本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

了解 PostgreSQL 角色和許可

當您使用建立 Aurora PostgreSQL 資料庫叢集 個體時 AWS Management Console，系統會同時建立一個管理員帳戶。依預設，其名稱為 postgres，如下列螢幕擷取畫面所示：

您可以選擇其他名稱，而不是接受預設值 (postgres)。若是如此，則選擇的名稱必須以字母開頭，且介於 1 到 16 個英數字元之間。為簡單起見，我們在本指南中使用主要使用者帳戶的預設值 (postgres)，來指稱主要使用者帳戶。

如果您使用create-db-cluster AWS CLI 而不是 AWS Management Console，您可以透過使用master-username參數傳遞使用者名稱來建立使用者名稱。如需詳細資訊，請參閱步驟 2：建立 Aurora PostgreSQL 資料庫叢集。

無論您使用 AWS Management Console、或 Amazon RDS API AWS CLI，以及使用預設postgres名稱還是選擇其他名稱，此第一個資料庫使用者帳戶都是該rds_superuser群組的成員，並具有rds_superuser權限。

了解 rds_superuser 角色

於 PostgreSQL 中，角色可定義使用者、群組或授予群組或使用者對資料庫中各種物件的一組特定權限。CREATE USER 和 CREATE GROUP 的 PostgreSQL 命令已為更為通用的 CREATE ROLE 所取代，其具有可區分資料庫使用者的特定屬性。資料庫使用者可視為具有 LOGIN 權限的角色。

postgres 使用者是 Aurora PostgreSQL 資料庫叢集上具最高權限的資料庫使用者。其具有下列 CREATE ROLE 陳述式所定義的特性。

CREATE ROLE postgres WITH LOGIN NOSUPERUSER INHERIT CREATEDB CREATEROLE NOREPLICATION VALID UNTIL 'infinity'

屬性 NOSUPERUSER、NOREPLICATION、INHERIT，和 VALID UNTIL 'infinity' 為 CREATE ROLE 的預設選項，除非另有指定。

根據預設，postgres 具有授與 rds_superuser 角色的權限，以及建立角色和資料庫的許可。rds_superuser 角色可讓 postgres 使用者執行下列動作：

於 CREATE ROLE postgres... 陳述式中，您可看到 postgres 使用者角色明確禁止 PostgreSQL superuser 權限。Aurora PostgreSQL 為受管服務，因此您無法存取主機作業系統，也無法使用 PostgreSQL superuser 帳户進行連線。許多需要在獨立 PostgreSQL 上進行 superuser 存取的任務是由 Aurora 自動管理。

如需有關授予權限的詳細資訊，請參閱 PostgreSQL 文件中的 GRANT。

rds_superuser 角色是 Aurora PostgreSQL 資料庫叢集中數個預先定義角色的其中一個。

於下列清單中，您可以找到為新的 Aurora PostgreSQL 資料庫叢集自動建立的一些其他預先定義角色。預先定義的角色及其權限無法進行變更。您無法為這些預先定義角色停止、重新命名或修改權限。嘗試這麼做會造成錯誤。

如要查看所有預先定義角色，您可連接至 Aurora PostgreSQL 資料庫叢集的主要執行個體 ，並使用 psql \du 中繼命令。輸出看似如下：

List of roles
  Role name   |      Attributes                   |      Member of      
--------------+-----------------------------------+------------------------------------
postgres      | Create role, Create DB           +| {rds_superuser}
              | Password valid until infinity     |
rds_superuser | Cannot login                      | {pg_monitor,pg_signal_backend,
              |                                  +|   rds_replication,rds_password}
...

於輸出中，您可看到 rds_superuser 並非資料庫使用者角色 (無法登入)，但其具有許多其他角色的權限。您還可以看到資料庫使用者 postgres 是 rds_superuser 角色的成員。如前所述，postgres 是 Amazon RDS 主控台 Create database (建立資料庫) 頁面中的預設值。若選擇其他名稱，則該名稱將顯示於角色清單中。

控制使用者對 PostgreSQL 資料庫的存取

PostgreSQL 中的新資料庫會永遠使用資料庫 public 結構描述中的一組預設權限建立，允許所有資料庫使用者和角色建立物件。例如，這些權限可讓資料庫使用者連接至資料庫，並在連線時建立暫存資料表。

為了對您 Aurora PostgreSQL 資料庫叢集主節點上建立之資料庫執行個體的使用者存取進行更好地控制，我們建議您撤消這些預設的 public 權限。完成此作業後，您可更精細地為資料庫使用者授予特定權限，如下列程序所示。

至此，lab_user1 和 lab_user2 便可連接 lab_db 資料庫。此範例並未遵循企業使用的最佳實務，其中可能包括建立多個資料庫執行個體、不同的結構描述，及授予有限的權限。如需更多完整資訊和其他方案，請參閱管理 PostgreSQL 使用者和角色。

如需有關 PostgreSQL 資料庫中權限的詳細資訊，請參閱 PostgreSQL 文件中的 GRANT 命令。

委派和控制使用者密碼管理

作為 DBA，您可能想要委派管理使用者密碼。或者，您可能想要防止資料庫使用者變更其密碼或重新設定密碼約束 (例如密碼生命週期)。如要確保只有您選擇的資料庫使用者才可變更密碼設定，您可開啟受限制的密碼管理功能。啟動此功能時，只有那些已被授予 rds_password 角色的資料庫使用者才可管理密碼。

依預設，此功能為 off，如下列所示：

postgres=> SHOW rds.restrict_password_commands;
  rds.restrict_password_commands
--------------------------------
 off
(1 row)

