KingbaseES 的角色和权限管理

KingbaseES使用角色的概念管理数据库访问权限。为了方便权限管理，用户可以建立多个角色，对角色进行授权和权限回收，并把角色授予其他用户。
数据库初始化时，会创建一个超级用户的角色：system（默认，可修改）。
任何操作都是从该用户开始的。

创建角色

CREATE ROLE name [ [ WITH ] option [ ... ] ]
where option可以是：
  SUPERUSER | NOSUPERUSER      :超级权限，拥有所有权限，默认nosuperuser。
| CREATEDB | NOCREATEDB        :建库权限，默认nocreatedb。
| CREATEROLE | NOCREATEROLE    :建角色权限，拥有创建、修改、删除角色，默认nocreaterole。
| INHERIT | NOINHERIT          :继承权限，新角色是否继承其他角色的权限，默认inherit。
| LOGIN | NOLOGIN              :登录权限，默认nologin。
| REPLICATION | NOREPLICATION  :复制权限，用于物理或则逻辑复制（复制和删除slots），默认是noreplication。
| BYPASSRLS | NOBYPASSRLS      :安全策略RLS权限，角色是否可以绕过每一条行级安全性（RLS）策略，默认nobypassrls。
| CONNECTION LIMIT connlimit   :限制用户并发数，默认-1，不限制。正常连接会受限制，后台连接和prepared事务不受限制。
| [ ENCRYPTED ] PASSWORD 'password' | PASSWORD NULL :设置密码，密码仅用于有login属性的用户，不使用密码身份验证，则可以省略此选项。可以选择将空密码显式写为PASSWORD NULL。
                                                     加密方法由配置参数password_encryption确定，密码始终以加密方式存储在系统目录中。
| VALID UNTIL 'timestamp'      :密码有效期时间，不设置则用不失效。
| IN ROLE role_name [, ...]    :新角色将立即添加为新成员。
| IN GROUP role_name [, ...]   :同上
| ROLE role_name [, ...]       :ROLE子句列出一个或多个现有角色，这些角色自动添加为新角色的成员。 （这实际上使新角色成为“组”）。
| ADMIN role_name [, ...]      :与ROLE类似，但命名角色将添加到新角色WITH ADMIN OPTION，使他们有权将此角色的成员资格授予其他人。
| USER role_name [, ...]       :同上
| SYSID uid                    :被忽略，但是为向后兼容性而存在。

创建不需要密码登陆的用户u1
test=# CREATE ROLE u1 LOGIN;
CREATE ROLE
等效于create user u1；

创建需要密码登陆的用户u2
test=# CREATE USER u2 WITH PASSWORD '123456';
CREATE ROLE

创建有时间限制的用户u3
test=# CREATE ROLE u3 WITH LOGIN PASSWORD '123456' VALID UNTIL '2023-03-30';
CREATE ROLE
该用户会在密码过期后不可用。

创建具有超级权限的用户admin
test=# CREATE ROLE admin WITH SUPERUSER LOGIN PASSWORD 'admin';
CREATE ROLE

权限
KingbaseES权限分为两部分，一部分是“系统权限”或者数据库用户的属性，可以授予role或user（两者区别在于login权限）；一部分为数据库对象上的操作权限。
一个角色可以继承父角色关于对象上的操作权限，但是无法继承父角色的系统权限（属性）。
在KingbaseES中角色属性login，superuser和createdb，createrole 权限无法被成员继承。

对象权限包括：

对数据库对象的各类操作的权限，通过GRANT手动授予；
在information_schema.xxx_privileges表中可查看，比如information_schema.table_privileges（在oracle模式中也可以通过oracle的兼容视图查询权限dba_xxx_privs等）

授权

-- 授予权限
GRANT {权限} ON {授权目标} TO {被授权角色} [WITH GRANT OPTION]
-- 授予角色
GRATE {角色} TO {被授权角色} [WITH ADMIN OPTION] 

• WITH GRANT OPTION：表示被授权人能够将该权限授予其他人，不能对PUBLIC使用该选项。
• WITH ADMIN OPTION：授权传递，被授权的角色，可以传递授权

撤消权限

-- 取消权限
REVOKE [GRANT OPTION FOR] {权限} ON {授权目标} FROM {被授权人} [CASCADE | RESTRICT]
-- 取消角色
REVOKE [ADMIN OPTION FOR] {角色} FROM {被授权角色} [CASCADE | RESTRICT]

