Назначение привилегий и ролей пользователям PostgreSQL

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

Чтобы назначить роли пользователю кластера, передайте список нужных ролей в параметре --grants. Имеющиеся роли будут полностью перезаписаны: если вы хотите дополнить или уменьшить имеющийся список, сначала запросите текущие роли с информацией о пользователе командой yc managed-postgresql user get.

Чтобы назначить роли, выполните команду:

yc managed-postgresql user update <имя_пользователя> \
       --grants=<роль1,роль2> \
       --cluster-id <идентификатор_кластера>

Имя кластера можно запросить со списком кластеров в каталоге, имя пользователя — со списком пользователей.

Чтобы назначить роли пользователю кластера:

1. Откройте актуальный конфигурационный файл Terraform с планом инфраструктуры.

   О том, как создать такой файл, см. в разделе Создание кластера.

   Полный список доступных для изменения полей конфигурации пользователей кластера Managed Service for PostgreSQL см. в документации провайдера Terraform.

2. Найдите ресурс yandex_mdb_postgresql_user нужного пользователя.

3. Добавьте атрибут grants со списком нужных ролей:

   resource "yandex_mdb_postgresql_user" "<имя_пользователя>" {
     ...
     name   = "<имя_пользователя>"
     grants = [ "<роль1>","<роль2>" ]
     ...
   }
   

4. Проверьте корректность настроек.

   1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.

   2. Выполните команду:

      terraform validate
      

      Если в файлах конфигурации есть ошибки, Terraform на них укажет.

5. Подтвердите изменение ресурсов.

   1. Выполните команду для просмотра планируемых изменений:

      terraform plan
      

      Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.

   2. Если вас устраивают планируемые изменения, внесите их:

      1. Выполните команду:

         terraform apply
         

      2. Подтвердите изменение ресурсов.

      3. Дождитесь завершения операции.

1. Получите IAM-токен для аутентификации в API и поместите токен в переменную среды окружения:

   export IAM_TOKEN="<IAM-токен>"
   

2. Чтобы проверить список текущих ролей, воспользуйтесь методом User.Get и выполните запрос, например, с помощью cURL:

   curl \
     --request GET \
     --header "Authorization: Bearer $IAM_TOKEN" \
     --url 'https://mdb.api.cloud.yandex.net/managed-postgresql/v1/clusters/<идентификатор_кластера>/users/<имя_пользователя>'
   

   Идентификатор кластера можно запросить со списком кластеров в каталоге, а имя пользователя — со списком пользователей в кластере.

   Список текущих ролей указан в параметре grants в выводе команды.

3. Чтобы изменить список ролей пользователя, воспользуйтесь методом User.Update и выполните запрос:

   Важно

   Метод API переопределит все параметры изменяемого объекта, которые не были явно переданы в запросе, на значения по умолчанию. Чтобы избежать этого, перечислите настройки, которые вы хотите изменить, в параметре updateMask (одной строкой через запятую).

   curl \
     --request PATCH \
     --header "Authorization: Bearer $IAM_TOKEN" \
     --header "Content-Type: application/json" \
     --url 'https://mdb.api.cloud.yandex.net/managed-postgresql/v1/clusters/<идентификатор_кластера>/users/<имя_пользователя>' \
     --data '{
               "updateMask": "grants",
               "grants": [
                 "роль_1", "роль_2", ..., "роль_N"
               ]
             }'
   

   Где:

   • updateMask — перечень изменяемых параметров в одну строку через запятую.

     В данном случае передается только один параметр.

   • grants — массив строк с новыми ролями. Каждая строка соответствует отдельной роли. Возможные значения:

     • mdb_admin
     • mdb_monitor
     • mdb_replication
     • mdb_superuser

4. Убедитесь, что запрос был выполнен успешно, изучив ответ сервера.

1. Получите IAM-токен для аутентификации в API и поместите токен в переменную среды окружения:

   export IAM_TOKEN="<IAM-токен>"
   

2. Клонируйте репозиторий cloudapi:

   cd ~/ && git clone --depth=1 https://github.com/yandex-cloud/cloudapi
   

   Далее предполагается, что содержимое репозитория находится в директории ~/cloudapi/.

3. Чтобы проверить список текущих ролей, воспользуйтесь вызовом UserService.Get и выполните запрос, например, с помощью gRPCurl:

   grpcurl \
     -format json \
     -import-path ~/cloudapi/ \
     -import-path ~/cloudapi/third_party/googleapis/ \
     -proto ~/cloudapi/yandex/cloud/mdb/postgresql/v1/user_service.proto \
     -rpc-header "Authorization: Bearer $IAM_TOKEN" \
     -d '{
           "cluster_id": "<идентификатор_кластера>",
           "user_name": "<имя_пользователя>"
         }' \
     mdb.api.cloud.yandex.net:443 \
     yandex.cloud.mdb.postgresql.v1.UserService.Get
   

   Список текущих ролей указан в параметре grants в выводе команды.

