# 步骤1：角色设计
– 设计角色层次结构
– 定义角色职责
– 创建必要的角色
– 配置角色继承关系

# 步骤2：权限配置
– 授予数据库权限
– 授予模式权限
– 授予表权限
– 授予其他对象权限

# 步骤3：认证配置
– 编辑pg_hba.conf文件
– 配置认证方法
– 设置访问控制规则
– 测试认证配置

# 步骤4：默认权限
– 设置默认表权限
– 设置默认序列权限
– 设置默认函数权限
– 测试默认权限

# 步骤5：审计配置
– 配置审计日志
– 监控权限变更
– 跟踪用户活动
– 建立审计流程

# 步骤6：测试验证
– 测试用户访问
– 验证权限控制
– 测试认证流程
– 验证审计功能

# 步骤7：文档记录
– 记录角色结构
– 记录权限配置
– 记录认证配置
– 记录审计设置

# 步骤8：培训与维护
– 培训权限管理员
– 建立权限维护流程
– 定期权限审查
– 持续优化权限配置

# 场景：在生产环境中配置PostgreSQL权限

# 步骤1：角色设计
– 创建角色层次结构：
— 创建管理员角色
CREATE ROLE fgedu_admin NOLOGIN;

— 创建开发角色
CREATE ROLE fgedu_dev NOLOGIN;

— 创建只读角色
CREATE ROLE fgedu_readonly NOLOGIN;

— 创建登录角色
CREATE ROLE fgedu_admin_fgedu WITH LOGIN PASSWORD ‘password’ IN ROLE fgedu_admin;
CREATE ROLE fgedu_dev_fgedu WITH LOGIN PASSWORD ‘password’ IN ROLE fgedu_dev;
CREATE ROLE fgedu_read_fgedu WITH LOGIN PASSWORD ‘password’ IN ROLE fgedu_readonly;

# 步骤2：权限配置
– 授予数据库权限：
GRANT CONNECT ON DATABASE fgedudb TO fgedu_admin, fgedu_dev, fgedu_readonly;

– 授予模式权限：
GRANT USAGE ON SCHEMA public TO fgedu_admin, fgedu_dev, fgedu_readonly;
GRANT CREATE ON SCHEMA public TO fgedu_admin, fgedu_dev;

– 授予表权限：
GRANT ALL PRIVILEGES ON ALL TABLES IN SCHEMA public TO fgedu_admin;
GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO fgedu_dev;
GRANT SELECT ON ALL TABLES IN SCHEMA public TO fgedu_readonly;

# 步骤3：认证配置
– 编辑pg_hba.conf文件：
vim /postgresql/fgdata/pg_hba.conf

– 配置认证方法：
fgedu.net.cn all fgedu_admin_fgedu 192.168.1.0/24 scram-sha-256
fgedu.net.cn all fgedu_dev_fgedu 192.168.1.0/24 scram-sha-256
fgedu.net.cn all fgedu_read_fgedu 192.168.1.0/24 scram-sha-256

# 步骤4：默认权限
– 设置默认表权限：
ALTER DEFAULT PRIVILEGES FOR ROLE fgedu_admin IN SCHEMA public
GRANT ALL PRIVILEGES ON TABLES TO fgedu_admin;

ALTER DEFAULT PRIVILEGES FOR ROLE fgedu_admin IN SCHEMA public
GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO fgedu_dev;

ALTER DEFAULT PRIVILEGES FOR ROLE fgedu_admin IN SCHEMA public
GRANT SELECT ON TABLES TO fgedu_readonly;

# 步骤5：审计配置
– 配置审计日志：
# 在postgresql.conf中设置
log_statement = ‘all’
log_line_prefix = ‘%t [%p]: [%l-1] fgedu=%u,db=%d,fgapp=%a,client=%h ‘

# 步骤6：测试验证
– 测试用户访问：
psql -h 192.168.1.100 -U fgedu_read_fgedu -d fgedudb -c “SELECT * FROM fgedu_fgedus;”
psql -h 192.168.1.100 -U fgedu_read_fgedu -d fgedudb -c “INSERT INTO fgedu_fgedus (name) VALUES (‘test’);” — 应该失败

– 验证权限控制：
psql -h 192.168.1.100 -U fgedu_dev_fgedu -d fgedudb -c “INSERT INTO fgedu_fgedus (name) VALUES (‘test’);”

# 步骤7：文档记录
– 记录角色结构：
# 文档化角色层次和权限

– 记录权限配置：
# 文档化权限授予情况

# 步骤8：培训与维护
– 培训权限管理员：
# 组织权限管理培训

– 定期权限审查：
# 制定定期审查计划

# 结果：
– PostgreSQL权限配置成功
– 权限控制有效
– 认证配置正确
– 审计功能正常
– 系统安全性提高

# 1. 角色管理
– 创建和删除角色
– 修改角色属性
– 管理角色继承
– 管理角色成员

# 2. 权限管理
– 授予和撤销权限
– 管理对象权限
– 管理模式权限
– 管理数据库权限

# 3. 认证管理
– 配置pg_hba.conf
– 管理认证方法
– 管理用户密码
– 配置SSL认证

# 4. 默认权限管理
– 设置默认表权限
– 设置默认序列权限
– 设置默认函数权限
– 管理默认权限

# 5. 审计管理
– 配置审计日志
– 分析审计数据
– 监控权限变更
– 生成审计报告

# 6. 安全管理
– 实施访问控制
– 保护敏感数据
– 防止权限滥用
– 定期安全检查

# 7. 故障管理
– 处理权限故障
– 应对认证失败
– 恢复权限配置
– 解决权限冲突

# 8. 文档管理
– 记录权限配置
– 文档化角色结构
– 记录认证配置
– 更新权限文档

# 场景：管理PostgreSQL权限

# 步骤1：角色管理
– 创建角色：
CREATE ROLE fgedu_new_role WITH LOGIN PASSWORD ‘password’;

– 修改角色属性：
ALTER ROLE fgedu_new_role WITH NOSUPERUSER NOCREATEDB NOCREATEROLE;

