Postgres Pro AXE : Документация: 1: 3.1. Управление доступом : Компания Postgres Professional

3.1. Управление доступом
Пред.	Наверх	Глава 3. Администрирование	Начало	След.

3.1. Управление доступом #

3.1.1. Настройка роли администратора
3.1.2. Сценарий управления правами
3.1.3. ETL-операции и права на них
3.1.4. Примеры использования
3.1.5. Секреты

Поскольку pgpro_metastore работает с собственными объектами, для разграничения прав и гибкого управления доступом к таким объектам используется система на основе прокси-таблиц.

Прокси-таблицы — это пустые таблицы без столбцов, созданные в схеме pgpro_metastore. Имя каждой прокси-таблицы соответствует формату префикс_имя, где:

префикс: префикс, определяющий объект, обёрнутый в прокси-таблицу.
Возможные значения:
- s — для хранилищ;
- t — для аналитических таблиц;
- f — для каталогов.
имя: имя объекта, обёрнутого в прокси-таблицу.

Например, именем прокси-таблицы может быть s_localstorage.

Прокси-таблицы создаются и удаляются одновременно с объектами, которые они оборачивают.

За подробной информацией о настройке доступа к СУБД Postgres Pro AXE обратитесь к официальной документации Postgres Pro.

3.1.1. Настройка роли администратора #

В Postgres Pro AXE роль администратора называется metastore_admin. Она может взаимодействовать с pgpro_axe, выполнять ETL-операции, а также предоставлять другим пользователям права на управление объектами.

Чтобы настроить роль администратора:

Создайте роль metastore_admin:

ALTER SYSTEM SET duckdb.postgres_role TO 'metastore_admin';

Предоставьте роли metastore_admin полный доступ к схеме pgpro_metastore и перезагрузите сервер pgpro_metastore.

3.1.2. Сценарий управления правами #

Рассмотрим сценарий управления правами, в котором они предоставляются по иерархии: от главного администратора локальным администраторам групп пользователей и аналитикам (обратитесь к диаграмме ниже).

Рисунок 3.1.

Где:

Суперпользователь — это суперпользователь Postgres Pro с полными правами.
metastore_admin — главный администратор с ролью metastore_admin, который является владельцем всех объектов pgpro_metastore.
Администраторы A и B — это локальные администраторы групп пользователей, у которых есть доступ к объектам pgpro_metastore, связанным с этими группами.
Права этим администраторам предоставляет главный администратор. Локальные администраторы в свою очередь могут предоставлять права аналитикам в рамках своих групп.
Аналитики A, B, C и D — пользователи, которые работают с OLAP-данными.

Чтобы настроить этот сценарий управления правами:

Создайте пользователей в базе данных от имени суперпользователя:

postgres=# SELECT current_user;
current_user
--------------
root
postgres=# CREATE USER metastore_admin;
postgres=# CREATE USER admin_a;
postgres=# CREATE USER admin_b;
postgres=# CREATE USER analyst_a;
postgres=# CREATE USER analyst_b;
postgres=# CREATE USER analyst_c;
postgres=# CREATE USER analyst_d;

Создайте аналитические схемы для групп пользователей:

postgres=# SELECT current_user;
current_user
--------------
root
postgres=# CREATE SCHEMA schema_a;
postgres=# CREATE SCHEMA schema_b;

Предоставьте пользователю admin_a права на аналитическую схему schema_a:

postgres=# SELECT current_user;
current_user
--------------
root
postgres=# GRANT ALL ON SCHEMA schema_a to metastore_admin WITH GRANT OPTION;
postgres=# GRANT ALL ON SCHEMA schema_a to admin_a WITH GRANT OPTION;

Предоставьте пользователю metastore_admin права на аналитическую схему metastore и сделайте его администратором:

postgres=# SELECT current_user;
current_user
--------------
root
postgres=# GRANT ALL ON SCHEMA metastore TO metastore_admin ;
postgres=# ALTER SYSTEM SET duckdb.postgres_role TO 'metastore_admin';

Перезапустите сервер.

Теперь пользователь metastore_admin может настроить каталог pgpro_metastore:

postgres=> SELECT current_user;
  current_user
-----------------
metastore_admin
postgres=> SELECT metastore.define_catalog_connection('localhost','5433','postgres','','');
postgres=> SELECT metastore.init();

Предположим, в схеме группы A есть таблица Postgres Pro, которую для выполнения аналитических запросов необходимо перенести в pgpro_metastore:

Пользователь metastore_admin создаёт хранилище и аналитическую таблицу:

postgres=> SELECT current_user;
  current_user
-----------------
metastore_admin
postgres=> SELECT metastore.add_storage('mt_storage', 'file:///tmp/mt_storage/', 'file:///tmp/mt_storage/tmp_dir/');
postgres=> SELECT metastore.add_table('mt_table1', 'mt_storage', 'schema_alpha.pg_table');

Пользователь metastore_admin предоставляет права пользователю admin_a:
```
postgres=> SELECT current_user;
  current_user
-----------------
metastore_admin
postgres=> GRANT ALL ON metastore.t_mt_table1_00001 TO admin_a WITH GRANT OPTION;
```
Параметр WITH GRANT OPTION позволяет пользователю admin_a при необходимости предоставлять права другим пользователям.

Пользователь admin_a копирует таблицу Postgres Pro в аналитическую таблицу и создаёт представление Postgres Pro:

postgres=> SELECT current_user;
current_user
--------------
admin_a
postgres=> SELECT metastore.copy_table('mt_table1', 'select * from schema_a.pg_table');
postgres=> SELECT metastore.create_view('mt_table1', 'schema_a');

Как владелец объекта пользователь metastore_admin разрешает пользователю admin_a предоставлять права на чтение этого объекта другим пользователям:
```
postgres=> SELECT current_user;
  current_user
-----------------
metastore_admin
postgres=> GRANT SELECT ON schema_a.t_mt_table1_00001 TO admin_a WITH GRANT OPTION ;
```

Пользователь admin_a предоставляет аналитикам права на чтение представления Postgres Pro:

postgres=> SELECT current_user;
current_user
--------------
admin_a
(1 row)

postgres=> GRANT USAGE ON SCHEMA schema_a to analyst_a;
postgres=> GRANT SELECT ON schema_a.t_mt_table1_00001 TO analyst_a;

Аналитик читает аналитическую таблицу:

postgres=> SELECT current_user;
  current_user
  --------------
  analyst_a
  (1 row)

  postgres=> SELECT count(*) FROM schema_a.mt_table1 ;
  count
  -------
      50
  (1 row)