4. Чтобы изменить список ролей пользователя, воспользуйтесь вызовом UserService.Update и выполните запрос:

   Важно

   Метод API переопределит все параметры изменяемого объекта, которые не были явно переданы в запросе, на значения по умолчанию. Чтобы избежать этого, перечислите настройки, которые вы хотите изменить, в параметре update_mask (в виде массива строк paths[]).

   Формат перечисления настроек

   "update_mask": {
       "paths": [
           "<настройка_1>",
           "<настройка_2>",
           ...
           "<настройка_N>"
       ]
   }
   

   grpcurl \
     -format json \
     -import-path ~/cloudapi/ \
     -import-path ~/cloudapi/third_party/googleapis/ \
     -proto ~/cloudapi/yandex/cloud/mdb/postgresql/v1/user_service.proto \
     -rpc-header "Authorization: Bearer $IAM_TOKEN" \
     -d '{
           "cluster_id": "<идентификатор_кластера>",
           "user_name": "<имя_пользователя>",
           "update_mask": {
             "paths": [
               "grants"
             ]
           },
           "grants": [
             "роль_1", "роль_2", ..., "роль_N"
           ]
         }' \
     mdb.api.cloud.yandex.net:443 \
     yandex.cloud.mdb.postgresql.v1.UserService.Update
   

   Где:

   • update_mask — перечень изменяемых параметров в виде массива строк paths[].

     В данном случае передается только один параметр.

   • grants — массив строк с новыми ролями. Каждая строка соответствует отдельной роли. Возможные значения:

     • mdb_admin
     • mdb_monitor
     • mdb_replication
     • mdb_superuser

   Идентификатор кластера можно запросить со списком кластеров в каталоге, а имя пользователя — со списком пользователей в кластере.

5. Убедитесь, что запрос был выполнен успешно, изучив ответ сервера.

Выдать привилегию пользователю через Terraform можно только в кластере с хостами в публичном доступе.

Вы можете выдавать привилегии пользователям через Terraform, используя сторонний провайдер — Terraform Provider for PostgreSQL.

Чтобы выдать привилегию пользователю кластера:

1. Добавьте провайдер postgresql в блок required_providers в файле с настройками провайдера:

   terraform {
     required_providers {
       ...
       postgresql = {
         source = "cyrilgdn/postgresql"
       }
       ...
     }
   }
   

2. Откройте конфигурационный файл Terraform с планом инфраструктуры.

   О том, как создать такой файл, см. в разделе Создание кластера.

3. Добавьте провайдер postgresql и настройте для него доступ к интересующей базе данных от имени ее владельца:

   provider "postgresql" {
     host            = <FQDN_хоста>
     port            = 6432
     database        = <имя_БД>
     username        = <имя_пользователя_владельца_БД> 
     password        = <пароль_пользователя>
   }
   

   О том, как получить FQDN хоста, см. инструкцию.

   Полный список настроек см. в документации провайдера.

4. Добавьте ресурс postgresql_grant:

   resource "postgresql_grant" "<название_ресурса>" {
     database    = "<имя_БД>"
     role        = "<имя_пользователя>"
     object_type = "<тип_объекта>"
     privileges  = ["<список_привилегий>"]
     schema      = "<схема>"
     objects     = ["<список_объектов>"]
     columns     = ["<список_столбцов>"]
     with_grant_option = <разрешение_на_выдачу_привилегий>
   }
   

   Где:

   • <название_ресурса> — название Terraform-ресурса с привилегиями. Должно быть уникальным в рамках манифеста Terraform.
   • database — имя базы данных, на которую выдаются привилегии.
   • role — имя пользователя, которому выдаются привилегии.
   • object_type — тип PostgreSQL-объекта, на который выдаются привилегии. Возможные значения: database, schema, table, sequence, function, procedure, routine, foreign_data_wrapper, foreign_server, column.
   • privileges — массив выдаваемых привилегий. Возможные значения: SELECT, INSERT, UPDATE, DELETE, TRUNCATE, REFERENCES, TRIGGER, CREATE, CONNECT, TEMPORARY, EXECUTE и USAGE. Описание привилегий см. в документации PostgreSQL.
   • schema — схема, на которую выдаются привилегии. Нельзя задать, если выбран тип объекта database.
   • (Опционально) objects — массив объектов, на которые выдаются привилегии. Если параметр не задан, привилегии будут выданы на все объекты указанного типа. Нельзя задать, если выбран тип объекта database или schema. Если выбран тип объекта column, массив может содержать только одно значение.
   • columns — массив столбцов, на которые выдаются привилегии. Параметр обязателен, если выбран тип объекта column. Нельзя задать, если выбран любой другой тип объекта, кроме column.
   • (Опционально) with_grant_option — если true, то пользователь с выданными привилегиями сможет выдавать эти привилегии другим пользователям. По умолчанию false.

5. Повторно инициализируйте Terraform:

   terraform init
   

6. Проверьте корректность настроек.

   1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.

   2. Выполните команду:

      terraform validate
      

      Если в файлах конфигурации есть ошибки, Terraform на них укажет.