如要開啟此功能，請使用自訂參數群組，並將 rds.restrict_password_commands 的設定變更為 1。請務必重新啟動您的 Aurora PostgreSQL 的主資料庫執行個體 ，以使設定生效。

啟用此功能後，下列 SQL 命令需要 rds_password 權限：

CREATE ROLE myrole WITH PASSWORD 'mypassword';
CREATE ROLE myrole WITH PASSWORD 'mypassword' VALID UNTIL '2023-01-01';
ALTER ROLE myrole WITH PASSWORD 'mypassword' VALID UNTIL '2023-01-01';
ALTER ROLE myrole WITH PASSWORD 'mypassword';
ALTER ROLE myrole VALID UNTIL '2023-01-01';
ALTER ROLE myrole RENAME TO myrole2;

若密碼使用 MD5 雜湊演算法，則重新命名角色 (ALTER ROLE myrole RENAME TO newname) 也會受到限制。

啟用此功能後，嘗試使用任何這些 SQL 命令，而不使用 rds_password 角色權限會產生下列錯誤：

ERROR: must be a member of rds_password to alter passwords

建議您僅對專用於密碼管理的一些角色授予 rds_password。若您授予不具 rds_superuser 權限之資料庫使用者 rds_password 權限，則還需要授予其 CREATEROLE 屬性。

確定您驗證用戶端上的密碼需求，例如到期時間和需要的複雜度。若您使用自己的用戶端公用程式進行與密碼相關的變更，則該公用程式必須為 rds_password 的成員並具有 CREATE ROLE 權限。

使用 SCRAM 進行 PostgreSQL 密碼加密

Salted Challenge Response Authentication Mechanism (SCRAM) 是 PostgreSQL 預設訊息摘要 (MD5) 演算法的替代選項，用於加密密碼。SCRAM 身分驗證機制被認為比 MD5 更安全。若要進一步了解這兩種不同的密碼保護方法，請參閱 PostgreSQL 文件中的 Password Authentication (密碼身分驗證)。

建議您使用 SCRAM 作為 Aurora PostgreSQL 資料庫叢集的密碼加密配置，而不是使用 MD5。從 Aurora PostgreSQL 14 版本開始，所有可用的 Aurora PostgreSQL 版本 (包括版本 10、11、12、13 和 14) 都支援 SCRAM。這是一種加密的挑戰回應機制，使用 scram-sha-256 演算法進行密碼身分驗證和加密。

您可能需要更新程式庫，用戶端應用程式才會支援 SCRAM。例如，42.2.0 之前的 JDBC 版本不支援 SCRAM。如需詳細資訊，請參閱 PostgreSQL JDBC 驅動程式文件中的 PostgreSQL JDBC Driver (PostgreSQL JDBC 驅動程式)。如需其他 PostgreSQL 驅動程式和 SCRAM 支援的清單，請參閱 PostgreSQL 文件中的 List of drivers (驅動程式清單)。

設定 Aurora PostgreSQL 資料庫叢集為需要 SCRAM

對於 Aurora PostgreSQL 14.3 和更新版本，您可以要求 Aurora PostgreSQL 資料庫叢集僅接受使用 scram-sha-256 演算法的密碼。

在對系統進行變更之前，請確保您了解完整過程，如下所示：

讓您的 Aurora PostgreSQL 資料庫叢集準備好需要 SCRAM

對 Aurora PostgreSQL 資料庫叢集進行任何變更之前，請檢查所有現有的資料庫使用者帳戶。另外，請檢查用於密碼的加密類型。您可以使用 rds_tools 擴充功能執行這些任務。Aurora PostgreSQL 13.1 與更新版本支援此擴充功能。

建立自訂資料庫叢集參數群組

如需 Aurora 的參數群組概觀，請參閱 建立資料庫叢集參數群組。

用於密碼的密碼加密類型是在某一個參數 (亦即 password_encryption) 中設定的。Aurora PostgreSQL 資料庫叢集允許的加密則是在另一個參數 (亦即 rds.accepted_password_auth_method) 中設定的。若要從這些預設值變更，則需要您建立自訂資料庫叢集參數群組，並套用到您的叢集。

您也可以使用 AWS Management Console 或 RDS API 建立自訂資料庫叢集參數群組。如需詳細資訊，請參閱建立資料庫叢集參數群組。

您可以使用資料庫執行個體與自訂參數群組建立關聯。

設定密碼加密以使用 SCRAM

Aurora PostgreSQL 資料庫叢集使用的密碼加密機制是在資料庫叢集參數群組的 password_encryption 參數中設定的。允許的值為未設定、md5 或 scram-sha-256。預設值視 Aurora PostgreSQL 版本而定，如下所示：

透過將自訂資料庫叢集參數群組連接至 Aurora PostgreSQL 資料庫叢集，您可以修改密碼加密參數的值。

將使用者角色的密碼遷移至 SCRAM

您可以將使用者角色的密碼遷移至 SCRAM，如下說明：

變更參數為需要 SCRAM

這是程序中的最後一個步驟。在以下程序中進行變更後，仍然使用 md5 將密碼加密的任何使用者帳戶 (角色) 將無法登入 Aurora PostgreSQL 資料庫叢集。

rds.accepted_password_auth_method 指定 Aurora PostgreSQL 資料庫叢集在登入程序期間接受的使用者密碼加密方法。預設值為 md5+scram，這意味著任何一種方法都接受。在下圖中，您可以找到此參數的預設設定。

此參數的允許值為 md5+scram 或僅 scram。將此參數值變更為 scram 會使此成為一個需求。