了解 rds_superuser 角色

在 PostgreSQL 中，角色可以针对数据库中的各种对象定义一个用户、一个组或一组授予组或用户的特定权限。PostgreSQL 命令 CREATE USER 和 CREATE GROUP 已替换为更通用的 CREATE ROLE，并使用特定属性来区分数据库用户。数据库用户可以被视为具有 LOGIN 权限的角色。

postgres 用户是您的 Aurora PostgreSQL 数据库集群 上权限最高的数据库用户。它具有以下 CREATE ROLE 语句所定义的特征。

CREATE ROLE postgres WITH LOGIN NOSUPERUSER INHERIT CREATEDB CREATEROLE NOREPLICATION VALID UNTIL 'infinity'

属性 NOSUPERUSER、NOREPLICATION、INHERIT 和 VALID UNTIL 'infinity' 是 CREATE ROLE 的默认选项，除非另有说明。

原定设置情况下，postgres 拥有授予 rds_superuser 角色的权限以及创建角色和数据库的权限。rds_superuser 角色允许 postgres 用户执行以下操作：

在 CREATE ROLE postgres... 语句中，您可以看到 postgres 用户角色明确禁止 PostgreSQL superuser 权限。Aurora PostgreSQL 是一项托管服务，因此您无法访问主机操作系统，也无法使用 PostgreSQL superuser 账户进行连接。许多需要独立 PostgreSQL 上的 superuser 访问权限的任务都由 Aurora 自动管理。

有关授权权限的更多信息，请参阅 PostgreSQL 文档中的 GRANT。

rds_superuser 角色是 Aurora PostgreSQL 数据库集群中的几个预定义角色之一。

在下面的列表中，您可以找到为新 Aurora PostgreSQL 数据库集群自动创建的一些其他预定义角色。无法更改预定义角色及其权限。无法删除、重命名或修改这些预定义角色的权限。此类尝试会导致错误。

要查看所有预定义角色，您可以连接到 Aurora PostgreSQL 数据库集群的主实例，并使用 psql \du 元命令。输出如下所示：

List of roles
  Role name   |      Attributes                   |      Member of      
--------------+-----------------------------------+------------------------------------
postgres      | Create role, Create DB           +| {rds_superuser}
              | Password valid until infinity     |
rds_superuser | Cannot login                      | {pg_monitor,pg_signal_backend,
              |                                  +|   rds_replication,rds_password}
...

在输出中，您可以看到 rds_superuser 不是数据库用户角色（无法登录），但它具有许多其他角色的权限。您还可以看到数据库用户 postgres 是 rds_superuser 角色的成员。如前所述，postgres 是 Amazon RDS 控制台的 Create database（创建数据库）页面中的默认值。如果您选择了另一个名称，则该名称将显示在角色列表中。