PostgreSQL: สิทธิ์ถูกปฏิเสธเนื่องจากมีความเกี่ยวข้อง

ฉันสับสนเกี่ยวกับการตั้งค่าสิทธิ์ใน PostgreSQL

ฉันมีบทบาทเหล่านี้:

                             List of roles
 Role name |                   Attributes                   | Member of 
-----------+------------------------------------------------+-----------
 admin     | Superuser, Create role, Create DB, Replication | {}
 meltemi   | Create role, Create DB                         | {rails}
 rails     | Create DB, Cannot login                        | {}
 myapp     |                                                | {rails}

และฐานข้อมูล:

                                    List of databases
        Name         | Owner  | Encoding |   Collate   |    Ctype    | Access privileges 
---------------------+--------+----------+-------------+-------------+-------------------
 myapp_production    | rails  | UTF8     | en_US.UTF-8 | en_US.UTF-8 | 
 ...

ผู้ใช้myappไม่มีปัญหาในการสืบค้นmyapp_productionฐานข้อมูลเพิ่มและลบบันทึก ฉันต้องการmeltemiที่จะสามารถสืบค้นฐานข้อมูลเดียวกันได้ ดังนั้นฉันสร้างบทบาทrailsซึ่งเป็นเจ้าของฐานข้อมูลและทำให้ทั้งสองmeltemiและสมาชิกของmyapp railsแต่ฉันยังคงได้รับpermission denied for relationข้อผิดพลาด Meltemiสามารถดูสคีมา แต่ไม่สามารถสืบค้น DB ได้

ฉันเพิ่งสังเกตเห็น (มี\dtคำสั่ง) ที่myappเป็นเจ้าของตาราง:

             List of relations
 Schema |       Name        | Type  | Owner 
--------+-------------------+-------+-------
 public | events            | table | myapp
 public | schema_migrations | table | myapp
 ...
 public | users             | table | myapp
 ...

ตารางถูกสร้างขึ้นผ่าน ORM (การโยกย้าย ActiveRecord ของ Rails)

ฉันรู้ว่าการอนุญาตแตกต่างกันมากใน PostgreSQL (ต่างจาก MySQL และอื่น ๆ ที่ฉันเคยใช้) ฉันควรตั้งค่าฐานข้อมูลของฉันอย่างไรเพื่อให้ผู้ใช้รายอื่นสามารถเข้าถึงได้ บางคนควรสามารถที่จะ CRUD แต่คนอื่นอาจจะสามารถอ่าน ฯลฯ

ขอบคุณสำหรับความช่วยเหลือ ขออภัยฉันรู้ว่านี่เป็นคำถามพื้นฐาน แต่ฉันไม่สามารถหาคำตอบได้ด้วยตนเอง

ฉันเพิ่งเขียนเกี่ยวกับเรื่องนี้ในคำตอบของฉันในการให้สิทธิ์ในฐานข้อมูล postgresql แก่ผู้ใช้รายอื่นบน ServerFault

โดยทั่วไปแล้วทางออกที่ดีที่สุดเมื่อคุณมีผู้ใช้คนเดียวและคุณต้องการให้สิทธิ์ผู้ใช้รายเดียวกันกับผู้ใช้รายอื่นในการเปลี่ยนผู้ใช้ให้เป็นกลุ่มสร้างผู้ใช้ใหม่ด้วยชื่อเดียวกันกับชื่อดั้งเดิมที่เป็นสมาชิกของกลุ่มและ ให้สิทธิ์กลุ่มนั้นแก่ผู้ใช้รายอื่นเช่นกัน

ดังนั้นในกรณีของคุณrailsได้รับการเปลี่ยนชื่อที่จะพูดmyapp_usersแล้วคุณสร้างบทบาทใหม่เข้าสู่ระบบ (ผู้ใช้) ชื่อและrails ตอนนี้คุณGRANT myapp_users TO rails GRANT myapp_users TO meltemiทั้งrailsบัญชีใหม่และmeltemiผู้ใช้มีสิทธิ์ของrailsบัญชีเก่า

สำหรับการควบคุมที่ละเอียดยิ่งขึ้นฉันแนะนำให้คุณหลีกเลี่ยงการให้ผู้ใช้เข้าสู่ระบบแบบวันต่อวันหรือเป็นเจ้าของกลุ่มของตาราง ให้พวกเขาเข้าถึงได้ผ่านNOINHERITกลุ่มที่พวกเขาต้องใช้อย่างชัดเจนSET GROUPหรือดีกว่าให้ใช้ผู้ใช้ที่แตกต่างกันอย่างสิ้นเชิงสำหรับการดำเนินการที่ได้รับสิทธิพิเศษเช่น DDL และGRANTs น่าเสียดายที่นี่ใช้ไม่ได้กับ Rails เพราะ Rails ชอบที่จะใช้การโยกย้ายเมื่อใดก็ตามที่รู้สึกเช่นนั้นและ AFAIK จะไม่ให้ความสามารถในการระบุผู้ใช้ที่มีสิทธิพิเศษอื่น ๆ