YugabyteDB YSQL中的基于角色的访问控制(RBAC)模型详解-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00026/article/details/148440777

YugabyteDB YSQL中的基于角色的访问控制(RBAC)模型详解

yugabyte-db yugabyte/yugabyte-db: 是 YugaByte DB 的官方仓库，一个高性能、高可扩展、分布式的 SQL 数据库，支持 PostgreSQL 兼容性。适合对分布式数据库、SQL 数据库和云原生应用的开发者。项目地址: https://gitcode.com/gh_mirrors/yu/yugabyte-db

概述

在现代数据库系统中，访问控制是保障数据安全的核心机制。YugabyteDB作为分布式SQL数据库，其YSQL API实现了基于角色的访问控制(RBAC)模型，这一模型源自PostgreSQL但针对分布式环境进行了优化。本文将深入解析YugabyteDB YSQL中的RBAC实现原理和使用方法。

RBAC模型三大核心要素

1. 角色(Roles)

角色是RBAC模型的基石，它可以代表：

单个数据库用户（具备登录权限的角色）
一组权限的集合（不具备登录权限的角色）

关键特性：

角色继承：角色可以授予其他角色，形成层级关系，子角色自动继承父角色的所有权限
用户即角色：拥有LOGIN权限的角色就是数据库用户
系统预置角色：YugabyteDB默认提供多个系统角色

系统预置角色详解

YugabyteDB初始化时会创建以下重要角色：

| 角色名称 | 权限级别 | 主要用途 | |--------------|----------|----------| | postgres | 超级用户 | 数据库初始化时创建的管理员角色 | | yugabyte | 超级用户 | 用于数据库维护、备份等管理操作 | | yb_extension | 普通角色 | 允许非超级用户创建扩展 | | yb_fdw | 普通角色 | 允许非超级用户管理外部数据包装器 |

yb_extension角色实践示例：

-- 创建测试角色
CREATE ROLE test;

-- 授予扩展权限
GRANT yb_extension TO test;

-- 切换角色
SET ROLE test;

-- 创建扩展
CREATE EXTENSION pgcrypto;

-- 验证扩展
SELECT * FROM pg_extension WHERE extname='pgcrypto';

2. 资源(Resources)

资源代表数据库中的各种对象，采用层次化结构组织：

数据库层级：ALL DATABASES > 单个DATABASE > 单个TABLE
角色层级：ALL ROLES > 父ROLE > 子ROLE

主要资源类型：

| 资源类型 | 描述 | |---------------|------| | DATABASE | 单个数据库及其所有表、索引 | | TABLE | 单张表及其所有索引 | | ROLE | 单个角色 | | ALL DATABASES | 集群中所有数据库 | | ALL ROLES | 集群中所有角色 |

3. 权限(Privileges)

权限定义了角色对资源可执行的操作，具有向下继承特性：

| 权限 | 适用对象 | 允许的操作 | |--------------|-----------------------|------------------------------| | ALTER | 数据库、表、角色 | 修改对象定义 | | AUTHORIZE | 数据库、表、角色 | 授予/撤销权限 | | CREATE | 数据库、表、角色、索引 | 创建对象 | | DROP | 数据库、表、角色、索引 | 删除对象 | | MODIFY | 数据库、表 | INSERT/UPDATE/DELETE/TRUNCATE | | SELECT | 数据库、表 | 查询数据 |

重要提示：对表执行CREATE INDEX或DROP INDEX操作需要具备该表的ALTER权限。