Sto cercando di creare utenti DB limitati per l'app su cui sto lavorando e desidero eliminare l'utente del database Postgres che sto utilizzando per la sperimentazione. Esiste un modo per abbandonare l'utente senza dover prima revocare manualmente tutti i suoi diritti o revocare tutte le concessioni di cui dispone un utente?
Risposte:
Che ne dite di
DROP USER <username>Questo è in realtà un alias per DROP ROLE.
Devi eliminare esplicitamente tutti i privilegi associati a quell'utente, anche per trasferirne la proprietà ad altri ruoli (o rilasciare l'oggetto).
Il modo migliore per farlo è
REASSIGN OWNED BY <olduser> TO <newuser>e
DROP OWNED BY <olduser>Quest'ultimo rimuoverà tutti i privilegi concessi all'utente.
Vedi i documenti di postgres per DROP ROLE e la descrizione più dettagliata di questo.
aggiunta:
Apparentemente, provare a eliminare un utente utilizzando i comandi menzionati qui funzionerà solo se li stai eseguendo mentre sei connesso allo stesso database da cui sono stati creati i GRANTS originali, come discusso qui:
La risposta accettata ha provocato errori per me durante il tentativo di REASSIGN OWNED BY o DROP OWNED BY. Quanto segue ha funzionato per me:
REVOKE ALL PRIVILEGES ON ALL TABLES IN SCHEMA public FROM username;
REVOKE ALL PRIVILEGES ON ALL SEQUENCES IN SCHEMA public FROM username;
REVOKE ALL PRIVILEGES ON ALL FUNCTIONS IN SCHEMA public FROM username;
DROP USER username;L'utente potrebbe avere privilegi in altri schemi, nel qual caso dovrai eseguire la riga REVOKE appropriata con "public" sostituita dallo schema corretto. Per mostrare tutti gli schemi e i tipi di privilegi per un utente, ho modificato il comando \ dp per fare questa query:
SELECT
n.nspname as "Schema",
CASE c.relkind
WHEN 'r' THEN 'table'
WHEN 'v' THEN 'view'
WHEN 'm' THEN 'materialized view'
WHEN 'S' THEN 'sequence'
WHEN 'f' THEN 'foreign table'
END as "Type"
FROM pg_catalog.pg_class c
LEFT JOIN pg_catalog.pg_namespace n ON n.oid = c.relnamespace
WHERE pg_catalog.array_to_string(c.relacl, E'\n') LIKE '%username%';Non sono sicuro di quali tipi di privilegi corrispondano alla revoca su TABELLE, SEQUENZE o FUNZIONI, ma penso che tutti rientrino in uno dei tre.
REVOKE ALL PRIVILEGES ON DATABASE db_name FROM username;
revoke USAGE on SCHEMA some_schema from username;
Nota inoltre, se hai esplicitamente concesso:
CONNECT ON DATABASE xxx TO GROUP ,
dovrai revocarlo separatamente da DROP OWNED BY, utilizzando:
REVOKE CONNECT ON DATABASE xxx FROM GROUP
Ho dovuto aggiungere un'altra riga a REVOKE ...
Dopo l'esecuzione:
REVOKE ALL PRIVILEGES ON ALL TABLES IN SCHEMA public FROM username;
REVOKE ALL PRIVILEGES ON ALL SEQUENCES IN SCHEMA public FROM username;
REVOKE ALL PRIVILEGES ON ALL FUNCTIONS IN SCHEMA public FROM username;Ricevo ancora l'errore: il nome utente non può essere eliminato perché alcuni oggetti dipendono da esso DETTAGLI: privilegi per lo schema pubblico
Mi mancava questo:
REVOKE USAGE ON SCHEMA public FROM username;Poi ho potuto abbandonare il ruolo.
DROP USER username;Ecco cosa ha finalmente funzionato per me:
REVOKE ALL PRIVILEGES ON ALL TABLES IN SCHEMA myschem FROM user_mike;
REVOKE ALL PRIVILEGES ON ALL SEQUENCES IN SCHEMA myschem FROM user_mike;
REVOKE ALL PRIVILEGES ON ALL FUNCTIONS IN SCHEMA myschem FROM user_mike;
REVOKE ALL PRIVILEGES ON SCHEMA myschem FROM user_mike;
ALTER DEFAULT PRIVILEGES IN SCHEMA myschem REVOKE ALL ON SEQUENCES FROM user_mike;
ALTER DEFAULT PRIVILEGES IN SCHEMA myschem REVOKE ALL ON TABLES FROM user_mike;
ALTER DEFAULT PRIVILEGES IN SCHEMA myschem REVOKE ALL ON FUNCTIONS FROM user_mike;
REVOKE USAGE ON SCHEMA myschem FROM user_mike;
REASSIGN OWNED BY user_mike TO masteruser;
DROP USER user_mike ;Non c'è REVOKE ALL PRIVILEGES ON ALL VIEWS, quindi ho concluso con:
do $$
DECLARE r record;
begin
for r in select * from pg_views where schemaname = 'myschem'
loop
execute 'revoke all on ' || quote_ident(r.schemaname) ||'.'|| quote_ident(r.viewname) || ' from "XUSER"';
end loop;
end $$;e al solito:
REVOKE ALL PRIVILEGES ON DATABASE mydb FROM "XUSER";
REVOKE ALL PRIVILEGES ON SCHEMA myschem FROM "XUSER";
REVOKE ALL PRIVILEGES ON ALL TABLES IN SCHEMA myschem FROM "XUSER";
REVOKE ALL PRIVILEGES ON ALL SEQUENCES IN SCHEMA myschem FROM "XUSER";
REVOKE ALL PRIVILEGES ON ALL FUNCTIONS IN SCHEMA myschem FROM "XUSER";affinché quanto segue abbia successo:
drop role "XUSER";Ho affrontato lo stesso problema e ora ho trovato un modo per risolverlo. Per prima cosa devi eliminare il database dell'utente che desideri eliminare. Quindi l'utente può essere facilmente eliminato.
Ho creato un utente denominato "msf" e ho faticato un po 'per eliminare l'utente e ricrearlo. Ho seguito i passaggi seguenti e ci sono riuscito.
1) Elimina il database
dropdb msf2) rilascia l'utente
dropuser msfOra ho eliminato l'utente con successo.
CREATE TABLE foo(bar SERIAL); ALTER TABLE foo OWNER TO postgres; CREATE USER testuser; GRANT ALL ON foo TO testuser; DROP USER testuserha dato i messaggi di errore:ERROR: role "testuser" cannot be dropped because some objects depend on it DETAIL: access to table foo. Tuttavia, haDROP OWNED BY testuserfatto il trucco, a quanto pare Postgres considera le sovvenzioni come oggetti rilasciabili.