7. Подтвердите изменение ресурсов.

   1. Выполните команду для просмотра планируемых изменений:

      terraform plan
      

      Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.

   2. Если вас устраивают планируемые изменения, внесите их:

      1. Выполните команду:

         terraform apply
         

      2. Подтвердите изменение ресурсов.

      3. Дождитесь завершения операции.

Если вы ранее выдали привилегию с использованием Terraform:

1. Откройте конфигурационный файл Terraform с планом инфраструктуры.

2. В блоке postgresql_grant удалите привилегию, которую хотите отозвать, из параметра privileges.

   Чтобы отозвать все привилегии, оставьте массив privileges пустым или удалите ресурс postgresql_grant целиком.

3. Проверьте корректность настроек.

   1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.

   2. Выполните команду:

      terraform validate
      

      Если в файлах конфигурации есть ошибки, Terraform на них укажет.

4. Подтвердите изменение ресурсов.

   1. Выполните команду для просмотра планируемых изменений:

      terraform plan
      

      Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.

   2. Если вас устраивают планируемые изменения, внесите их:

      1. Выполните команду:

         terraform apply
         

      2. Подтвердите изменение ресурсов.

      3. Дождитесь завершения операции.

Выдать привилегию пользователю через Terraform можно только в кластере с хостами в публичном доступе.

Для выдачи привилегий пользователям через Terraform используется сторонний провайдер — Terraform Provider for PostgreSQL.

Подробнее о выдаче привилегий см. в разделе Выдать привилегию пользователю.

Допустим, существует кластер mypg с пользователем user1 в роли владельца. Чтобы добавить в него нового пользователя user2 с доступом только на чтение из таблиц в схеме public базы данных db1:

1. Добавьте провайдер postgresql в блок required_providers в файле с настройками провайдера:

   terraform {
     required_providers {
       ...
       postgresql = {
         source   = "cyrilgdn/postgresql"
       }
       ...
     }
   }
   

2. Откройте конфигурационный файл Terraform с планом инфраструктуры.

3. Добавьте ресурс yandex_mdb_postgresql_user:

   resource "yandex_mdb_postgresql_user" "user2" {
     cluster_id      = yandex_mdb_postgresql_cluster.mypg.id
     name            = "user2"
     password        = "user2user2"
     permission {
       database_name = yandex_mdb_postgresql_database.db1.name
     }
   }
   

4. Добавьте провайдер postgresql и настройте для него доступ к базе данных db1:

   provider "postgresql" {
     host            = yandex_mdb_postgresql_cluster.mypg.host[0].fqdn
     port            = 6432
     database        = yandex_mdb_postgresql_database.db1.name
     username        = yandex_mdb_postgresql_user.user1.name
     password        = yandex_mdb_postgresql_user.user1.password
   }
   

5. Добавьте ресурс postgresql_grant со следующими атрибутами:

   resource "postgresql_grant" "readonly_tables" {
     database          = yandex_mdb_postgresql_database.db1.name
     role              = yandex_mdb_postgresql_user.user2.name
     object_type       = "table"
     privileges        = ["SELECT"]
     schema            = "public"
   }
   

6. Повторно инициализируйте Terraform:

   terraform init
   

7. Проверьте корректность настроек.

   1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.

   2. Выполните команду:

      terraform validate
      

      Если в файлах конфигурации есть ошибки, Terraform на них укажет.

8. Подтвердите изменение ресурсов.

   1. Выполните команду для просмотра планируемых изменений:

      terraform plan
      

      Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.

   2. Если вас устраивают планируемые изменения, внесите их:

      1. Выполните команду:

         terraform apply
         

      2. Подтвердите изменение ресурсов.

      3. Дождитесь завершения операции.

1. Откройте конфигурационный файл Terraform, с помощью которого назначались привилегии.

2. В блоке postgresql_grant удалите привилегию, которую хотите отозвать, из параметра privileges.

   Чтобы отозвать все привилегии, оставьте массив privileges пустым или удалите ресурс postgresql_grant целиком.

   resource "postgresql_grant" "readonly_tables" {
     database          = yandex_mdb_postgresql_database.db1.name
     role              = yandex_mdb_postgresql_user.user2.name
     object_type       = "table"
     privileges        = []
     schema            = "public"
   }
   

3. Проверьте корректность настроек.

   1. В командной строке перейдите в каталог, в котором расположены актуальные конфигурационные файлы Terraform с планом инфраструктуры.

   2. Выполните команду:

      terraform validate
      

      Если в файлах конфигурации есть ошибки, Terraform на них укажет.

4. Подтвердите изменение ресурсов.

   1. Выполните команду для просмотра планируемых изменений:

      terraform plan
      

      Если конфигурации ресурсов описаны верно, в терминале отобразится список изменяемых ресурсов и их параметров. Это проверочный этап: ресурсы не будут изменены.

   2. Если вас устраивают планируемые изменения, внесите их:

      1. Выполните команду:

         terraform apply
         

      2. Подтвердите изменение ресурсов.

      3. Дождитесь завершения операции.