Privilégios e gerenciamento de usuários do PostgreSQL - O que você deve saber

• As funções do PostgreSQL

• O arquivo pg_hba.conf

• Privilégios e restrições em nível de banco de dados, tabela e coluna.

A função do PostgreSQL sobre as funções - O que é uma 'Função' e como criar uma?

Criando e descartando funções

postgres=# CREATE ROLE $money_man;
ERROR: syntax error at or near "$"
LINE 1: CREATE ROLE $money_man;

postgres=# CREATE ROLE "$money_man";
CREATE ROLE

postgres=# CREATE ROLE money$_man;
CREATE ROLE

postgres=# DROP ROLE $money_man;
ERROR: syntax error at or near "$"
LINE 1: DROP ROLE $money_man;

postgres=# DROP ROLE "$money_man";
DROP ROLE

O privilégio LOGIN

postgres=# CREATE ROLE nolog_user WITH PASSWORD 'pass1';
CREATE ROLE

postgres=# CREATE ROLE log_user WITH LOGIN PASSWORD 'pass2';
CREATE ROLE

postgres=# ALTER ROLE log_user CREATEROLE CREATEDB;
ALTER ROLE

postgres=# SELECT rolcreaterole, rolcreatedb FROM pg_roles WHERE rolname = 'log_user';
rolcreaterole | rolcreatedb 
---------------+-------------
t | t
(1 row)

postgres=> \du
List of roles
Role name | Attributes | Member of 
------------+------------------------------------------------------------+-----------
log_user | Create role, Create DB | {}
nolog_user | Cannot login | {}

postgres=> SELECT rolname FROM pg_roles;
rolname 
----------------------
nolog_user
log_user
(2 rows)

Login

psql -U nolog_user -W postgres
Password for user nolog_user: 
psql: FATAL: no pg_hba.conf entry for host "[local]", user "nolog_user", database "postgres", SSL off
psql -U log_user -W postgres
Password for user log_user: 
psql: FATAL: no pg_hba.conf entry for host "[local]", user "log_user", database "postgres", SSL off

Resumos acionáveis

• CREATE ROLE e sua contraparte, DROP ROLE, são seus comandos principais para implementar e remover funções.
• ALTER ROLE lida com a alteração dos atributos de uma função.
• As funções são válidas em todos os bancos de dados devido à definição no nível do cluster de banco de dados.
• Lembre-se de que criar um nome de função começando com um caractere especial exige que você o 'endereça' com aspas duplas.
• Os papéis e seus privilégios são estabelecidos usando atributos.
• Para estabelecer papéis que precisam do atributo LOGIN por padrão, CREATE USER é um comando opcional à sua disposição. Usados ​​no lugar de CREATE ROLE role_name LOGIN, eles são essencialmente iguais.

O arquivo pg_hba.conf - Estabelecendo um terreno comum entre o servidor e o cliente

postgres=# SELECT name, setting
FROM pg_settings WHERE name LIKE '%hba%';
name | setting 
----------+-------------------------------------
hba_file | /etc/postgresql/10/main/pg_hba.conf
(1 row)

local database user auth-method [auth-options]

• confiança
• rejeitar
• scram-sha-256
• md5
• senha
• gss
• sspi
• identidade
• par
• ldap
• raio
• certificado
• pam
• bd

local all nolog_user password
local all log_user password

postgres=# SELECT database, user_name, auth_method
postgres-# FROM pg_hba_file_rules
postgres-# WHERE CAST(user_name AS TEXT) LIKE '%log_user%';
database | user_name | auth_method 
----------+--------------+-------------
{all} | {nolog_user} | password
{all} | {log_user} | password
(2 rows)

psql -U nolog_user -W postgres
Password for user nolog_user: 
psql: FATAL: role "nolog_user" is not permitted to log in
psql -U log_user -W postgres
Password for user log_user: 
psql (10.1)
Type "help" for help.
postgres=>

local trial log_user password

$ psql -U log_user -W postgres
Password for user log_user: 
psql: FATAL: no pg_hba.conf entry for host "[local]", user "log_user", database "postgres", SSL off

