Che cosa fa esattamente l'uso di GRANT USAGE ON SCHEMA?

Sto cercando di creare per la prima volta un database Postgres, quindi questa è probabilmente una domanda stupida. Ho assegnato i permessi di sola lettura di base al ruolo db che deve accedere al database dai miei script php, e ho una curiosità: se eseguo

GRANT some_or_all_privileges ON ALL TABLES IN SCHEMA schema TO role;

c'è bisogno di eseguire anche

GRANT USAGE ON SCHEMA schema TO role;

?

Dalla documentazione :

UTILIZZO: per gli schemi, consente l'accesso agli oggetti contenuti nello schema specificato (assumendo che siano soddisfatti anche i requisiti di privilegio degli oggetti). In sostanza, ciò consente al beneficiario di "cercare" oggetti all'interno dello schema.

Penso che se posso selezionare o manipolare qualsiasi dato contenuto nello schema, posso accedere a qualsiasi oggetto dello schema stesso. Ho sbagliato? In caso contrario, a cosa GRANT USAGE ON SCHEMAserve? E cosa significa esattamente la documentazione con "presumere che anche i requisiti di privilegio degli oggetti siano soddisfatti"?

GRANTI messaggi su oggetti diversi sono separati. GRANTing su un database non ha GRANTdiritti sullo schema all'interno. Allo stesso modo, l' GRANTing su uno schema non concede i diritti sulle tabelle all'interno.

Se si dispone dei diritti per SELECTda una tabella, ma non il diritto di visualizzarla nello schema che la contiene, non è possibile accedere alla tabella.

I test dei diritti vengono eseguiti in ordine:

Do you have `USAGE` on the schema? 
    No:  Reject access. 
    Yes: Do you also have the appropriate rights on the table? 
        No:  Reject access. 
        Yes: Check column privileges.

La tua confusione può derivare dal fatto che lo publicschema ha un valore predefinito GRANTdi tutti i diritti sul ruolo public, di cui ogni utente / gruppo è membro. Quindi tutti hanno già utilizzato quello schema.

La frase:

(supponendo che siano soddisfatti anche i requisiti di privilegio degli oggetti)

Sta dicendo che devi avere USAGEsu uno schema per usare gli oggetti al suo interno, ma avere USAGEsu uno schema non è di per sé sufficiente per usare gli oggetti all'interno dello schema, devi anche avere i diritti sugli oggetti stessi.

È come un albero di directory. Se crei una directory somedircon un file somefileal suo interno, impostala in modo che solo il tuo utente possa accedere alla directory o al file (modalità rwx------sulla directory , modalità rw-------sul file), nessun altro può elencare la directory per vedere che il file esiste.

Se dovessi concedere i diritti di lettura globale sul file (modalità rw-r--r--) ma non modificare i permessi della directory, non farebbe differenza. Nessuno può vedere il file per leggerlo, perché non ha i diritti per elencare la directory.

Se invece si imposta rwx-r-xr-xsulla directory, impostandola in modo che le persone possano elencare e attraversare la directory ma senza modificare i permessi del file, le persone potrebbero elencare il file ma non potrebbero leggerlo perché non avrebbero accesso al file.

È necessario impostare entrambe le autorizzazioni affinché le persone possano effettivamente visualizzare il file.

Stessa cosa a Pg. Hai bisogno sia dei USAGEdiritti dello schema che dei diritti dell'oggetto per eseguire un'azione su un oggetto, come SELECTda una tabella.

(L'analogia cade un po 'in quanto PostgreSQL non ha ancora la sicurezza a livello di riga, quindi l'utente può ancora "vedere" che la tabella esiste nello schema SELECTinserendola pg_classdirettamente. Non può interagire con essa in alcun modo , però, quindi è solo la parte "elenco" che non è esattamente la stessa.)

Per un sistema di produzione, puoi utilizzare questa configurazione:

--ACCESS DB
REVOKE CONNECT ON DATABASE nova FROM PUBLIC;
GRANT  CONNECT ON DATABASE nova  TO user;

--ACCESS SCHEMA
REVOKE ALL     ON SCHEMA public FROM PUBLIC;
GRANT  USAGE   ON SCHEMA public  TO user;

--ACCESS TABLES
REVOKE ALL ON ALL TABLES IN SCHEMA public FROM PUBLIC ;
GRANT SELECT                         ON ALL TABLES IN SCHEMA public TO read_only ;
GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO read_write ;
GRANT ALL                            ON ALL TABLES IN SCHEMA public TO admin ;

Bene, questa è la mia soluzione finale per un semplice db, per Linux:

# Read this before!
#
# * roles in postgres are users, and can be used also as group of users
# * $ROLE_LOCAL will be the user that access the db for maintenance and
#   administration. $ROLE_REMOTE will be the user that access the db from the webapp
# * you have to change '$ROLE_LOCAL', '$ROLE_REMOTE' and '$DB'
#   strings with your desired names
# * it's preferable that $ROLE_LOCAL == $DB

#-------------------------------------------------------------------------------

//----------- SKIP THIS PART UNTIL POSTGRES JDBC ADDS SCRAM - START ----------//

cd /etc/postgresql/$VERSION/main
sudo cp pg_hba.conf pg_hba.conf_bak
sudo -e pg_hba.conf

# change all `md5` with `scram-sha-256`
# save and exit

//------------ SKIP THIS PART UNTIL POSTGRES JDBC ADDS SCRAM - END -----------//

sudo -u postgres psql

# in psql:
create role $ROLE_LOCAL login createdb;
\password $ROLE_LOCAL
create role $ROLE_REMOTE login;
\password $ROLE_REMOTE

create database $DB owner $ROLE_LOCAL encoding "utf8";
\connect $DB $ROLE_LOCAL

# Create all tables and objects, and after that:

\connect $DB postgres

revoke connect on database $DB from public;
revoke all on schema public from public;
revoke all on all tables in schema public from public;

grant connect on database $DB to $ROLE_LOCAL;
grant all on schema public to $ROLE_LOCAL;
grant all on all tables in schema public to $ROLE_LOCAL;
grant all on all sequences in schema public to $ROLE_LOCAL;
grant all on all functions in schema public to $ROLE_LOCAL;

grant connect on database $DB to $ROLE_REMOTE;
grant usage on schema public to $ROLE_REMOTE;
grant select, insert, update, delete on all tables in schema public to $ROLE_REMOTE;
grant usage, select on all sequences in schema public to $ROLE_REMOTE;
grant execute on all functions in schema public to $ROLE_REMOTE;

alter default privileges for role $ROLE_LOCAL in schema public
    grant all on tables to $ROLE_LOCAL;

alter default privileges for role $ROLE_LOCAL in schema public
    grant all on sequences to $ROLE_LOCAL;

alter default privileges for role $ROLE_LOCAL in schema public
    grant all on functions to $ROLE_LOCAL;

alter default privileges for role $ROLE_REMOTE in schema public
    grant select, insert, update, delete on tables to $ROLE_REMOTE;

alter default privileges for role $ROLE_REMOTE in schema public
    grant usage, select on sequences to $ROLE_REMOTE;

alter default privileges for role $ROLE_REMOTE in schema public
    grant execute on functions to $ROLE_REMOTE;

# CTRL+D