Como você cria um usuário somente leitura no PostgreSQL?

Eu gostaria de criar um usuário no PostgreSQL que só possa fazer SELECTs de um banco de dados específico. No MySQL, o comando seria:

GRANT SELECT ON mydb.* TO 'xxx'@'%' IDENTIFIED BY 'yyy';

Qual é o comando equivalente ou a série de comandos no PostgreSQL?

Eu tentei...

postgres=# CREATE ROLE xxx LOGIN PASSWORD 'yyy';
postgres=# GRANT SELECT ON DATABASE mydb TO xxx;

Mas parece que as únicas coisas que você pode conceder em um banco de dados são CREATE, CONNECT, TEMPORARY e TEMP.

Conceder uso / selecionar a uma única tabela

Se você conceder apenas CONNECT a um banco de dados, o usuário poderá se conectar, mas não terá outros privilégios. Você deve conceder USAGE em namespaces (esquemas) e SELECT em tabelas e visualizações individualmente da seguinte forma:

GRANT CONNECT ON DATABASE mydb TO xxx;
-- This assumes you're actually connected to mydb..
GRANT USAGE ON SCHEMA public TO xxx;
GRANT SELECT ON mytable TO xxx;

Várias tabelas / visualizações (PostgreSQL 9.0+)

Nas versões mais recentes do PostgreSQL, você pode conceder permissões em todas as tabelas / visualizações / etc no esquema usando um único comando, em vez de digitá-las uma a uma:

GRANT SELECT ON ALL TABLES IN SCHEMA public TO xxx;

Isso afeta apenas tabelas que já foram criadas. Mais poderosamente, você pode automaticamente atribuir funções padrão a novos objetos no futuro:

ALTER DEFAULT PRIVILEGES IN SCHEMA public
   GRANT SELECT ON TABLES TO xxx;

Observe que, por padrão, isso afetará apenas objetos (tabelas) criados pelo usuário que emitiu este comando: embora também possa ser definido em qualquer função da qual o usuário emissor seja membro. No entanto, você não obtém privilégios padrão para todas as funções de que você é membro ao criar novos objetos ... então ainda há alguns problemas por aí. Se você adotar a abordagem de que um banco de dados tem uma função proprietária e as alterações de esquema são executadas como essa função proprietária, você deve atribuir privilégios padrão a essa função proprietária. IMHO, tudo isso é um pouco confuso e você pode precisar experimentar para criar um fluxo de trabalho funcional.

Várias tabelas / visualizações (versões do PostgreSQL anteriores à 9.0)

Para evitar erros em alterações longas e com várias tabelas, é recomendável usar o seguinte processo 'automático' para gerar o necessário GRANT SELECTpara cada tabela / exibição:

SELECT 'GRANT SELECT ON ' || relname || ' TO xxx;'
FROM pg_class JOIN pg_namespace ON pg_namespace.oid = pg_class.relnamespace
WHERE nspname = 'public' AND relkind IN ('r', 'v', 'S');

Isso deve gerar os comandos GRANT relevantes para GRANT SELECT em todas as tabelas, visualizações e sequências em público, para o amor de copiar e colar. Naturalmente, isso será aplicado apenas a tabelas que já foram criadas.

Observe que o PostgreSQL 9.0 (hoje em teste beta) terá uma maneira simples de fazer isso :

test=> GRANT SELECT ON ALL TABLES IN SCHEMA public TO joeuser;

Referência retirada deste blog:

Script para criar usuário somente leitura:

CREATE ROLE Read_Only_User WITH LOGIN PASSWORD 'Test1234' 
NOSUPERUSER INHERIT NOCREATEDB NOCREATEROLE NOREPLICATION VALID UNTIL 'infinity';

Atribua permissão a este usuário somente leitura:

GRANT CONNECT ON DATABASE YourDatabaseName TO Read_Only_User;
GRANT USAGE ON SCHEMA public TO Read_Only_User;
GRANT SELECT ON ALL TABLES IN SCHEMA public TO Read_Only_User;
GRANT SELECT ON ALL SEQUENCES IN SCHEMA public TO Read_Only_User;

Atribua permissões para ler todas as novas tabelas criadas no futuro

ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO Read_Only_User;

Aqui está a melhor maneira que eu encontrei para adicionar usuários somente leitura (usando o PostgreSQL 9.0 ou mais recente):

$ sudo -upostgres psql postgres
postgres=# CREATE ROLE readonly WITH LOGIN ENCRYPTED PASSWORD '<USE_A_NICE_STRONG_PASSWORD_PLEASE';
postgres=# GRANT SELECT ON ALL TABLES IN SCHEMA public TO readonly;

Em seguida, efetue login em todas as máquinas relacionadas (master + read-slave (s) / hot-standby (s), etc.) e execute:

$ echo "hostssl <PUT_DBNAME_HERE> <PUT_READONLY_USERNAME_HERE> 0.0.0.0/0 md5" | sudo tee -a /etc/postgresql/9.2/main/pg_hba.conf
$ sudo service postgresql reload

Por padrão, novos usuários terão permissão para criar tabelas. Se você planeja criar um usuário somente leitura, provavelmente não é isso que você deseja.

