PostgreSQL

Das PostgreSQL-Plug-in schlägt Datenbanken, Schemas, Tabellen und Spalten nach und verwaltet Zugriffsrichtlinien in den eigenen Begriffen von PostgreSQL: Spalten lesen, einfügen und ändern, Tabellen löschen, leeren und mit Triggern versehen, Objekte in einem Schema anlegen sowie Schemas und temporäre Tabellen in einer Datenbank anlegen, mit Zeilenfiltern für Tabellen. Plug-in-ID und Diensttyp sind beide postgresql. Das Dienst-Plug-in läuft im GrantForge-Server; der PostgreSQL-Agent, ein Dienst neben den Servern, setzt die Richtlinien mit den eigenen Rechten und Zeilensicherheitsrichtlinien von PostgreSQL durch.

Die Testcontainers-Integrationstests des Repositorys decken PostgreSQL 15, 16, 17 und 18 ab, die Versionen, die PostgreSQL pflegt; das zertifiziert nicht jede andere Version.

Installation

Die Distribution enthält das Plug-in in plugins/postgresql. Prüfen Sie unter Plattformverwaltung → Plug-ins, dass postgresql aktiviert ist; scannen Sie das Plug-in-Verzeichnis nach einer Aktualisierung erneut. Das Plug-in spricht mit den Servern über den eigenen JDBC-Treiber von PostgreSQL, in einem eigenen Class Loader.

Datendienst hinzufügen

1. Öffnen Sie Datenberechtigungen → Datendienste, fügen Sie einen Dienst hinzu und wählen Sie PostgreSQL (postgresql).
2. Geben Sie einen Server als host:port an, oder mehrere Server.
3. Wählen Sie, wie sich der Lookup-Benutzer anmeldet, geben Sie seinen Benutzernamen und seine Zugangsdaten ein, testen Sie die Verbindung und speichern Sie den Dienst. Der Test meldet sich an und beschreibt den Server: seine PostgreSQL-Version, den angemeldeten Benutzer und wie viele Datenbanken der Server hat.

Der Lookup-Benutzer lässt GrantForge Ressourcen entdecken; er ist von den Benutzern getrennt, die lesen und schreiben. Ein erfolgreicher Verbindungstest bedeutet nicht, dass der Zugriff bereits Richtlinien unterliegt.

Die Einstellungen einer Anmeldeart werden bei einer anderen abgelehnt, sodass ein Dienst genau angibt, wie er sich anmeldet. Der Treiber von PostgreSQL lehnt eine Schlüsseldatei ab, die andere als ihr Eigentümer lesen dürfen. Eine abgelehnte Anmeldung, eine fehlende Datenbank, ein nicht erreichbarer Server oder einer, dessen Zertifikat sich nicht prüfen lässt, werden als solche gemeldet.

Was der Lookup-Benutzer sieht

Die Kataloge von PostgreSQL zeigen jedem Benutzer die Namen der Datenbanken und in jeder Datenbank, mit der er sich verbinden darf, die Namen der Schemas, Tabellen und Spalten, ohne Daten zu lesen. Der Lookup-Benutzer braucht nur CONNECT für die Datenbanken, für die Richtlinien geschrieben werden sollen; PUBLIC hat es, sofern es nicht entzogen wurde. Ein Lookup von Schemas, Tabellen oder Spalten meldet sich an jeder Datenbank an, die die Richtlinie nennt, höchstens 20, und überspringt die, mit denen sich der Lookup-Benutzer nicht verbinden darf. Die eigenen Schemas von PostgreSQL, die mit pg_ beginnenden und information_schema, sind ausgenommen: Richtlinien entscheiden sie nicht.

Ressourcen und Zugriffsarten

Lesen, Einfügen und Ändern werden je Spalte entschieden, wie PostgreSQL sie vergibt: Eine Richtlinie für select, insert oder update nennt Spalten, * für alle. So kann eine Richtlinie eine Tabelle erlauben und eine Spalte davon verweigern, und der Benutzer darf jede andere Spalte lesen. In Richtlinienwerten passt * auf beliebig viele Zeichen und ? auf eines. Der Richtlinieneditor schlägt die Datenbanken vor, die Schemas der Datenbanken, die eine Richtlinie nennt, ihre Tabellen und Spalten.

Was eine Richtlinie erlaubt, zu erreichen, braucht mehr von PostgreSQL: CONNECT für die Datenbank, USAGE für das Schema und, um in eine Serial-Spalte einzufügen, USAGE für deren Sequenz. Sie sind keine eigenen Zugriffsarten: Der Agent vergibt sie mit dem, was sie braucht. PostgreSQL hat keine Spaltenmaskierung, daher bietet dieser Diensttyp keine.

Zeilenfilter

Eine Zeilenfilterrichtlinie auf einer Tabelle zeigt ihren Benutzern die Zeilen, für die eine Bedingung gilt. Die Bedingung ist ein PostgreSQL-Ausdruck, wie ihn das USING einer Zeilensicherheitsrichtlinie nimmt, etwa region = 'EU' oder owner = current_user. Ein Benutzer sieht den Filter der ersten Richtlinie, die für ihn gilt, wie bei den anderen Diensten. PostgreSQL filtert nur die Zeilen von Tabellen und partitionierten Tabellen: Eine Sicht oder Ähnliches, deren Zeilen eine Richtlinie für einen Benutzer filtert, kann dieser Benutzer gar nicht lesen.

Richtlinienbeispiel

Angenommen, der Server hat die Datenbanken sales und hr, und sales hat das Schema crm. Legen Sie diese aktivierten Richtlinien im selben Datendienst an:

Sobald der Agent den neuen Snapshot angewendet hat, lesen Mitglieder von analysts jede Tabelle von crm außer den Kartennummern von orders; ingest fügt in orders ein, seine Serial-IDs eingeschlossen, und liest nichts; Mitglieder von data-team legen Schemas an und in denen, deren Name mit team_ beginnt, Tabellen, die sie lesen, ändern und leeren; und emea sieht, wenn eine Richtlinie es orders lesen lässt, nur die Zeilen der eigenen Region.

Richtlinien durchsetzen

Das Dienst-Plug-in verwaltet Richtlinien und schlägt Ressourcen nach. Sie durchzusetzen braucht den PostgreSQL-Agenten, einen je Server oder Primärserver. Bereitstellung und Prüfungen stehen unter PostgreSQL-Agent.

Weitere Anleitungen

• Datendienste, Richtlinien und Agenten
• PostgreSQL-Agent
• Plug-ins und Diensttypen