将db中的特定模式的所有内容授予PostgreSQL中的组角色

Question

使用PostgreSQL 9.0，我有一个名为“staff”的组角色，并希望在特定模式的表上授予此角色所有（或某些）特权。 以下工作均不适用

GRANT ALL ON SCHEMA foo TO staff;
GRANT ALL ON DATABASE mydb TO staff;

除非我在该特定表上授予所有表， 否则 “staff”的成员仍然无法对模式“foo”中的各个表或（在第二个命令的情况下）对数据库中的任何表进行SELECT或UPDATE。

我能做些什么让我和我的用户的生活更轻松？

更新：借助serverfault.com上的类似问题计算出来 。

GRANT ALL PRIVILEGES ON ALL TABLES IN SCHEMA foo TO staff;

Answer 1

您找到了为给定模式中的所有现有表设置权限的简写。 手册澄清 ：

（但请注意， ALL TABLES被视为包含视图和外表 ）。

大胆强调我的。 serial列使用序列上的nextval()实现为列默认值，并引用手册 ：

对于序列，此权限允许使用currval和nextval函数。

因此，如果存在serial列，您还需要在序列上授予USAGE （或ALL PRIVILEGES ）

GRANT USAGE ON ALL SEQUENCES IN SCHEMA foo TO mygrp;

注意：Postgres 10或更高版本中的标识列使用不需要其他权限的隐式序列。 （考虑升级serial列。）

新物体怎么样？

您还会对用户或模式的DEFAULT PRIVILEGES感兴趣：

ALTER DEFAULT PRIVILEGES IN SCHEMA foo GRANT ALL PRIVILEGES ON TABLES TO staff;
ALTER DEFAULT PRIVILEGES IN SCHEMA foo GRANT USAGE          ON SEQUENCES TO staff;
ALTER DEFAULT PRIVILEGES IN SCHEMA foo REVOKE ...;

这将为将来自动创建的对象设置权限 - 但不会为预先存在的对象设置权限。

默认权限仅应用于目标用户创建的对象（ FOR ROLE my_creating_role ）。 如果省略该子句，则默认为执行ALTER DEFAULT PRIVILEGES的当前用户。 要明确：

ALTER DEFAULT PRIVILEGES FOR ROLE my_creating_role IN SCHEMA foo GRANT ...;
ALTER DEFAULT PRIVILEGES FOR ROLE my_creating_role IN SCHEMA foo REVOKE ...;

另请注意，pgAdmin III的所有版本都有一个微妙的错误，并在SQL窗格中显示默认权限，即使它们不适用于当前角色也是如此。 复制SQL脚本时，请务必手动调整FOR ROLE子句。

Answer 2

我的回答类似于ServerFault.com上的这个回答。

要保守

如果你想比给予“所有特权”更保守，你可能想尝试更像这样的东西。

GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO some_user_;
GRANT EXECUTE ON ALL FUNCTIONS IN SCHEMA public TO some_user_;

public的使用是指为每个新数据库/目录创建的默认模式的名称。 如果您创建了架构，请使用您自己的名称替换。

访问架构

要访问模式，对于任何操作，必须为用户授予“使用”权限。 在用户可以选择，插入，更新或删除之前，必须首先向用户授予对模式的“使用”。

首次使用Postgres时，您不会注意到此要求。 默认情况下，每个数据库都有第一个名为public模式 默认情况下，每个用户都被自动授予该特定模式的“使用”权限。 添加其他架构时，您必须明确授予使用权限。

GRANT USAGE ON SCHEMA some_schema_ TO some_user_ ;

摘自Postgres文档 ：

对于模式，允许访问指定模式中包含的对象（假设还满足对象自己的特权要求）。 从本质上讲，这允许被授权者在模式中“查找”对象。 没有此权限，仍可以查看对象名称，例如通过查询系统表。 此外，在撤消此权限后，现有后端可能具有先前已执行此查找的语句，因此这不是一种防止对象访问的完全安全的方法。

有关更多讨论，请参阅问题，对SCHEMA的使用权限究竟如何？ 。 请特别注意Postgres专家Craig Ringer 的回答 。

现有对象与未来

这些命令仅影响现有对象。 您在将来创建的表等获得默认权限，直到您重新执行上述这些行。 请参阅Erwin Brandstetter的其他答案，以更改默认值，从而影响未来的对象。