一文认识三权分立

SYSADMIN

允许用户创建数据库，创建表空间
允许用户创建用户/角色
允许用户查看、删除审计日志
允许用户查看其它用户的数据

MONADMIN

允许用户对系统模式dbe_perf及该模式下的监控视图或函数进行查看和权限管理

OPRADMIN

允许用户使用Roach工具执行数据库备份和恢复

POLADMIN

允许用户创建资源标签、创建动态数据脱敏策略和统一审计策略

AUDITADMIN

允许用户查看、删除审计日志

CREATEDB

允许用户创建数据库

USEFT

允许用户创建外表

CREATEROLE

允许用户创建用户/角色

INHERIT

允许用户继承所在组的角色的权限

LOGIN

允许用户登录数据库

REPLICATION

允许用户执行流复制相关操作

TABLESPACE

CREATE

允许用户在指定的表空间中创建表

ALTER

允许用户对指定的表空间执行ALTER语句修改属性

DROP

允许用户删除指定的表空间

COMMENT

允许用户对指定的表空间定义或修改注释

DATABASE

CONNECT

允许用户连接到指定的数据库

TEMP

允许用户在指定的数据库中创建临时表

CREATE

允许用户在指定的数据库里创建模式

ALTER

允许用户对指定的数据库执行ALTER语句修改属性

DROP

允许用户删除指定的数据库

COMMENT

允许用户对指定的数据库定义或修改注释

SCHEMA

CREATE

允许用户在指定的模式中创建新的对象

USAGE

允许用户访问包含在指定模式内的对象

ALTER

允许用户对指定的模式执行ALTER语句修改属性

DROP

允许用户删除指定的模式

COMMENT

允许用户对指定的模式定义或修改注释

FUNCTION

EXECUTE

允许用户使用指定的函数

ALTER

允许用户对指定的函数执行ALTER语句修改属性

DROP

允许用户删除指定的函数

COMMENT

允许用户对指定的函数定义或修改注释

TABLE

INSERT

允许用户对指定的表执行INSERT语句插入数据

DELETE

允许用户对指定的表执行DELETE语句删除表中数据

UPDATE

允许用户对指定的表执行UPDATE语句

SELECT

允许用户对指定的表执行SELECT语句

TRUNCATE

允许用户执行TRUNCATE语句删除指定表中的所有记录

REFERENCES

允许用户对指定的表创建一个外键约束

TRIGGER

允许用户在指定的表上创建触发器

ALTER

允许用户对指定的表执行ALTER语句修改属性

DROP

允许用户删除指定的表

COMMENT

允许用户对指定的表定义或修改注释

INDEX

允许用户在指定表上创建索引，并管理指定表上的索引

VACUUM

允许用户对指定的表执行ANALYZE和VACUUM操作

openGauss=# \du

omm | Sysadmin, Create role, Create DB, Replication, Administer audit, Monitoradmin, Operatoradmin, Policyadmin, Us

eFT | {}

查看三权分立是否打开，off是关闭状态。

openGauss=# select name,setting,unit,context from pg_settings where name ~ 'enableSeparationOfDuty';

name | setting | unit | context

------------------------+---------+------+------------

enableSeparationOfDuty | off | | postmaster

(1 row)

通过gs_guc打开三权分立，并重启服务才能正常生效。

基于omm用户执行以下命令

gs_guc reload -Z datanode -D dn/ -c "enableSeparationOfDuty=on"

[omm@server130 ~]$ gs_om -t restart

创建数据部门的审计用户的老大auditadmin1，以及人事部用户角色组的老大createrole1，还有数据部门权限分配的老大sysadmin1

CREATE USER auditadmin1 PASSWORD 'Agmcc#1234';

alter user auditadmin1 AUDITADMIN;

CREATE USER sysadmin1 PASSWORD 'Agmcc#1234';

alter user sysadmin1 SYSADMIN;

CREATE USER createrole1 PASSWORD 'Agmcc#1234';

alter user createrole1 CREATEROLE;

openGauss=# \du

auditadmin1 | Administer audit| {}

createrole1 | Create role| {}

omm | Sysadmin, Create role, Create DB, Replication, Administer audit, Monitoradmin, Operatoradmin, Policyadmin, UseFT | {}

sysadmin1 | Sysadmin| {}

openGauss=# alter user sysadmin1 CREATEROLE;

ERROR: Separation of privileges is used,user can't be altered because of too many privileges.

openGauss=# alter user createrole1 SYSADMIN;

ERROR: Separation of privileges is used,user can't be altered because of too many privileges.

openGauss=# alter user auditadmin1 SYSADMIN;

ERROR: Separation of privileges is used,user can't be altered because of too many privileges.

GRANT usage ON schema public to newfish;

grant select on table public.t1 to newfish;