Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwendung der delegierten Erweiterungsunterstützung von Amazon Aurora für Postgre SQL

Mithilfe der delegierten Erweiterungsunterstützung von Amazon Aurora für Postgre SQL können Sie die Erweiterungsverwaltung an einen Benutzer delegieren, der kein Benutzer sein muss. rds_superuser Mit dieser delegierten Erweiterungsunterstützung rds_extension wird eine neue Rolle namens erstellt, und Sie müssen diese einem Benutzer zuweisen, um andere Erweiterungen zu verwalten. Mit dieser Rolle können Erweiterungen erstellt, aktualisiert und gelöscht werden.

Sie können die Erweiterungen angeben, die auf Ihrer Aurora SQL Postgre-DB-Instance installiert werden können, indem Sie sie im rds.allowed_extensions Parameter auflisten. Weitere Informationen finden Sie unter Verwenden von SQL Postgre-Erweiterungen mit Amazon RDS for SQL Postgre.

Sie können die Liste der verfügbaren Erweiterungen einschränken, die vom Benutzer mithilfe des Parameters rds_extension role using rds.allowed_delegated_extensions verwaltet werden können.

Die Unterstützung delegierter Erweiterungen ist in den folgenden Versionen verfügbar:

Die Unterstützung für Delegate-Erweiterungen für einen Benutzer aktivieren

Sie müssen die folgenden Schritte ausführen, um die Delegate-Erweiterungsunterstützung für einen Benutzer zu aktivieren:

Konfiguration, die in der Unterstützung delegierter Aurora-Erweiterungen für Postgre verwendet wird SQL

Die Unterstützung für die delegierte Erweiterung ausschalten

Teilweise ausschalten

Die delegierten Benutzer können keine neuen Erweiterungen erstellen, aber trotzdem bestehende Erweiterungen aktualisieren.

Vollständig ausschalten

Wenn Sie einem Benutzer die rds_extension Rolle entziehen, erhält der Benutzer wieder die Standardberechtigungen. Der Benutzer kann keine Erweiterungen mehr erstellen, aktualisieren oder löschen.

postgres => revoke rds_extension from user_name;

Beispiel für einen Ereignisauslöser

Wenn Sie einem delegierten Benutzer die Verwendung von Erweiterungen ermöglichen möchten, für die Berechtigungen für seine bei der Erstellung der Erweiterung erstellten Objekte erforderlich sind, können Sie das folgende Beispiel für einen Ereignisauslöser anpassen und nur die Erweiterungen hinzufügen, für die die delegierten Benutzer Zugriff auf die gesamte Funktionalität haben sollen. rds_extension Dieser Ereignistrigger kann auf Template1 (der Standardvorlage) erstellt werden, sodass alle mit Template1 erstellten Datenbanken über diesen Ereignistrigger verfügen. Wenn ein delegierter Benutzer die Erweiterung installiert, gewährt dieser Trigger automatisch das Eigentum an den von der Erweiterung erstellten Objekten.

CREATE OR REPLACE FUNCTION create_ext()

  RETURNS event_trigger AS $$

DECLARE

  schemaname TEXT;
  databaseowner TEXT;

  r RECORD;

BEGIN

  IF tg_tag = 'CREATE EXTENSION' and current_user != 'rds_superuser' THEN
    RAISE NOTICE 'SECURITY INVOKER';
    RAISE NOTICE 'user: %', current_user;
    FOR r IN SELECT * FROM pg_event_trigger_ddl_commands()
    LOOP
        CONTINUE WHEN r.command_tag != 'CREATE EXTENSION' OR r.object_type != 'extension';

        schemaname = (
            SELECT n.nspname
            FROM pg_catalog.pg_extension AS e
            INNER JOIN pg_catalog.pg_namespace AS n
            ON e.extnamespace = n.oid
            WHERE e.oid = r.objid
        );

