LOGIN :permite que os usuários se conectem inicialmente ao cluster de banco de dados usando essa função. O CREATE USER comando adiciona automaticamente este atributo, enquanto CREATE ROLE comando não.
• SUPERUSER :permite que a função ignore todas as verificações de permissão, exceto o direito de fazer login. Somente outros SUPERUSER funções podem criar funções com este atributo.
• CREATEDB :permite que a função crie novos bancos de dados.
• CREATEROLE :permite que a função crie, altere e exclua outras funções. Esse atributo também permite que a função atribua ou altere a associação da função. Uma exceção é que um papel com o CREATEROLE atributo não pode alterar SUPERUSER funções sem também ter o SUPERUSER atributo.
• REPLICATION :permite que a função inicie a replicação de streaming. As funções com este atributo também devem ter o LOGIN atributo.
• PASSWORD :Atribui uma senha à função que será usada com password ou md5 mecanismos de autenticação. Este atributo recebe uma senha entre aspas como argumento diretamente após a palavra-chave do atributo.
• INHERIT :determina se a função herda os privilégios das funções das quais é membro. Sem o INHERIT , os membros devem usar SET ROLE para mudar para a outra função para acessar esses privilégios exclusivos. Este atributo é definido para novas funções por padrão.

O que é um superuser função?

Verificando atributos de função existentes

Listando todas as funções de banco de dados e seus atributos

\du
 

                                   List of roles Role name |                         Attributes                         | Member of-----------+------------------------------------------------------------+----------- postgres  | Superuser, Create role, Create DB, Replication, Bypass RLS | {}
 

SELECT r.rolname, r.rolsuper, r.rolinherit,  r.rolcreaterole, r.rolcreatedb, r.rolcanlogin,  r.rolconnlimit, r.rolvaliduntil,  ARRAY(SELECT b.rolname        FROM pg_catalog.pg_auth_members m        JOIN pg_catalog.pg_roles b ON (m.roleid = b.oid)        WHERE m.member = r.oid) as memberof, r.rolreplication, r.rolbypassrlsFROM pg_catalog.pg_roles rWHERE r.rolname !~ '^pg_'ORDER BY 1;
 

-- turn on vertical display\x onSELECT * FROM pg_roles WHERE rolname !~ '^pg_';-- turn off vertical display\x off
 

-[ RECORD 1 ]--+---------rolname        | postgresrolsuper       | trolinherit     | trolcreaterole  | trolcreatedb    | trolcanlogin    | trolreplication | trolconnlimit   | -1rolpassword    | ********rolvaliduntil  | rolbypassrls   | trolconfig      | oid            | 10
 

SELECT rolname FROM pg_roles WHERE rolsuper;
 

 rolname---------- postgres(1 row)
 

SELECT usename,usesuper FROM pg_user;
 

 usename  | usesuper----------+---------- postgres | t user1    | f(2 rows)
 

SELECT rolname,rolsuper FROM pg_roles WHERE rolname !~ '^pg_';
 

 rolname  | rolsuper----------+---------- postgres | t user1    | f(2 rows)
 

Listando seus próprios atributos

\du :USER
 

                                   List of roles Role name |                         Attributes                         | Member of-----------+------------------------------------------------------------+----------- postgres  | Superuser, Create role, Create DB, Replication, Bypass RLS | {}
 

-- First, turn on vertical output\x onSELECT * FROM pg_roles WHERE rolename = CURRENT_ROLE;-- Change back to normal output\x off
 

-[ RECORD 1 ]--+---------rolname        | postgresrolsuper       | trolinherit     | trolcreaterole  | trolcreatedb    | trolcanlogin    | trolreplication | trolconnlimit   | -1rolpassword    | ********rolvaliduntil  |rolbypassrls   | trolconfig      |oid            | 10
 

SHOW is_superuser;
 

 is_superuser-------------- on(1 row)
 

Verifique se você tem privilégios de gerenciamento de função

SELECT rolname as "Users who can manage roles" FROM pg_roles WHERE rolsuper OR rolcreaterole;
 

 Users who can manage roles---------------------------- postgres(1 rows)
 

SELECT 'Yes' AS "Can I manage roles?" FROM pg_roles WHERE rolname = :'USER' AND (rolsuper OR rolcreaterole);
 

 Can I manage roles?--------------------- Yes(1 row)
 

Criando funções

createuser <options> <rolename>
 

createuser --superuser admin
 

CREATE ROLE <role>;
 

CREATE ROLE <role> WITH <options>;
 

CREATE ROLE "user1" WITH LOGIN PASSWORD 'secretpassword';
 

CREATE ROLE "user2" WITH SUPERUSER;
 

Alterar funções existentes

ALTER ROLE "user2" WITH LOGIN;
 

ALTER ROLE "user2" WITH LOGIN CREATEROLE CREATEDB;
 

ALTER ROLE "user2" WITH NOSUPERUSER;
 

ALTER ROLE <role> WITH PASSWORD '<password>';
 

-- To change your own password\password-- To change the password for another role\password <role>
 

ALTER ROLE <role> RENAME TO <newrole>
 

Excluindo funções

REASSIGN OWNED BY "user2" TO "postgres";
 

DROP OWNED BY "user2";
 

DROP ROLE "user2";
 

Efetuando login usando psql

psql -U kerry
 

Mudando para uma função diferente durante uma sessão

• Função da sessão :uma função de sessão é a função com a qual você efetuou login durante sua conexão inicial com o cluster de banco de dados PostgreSQL. Ele define seus privilégios iniciais e determina seu acesso ao sistema. Esta função deve ter o LOGIN atributo.
• Função atual :Por outro lado, a função atual é a função na qual você está atuando no momento. Os privilégios associados à função atual, definidos diretamente ou herdados de outras funções, determinam as ações que você tem permissão para realizar e os objetos aos quais tem acesso.

SELECT SESSION_USER, CURRENT_USER;
 

 current_user | session_user--------------+-------------- postgres     | postgres(1 row)
 

• SESSION :A configuração padrão. Isso faz com que o SET ROLE comando para afetar toda a sessão do banco de dados.
• LOCAL :este modificador fará com que o comando altere a função apenas para a transação atual.

SET ROLE "user2";
 

SELECT SESSION_USER, CURRENT_USER;
 

 current_user | session_user--------------+-------------- user2        | postgres(1 row)
 

SET ROLE NONE;
 

RESET ROLE;
 

Conclusão