南大通用GBase 8c数据库权限管理场景实践

原文链接：www.gbase.cn/community/p…
更多精彩内容尽在南大通用GBase技术社区，南大通用致力于成为用户最信赖的数据库产品供应商。

环境要求

环境准备

-- 清理旧环境

gsql -r -d postgres -p 15400

clean connection to all force for database turboex;

drop database if exists turboex;

drop user if exists turboserver;

drop user if exists turbolog;

-- 创建新数据库

create database turboex;

-- 创建测试用户

create user turboserver with login password 'turboserver@123';

create user turbolog with login password 'turbolog@123';
​

权限配置流程

1.模式权限配置

c turboex

create schema test_privileges;

-- 授予模式所有权

grant all on schema test_privileges to turboserver;

grant all on schema test_privileges to turbolog;
​

作用说明：GRANT ALL ON SCHEMA 授予用户对模式的完全控制权，包含创建/修改/删除对象、注释、使用等权限，用户可在模式下自由操作各类数据库对象，无需额外申请基础操作权限。

2.表权限配置

-- 授予现有表权限

grant all on all tables in schema test_privileges to turboserver;

grant all on all tables in schema test_privileges to turbolog;
​

注意事项：仅对已存在的表生效，包含 SELECT/INSERT/UPDATE/DELETE/TRUNCATE 等完整数据操作权限，若后续在模式中新建表，此权限配置不会自动应用到新表上。

3.默认权限配置

-- turboserver用户会话

ALTER DEFAULT PRIVILEGES IN SCHEMA test_privileges

GRANT ALL ON TABLES TO turbolog;

-- turbolog用户会话

ALTER DEFAULT PRIVILEGES IN SCHEMA test_privileges

GRANT ALL ON TABLES TO turboserver;
​

核心作用：自动授予未来新建表的权限，仅影响执行该语句用户创建的对象，因此需要分别在两个用户会话中执行，确保 turboserver 创建的新表自动对 turbolog 开放权限，turbolog 创建的新表也自动对 turboserver 开放权限。

权限验证测试

turboserver 用户测试

• 成功创建表并插入数据：使用 turboserver 用户登录数据库，切换至 test_privileges 模式，执行 CREATE TABLE 语句创建测试表（如 CREATE TABLE test_tb(id INT, name VARCHAR(50));），随后执行 INSERT 语句插入测试数据（如 INSERT INTO test_tb VALUES(1,'testdata');），验证表创建和数据插入操作无权限报错。
• 后续 turbolog 用户应能访问此表：切换至 turbolog 用户登录数据库，执行 SELECT * FROM test_privileges.test_tb; 语句，验证可正常查询到 turboserver 插入的数据，无权限拒绝提示。

turbolog 用户测试

• 成功访问 turboserver 用户的表：登录 turbolog 用户，对 turboserver 创建的 test_tb 执行 SELECT、INSERT、UPDATE、DELETE 等操作，验证所有数据操作均可正常执行，无权限限制。
• 新建表应能被 turboserver 访问：使用 turbolog 用户在 test_privileges 模式下创建新表（如 CREATE TABLE test_tb2(id INT, value INT);），插入测试数据后，切换至 turboserver 用户，执行查询操作验证可正常访问该表数据。

双向权限验证

• 双向 DML 操作成功：turboserver 用户对 turbolog 创建的表执行 INSERT/UPDATE/DELETE 操作，turbolog 用户对 turboserver 创建的表执行相同操作，验证所有操作均无权限报错，数据修改结果符合预期。
• 双向数据可见性正常：双方用户均能实时看到对方对表进行的数据修改，执行查询语句返回的结果为最新数据状态，无数据访问延迟或权限导致的不可见问题。

关键命令解析

最佳实践建议

• 权限最小化原则：生产环境建议细化权限分配，避免直接授予 ALL 权限，根据用户实际业务需求授予必要权限，如仅授予查询用户 SELECT 权限，授予数据录入用户 INSERT/UPDATE 权限，降低权限滥用风险。
• 定期权限审计：使用 dp 命令查看权限分配情况，定期审计数据库用户的权限配置，及时回收不再需要的权限，清理冗余权限，确保权限配置符合业务安全要求。
• 默认权限维护：新用户加入时需更新默认权限配置，针对新用户执行 ALTER DEFAULT PRIVILEGES 语句，确保新用户能自动获得后续新建对象的必要权限，同时避免过度授权。
• 模式隔离：不同业务使用独立模式进行权限隔离，将不同业务线的数据库对象划分到独立模式中，针对不同模式配置独立的权限策略，降低业务间权限交叉风险，提升数据安全性。
• ​密码策略​：建议定期轮换数据库密码，设置复杂的密码规则（如包含大小写字母、数字、特殊字符），避免使用弱密码，同时配置密码过期时间，提升用户账号安全性。

原文链接：www.gbase.cn/community/p…
更多精彩内容尽在南大通用GBase技术社区，南大通用致力于成为用户最信赖的数据库产品供应商。