        databaseowner = (
            SELECT pg_catalog.pg_get_userbyid(d.datdba)
            FROM pg_catalog.pg_database d
            WHERE d.datname = current_database()
        );
        RAISE NOTICE 'Record for event trigger %, objid: %,tag: %, current_user: %, schema: %, database_owenr: %', r.object_identity, r.objid, tg_tag, current_user, schemaname, databaseowner;
        IF r.object_identity = 'address_standardizer_data_us' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_gaz TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_lex TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_rules TO %I WITH GRANT OPTION;', schemaname, databaseowner);
        ELSIF r.object_identity = 'dict_int' THEN
            EXECUTE format('ALTER TEXT SEARCH DICTIONARY %I.intdict OWNER TO %I;', schemaname, databaseowner);
        ELSIF r.object_identity = 'pg_partman' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.part_config TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.part_config_sub TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.custom_time_partitions TO %I WITH GRANT OPTION;', schemaname, databaseowner);
        ELSIF r.object_identity = 'postgis_topology' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON ALL TABLES IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT EXECUTE ON ALL FUNCTIONS IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT USAGE ON SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
        END IF;
    END LOOP;
  END IF;
END;
$$ LANGUAGE plpgsql SECURITY DEFINER;

CREATE EVENT TRIGGER log_create_ext ON ddl_command_end EXECUTE PROCEDURE create_ext();

            

Vorteile der Nutzung des delegierten Erweiterungssupports von Amazon Aurora

Indem Sie Amazon Aurora Delegated Extension Support für Postgre verwendenSQL, delegieren Sie die Erweiterungsverwaltung auf sichere Weise an Benutzer, die diese Rolle nicht haben. rds_superuser Diese Funktion bietet die folgenden Vorteile:

Einschränkung der Unterstützung delegierter Aurora-Erweiterungen für Postgre SQL

Für bestimmte Erweiterungen sind Berechtigungen erforderlich

Um die folgenden Erweiterungen zu erstellen, zu verwenden oder zu aktualisieren, sollte der delegierte Benutzer über die erforderlichen Rechte für die folgenden Funktionen, Tabellen und Schemas verfügen.

Sicherheitsüberlegungen

Denken Sie daran, dass ein Benutzer mit rds_extension Rolle Erweiterungen für alle Datenbanken verwalten kann, für die er das Connect-Recht hat. Wenn beabsichtigt ist, dass ein delegierter Benutzer die Erweiterung für eine einzelne Datenbank verwaltet, empfiehlt es sich, alle öffentlichen Rechte für jede Datenbank zu entziehen und dann dem delegierten Benutzer explizit die Connect-Berechtigung für diese spezifische Datenbank zu gewähren.

Es gibt mehrere Erweiterungen, mit denen ein Benutzer auf Informationen aus mehreren Datenbanken zugreifen kann. Stellen Sie sicher, dass die Benutzer, die Sie gewähren, rds_extension über datenbankübergreifende Funktionen verfügen, bevor Sie diese Erweiterungen hinzufügenrds.allowed_delegated_extensions. dblinkStellen Sie beispielsweise postgres_fdw Funktionen für datenbankübergreifende Abfragen auf derselben Instanz oder auf Remote-Instances bereit. log_fdwliest die Protokolldateien der Postgres-Engine, die für alle Datenbanken in der Instanz gelten und möglicherweise langsame Abfragen oder Fehlermeldungen von mehreren Datenbanken enthalten. pg_cronermöglicht die Ausführung von geplanten Hintergrundjobs auf der DB-Instance und kann Jobs so konfigurieren, dass sie in einer anderen Datenbank ausgeführt werden.

Die Kaskade der Drop-Erweiterung ist deaktiviert

Die Möglichkeit, die Erweiterung mit der Option „Kaskade“ durch einen Benutzer mit dieser rds_extension Rolle zu löschen, wird durch einen rds.delegated_extension_allow_drop_cascade Parameter gesteuert. rds-delegated_extension_allow_drop_cascade ist standardmäßig auf off festgelegt. Das bedeutet, dass Benutzer mit der rds_extension Rolle eine Erweiterung nicht mithilfe der Kaskadenoption löschen dürfen, wie in der folgenden Abfrage gezeigt.

DROP EXTENSION CASCADE;

Dadurch werden automatisch Objekte gelöscht, die von der Erweiterung abhängen, und wiederum alle Objekte, die von diesen Objekten abhängen. Der Versuch, die Cascade-Option zu verwenden, führt zu einem Fehler.

Um diese Fähigkeit zu gewähren, sollte der rds.delegated_extension_allow_drop_cascade Parameter auf on gesetzt werden.

Das Ändern des rds.delegated_extension_allow_drop_cascade dynamischen Parameters erfordert keinen Neustart der Datenbank. Sie können dies auf einer der folgenden Ebenen tun:

Beispielerweiterungen, die mithilfe der Unterstützung delegierter Erweiterungen hinzugefügt werden können