Uso de la compatibilidad de extensiones delegadas de Amazon RDS para PostgreSQL

Al utilizar la compatibilidad de extensiones delegadas de Amazon RDS para PostgreSQL, puede delegar la administración de la extensión a un usuario que no necesita ser un rds_superuser. Con esta compatibilidad de extensiones delegadas, se crea un nuevo rol denominado rds_extension que debe asignarse a un usuario para que administre otras extensiones. Este rol puede crear, actualizar y eliminar extensiones.

Puede especificar qué extensiones se pueden instalar en la instancia de base de datos de RDS enumerándolas en el parámetro rds.allowed_extensions. Para obtener más información, consulte Uso de extensiones PostgreSQL con Amazon RDS para PostgreSQL.

Puede restringir la lista de extensiones disponibles que el usuario puede administrar con el rol rds_extension utilizando el parámetro rds.allowed_delegated_extensions.

La compatibilidad de extensiones delegadas está disponible en las siguientes versiones:

Activación de la compatibilidad con extensiones delegadas a un usuario

Debe realizar lo siguiente para habilitar la compatibilidad con extensiones delegadas en un usuario:

Configuración utilizada en la compatibilidad de extensiones delegadas de RDS para PostgreSQL

Desactivar la compatibilidad para la extensión delegada

Desactivación parcial

Los usuarios delegados no pueden crear nuevas extensiones, pero sí pueden actualizar las existentes.

Desactivación completa

Al revocar el rol rds_extension de un usuario, el usuario recuperará los permisos estándar. El usuario ya no puede crear, actualizar ni eliminar extensiones.

postgres => revoke rds_extension from user_name;

Ejemplo de desencadenador de eventos

Si desea permitir que un usuario delegado con rds_extension utilice extensiones que requieran configurar permisos en los objetos creados al crear la extensión, puede personalizar el siguiente ejemplo de un desencadenador de eventos y agregar solo las extensiones para las que desee que los usuarios delegados tengan acceso a todas las funciones. Este activador de eventos se puede crear en la plantilla 1 (la plantilla predeterminada), por lo que todas las bases de datos creadas a partir de la plantilla 1 tendrán ese desencadenador de eventos. Cuando un usuario delegado instala la extensión, este desencadenador otorgará automáticamente la propiedad de los objetos creados por la extensión.

CREATE OR REPLACE FUNCTION create_ext()

  RETURNS event_trigger AS $$

DECLARE

  schemaname TEXT;
  databaseowner TEXT;

  r RECORD;

BEGIN

  IF tg_tag = 'CREATE EXTENSION' and current_user != 'rds_superuser' THEN
    RAISE NOTICE 'SECURITY INVOKER';
    RAISE NOTICE 'user: %', current_user;
    FOR r IN SELECT * FROM pg_event_trigger_ddl_commands()
    LOOP
        CONTINUE WHEN r.command_tag != 'CREATE EXTENSION' OR r.object_type != 'extension';

        schemaname = (
            SELECT n.nspname
            FROM pg_catalog.pg_extension AS e
            INNER JOIN pg_catalog.pg_namespace AS n
            ON e.extnamespace = n.oid
            WHERE e.oid = r.objid
        );

        databaseowner = (
            SELECT pg_catalog.pg_get_userbyid(d.datdba)
            FROM pg_catalog.pg_database d
            WHERE d.datname = current_database()
        );
        RAISE NOTICE 'Record for event trigger %, objid: %,tag: %, current_user: %, schema: %, database_owenr: %', r.object_identity, r.objid, tg_tag, current_user, schemaname, databaseowner;
        IF r.object_identity = 'address_standardizer_data_us' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_gaz TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_lex TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_rules TO %I WITH GRANT OPTION;', schemaname, databaseowner);
        ELSIF r.object_identity = 'dict_int' THEN
            EXECUTE format('ALTER TEXT SEARCH DICTIONARY %I.intdict OWNER TO %I;', schemaname, databaseowner);
        ELSIF r.object_identity = 'pg_partman' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.part_config TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.part_config_sub TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.custom_time_partitions TO %I WITH GRANT OPTION;', schemaname, databaseowner);
        ELSIF r.object_identity = 'postgis_topology' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON ALL TABLES IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT EXECUTE ON ALL FUNCTIONS IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT USAGE ON SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
        END IF;
    END LOOP;
  END IF;
END;
$$ LANGUAGE plpgsql SECURITY DEFINER;

CREATE EVENT TRIGGER log_create_ext ON ddl_command_end EXECUTE PROCEDURE create_ext();

            

Ventajas del uso de la compatibilidad de extensiones delegadas de Amazon RDS

Al utilizar la compatibilidad de extensiones delegadas de Amazon RDS para PostgreSQL, delega de forma segura la administración de la extensión a los usuarios que no tengan el rol rds_superuser. Esta característica proporciona los siguientes beneficios:

Limitación de la compatibilidad de extensiones delegadas de Amazon RDS para PostgreSQL

Permisos necesarios para determinadas extensiones

Para crear, usar o actualizar las siguientes extensiones, el usuario delegado debe tener los privilegios necesarios en las siguientes funciones, tablas y esquemas.

Consideraciones de seguridad

Tenga en cuenta que un usuario con el rol rds_extension podrá administrar las extensiones en todas las bases de datos en las que tenga el privilegio de conexión. Si la intención es que un usuario delegado administre la extensión en una única base de datos, una práctica recomendada consiste en revocar todos los privilegios del público en cada base de datos y, a continuación, conceder de forma explícita el privilegio de conexión para esa base de datos específica al usuario delegado.

Existen varias extensiones que permiten a un usuario acceder a la información de varias bases de datos. Asegúrese de que los usuarios a los que conceda rds_extension tengan capacidades para múltiples bases de datos antes de agregar estas extensiones a rds.allowed_delegated_extensions. Por ejemplo, postgres_fdw y dblink proporcionan la funcionalidad de realizar consultas en todas las bases de datos de la misma instancia o de instancias remotas. log_fdw lee los archivos de registro del motor postgres, que son de todas las bases de datos de la instancia, y pueden contener consultas lentas o mensajes de error de varias bases de datos. pg_cron permite ejecutar trabajos en segundo plano programados en la instancia de base de datos y puede configurar los trabajos para que se ejecuten en una base de datos diferente.

Eliminación de extensión en cascada deshabilitada

La posibilidad de eliminar la extensión con la opción en cascada por parte de un usuario con el rol rds_extension la controla el parámetro rds.delegated_extension_allow_drop_cascade. De forma predeterminada, rds-delegated_extension_allow_drop_cascade está establecido en off. Esto significa que los usuarios con el tol rds_extension no pueden eliminar una extensión mediante la opción en cascada como se muestra en la siguiente consulta.

DROP EXTENSION CASCADE;

Esto eliminará automáticamente los objetos que dependan de la extensión y, a su vez, todos los objetos que dependan de esos objetos. El intento de utilizar la opción en cascada generará un error.

Para otorgar esa habilidad, el parámetro rds.delegated_extension_allow_drop_cascade debe configurarse como on.

Cambiar el parámetro dinámico rds.delegated_extension_allow_drop_cascade no requiere un reinicio de la base de datos. Puede realizar esto en uno de los siguientes niveles:

Ejemplos de extensiones que se pueden agregar mediante la compatibilidad de extensiones delegadas