• GRANT OPTION FOR：取消权限的授予权限，而不是权限本身；没有这一项就同时取消权限和授权权限
• CASCADE：递归取消，适用于带有授权选项的用户将权限授予了其它用户，带上它则会将这些权限递归取消
• RESTRICT：区别于CASCADE，不会递归取消，这是默认选项

测试验证

test=# create role admin password 'admin';
CREATE ROLE
test=# create user u1 password 'u1';
CREATE ROLE
test=# \du
                             角色列表
 角色名称 |                    属性                    | 成员属于 
----------+--------------------------------------------+----------
 admin    | 无法登录                                   | {}
 sao      | 没有继承                                   | {}
 sso      | 没有继承                                   | {}
 system   | 超级用户, 建立角色, 建立 DB, 复制, 绕过RLS | {}
 u1       |                                            | {}

可以看到通过create role 创建的admin用户没有登录权限。


将特殊权限createdb createrole赋权给admin角色，并将admin角色赋予u1用户
test=# alter role admin createdb createrole; 
ALTER ROLE
test=# grant admin to u1;
GRANT ROLE


test=# \du
                             角色列表
 角色名称 |                    属性                    | 成员属于 
----------+--------------------------------------------+----------
 admin    | 建立角色, 建立 DB, 无法登录                | {}
 sao      | 没有继承                                   | {}
 sso      | 没有继承                                   | {}
 system   | 超级用户, 建立角色, 建立 DB, 复制, 绕过RLS | {}
 u1       |                                            | {admin}

test=# select rolname,rolcreaterole,rolcreatedb  from sys_roles where rolname in ('admin','u1');
 rolname | rolcreaterole | rolcreatedb 
---------+---------------+-------------
 u1      | f             | f
 admin   | t             | t
(2 行记录)

可以看到，u1已经是admin的成员，特殊权限createdb createrole 并没有被继承。

test=# create table trole(id int,name varchar);
CREATE TABLE
test=# grant all on trole to admin;
GRANT
test=# \c - u1
您现在已经连接到数据库 "test",用户 "u1".
test=> insert into trole values (1,'a');
INSERT 0 1
test=> \c - u2
您现在已经连接到数据库 "test",用户 "u2".
test=> insert into trole values (1,'a');
错误:  对表 trole 权限不够

将表trole的权限赋给admin后，用户u1可以作为admin的成员可以继承admin对trole表的所有权限。

成员用户可以通过set role 语法来获取父角色的系统权限

test=> \c - u1
您现在已经连接到数据库 "test",用户 "u1".
test=> set role admin;
SET
test=> create role u1c with password 'u1c';
CREATE ROLE
test=> \c - u2
您现在已经连接到数据库 "test",用户 "u2".
test=> set role admin;                     
错误:  设置角色"admin"的权限不足

成员用户可以通过set role来临时获取父角色的所有权限，在安全上存在一定的风险，尽量不用具有特殊权限的角色作为父角色

本栏目推荐文章
• Linux的用户和权限 [补档-2023-07-07]
• Android Framework权限篇
• 【Android】通过grantRuntimePermission、revokeRuntimePermission获取和回收运行时权限
• 一对一直播系统源码，后台管理系统权限控制方案
• Windows 10 中，可以使用 PowerShell 添加打印和文件服务的角色功能组件，包括 Internet 打印客户端、LPD 打印服务和 LPR 端口监视器 PowerShell 添加打印机并创建新的 LPR 端口。以下是添加打印机和创建新端口的 PowerShell 命令在 Windows 10 中，可以使用 PowerShell 添加 LPR 兼容打印机。
• 18-权限分析：Kubernete 集群权限管理那些事儿
• 1.权限控制RBAC
• Spark的架构角色
• 中间件 ZK分布式专题与Dubbo微服务入门 4-8 权限acl详解，acl的构成-scheme与id
• explorer.exe 无法访问指定设备路径或文件。你可能没有适当的权限访问该项目。

KingbaseES 角色 权限角色 权限 权限 角色 代码 用户 amp dynamics权限 角色 模型 权限 角色 笔记 kingbasees角色 权限 空间 角色 权限 密码 公文 权限 角色 系统 权限 角色 模式 角色 权限net 水文 权限 角色