Usar a compatibilidade com extensões delegadas do Amazon RDS para PostgreSQL

Usando a compatibilidade com extensões delegadas do PostgreSQL, é possível delegar o gerenciamento de extensões a um usuário que não precise ser um rds_superuser. Com esse suporte de extensão delegado, um novo perfil chamado rds_extension é criado, e você deve atribuí-lo a um usuário para gerenciar outras extensões. Esse perfil pode criar, atualizar e eliminar extensões.

É possível especificar quais extensões podem ser instaladas na instância de banco de dados do RDS listando-as no parâmetro rds.allowed_extensions. Para obter mais informações, consulte Usar extensões PostgreSQL com o Amazon RDS para PostgreSQL.

É possível restringir a lista de extensões disponíveis que podem ser gerenciadas pelo usuário com o perfil rds_extension usando o parâmetro rds.allowed_delegated_extensions.

O suporte de extensão delegado está disponível nas seguintes versões:

Ativar o suporte de extensão delegado a um usuário

É necessário executar o seguinte para habilitar o suporte de extensão delegado a um usuário:

Configuração usada na compatibilidade com extensões delegadas do PostgreSQL

Desativar o suporte para a extensão delegada

Desativar parcialmente

Os usuários delegados não podem criar extensões, mas ainda podem atualizar as existentes.

Desativar totalmente

Revogar o perfil rds_extension de um usuário vai restaurar as permissões padrão do usuário. O usuário não pode mais criar, atualizar nem descartar extensões.

postgres => revoke rds_extension from user_name;

Exemplo de gatilho de eventos

Se quiser permitir que um usuário delegado com rds_extension use extensões que exijam permissões de configuração nos objetos criados pela criação da extensão, você poderá personalizar o exemplo abaixo de um gatilho de eventos e adicionar somente as extensões para as quais você deseja que os usuários delegados tenham acesso à funcionalidade completa. Esse gatilho de eventos pode ser criado no modelo 1 (o modelo padrão), portanto, todo banco de dados criado a partir do modelo 1 terá esse gatilho de eventos. Quando um usuário delegado instalar a extensão, esse gatilho concederá automaticamente a propriedade dos objetos criados pela extensão.

CREATE OR REPLACE FUNCTION create_ext()

  RETURNS event_trigger AS $$

DECLARE

  schemaname TEXT;
  databaseowner TEXT;

  r RECORD;

BEGIN

  IF tg_tag = 'CREATE EXTENSION' and current_user != 'rds_superuser' THEN
    RAISE NOTICE 'SECURITY INVOKER';
    RAISE NOTICE 'user: %', current_user;
    FOR r IN SELECT * FROM pg_event_trigger_ddl_commands()
    LOOP
        CONTINUE WHEN r.command_tag != 'CREATE EXTENSION' OR r.object_type != 'extension';

        schemaname = (
            SELECT n.nspname
            FROM pg_catalog.pg_extension AS e
            INNER JOIN pg_catalog.pg_namespace AS n
            ON e.extnamespace = n.oid
            WHERE e.oid = r.objid
        );

        databaseowner = (
            SELECT pg_catalog.pg_get_userbyid(d.datdba)
            FROM pg_catalog.pg_database d
            WHERE d.datname = current_database()
        );
        RAISE NOTICE 'Record for event trigger %, objid: %,tag: %, current_user: %, schema: %, database_owenr: %', r.object_identity, r.objid, tg_tag, current_user, schemaname, databaseowner;
        IF r.object_identity = 'address_standardizer_data_us' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_gaz TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_lex TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.us_rules TO %I WITH GRANT OPTION;', schemaname, databaseowner);
        ELSIF r.object_identity = 'dict_int' THEN
            EXECUTE format('ALTER TEXT SEARCH DICTIONARY %I.intdict OWNER TO %I;', schemaname, databaseowner);
        ELSIF r.object_identity = 'pg_partman' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.part_config TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.part_config_sub TO %I WITH GRANT OPTION;', schemaname, databaseowner);
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON TABLE %I.custom_time_partitions TO %I WITH GRANT OPTION;', schemaname, databaseowner);
        ELSIF r.object_identity = 'postgis_topology' THEN
            EXECUTE format('GRANT SELECT, UPDATE, INSERT, DELETE ON ALL TABLES IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT EXECUTE ON ALL FUNCTIONS IN SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
            EXECUTE format('GRANT USAGE ON SCHEMA topology TO %I WITH GRANT OPTION;', databaseowner);
        END IF;
    END LOOP;
  END IF;
END;
$$ LANGUAGE plpgsql SECURITY DEFINER;

CREATE EVENT TRIGGER log_create_ext ON ddl_command_end EXECUTE PROCEDURE create_ext();

            

Benefícios de usar a compatibilidade com extensões delegadas do Amazon RDS

Usando a compatibilidade com extensões delegadas do PostgreSQL, é possível delegar, com segurança, o gerenciamento de extensões a usuários que não têm o perfil rds_superuser. Esse recurso oferece os seguintes benefícios:

Limitação da compatibilidade com extensões delegadas do PostgreSQL

Permissões necessárias para determinadas extensões

Para criar, usar ou atualizar as extensões a seguir, o usuário delegado deve ter os privilégios necessários nestas funções, tabelas e esquemas.

Considerações sobre segurança

Lembre-se de que um usuário com o perfil rds_extension poderá gerenciar extensões em todos os bancos de dados nos quais tiver o privilégio de conexão. Se a intenção for fazer com que um usuário delegado gerencie a extensão em um único banco de dados, uma prática recomendada é revogar todos os privilégios públicos em cada banco de dados e, depois, conceder explicitamente o privilégio de conexão desse banco de dados específico ao usuário delegado.

Existem várias extensões que podem permitir que um usuário acesse informações de vários bancos de dados. Garanta que os usuários que receberem rds_extension tenham recursos de vários bancos de dados antes de adicionar essas extensões a rds.allowed_delegated_extensions. Por exemplo, postgres_fdw e dblink oferecem a capacidade de consultar vários bancos de dados na mesma instância ou em instâncias remotas. log_fdw lê os arquivos de log do mecanismo postgres, relacionados a todos os bancos de dados na instância, possivelmente contendo consultas lentas ou mensagens de erro de vários bancos de dados. pg_cron permite a execução de trabalhos agendados em segundo plano na instância de banco de dados e pode configurar trabalhos para execução em um banco de dados diferente.

Descartar cascata de extensão desabilitado

A capacidade de descartar a extensão com a opção em cascata por um usuário com o perfil rds_extension é controlada pelo parâmetro rds.delegated_extension_allow_drop_cascade. Por padrão, rds-delegated_extension_allow_drop_cascade é definido como off. Isso significa que os usuários com o perfil rds_extension não têm permissão para descartar uma extensão usando a opção em cascata, conforme mostrado na consulta a seguir.

DROP EXTENSION CASCADE;

Pois isso descartará automaticamente os objetos que dependem da extensão e, por sua vez, todos os objetos que dependem desses objetos. A tentativa de usar a opção em cascata gerará um erro.

Para conceder essa capacidade, o parâmetro rds.delegated_extension_allow_drop_cascade deve ser definido como on.

Alterar o parâmetro dinâmico rds.delegated_extension_allow_drop_cascade não requer a reinicialização do banco de dados. É possível fazer isso em um dos seguintes níveis:

Exemplos de extensões que podem ser adicionadas usando o suporte de extensão delegado