KingbaseES 的角色和权限管理

KingbaseES使用角色的概念管理数据库访问权限。为了方便权限管理，用户可以建立多个角色，对角色进行授权和权限回收，并把角色授予其他用户。

数据库初始化时，会创建一个超级用户的角色：system（默认，可修改）。

任何操作都是从该用户开始的。

创建角色

CREATE ROLE name [ [ WITH ] option [ ... ] ]
where option可以是：
  SUPERUSER | NOSUPERUSER      :超级权限，拥有所有权限，默认nosuperuser。
| CREATEDB | NOCREATEDB        :建库权限，默认nocreatedb。
| CREATEROLE | NOCREATEROLE    :建角色权限，拥有创建、修改、删除角色，默认nocreaterole。
| INHERIT | NOINHERIT          :继承权限，新角色是否继承其他角色的权限，默认inherit。
| LOGIN | NOLOGIN              :登录权限，默认nologin。
| REPLICATION | NOREPLICATION  :复制权限，用于物理或则逻辑复制（复制和删除slots），默认是noreplication。
| BYPASSRLS | NOBYPASSRLS      :安全策略RLS权限，角色是否可以绕过每一条行级安全性（RLS）策略，默认nobypassrls。
| CONNECTION LIMIT connlimit   :限制用户并发数，默认-1，不限制。正常连接会受限制，后台连接和prepared事务不受限制。
| [ ENCRYPTED ] PASSWORD 'password' | PASSWORD NULL :设置密码，密码仅用于有login属性的用户，不使用密码身份验证，则可以省略此选项。可以选择将空密码显式写为PASSWORD NULL。
                                                     加密方法由配置参数password_encryption确定，密码始终以加密方式存储在系统目录中。
| VALID UNTIL 'timestamp'      :密码有效期时间，不设置则用不失效。
| IN ROLE role_name [, ...]    :新角色将立即添加为新成员。
| IN GROUP role_name [, ...]   :同上
| ROLE role_name [, ...]       :ROLE子句列出一个或多个现有角色，这些角色自动添加为新角色的成员。 （这实际上使新角色成为“组”）。
| ADMIN role_name [, ...]      :与ROLE类似，但命名角色将添加到新角色WITH ADMIN OPTION，使他们有权将此角色的成员资格授予其他人。
| USER role_name [, ...]       :同上
| SYSID uid                    :被忽略，但是为向后兼容性而存在。

创建不需要密码登陆的用户u1
test=# CREATE ROLE u1 LOGIN;
CREATE ROLE
等效于create user u1；

创建需要密码登陆的用户u2
test=# CREATE USER u2 WITH PASSWORD '123456';
CREATE ROLE

创建有时间限制的用户u3
test=# CREATE ROLE u3 WITH LOGIN PASSWORD '123456' VALID UNTIL '2023-03-30';
CREATE ROLE
该用户会在密码过期后不可用。

创建具有超级权限的用户admin
test=# CREATE ROLE admin WITH SUPERUSER LOGIN PASSWORD 'admin';
CREATE ROLE

权限

KingbaseES权限分为两部分，一部分是“系统权限”或者数据库用户的属性，可以授予role或user（两者区别在于login权限）；一部分为数据库对象上的操作权限。

一个角色可以继承父角色关于对象上的操作权限，但是无法继承父角色的系统权限（属性）。

在KingbaseES中角色属性login，superuser和createdb，createrole 权限无法被成员继承。

对象权限包括：

权限	缩写	授权目标类型
SELECT	r (“read”)	LARGE OBJECT, SEQUENCE, TABLE (and table-like objects), table column
INSERT	a (“append”)	TABLE, table column
UPDATE	w (“write”)	LARGE OBJECT, SEQUENCE, TABLE, table column
DELETE	d	TABLE
TRUNCATE	D	TABLE
REFERENCES	x	TABLE, table column
TRIGGER	t	TABLE
CREATE	C	DATABASE, SCHEMA, TABLESPACE
CONNECT	c	DATABASE
TEMPORARY	T	DATABASE
EXECUTE	X	FUNCTION, PROCEDURE
USAGE	U	DOMAIN, FOREIGN DATA WRAPPER, FOREIGN SERVER, LANGUAGE, SCHEMA, SEQUENCE, TYPE