– 管理角色继承：
GRANT fgedu_readonly TO fgedu_new_role;

– 管理角色成员：
REVOKE fgedu_readonly FROM fgedu_new_role;

# 步骤2：权限管理
– 授予表权限：
GRANT SELECT, INSERT ON fgedu_fgedus TO fgedu_new_role;

– 撤销表权限：
REVOKE INSERT ON fgedu_fgedus FROM fgedu_new_role;

– 管理模式权限：
GRANT USAGE ON SCHEMA public TO fgedu_new_role;

# 步骤3：认证管理
– 编辑pg_hba.conf：
vim /postgresql/fgdata/pg_hba.conf

– 配置认证方法：
fgedu.net.cn all fgedu_new_role 192.168.1.0/24 scram-sha-256

– 管理用户密码：
ALTER ROLE fgedu_new_role WITH PASSWORD ‘new_password’;

# 步骤4：默认权限管理
– 设置默认表权限：
ALTER DEFAULT PRIVILEGES FOR ROLE fgedu_admin IN SCHEMA public
GRANT SELECT ON TABLES TO fgedu_new_role;

# 步骤5：审计管理
– 配置审计日志：
# 在postgresql.conf中设置
log_statement = ‘all’

– 分析审计数据：
# 使用pgBadger分析日志

# 步骤6：安全管理
– 实施访问控制：
# 限制IP访问

– 定期安全检查：
# 审查权限配置

# 步骤7：故障管理
– 处理权限故障：
# 诊断和解决权限问题

– 恢复权限配置：
# 从备份恢复权限配置

# 步骤8：文档管理
– 记录权限配置：
# 更新权限文档

– 文档化角色结构：
# 记录角色层次和权限

# 结果：
– PostgreSQL权限管理有序
– 角色和权限配置正确
– 认证配置合理
– 审计功能正常
– 系统安全性提高

# 1. 定期检查
– 定期检查角色权限
– 审查用户访问权限
– 检查未使用的角色
– 验证权限继承关系

# 2. 定期清理
– 清理未使用的角色
– 撤销未使用的权限
– 清理过期的认证配置
– 清理无效的权限设置

# 3. 定期更新
– 更新角色密码
– 更新认证配置
– 更新权限设置
– 更新审计配置

# 4. 安全检查
– 检查权限配置安全性
– 审计用户权限
– 检查认证方法安全性
– 验证访问控制

# 5. 故障处理
– 处理权限故障
– 解决认证问题
– 恢复权限配置
– 应对安全事件

# 6. 文档更新
– 更新权限配置文档
– 更新角色结构文档
– 更新认证配置文档
– 更新审计配置文档

# 7. 培训和教育
– 培训数据库管理员
– 培训应用程序开发者
– 提高安全意识
– 分享权限管理最佳实践

# 8. 合规检查
– 检查权限配置合规性
– 审计权限变更
– 验证访问控制
– 确保数据保护

# 场景：维护PostgreSQL权限

# 步骤1：定期检查
– 检查角色权限：
SELECT * FROM pg_roles;
SELECT * FROM information_schema.role_table_grants WHERE grantee = ‘fgedu_dev’;

– 审查用户访问权限：
SELECT * FROM information_schema.table_privileges WHERE grantee = ‘fgedu_read_fgedu’;

– 检查未使用的角色：
SELECT r.rolname FROM pg_roles r LEFT JOIN pg_stat_activity a ON r.rolname = a.usename WHERE a.usename IS NULL;

# 步骤2：定期清理
– 清理未使用的角色：
DROP ROLE IF EXISTS unused_role;

– 撤销未使用的权限：
REVOKE INSERT ON fgedu_fgedus FROM fgedu_read_fgedu;

# 步骤3：定期更新
– 更新角色密码：
ALTER ROLE fgedu_admin_fgedu WITH PASSWORD ‘new_password’;

– 更新认证配置：
# 编辑pg_hba.conf

# 步骤4：安全检查
– 检查权限配置安全性：
# 审查超级用户权限
SELECT * FROM pg_roles WHERE rolsuper = true;

– 审计用户权限：
# 检查用户权限
SELECT * FROM information_schema.table_privileges;

# 步骤5：故障处理
– 处理权限故障：
# 诊断和解决权限问题

– 恢复权限配置：
# 从备份恢复权限配置

# 步骤6：文档更新
– 更新权限配置文档：
# 记录最新的权限配置

– 更新角色结构文档：
# 记录角色层次和权限

# 步骤7：培训和教育
– 培训数据库管理员：
# 组织权限管理培训

– 分享权限管理最佳实践：
# 召开技术分享会议

# 步骤8：合规检查
– 检查权限配置合规性：
# 确保符合行业合规要求

– 审计权限变更：
# 检查权限变更记录

# 结果：
– PostgreSQL权限维护有序
– 角色和权限配置正确
– 系统安全性提高
– 合规性得到保证