PostgreSQLで読み取り専用ユーザーを作成するにはどうすればよいですか？

特定のデータベースからのみSELECTを実行できるユーザーをPostgreSQLで作成したいと思います。MySQLでは、コマンドは次のようになります。

GRANT SELECT ON mydb.* TO 'xxx'@'%' IDENTIFIED BY 'yyy';

PostgreSQLの同等のコマンドまたは一連のコマンドは何ですか？

私は試した...

postgres=# CREATE ROLE xxx LOGIN PASSWORD 'yyy';
postgres=# GRANT SELECT ON DATABASE mydb TO xxx;

ただし、データベースに付与できるのは、CREATE、CONNECT、TEMPORARY、TEMPのみです。

単一のテーブルに使用/選択を許可する

データベースへのCONNECTのみを付与する場合、ユーザーは接続できますが、他の権限はありません。次のように、名前空間（スキーマ）に対してUSAGEを付与し、テーブルとビューに対してSELECTを個別に付与する必要があります。

GRANT CONNECT ON DATABASE mydb TO xxx;
-- This assumes you're actually connected to mydb..
GRANT USAGE ON SCHEMA public TO xxx;
GRANT SELECT ON mytable TO xxx;

複数のテーブル/ビュー（PostgreSQL 9.0以降）

PostgreSQLの最新バージョンでは、1つずつ入力するのではなく、1つのコマンドを使用してスキーマ内のすべてのテーブル/ビューなどに権限を付与できます。

GRANT SELECT ON ALL TABLES IN SCHEMA public TO xxx;

これは、すでに作成されているテーブルにのみ影響します。さらに強力な方法として、将来、新しいオブジェクトにデフォルトの役割を自動的に割り当てることができます。

ALTER DEFAULT PRIVILEGES IN SCHEMA public
   GRANT SELECT ON TABLES TO xxx;

デフォルトでは、これはこのコマンドを発行したユーザーが作成したオブジェクト（テーブル）にのみ影響することに注意してください。ただし、発行ユーザーがメンバーである任意のロールに設定することもできます。ただし、新しいオブジェクトを作成するときに、メンバーになっているすべてのロールのデフォルトの権限を取得するわけではないので、まだ問題があります。データベースに所有ロールがあり、スキーマの変更がその所有ロールとして実行されるというアプローチを採用する場合は、その所有ロールにデフォルトの特権を割り当てる必要があります。私見これはすべてややこしいので、機能的なワークフローを思いつくために実験する必要があるかもしれません。

複数のテーブル/ビュー（9.0より前のバージョンのPostgreSQL）

長時間にわたる複数テーブルの変更でのエラーを回避するには、次の「自動」プロセスを使用して、GRANT SELECT各テーブル/ビューに必要なものを生成することをお勧めします。

SELECT 'GRANT SELECT ON ' || relname || ' TO xxx;'
FROM pg_class JOIN pg_namespace ON pg_namespace.oid = pg_class.relnamespace
WHERE nspname = 'public' AND relkind IN ('r', 'v', 'S');

これにより、コピーアンドペーストができるように、関連するGRANTコマンドがすべてのテーブル、ビュー、シーケンスのGRANT SELECTに出力されます。当然、これはすでに作成されているテーブルにのみ適用されます。

PostgreSQL 9.0（現在ベータテスト中）はそれを行う簡単な方法があることに注意してください：

test=> GRANT SELECT ON ALL TABLES IN SCHEMA public TO joeuser;

このブログから引用したリファレンス：

読み取り専用ユーザーを作成するスクリプト：

CREATE ROLE Read_Only_User WITH LOGIN PASSWORD 'Test1234' 
NOSUPERUSER INHERIT NOCREATEDB NOCREATEROLE NOREPLICATION VALID UNTIL 'infinity';

この読み取り専用ユーザーに権限を割り当てます：

GRANT CONNECT ON DATABASE YourDatabaseName TO Read_Only_User;
GRANT USAGE ON SCHEMA public TO Read_Only_User;
GRANT SELECT ON ALL TABLES IN SCHEMA public TO Read_Only_User;
GRANT SELECT ON ALL SEQUENCES IN SCHEMA public TO Read_Only_User;

今後作成されるすべての新しいテーブルを読み取る権限を割り当てます

ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO Read_Only_User;

以下は、読み取り専用ユーザーを追加するために見つけた最良の方法です（PostgreSQL 9.0以降を使用）。

$ sudo -upostgres psql postgres
postgres=# CREATE ROLE readonly WITH LOGIN ENCRYPTED PASSWORD '<USE_A_NICE_STRONG_PASSWORD_PLEASE';
postgres=# GRANT SELECT ON ALL TABLES IN SCHEMA public TO readonly;

