Hologres兼容PostgreSQL,采用与标准PostgreSQL语句相同的授权体系(简称专家模式)。本文为您介绍Hologres如何使用专家权限模型对用户授权及撤销授权。

专家模式授权

在Hologres实例连接开发工具后,可以使用SQL语句通过专家模式授权,使该用户具有实例的相关权限。

  1. 创建用户。
    一个账号必须先被创建成为Hologres的用户,才能访问Hologres并进行开发。可以使用如下两种方式创建用户:
    • SQL方式。
      创建用户的语句格式如下:
      //创建具有登录Hologres实例权限的用户,如果是为RAM用户授权,账号格式请使用RAM用户的表达格式。
      CREATE USER "云账号ID/云邮箱"; 
      //创建用户并授予Superuser权限。
      CREATE USER "云账号ID/云邮箱" SUPERUSER;
      您可以参照如下示例创建用户,其中更多关于阿里云账号和RAM用户的格式说明,请参见账号
      //使用阿里云账号ID创建用户。
      CREATE USER "11822780xxx";
      //授予RAM用户Superuser权限。
      CREATE USER "p4_1822780xxx" SUPERUSER; 
    • Hologres管理控制台可视化方式。

      您可以通过Hologres管理控制台使用可视化方式创建角色,详请参见新增用户

  2. 授予权限。
    将账号创建为Hologres的用户后,您需要授予用户一定的权限,该用户才能在权限范围内使用Hologres。Hologres中常用的授权操作如下表所示。
    说明 目前专家模式只能对现有实例对象进行授权,对授权后创建的内容不生效。例如,用户A对用户B授予了public模式中所有表的查看权限。当用户A创建一张新表,则用户B不具有对这张表的查看权限,需要重新授权。
    权限描述 语法示例 是否必须
    创建具有登录Hologres实例权限的用户
    CREATE USER "云账号/云邮箱";
    授予用户Superuser的权限
    CREATE USER "云账号/云邮箱" SUPERUSER ;
    可选
    授予所有用户public模式中所有表的查看、写入、及修改权限
    GRANT SELECT,INSERT,UPDATE ON ALL TABLES IN SCHEMA public to PUBLIC;
    可选
    授予用户表Table1的SELECT权限
    GRANT SELECT ON TABLE Table1 TO "云账号/云邮箱";
    可选
    授予用户表Table1的SELECT权限,并允许该用户授予此权限给其他用户
    GRANT SELECT ON TABLE Table1 TO "云账号/云邮箱" WITH GRANT OPTION;
    可选
    授予用户public模式中所有表的SELECT权限
    GRANT SELECT ON ALL TABLES IN SCHEMA public TO "云账号/云邮箱";
    可选
    默认所有用户具有public模式中所有表(包含未来表)的读权限
    ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO PUBLIC;
    可选
    创建用户组,并添加普通用户至该用户组
    CREATE GROUP xxx;
    GRANT 用户组 TO "云账号/云邮箱";
    可选
    修改普通用户为Superuser
    ALTER USER "云账号/云邮箱" SUPERUSER;
    可选
    授予其他用户表的Owner权限
    ALTER TABLE TABLENAME OWNER TO "云账号/云邮箱";
    可选
    创建没有登录Hologres实例权限的角色
    CREATE ROLE "云账号/云邮箱";
    可选
    CREATE ROLE用于创建没有登录Hologres实例权限的角色,例如代表一类具体用户的用户组或虚拟角色等。
  3. 删除表。
    只有Superuser或表Owner才可以删除表。您可以使用如下几种方法授予某个用户或多个用户删除表的权限:
    • 替换新用户为表的Owner。
      ALTER TABLE TABLENAME OWNER TO "云账号/云邮箱";
    • 授予新用户Superuser权限。
      ALTER USER "云账号/云邮箱" SUPERUSER;
    • 添加多个用户至用户组并授予表Owner权限。
      CREATE ROLE <Group1>;
      GRANT 用户组 TO "云账号/云邮箱";
      ALTER TABLE TABLENAME OWNER TO <Group1>;

未来表授权

由于专家模式授权不包含对未来表的授权,因此需要使用ALTER DEFAULT PRIVILEGES语句对未来表进行授权。具体操作步骤如下:
说明
  • 该命令语句不影响已有的逻辑对象。
  • 该命令语句只能设置TABLE、SCHEMA、FUNCTION、SEQUENCE或TYPE的默认权限。
  1. 设置默认权限。
    设置所有用户默认对public模式中新创建的表具有读权限。示例语句如下。
    ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO PUBLIC;
  2. 查看默认权限是否设置成功。
    使用\ddp命令在Psql客户端查看ALTER DEFAULT PRIVILEGES是否设置成功。
    创建新表时,Hologres会使用当前用户和模式去匹配系统表pg_catalog.pg_default_acl。如果检查到匹配项ALTER DEFAULT PRIVILEGES,则为用户添加匹配项规则。当前用户说明如下:
    • 如果当前用户是User,则创建表时使用User进行匹配。
    • 如果用户User创建表之前执行了SET SESSION ROLE GROUP1;语句,此时当前用户就变为GROUP1,则创建表时使用GROUP1进行匹配。
    匹配规则只在创建表时执行,在创建表之后执行ALTER TABLE SET OWNER TO语句修改表Owner,不会触发对应匹配项规则。

专家模式撤销授权

使用REVOKE语句撤销用户权限的示例如下。
REVOKE SELECT ON TABLE tablename FROM "云账号ID/云邮箱" ; //如果是RAM用户,账号格式请使用RAM用户的表达格式。

查看权限

您可以使用以下两种方式查看实例中用户的权限:
  • SQL方式。
    通过以下SQL命令查看用户的角色及权限。
    SELECT ROLNAME FROM pg_roles;
    SELECT user_display_name(ROLNAME) FROM pg_roles;
  • Hologres管理控制台可视化方式。
    您可以在Hologres管理控制台 > Hologres引擎管理页面,单击实例名称,进入实例详情页的用户管理页签,查看相应用户的角色权限。729

删除用户

您可以使用以下两种方式删除实例中的RAM用户:
注意 RAM用户被删除后,将不能连接实例并访问实例内的任何对象,请您谨慎操作。
  • SQL方式。
    使用以下SQL命令删除RAM用户。
    DROP USER "云账号ID/云邮箱";
  • Hologres管理控制台可视化方式。
    您可以在Hologres管理控制台 > Hologres引擎管理页面,单击实例名称,进入实例详情页的用户管理页签,单击目标成员操作列的删除729