При создании объекта, ему назначается владелец. Обычно владельцем является роль, с которой было выполнена команда создания. Для большинства типов объектов начальное состояние таково, что только владелец (или суперпользователь) может выполнять операции с объектом. Чтобы позволить другим ролям использовать его, необходимо предоставить привилегии.

В PostgreSQL существуют различные виды привилегий: SELECT, INSERT, UPDATE, DELETE, TRUNCATE, REFERENCES, TRIGGER, CREATE, CONNECT, TEMPORARY, EXECUTE, USAGE, SET и ALTER SYSTEM. Привилегии, применимые к конкретному объекту, зависят от его типа (таблица, функция и т. д.). Более подробно о значениях этих привилегий см. ниже. В следующих разделах и главах вы также узнаете, как используются эти привилегии.

Право изменять или уничтожать объект присуще его владельцу и не может быть предоставлено или отозвано само по себе. (Однако, как и все привилегии, это право может быть унаследовано членами роли-владельца; см. Раздел 20.3).

Объект может быть назначен новому владельцу с помощью команды ALTER для соответствующего типа объекта, например

ALTER TABLE table_name OWNER TO new_owner;

Суперпользователи всегда могут это сделать; обычные роли могут сделать это только в том случае, если они одновременно являются текущими владельцами объекта (или наследуют привилегии роли-владельца) и могут выполнить SET ROLE для новой роли владельца.

Для назначения привилегий используется команда GRANT. Например, если joe - существующая роль, а accounts - существующая таблица, то привилегия на обновление таблицы может быть назначена следующим образом:

GRANT UPDATE ON accounts TO joe;

Запись ALL вместо конкретной привилегии предоставляет все привилегии, относящиеся к типу объекта.

Специальное имя “роли” PUBLIC можно использовать для предоставления привилегий каждой роли в системе. Кроме того, можно настроить “групповые” роли для управления привилегиями, когда в базе данных много пользователей. Для получения более подробной информации см. Глава 20.

Чтобы отозвать ранее предоставленные привилегии, используйте команду REVOKE.

REVOKE ALL ON accounts FROM PUBLIC;

Обычно только владелец объекта (или суперпользователь) может предоставлять или отзывать привилегии для объекта. Однако можно предоставить привилегию “с правом передачи”, которая дает получателю право предоставлять ее другим. Если право передачи впоследствии отзывается, то все, кто получил привилегию от этого получателя (непосредственно или через цепочку передачи), потеряют привилегию. Подробности см. на страницах GRANT и REVOKE.

Владелец объекта может также отозвать свои собственные обычные привилегии, например, чтобы сделать таблицу доступной только для чтения для себя и других. Но владельцы сохраняют возможность управления привилегиями, поэтому они всегда могут вернуть себе привилегии.

Существующие привилегии:

Необходимые привилегии для других команд перечислены на справочной странице соответствующей команды.

PostgreSQL по умолчанию предоставляет привилегии на некоторые типы объектов для роли PUBLIC при их создании. По умолчанию привилегии на таблицы, столбцы таблиц, последовательности, обертки внешних данных, внешние серверы, большие объекты, схемы, табличные пространства или параметры конфигурации не предоставляются роли PUBLIC. Ниже приведен список привилегий, по умолчанию предоставляемых роли PUBLIC для других типов объектов: привилегии CONNECT и TEMPORARY (создание временных таблиц) для баз данных; привилегия EXECUTE для функций и процедур; и привилегия USAGE для языков и типов данных (включая домены). Владелец объекта, конечно же, может отозвать как привилегии по умолчанию, так и явно предоставленные привилегии. (Для максимальной безопасности выполняйте команду REVOKE в той же транзакции, которая создает объект; тогда у другого пользователя не будет возможности использовать объект). Кроме того, эти настройки привилегий по умолчанию могут быть переопределены с помощью команды ALTER DEFAULT PRIVILEGES.

В Таблица 5.1 приведены обозначения, которые используются для этих типов привилегий в ACL (Список контроля доступа). Эти буквы выводятся в командах psql, перечисленных ниже, или при просмотре столбцов ACL системных каталогов.

В Таблица 5.2 перечислены привилегии, доступные для каждого типа SQL-объекта с соответствующими сокращениями. Также приведены команды psql, которые можно использовать для проверки настроек привилегий для каждого типа объекта.

Привилегии, которые были предоставлены для конкретного объекта, отображаются в виде списка записей aclitem, каждая из которых имеет формат:

grantee=privilege-abbreviation[*].../grantor

В каждом списке aclitem перечисляются все разрешения одного правополучателя, которые были предоставлены определенным праводателем. Конкретные привилегии представлены однобуквенными обозначениями из Таблица 5.1, с добавлением *, если привилегия была предоставлена с опцией передачи. Например, calvin=r*w/hobbes указывает, что роль calvin имеет привилегию SELECT (r) с опцией передачи (*), а также непередаваемую привилегию UPDATE (w), обе предоставлены ролью hobbes. Если у calvin также есть некоторые привилегии на тот же объект, предоставленные другим праводателем, они будут отображаться как отдельная запись aclitem. Пустое поле получателя в aclitem соответствует роли PUBLIC.

В качестве примера, предположим, что пользователь miriam создает таблицу mytable и выполняет:

GRANT SELECT ON mytable TO PUBLIC;
GRANT SELECT, UPDATE, INSERT ON mytable TO admin;
GRANT SELECT (col1), UPDATE (col1) ON mytable TO miriam_rw;

Затем команда psql \dp покажет:

=> \dp mytable
                                  Access privileges
 Schema |  Name   | Type  |   Access privileges   |   Column privileges   | Policies
--------+---------+-------+-----------------------+-----------------------+----------
 public | mytable | table | miriam=arwdDxt/miriam+| col1:                +|
        |         |       | =r/miriam            +|   miriam_rw=rw/miriam |
        |         |       | admin=arw/miriam      |                       |
(1 row)

Если столбец “Access privileges” пуст для данного объекта, это означает, что действуют привилегии по умолчанию (то есть, запись привилегий в соответствующем системном каталоге является пустой). Привилегии по умолчанию всегда включают все привилегии для владельца и могут включать некоторые привилегии роли PUBLIC в зависимости от типа объекта, как объяснялось выше. Первая команда GRANT или REVOKE для объекта создает привилегии по умолчанию (например, miriam=arwdDxt/miriam) и затем меняет их в соответствии с указанным запросом. Аналогично, записи отображаются в “Column privileges” только для столбцов с нестандартными привилегиями. (Примечание: в данном случае “привилегии по умолчанию” всегда подразумевают встроенные привилегии по умолчанию для типа объекта. Объект, привилегии которого были изменены командой ALTER DEFAULT PRIVILEGES, всегда будет отображаться явно, отображая изменения, выполненные командой ALTER).

Обратите внимание, что неявная передача привилегий владельцу не отмечаются при отображении привилегий доступа. Знаком * помечаются только те привилегии с правом передачи, которые были явно назначены кому-либо.