对数据库对象的各类操作的权限，通过GRANT手动授予；

在information_schema.xxx_privileges表中可查看，比如information_schema.table_privileges（在oracle模式中也可以通过oracle的兼容视图查询权限dba_xxx_privs等）

授权

-- 授予权限
GRANT {权限} ON {授权目标} TO {被授权角色} [WITH GRANT OPTION]
-- 授予角色
GRATE {角色} TO {被授权角色} [WITH ADMIN OPTION]

• WITH GRANT OPTION：表示被授权人能够将该权限授予其他人，不能对PUBLIC使用该选项。
• WITH ADMIN OPTION：授权传递，被授权的角色，可以传递授权

撤消权限

-- 取消权限
REVOKE [GRANT OPTION FOR] {权限} ON {授权目标} FROM {被授权人} [CASCADE | RESTRICT]
-- 取消角色
REVOKE [ADMIN OPTION FOR] {角色} FROM {被授权角色} [CASCADE | RESTRICT]

• GRANT OPTION FOR：取消权限的授予权限，而不是权限本身；没有这一项就同时取消权限和授权权限
• CASCADE：递归取消，适用于带有授权选项的用户将权限授予了其它用户，带上它则会将这些权限递归取消
• RESTRICT：区别于CASCADE，不会递归取消，这是默认选项

---

测试验证

test=# create role admin password 'admin';
CREATE ROLE
test=# create user u1 password 'u1';
CREATE ROLE
test=# \du
                             角色列表
 角色名称 |                    属性                    | 成员属于
----------+--------------------------------------------+----------
 admin    | 无法登录                                   | {}
 sao      | 没有继承                                   | {}
 sso      | 没有继承                                   | {}
 system   | 超级用户, 建立角色, 建立 DB, 复制, 绕过RLS | {}
 u1       |                                            | {}

可以看到通过create role 创建的admin用户没有登录权限。

将特殊权限createdb createrole赋权给admin角色，并将admin角色赋予u1用户
test=# alter role admin createdb createrole;
ALTER ROLE
test=# grant admin to u1;
GRANT ROLE

test=# \du
                             角色列表
 角色名称 |                    属性                    | 成员属于
----------+--------------------------------------------+----------
 admin    | 建立角色, 建立 DB, 无法登录                | {}
 sao      | 没有继承                                   | {}
 sso      | 没有继承                                   | {}
 system   | 超级用户, 建立角色, 建立 DB, 复制, 绕过RLS | {}
 u1       |                                            | {admin}

test=# select rolname,rolcreaterole,rolcreatedb  from sys_roles where rolname in ('admin','u1');
 rolname | rolcreaterole | rolcreatedb
---------+---------------+-------------
 u1      | f             | f
 admin   | t             | t
(2 行记录)

可以看到，u1已经是admin的成员，特殊权限createdb createrole 并没有被继承。

test=# create table trole(id int,name varchar);
CREATE TABLE
test=# grant all on trole to admin;
GRANT
test=# \c - u1
您现在已经连接到数据库 "test",用户 "u1".
test=> insert into trole values (1,'a');
INSERT 0 1
test=> \c - u2
您现在已经连接到数据库 "test",用户 "u2".
test=> insert into trole values (1,'a');
错误:  对表 trole 权限不够

将表trole的权限赋给admin后，用户u1可以作为admin的成员可以继承admin对trole表的所有权限。

成员用户可以通过set role 语法来获取父角色的系统权限

test=> \c - u1
您现在已经连接到数据库 "test",用户 "u1".
test=> set role admin;
SET
test=> create role u1c with password 'u1c';
CREATE ROLE
test=> \c - u2
您现在已经连接到数据库 "test",用户 "u2".
test=> set role admin;
错误:  设置角色"admin"的权限不足

成员用户可以通过set role来临时获取父角色的所有权限，在安全上存在一定的风险，尽量不用具有特殊权限的角色作为父角色