Para criar um verdadeiro usuário somente leitura com o PostgreSQL 9.0+, execute as seguintes etapas:

# This will prevent default users from creating tables
REVOKE CREATE ON SCHEMA public FROM public;

# If you want to grant a write user permission to create tables
# note that superusers will always be able to create tables anyway
GRANT CREATE ON SCHEMA public to writeuser;

# Now create the read-only user
CREATE ROLE readonlyuser WITH LOGIN ENCRYPTED PASSWORD 'strongpassword';
GRANT SELECT ON ALL TABLES IN SCHEMA public TO readonlyuser;

Se o usuário somente leitura não tiver permissão para listar tabelas (ou seja, \dnão retorna resultados), provavelmente é porque você não tem USAGEpermissões para o esquema. USAGEé uma permissão que permite aos usuários realmente usar as permissões que foram atribuídas. Qual o sentido disso? Não tenho certeza. Consertar:

# You can either grant USAGE to everyone
GRANT USAGE ON SCHEMA public TO public;

# Or grant it just to your read only user
GRANT USAGE ON SCHEMA public TO readonlyuser;

Eu criei um script conveniente para isso; pg_grant_read_to_db.sh . Esse script concede privilégios somente leitura a uma função especificada em todas as tabelas, visualizações e sequências em um esquema de banco de dados e os define como padrão.

Eu li através de todas as soluções possíveis, tudo bem, se você se lembrar de se conectar ao banco de dados antes de conceder as coisas;) De qualquer forma, obrigado por todas as outras soluções !!!

user@server:~$ sudo su - postgres

crie usuário psql:

postgres@server:~$ createuser --interactive 
Enter name of role to add: readonly
Shall the new role be a superuser? (y/n) n
Shall the new role be allowed to create databases? (y/n) n
Shall the new role be allowed to create more new roles? (y/n) n

inicie o psql cli e defina uma senha para o usuário criado:

postgres@server:~$ psql
psql (10.6 (Ubuntu 10.6-0ubuntu0.18.04.1), server 9.5.14)
Type "help" for help.

postgres=# alter user readonly with password 'readonly';
ALTER ROLE

conecte-se ao banco de dados de destino:

postgres=# \c target_database 
psql (10.6 (Ubuntu 10.6-0ubuntu0.18.04.1), server 9.5.14)
You are now connected to database "target_database" as user "postgres".

conceda todos os privilégios necessários:

target_database=# GRANT CONNECT ON DATABASE target_database TO readonly;
GRANT

target_database=# GRANT USAGE ON SCHEMA public TO readonly ;
GRANT

target_database=# GRANT SELECT ON ALL TABLES IN SCHEMA public TO readonly ;
GRANT

altere privilégios padrão para destinos db public shema:

target_database=# ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT ON TABLES TO readonly;
ALTER DEFAULT PRIVILEGES

Se seu banco de dados estiver no esquema público, é fácil (isso pressupõe que você já criou o readonlyuser)

db=> GRANT SELECT ON ALL TABLES IN SCHEMA public to readonlyuser;
GRANT
db=> GRANT CONNECT ON DATABASE mydatabase to readonlyuser;
GRANT
db=> GRANT SELECT ON ALL SEQUENCES IN SCHEMA public to readonlyuser;
GRANT

Se seu banco de dados estiver usando customschema, execute o procedimento acima, mas adicione mais um comando:

db=> ALTER USER readonlyuser SET search_path=customschema, public;
ALTER ROLE

A maneira não simples de fazer isso seria conceder a seleção em cada tabela do banco de dados:

postgres=# grant select on db_name.table_name to read_only_user;

Você pode automatizar isso gerando suas instruções de concessão a partir dos metadados do banco de dados.

CREATE USER username SUPERUSER  password 'userpass';
ALTER USER username set default_transaction_read_only = on;

Retirado de um link publicado em resposta ao link despesz ' .

O Postgres 9.x parece ter a capacidade de fazer o que é solicitado. Consulte o parágrafo Conceder sobre objetos de banco de dados de:

http://www.postgresql.org/docs/current/interactive/sql-grant.html

Onde diz: "Também há uma opção para conceder privilégios em todos os objetos do mesmo tipo em um ou mais esquemas. Atualmente, essa funcionalidade é suportada apenas por tabelas, sequências e funções (mas observe que TODAS AS TABELAS são consideradas como exibições de exibição e tabelas estrangeiras) ".

Esta página também discute o uso de ROLEs e um PRIVILEGE chamado "ALL PRIVILEGES".

Também estão presentes informações sobre como as funcionalidades do GRANT se comparam aos padrões SQL.