次に、関連するすべてのマシン（マスター+読み取りスレーブ/ホットスタンバイなど）にログインし、次のコマンドを実行します。

$ echo "hostssl <PUT_DBNAME_HERE> <PUT_READONLY_USERNAME_HERE> 0.0.0.0/0 md5" | sudo tee -a /etc/postgresql/9.2/main/pg_hba.conf
$ sudo service postgresql reload

デフォルトでは、新しいユーザーにはテーブルを作成する権限があります。読み取り専用ユーザーの作成を計画している場合、これはおそらく必要なことではありません。

PostgreSQL 9.0以降で真の読み取り専用ユーザーを作成するには、次の手順を実行します。

# This will prevent default users from creating tables
REVOKE CREATE ON SCHEMA public FROM public;

# If you want to grant a write user permission to create tables
# note that superusers will always be able to create tables anyway
GRANT CREATE ON SCHEMA public to writeuser;

# Now create the read-only user
CREATE ROLE readonlyuser WITH LOGIN ENCRYPTED PASSWORD 'strongpassword';
GRANT SELECT ON ALL TABLES IN SCHEMA public TO readonlyuser;

読み取り専用ユーザーにテーブルを一覧表示する権限がない場合（つまり\d、結果を返さない場合）はUSAGE、スキーマに対する権限がないためと考えられます。USAGEユーザーが割り当てられた権限を実際に使用できるようにする権限です。これの意味は何ですか？よく分かりません。修正するには：

# You can either grant USAGE to everyone
GRANT USAGE ON SCHEMA public TO public;

# Or grant it just to your read only user
GRANT USAGE ON SCHEMA public TO readonlyuser;

そのための便利なスクリプトを作成しました。pg_grant_read_to_db.sh。このスクリプトは、データベーススキーマのすべてのテーブル、ビュー、シーケンスの指定されたロールに読み取り専用権限を付与し、それらをデフォルトとして設定します。

許可する前にデータベースに接続することを忘れない限り、考えられるすべての解決策を読んでいますが、他のすべての解決策に感謝します!!!

user@server:~$ sudo su - postgres

psqlユーザーを作成します。

postgres@server:~$ createuser --interactive 
Enter name of role to add: readonly
Shall the new role be a superuser? (y/n) n
Shall the new role be allowed to create databases? (y/n) n
Shall the new role be allowed to create more new roles? (y/n) n

psql cliを起動し、作成したユーザーのパスワードを設定します。

postgres@server:~$ psql
psql (10.6 (Ubuntu 10.6-0ubuntu0.18.04.1), server 9.5.14)
Type "help" for help.

postgres=# alter user readonly with password 'readonly';
ALTER ROLE

ターゲットデータベースに接続します。

postgres=# \c target_database 
psql (10.6 (Ubuntu 10.6-0ubuntu0.18.04.1), server 9.5.14)
You are now connected to database "target_database" as user "postgres".

必要なすべての特権を付与します。

target_database=# GRANT CONNECT ON DATABASE target_database TO readonly;
GRANT

target_database=# GRANT USAGE ON SCHEMA public TO readonly ;
GRANT

target_database=# GRANT SELECT ON ALL TABLES IN SCHEMA public TO readonly ;
GRANT

ターゲットdb public shemaのデフォルト特権を変更します。

target_database=# ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO readonly;
ALTER DEFAULT PRIVILEGES

データベースがパブリックスキーマにある場合、それは簡単です（これは、すでにを作成済みであることを前提としていますreadonlyuser）

db=> GRANT SELECT ON ALL TABLES IN SCHEMA public to readonlyuser;
GRANT
db=> GRANT CONNECT ON DATABASE mydatabase to readonlyuser;
GRANT
db=> GRANT SELECT ON ALL SEQUENCES IN SCHEMA public to readonlyuser;
GRANT

データベースでを使用している場合はcustomschema、上記を実行しますが、コマンドを1つ追加します。

db=> ALTER USER readonlyuser SET search_path=customschema, public;
ALTER ROLE

これを行う簡単な方法は、データベースの各テーブルで選択を許可することです。

postgres=# grant select on db_name.table_name to read_only_user;

データベースのメタデータからグラントステートメントを生成することで、自動化できます。

CREATE USER username SUPERUSER  password 'userpass';
ALTER USER username set default_transaction_read_only = on;

despeszのリンクに応じて投稿されたリンクから取得。

Postgres 9.xには、要求された処理を実行する機能があるようです。以下のデータベースオブジェクトの付与に関する段落を参照してください。

http://www.postgresql.org/docs/current/interactive/sql-grant.html

「1つ以上のスキーマ内の同じタイプのすべてのオブジェクトに権限を付与するオプションもあります。この機能は現在、テーブル、シーケンス、および関数に対してのみサポートされています（ただし、すべてのテーブルにはビューが含まれると見なされることに注意してください。および外部テーブル）。」

このページでは、ROLEと「ALL PRIVILEGES」と呼ばれるPRIVILEGEの使用についても説明します。

また、SQLの標準と比較したGRANT機能の情報も含まれています。