Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Utilizzo del supporto delle estensioni RDS delegate di Amazon per Postgre SQL

Utilizzando il supporto delle estensioni RDS delegate di Amazon per PostgreSQL, puoi delegare la gestione delle estensioni a un utente che non deve essere un. rds_superuser Con questo supporto delegato per le estensioni, rds_extension viene creato un nuovo ruolo chiamato che devi assegnare a un utente per gestire altre estensioni. Questo ruolo può creare, aggiornare e eliminare estensioni.

È possibile specificare le estensioni che possono essere installate sull'istanza RDS DB, elencandole nel rds.allowed_extensions parametro. Per ulteriori informazioni, consulta Usare le SQL estensioni Postgre con Amazon RDS for Postgre. SQL

Puoi limitare l'elenco delle estensioni disponibili che possono essere gestite dall'utente con il ruolo utilizzando il parametro. rds_extension rds.allowed_delegated_extensions

Il supporto per le estensioni delegate è disponibile nelle seguenti versioni:

Attivazione del supporto per le estensioni delegate a un utente

È necessario eseguire le seguenti operazioni per abilitare il supporto delle estensioni delegate a un utente:

Configurazione utilizzata nel supporto delle estensioni RDS delegate per Postgre SQL

Disattivazione del supporto per l'estensione delegata

Spegnimento parziale

Gli utenti delegati non possono creare nuove estensioni ma possono comunque aggiornare le estensioni esistenti.

Spegnimento completo

La revoca del rds_extension ruolo a un utente ripristinerà le autorizzazioni standard per l'utente. L'utente non può più creare, aggiornare o eliminare le estensioni.

postgres => revoke rds_extension from user_name;

Esempio di attivazione di un evento

Se desideri consentire a un utente delegato di utilizzare estensioni che richiedono l'impostazione delle autorizzazioni sugli oggetti creati durante la creazione dell'estensione, puoi personalizzare l'esempio seguente di attivazione di un evento e aggiungere solo le estensioni per le quali desideri che gli utenti delegati abbiano accesso alla piena funzionalità. rds_extension Questo trigger di evento può essere creato su template1 (il modello predefinito), pertanto tutti i database creati da template1 avranno quel trigger di evento. Quando un utente delegato installa l'estensione, questo trigger garantirà automaticamente la proprietà degli oggetti creati dall'estensione.

CREATE OR REPLACE FUNCTION create_ext()

  RETURNS event_trigger AS $$

DECLARE

  schemaname TEXT;
  databaseowner TEXT;

  r RECORD;

BEGIN

  IF tg_tag = 'CREATE EXTENSION' and current_user != 'rds_superuser' THEN
    RAISE NOTICE 'SECURITY INVOKER';
    RAISE NOTICE 'user: %', current_user;
    FOR r IN SELECT * FROM pg_event_trigger_ddl_commands()
    LOOP
        CONTINUE WHEN r.command_tag != 'CREATE EXTENSION' OR r.object_type != 'extension';

        schemaname = (
            SELECT n.nspname
            FROM pg_catalog.pg_extension AS e
            INNER JOIN pg_catalog.pg_namespace AS n
            ON e.extnamespace = n.oid
            WHERE e.oid = r.objid
        );

        databaseowner = (
            SELECT pg_catalog.pg_get_userbyid(d.datdba)
            FROM pg_catalog.pg_database d
            WHERE d.datname = current_database()
        );
        RAISE NOTICE 'Record for event trigger %, objid: %,tag: %, current_user: %, schema: %, database_owenr: %', r.object_identity, r.objid, tg_tag, current_user, schemaname, databaseowner;
        IF r.object_identity = 'address_standardizer_data_us' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_gaz TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_lex TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_rules TO %I WITH GRANT OPTION;', schemaname, databaseowner);
        ELSIF r.object_identity = 'dict_int' THEN
            EXECUTE format('ALTER TEXT SEARCH DICTIONARY %I.intdict OWNER TO %I;', schemaname, databaseowner);
        ELSIF r.object_identity = 'pg_partman' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.part_config TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.part_config_sub TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.custom_time_partitions TO %I WITH GRANT OPTION;', schemaname, databaseowner);
        ELSIF r.object_identity = 'postgis_topology' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON ALL TABLES IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT EXECUTE ON ALL FUNCTIONS IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT USAGE ON SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
        END IF;
    END LOOP;
  END IF;
END;
$$ LANGUAGE plpgsql SECURITY DEFINER;

CREATE EVENT TRIGGER log_create_ext ON ddl_command_end EXECUTE PROCEDURE create_ext();

            

Vantaggi dell'utilizzo del supporto per le estensioni RDS delegate di Amazon

Utilizzando il supporto delle estensioni RDS delegate di Amazon per PostgreSQL, deleghi in modo sicuro la gestione delle estensioni a utenti che non ricoprono il ruolo. rds_superuser Questa funzionalità offre i seguenti vantaggi:

Limitazione del supporto delle estensioni RDS delegate di Amazon per Postgre SQL

Autorizzazioni richieste per alcune estensioni

Per creare, utilizzare o aggiornare le seguenti estensioni, l'utente delegato deve disporre dei privilegi necessari sulle seguenti funzioni, tabelle e schemi.

Considerazioni sulla sicurezza

Tieni presente che un utente con rds_extension ruolo sarà in grado di gestire le estensioni su tutti i database su cui ha il privilegio di connessione. Se l'intenzione è fare in modo che un utente delegato gestisca l'estensione su un singolo database, è buona norma revocare tutti i privilegi dal pubblico su ciascun database, quindi concedere esplicitamente il privilegio di connessione per quel database specifico all'utente delegato.

Esistono diverse estensioni che possono consentire a un utente di accedere alle informazioni da più database. Assicurati che gli utenti rds_extension concessi dispongano di funzionalità per più database prima di aggiungere queste estensionirds.allowed_delegated_extensions. Ad esempio, postgres_fdw dblink fornisci funzionalità per eseguire query su database sulla stessa istanza o su istanze remote. log_fdwlegge i file di registro del motore Postgres, che riguardano tutti i database dell'istanza, potenzialmente contenenti query lente o messaggi di errore provenienti da più database. pg_cronconsente l'esecuzione di processi pianificati in background sull'istanza DB e può configurare i lavori per l'esecuzione in un database diverso.

Drop Extension Cascade è disabilitato

La possibilità di eliminare l'estensione con l'opzione a cascata da un utente con il rds_extension ruolo è controllata da un rds.delegated_extension_allow_drop_cascade parametro. Per impostazione predefinita, rds-delegated_extension_allow_drop_cascade è impostato su off. Ciò significa che agli utenti con il rds_extension ruolo non è consentito eliminare un'estensione utilizzando l'opzione a cascata, come mostrato nella query seguente.

DROP EXTENSION CASCADE;

In questo modo verranno eliminati automaticamente gli oggetti che dipendono dall'estensione e, a loro volta, tutti gli oggetti che dipendono da tali oggetti. Il tentativo di utilizzare l'opzione a cascata genererà un errore.

Per garantire tale capacità, il rds.delegated_extension_allow_drop_cascade parametro deve essere impostato su. on

La modifica del parametro rds.delegated_extension_allow_drop_cascade dinamico non richiede il riavvio del database. È possibile eseguire questa operazione a uno dei seguenti livelli:

Esempi di estensioni che possono essere aggiunte utilizzando il supporto di estensioni delegate