$ psql -U log_user -W trial
Password for user log_user: 
psql (10.1)
Type "help" for help.
trial=>

trial=> \c postgres;
Password for user log_user: 
FATAL: no pg_hba.conf entry for host "[local]", user "log_user", database "postgres", SSL off
Previous connection kept

pg_ctl reload [-D datadir] [-s]

postgres=# SELECT setting FROM pg_settings WHERE name = 'data_directory';
           setting           
-----------------------------
 /var/lib/postgresql/10/main
(1 row)

$ sudo -u postgres bash

$ /usr/lib/postgresql/10/bin/pg_ctl reload -D /var/lib/postgresql/10/main
server signaled

$ /usr/lib/postgresql/10/bin/pg_ctl status -D /var/lib/postgresql/10/main
pg_ctl: server is running (PID: 1415)
/usr/lib/postgresql/10/bin/postgres "-D" "/var/lib/postgresql/10/main" "-c" "config_file=/etc/postgresql/10/main/postgresql.conf"

Resumos acionáveis

• As funções devem passar pelos requisitos do arquivo pg_hba.conf e dos privilégios de acesso no nível do banco de dados.
O arquivo
• pg_hba.conf é verificado de cima para baixo, para cada solicitação de conexão. A ordem no arquivo é significativa.

Privilégios e Restrições de Banco de Dados, Tabela e Coluna - Adaptar Funções para Tarefas e Responsabilidades

Criando bancos de dados

postgres=> CREATE DATABASE trial:
CREATE DATABASE

postgres=> CREATE ROLE db_user WITH LOGIN PASSWORD 'scooby';
CREATE ROLE

postgres=> \c trial;
Password for user log_user: 
You are now connected to database "trial" as user "log_user".
trial=>

trial=> CREATE TABLE another_workload(
trial(> id INTEGER,
trial(> first_name VARCHAR(20),
trial(> last_name VARCHAR(20),
trial(> sensitive_info TEXT);
CREATE TABLE

GRANT { { SELECT | INSERT | UPDATE | REFERENCES } ( column_name [, ...] )
[, ...] | ALL [ PRIVILEGES ] ( column_name [, ...] ) }
ON [ TABLE ] table_name [, ...]
TO role_specification [, ...] [ WITH GRANT OPTION ]

trial=> GRANT SELECT (id, first_name, last_name) ON TABLE another_workload TO db_user;
GRANT

trial=> SELECT * FROM another_workload;
ERROR: permission denied for relation another_workload

trial=> SELECT id, first_name, last_name
trial-> FROM another_workload;
id | first_name | last_name 
-----+------------+-----------
10 | John | Morris
191 | Jannis | Harper
2 | Remmy | Rosebuilt
(3 rows)

trial=> INSERT INTO another_workload(id,first_name,last_name,sensitive_info)
VALUES(17,'Jeremy','Stillman','key code:400Z');
ERROR: permission denied for relation another_workload

trial=> UPDATE another_workload
trial-> SET id = 101
trial-> WHERE id = 10;
ERROR: permission denied for relation another_workload

trial=> DELETE FROM another_workload
trial-> WHERE id = 2;;
ERROR: permission denied for relation another_workload

Resumos acionáveis

• As funções recebem privilégios de acesso a objetos de banco de dados por meio do comando GRANT.
• Objetos de banco de dados e comandos nesses objetos são altamente configuráveis ​​no ambiente PostgreSQL.

Fechando

1. Criando uma função com atributos específicos.
2. Configurando uma conexão viável entre o cliente e o servidor, permitindo o acesso de login de funções aos bancos de dados.
3. Personalizar altamente suas funções para atender aos requisitos individuais de acesso em nível de banco de dados, tabela e coluna, implementando os atributos necessários.