PostgreSQL: quyền bị từ chối vì quan hệ

Tôi hơi bối rối về việc thiết lập quyền trong PostgreSQL.

Tôi có những vai trò sau:

                             List of roles
 Role name |                   Attributes                   | Member of 
-----------+------------------------------------------------+-----------
 admin     | Superuser, Create role, Create DB, Replication | {}
 meltemi   | Create role, Create DB                         | {rails}
 rails     | Create DB, Cannot login                        | {}
 myapp     |                                                | {rails}

và cơ sở dữ liệu:

                                    List of databases
        Name         | Owner  | Encoding |   Collate   |    Ctype    | Access privileges 
---------------------+--------+----------+-------------+-------------+-------------------
 myapp_production    | rails  | UTF8     | en_US.UTF-8 | en_US.UTF-8 | 
 ...

người dùng myappkhông gặp vấn đề khi truy vấn myapp_productioncơ sở dữ liệu thêm & xóa hồ sơ. Tôi cũng muốn meltemicó thể truy vấn cùng một cơ sở dữ liệu. Vì vậy, tôi đã tạo ra một vai trò railssở hữu cơ sở dữ liệu và thực hiện cả hai meltemivà myappcác thành viên của rails. Nhưng tôi vẫn nhận được permission denied for relationlỗi. Meltemicó thể xem lược đồ nhưng không thể truy vấn DB.

Tôi chỉ nhận thấy (với \dtlệnh) đó myapplà chủ sở hữu của các bảng:

             List of relations
 Schema |       Name        | Type  | Owner 
--------+-------------------+-------+-------
 public | events            | table | myapp
 public | schema_migrations | table | myapp
 ...
 public | users             | table | myapp
 ...

Các bảng được tạo thông qua ORM (Di chuyển ActiveRecord của Rails).

Tôi biết ủy quyền rất khác nhau trong PostgreSQL (trái ngược với MySQL và những người khác tôi đã sử dụng). Tôi nên thiết lập cơ sở dữ liệu của mình như thế nào để những người dùng khác nhau có thể truy cập nó. Một số nên có thể CRUD nhưng những người khác chỉ có thể đọc, v.v ...

Cảm ơn vì bất kì sự giúp đỡ. Xin lỗi, tôi biết đây là một câu hỏi rất cơ bản nhưng tôi không thể tự tìm câu trả lời.

Tôi vừa viết về điều này trong câu trả lời của tôi về Cấp quyền trên cơ sở dữ liệu postgresql cho một người dùng khác trên ServerFault.

Về cơ bản, giải pháp tốt nhất khi bạn có một người dùng và bạn muốn cấp cho người dùng khác quyền tương tự là biến người dùng đó thành một nhóm, tạo một người dùng mới có cùng tên với người dùng ban đầu là thành viên của nhóm và cấp nhóm đó cho người dùng khác quá.

Vì vậy, trong trường hợp của bạn, railsđược đổi tên thành nói myapp_users, sau đó bạn tạo một vai trò đăng nhập mới (người dùng) có tên railsvà GRANT myapp_users TO rails. Bây giờ bạn một GRANT myapp_users TO meltemi. Cả railstài khoản mới và meltemingười dùng hiện có quyền của railstài khoản cũ .

Để kiểm soát chi tiết hơn, tôi thường khuyên bạn nên tránh cho người dùng đăng nhập hàng ngày hoặc quyền sở hữu nhóm của họ đối với các bảng. Cấp cho họ quyền truy cập thông qua một NOINHERITnhóm mà họ phải rõ ràng SET GROUPhoặc tốt hơn là sử dụng một người dùng hoàn toàn khác cho các hoạt động đặc quyền như DDL và GRANTs. Thật không may, điều này không hoạt động với Rails, vì Rails thích áp dụng di chuyển bất cứ khi nào nó cảm thấy như vậy và AFAIK không cung cấp cho bạn khả năng chỉ định một người dùng khác, đặc quyền hơn để chạy di chuyển như.